Der regulatorische Perimeter für KI im Asset Management

Ein Robo-Advisor empfiehlt einem Rentner mit geringer Risikotoleranz einen gehebelten ETF. Kein Mensch hat die Empfehlung geprüft. Nach dem EU AI Act fällt dieses System wahrscheinlich in die Hochrisikoklasse. Nach MiFID II verstößt diese Empfehlung möglicherweise gegen die Eignungsregeln. Nach dem Ansatz der SEC zu Predictive Analytics kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnte der im Modell eingebaute Interessenkonflikt ein Enforcement-Verfahren auslösen. Eine Entscheidung, drei Regulierer, drei unterschiedliche Prüfungen.

Diese Lektion zeigt, wo KI in Portfoliokonstruktion, Beratung und Trading tatsächlich „greift“, damit Sie erkennen, welche Ihrer Use Cases innerhalb des regulierten Perimeters liegen und welche nicht.

Drei Regime, drei unterschiedliche Fragen

Jedes Regime stellt eine andere Frage an Ihr Modell. Sie brauchen alle drei Antworten.

• EU AI Act (Verordnung (EU) 2024/1689, stufenweise Einführung von 2025 bis 2027): „Welcher Risikokategorie gehört dieses System an, und welche Pflichten folgen daraus?“
• MiFID II (die EU-Richtlinie über Märkte für Finanzinstrumente, in Kraft seit 2018): „Ist die Beratung oder das Portfolio für diesen konkreten Kunden geeignet?“
• SEC (US Securities and Exchange Commission): „Stellt dieses Vorhersagemodell das Interesse des Unternehmens über das des Anlegers?“

Der EU AI Act ist horizontal (ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → gilt über alle Branchen hinweg und klassifiziert nach Risiko). MiFID II und die SEC-Regeln sind Verhaltensregeln für den Finanzsektor, die für Ergebnisse gelten, unabhängig davon, ob KI im Spiel ist. KI erhält keine Ausnahme; bestehende Pflichten gelten weiter.

Der EU AI Act: In welcher Stufe liegt Ihr Modell?

Der Act sortiert KI in vier Kategorien: verboten, hochriskant, begrenztes Risiko (nur Transparenzpflichten) und minimales Risiko.

Der größte Teil der KI im Asset Management landet bei minimalem oder begrenztem Risiko. Das ist die entscheidende Nuance, die viele übersehen. Portfoliooptimierung, Faktormodelle und die Generierung von Trade-Signalen sind nach der Anhang-III-Liste des Acts in der Regel nicht automatisch hochriskant.

Schärfer wird es hier:

• Die Prüfung der Kreditwürdigkeit natürlicher Personen ist ausdrücklich hochriskant. Wenn Ihre Plattform die Kreditwürdigkeit eines Retail-Kunden prüft, um ein Margin-Lending-Produkt anzubieten, ist diese Komponente hochriskant.
• Zu den verbotenen Praktiken zählen manipulative oder unterschwellige Techniken und bestimmte Formen der Ausnutzung von Schutzbedürftigkeit. Eine „Nudge Engine“, die die Verhaltensbiases eines Kunden ausnutzt, um das Handelsvolumen zu steigern, bewegt sich auf gefährlichem Terrain.
• General-Purpose-AI-(GPAI-)Modelle, also große Modelle wie die LLMs hinter einem Tool zur Research-Zusammenfassung, bringen für den Anbieter eigene Transparenz- und Dokumentationspflichten mit sich.

Praktische Erkenntnis: Ein Quant-Equity-Modell ist nach dem Act meist niedrigriskant, aber eine Komponente für Retail-Credit-Scoring oder zur Erkennung von Schutzbedürftigkeit kann ein Produkt in die Hochrisikoklasse ziehen. Klassifizieren Sie Komponente für Komponente, nicht App für App.

Die offizielle Zusammenfassung der Europäischen Kommission ist ein guter Ausgangspunkt: [EU AI Act overview](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai).

