Warum KI-Anbieter überhaupt unter DORA fallen
Wenn ein Finanzunternehmen ein KI-System oder ein GPAI-Modell eines externen Anbieters einsetzt – etwa für Kreditscoring, Betrugserkennung, Chatbots im Kundenservice oder interne Textanalyse –, handelt es sich dabei um eine IKT-Dienstleistung im Sinne von DORA. Der Anbieter wird damit zum IKT-Drittdienstleister. Das gilt unabhängig davon, ob der KI-Anbieter selbst ein Finanzunternehmen ist oder nicht, und unabhängig davon, ob es sich um ein Hochrisiko-System nach der KI-VO handelt. Für die Einordnung als IKT-Drittdienstleister ist allein entscheidend, dass eine vertragliche Vereinbarung über die Nutzung einer IKT-Dienstleistung besteht (Art. 28 Abs. 1 DORA).
Damit gilt: Wer als Bank, Versicherer, Zahlungsdienstleister oder sonstiges DORA-pflichtiges Institut KI-Dienste zukauft, bleibt nach Art. 28 Abs. 1 lit. a DORA “jederzeit in vollem Umfang” für die Einhaltung der DORA-Pflichten verantwortlich. Die Auslagerung an einen KI-Anbieter entlastet nicht.
Die Kernpflichten aus Art. 28 vor Vertragsschluss
Bevor eine vertragliche Vereinbarung mit einem KI-Anbieter geschlossen wird, verlangt Art. 28 Abs. 4 DORA konkrete Prüfschritte:
- Kritikalitätsbewertung (lit. a): Unterstützt der KI-Dienst eine kritische oder wichtige Funktion? Bei Kreditentscheidungs- oder Betrugspräventionssystemen liegt das oft nahe.
- Aufsichtsrechtliche Zulässigkeit (lit. b): Sind die Voraussetzungen für eine Auslagerung erfüllt?
- Risikoermittlung (lit. c), einschließlich der Frage, ob die Nutzung zum IKT-Konzentrationsrisiko nach Art. 29 beiträgt – bei marktdominanten GPAI-Anbietern ein reales Thema.
- Sorgfaltsprüfung des Anbieters (lit. d).
- Interessenkonfliktprüfung (lit. e).
Nach Art. 28 Abs. 5 DORA dürfen Verträge nur mit Anbietern geschlossen werden, die angemessene Standards für Informationssicherheit einhalten; bei kritischen oder wichtigen Funktionen sind die aktuellsten und höchsten Qualitätsstandards zu berücksichtigen. Ein KI-Anbieter, der zu Informationssicherheit, Trainingsdatenherkunft oder Modellrobustheit keine belastbaren Angaben macht, erfüllt diese Anforderung typischerweise nicht.
Informationsregister und Meldepflichten
Art. 28 Abs. 3 DORA verpflichtet Finanzunternehmen, ein Informationsregister zu allen vertraglichen Vereinbarungen mit IKT-Drittdienstleistern zu führen und zu aktualisieren – mit Unterscheidung, ob eine kritische oder wichtige Funktion betroffen ist. Jede geplante Vereinbarung, die eine solche Funktion unterstützt, ist der zuständigen Behörde zeitnah zu melden; ebenso, wenn eine bislang unkritische Funktion kritisch wird. Zusätzlich ist mindestens jährlich über Anzahl und Art neuer Vereinbarungen sowie die beteiligten Anbieterkategorien zu berichten.
In der Praxis bedeutet das: Jeder KI-Anbieter, mit dem ein Vertrag besteht, muss im Register auftauchen – inklusive Einstufung als kritisch/wichtig oder nicht. Ein separates Schatten-Inventar von “KI-Tools, die die Fachabteilung eingekauft hat”, ist mit Art. 28 Abs. 3 nicht vereinbar.
Schnittstelle zu den AI-Act-Fristen
Die Sorgfaltspflicht nach Art. 28 Abs. 4 lit. d DORA – Prüfung, ob der KI-Anbieter geeignet ist – lässt sich nicht ohne Blick auf die parallel laufenden AI-Act-Pflichten des Anbieters bewerten. Ab dem 02.08.2026 gelten die Transparenzpflichten aus Art. 50 KI-VO (mit Schonfrist bis 02.12.2026 für Systeme, die bereits vorher in Verkehr waren). Ein KI-Anbieter, der ab diesem Zeitpunkt seinen Transparenzpflichten – etwa Kennzeichnung von KI-generierten Inhalten oder Informationspflichten gegenüber Nutzern – nicht nachkommt, liefert damit ein Signal, das in die Sorgfalts- und Risikoprüfung nach Art. 28 Abs. 4 DORA einfließen sollte. Fehlende oder unklare Angaben des Anbieters zu seinen eigenen KI-Act-Pflichten sind ein Indikator für unzureichende Governance, den Sie im Auswahlprozess dokumentieren sollten.
Typische Lücken in der Praxis
Häufig zeigt sich: KI-Tools werden von Fachbereichen ohne Einbindung von IKT-Risikomanagement oder Compliance beschafft, weil sie als “Software-as-a-Service” und nicht als klassische Auslagerung wahrgenommen werden. Die Folge sind fehlende Kritikalitätsbewertungen nach Art. 28 Abs. 4 lit. a, lückenhafte Informationsregister nach Art. 28 Abs. 3 und Verträge ohne Nachweis angemessener Informationssicherheitsstandards nach Art. 28 Abs. 5. Gerade bei GPAI-Anbietern mit wenigen marktbeherrschenden Akteuren ist zudem die Konzentrationsrisikoprüfung nach Art. 28 Abs. 4 lit. c oft unvollständig.
Fazit
KI-Anbieter sind aus DORA-Sicht IKT-Drittdienstleister wie jeder andere Software- oder Cloud-Anbieter – mit denselben Pflichten zu Sorgfalt, Registrierung und Risikobewertung vor Vertragsschluss. Wer nicht weiß, welche KI-Dienste im Unternehmen bereits im Einsatz sind und ob diese kritische Funktionen unterstützen, hat eine Lücke im IKT-Risikomanagement nach Art. 28 DORA. Mit dem kostenlosen Risiko-Check unter /einstufung erhalten Sie eine erste Einschätzung, wo Ihr Unternehmen bei KI-Einsatz und regulatorischen Pflichten steht.