Was „hochriskant“ konkret verlangt

Wenn eine Komponente in die Hochrisikoklasse fällt, erwarten Sie: ein Risikomanagementsystem, Data Governance (dokumentierte Qualität der Trainingsdaten und Bias-Tests), technische Dokumentation, Logging, menschliche Aufsicht sowie Tests auf Genauigkeit und Robustheit. Das ist im Kern formalisiertes Model Risk Management. Wenn Sie schon eine solide Modellvalidierung betreiben, sind Sie fast am Ziel.

MiFID II: Bei Beratungsmodellen greift die Eignungsprüfung

Die Eignungspflicht von MiFID II verlangt, dass jede persönliche Empfehlung oder Entscheidung in der Vermögensverwaltung zu Kenntnissen, Erfahrung, finanzieller Situation und Zielen des Kunden passt (einschließlich Risikotoleranz und zunehmend Nachhaltigkeitspräferenzen).

Eine KI-Beratungsengine senkt diese Hürde nicht. Sie erhöht die Dokumentationslast.

Konkrete Fehlerbilder:

• Ein Modell empfiehlt ein komplexes strukturiertes Produkt einem Kunden, dessen Fragebogen geringe Produktkenntnisse ausgewiesen hat. Verstoß gegen die Eignungspflicht.
• Das Modell driftet: Märkte verändern sich, und sein Mapping der Risikotoleranz spiegelt die genehmigte Fragebogenlogik nicht mehr. Unentdeckte Drift ist ein Eignungsverstoß, der nur darauf wartet, aufzutauchen.
• Das Unternehmen kann nicht erklären, warum ein Kunde eine bestimmte Empfehlung erhalten hat. MiFID II erwartet eine Geeignetheitserklärung. Ein Blackbox-„das Modell hat es gesagt“ genügt dafür nicht.

Die Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) hat Leitlinien veröffentlicht, die betonen, dass Unternehmen, die KI in Wertpapierdienstleistungen einsetzen, nach MiFID II voll verantwortlich bleiben, mit Rechenschaftspflicht der Geschäftsleitung. KI ist ein Werkzeug, keine Verteidigung.

Die SEC: Interessenkonflikte in Vorhersagemodellen

Der US-Weg ist ein anderer. Die SEC hat 2023 Regeln zur Nutzung von Predictive Data Analytics (PDA) durch Broker-Dealer und Investmentberater vorgeschlagen. Die zentrale Sorge: Wenn ein Unternehmen KI nutzt, um den eigenen Umsatz zu optimieren (Kunden zu Produkten mit höheren Gebühren oder zu mehr Handel zu lenken), ist das ein Interessenkonflikt, und das Unternehmen muss ihn beseitigen oder neutralisieren, nicht nur offenlegen.

Stand Anfang 2026 sind die Details dieses Rulemaking umstritten und umgestaltet worden, der genaue Endtext ist also als unfertig zu behandeln. Bestand hat die grundlegende Position der SEC: Bestehende Treuepflichten und Antibetrugsregeln gelten bereits für KI-gestützte Beratung. Ein registrierter Investmentberater schuldet Sorgfalts- und Loyalitätspflichten, unabhängig davon, ob ein Mensch oder ein Modell die Empfehlung erzeugt.

Die SEC hat außerdem öffentlich vor „AI Washing“ gewarnt: dem Übertreiben von KI-Fähigkeiten im Marketing. Zu behaupten, Ihr Fonds nutze „proprietäre KI“, während er eine einfache Regel-Engine betreibt, ist ein Offenlegungsproblem, und die SEC hat zu diesem Thema Enforcement-Verfahren eingeleitet.

Eine durchgerechnete Klassifizierung

Nehmen Sie einen hybriden Robo-Advisor, der EU-Retail-Kunden und US-Kunden betreut.

Ein Produkt, fünf unterschiedliche regulatorische Fußabdrücke. Deshalb ist „Ist unsere KI compliant?“ die falsche Frage. Die richtige Frage lautet: „Welche Komponente, welches Regime, welche Stufe?“

GuardrailsGuardrailsRegeln und Kontrollen, die ein KI-System in sicheren, rechtskonformen und markengerechten Grenzen halten und unerwünschte Ausgaben blockieren.Vollständige Definition ansehen →, die vor dem Deployment stehen müssen

Regulierer konvergieren auf dieselben praktischen Kontrollen. Bauen Sie diese, bevor Sie ausliefern, nicht danach.

1. Inventarisieren und klassifizieren

Führen Sie ein Modellinventar. Erfassen Sie für jede KI-Komponente: Zweck, EU-AI-Act-Stufe, MiFID-II-Berührungspunkt, Datenquellen und Owner. Regulierer erwarten das zunehmend auf Anfrage.

2. Menschliche Aufsicht, die echt ist

„Human in the loop“ muss einen Menschen bedeuten, der versteht und übersteuern kann, kein Abnicken. Für hochriskante Komponenten verlangt der Act es ausdrücklich. Definieren Sie die Override-Befugnis und loggen Sie, wenn sie genutzt wird.

3. Erklärbarkeit im Verhältnis zur Auswirkung

Eine Eignungsempfehlung braucht eine Begründung für den Kunden. Ein Trade-Cost-Schätzer im Backoffice nicht. Passen Sie den Aufwand für Erklärbarkeit dem möglichen Kundenschaden an.

4. Drift- und Bias-Monitoring

Setzen Sie Schwellenwerte und Alerts. Ein minimales Logging-Muster für einen Empfehlungsservice:

# Log every recommendation for audit and drift detection
log_record = {
    "client_id": client.id,
    "risk_score": client.risk_score,      # aus dem Eignungsfragebogen
    "recommended_product": rec.product_id,
    "product_risk_level": rec.risk_level,
    "model_version": model.version,
    "timestamp": now_utc(),
}
# Compliance-Flag: Empfehlung riskanter als Kundentoleranz
if rec.risk_level > client.risk_score:
    log_record["suitability_flag"] = True
audit_store.write(log_record)

Dieses einzige suitability_flag ist der Unterschied zwischen einem intern erkannten MiFID-II-Verstoß und einer späteren Erklärung gegenüber dem Regulierer.

5. Marketing-Review

Lassen Sie jede externe Aussage über KI von Compliance freigeben. „AI Washing“-Enforcement ist in den USA ein reales, aktuelles Risiko.

Die Entwicklungsrichtung für 2026

Die Hochrisikopflichten des EU AI Act treten bis 2026 und 2027 stufenweise in Kraft, bauen Sie die Dokumentation also jetzt auf. ESMA und nationale Aufsichtsbehörden beaufsichtigen KI in Wertpapierdienstleistungen aktiv. In den USA ist damit zu rechnen, dass Enforcement nach bestehenden Treue- und Antibetrugsregeln vorangeht, während das genaue PDA-Rulemaking weiter in Bewegung ist. Firmen, die in beiden Jurisdiktionen tätig sind, sollten am strengeren Standard entlang designen, und das ist meist der der EU.

Key Takeaways

• Klassifizieren Sie nach Komponente, nicht nach Produkt. Ein Quant-Modell ist nach dem EU AI Act meist niedrigriskant, aber ein Feature für Retail-Credit-Scoring oder zur Erkennung von Schutzbedürftigkeit kann dasselbe Produkt in die Hochrisikoklasse ziehen.
• Die MiFID-II-Eignungsprüfung ist die schärfste Kante für Beratungs-KI. Sie müssen erklären und dokumentieren können, warum ein Kunde eine Empfehlung erhalten hat; „das Modell hat es gesagt“ ist keine Geeignetheitserklärung.
• Die SEC wendet bestehende Treue- und Antibetrugsregeln schon heute auf KI an, mit besonderem Fokus auf in Modellen eingebettete Interessenkonflikte und auf „AI Washing“ im Marketing.
• Die Hochrisiko-Checkliste ist im Grunde Model Risk Management: Inventar, Data GovernanceData GovernanceData Governance umfasst die Regeln, Rollen und Prozesse, die sicherstellen, dass Daten in einer Organisation korrekt, sicher, klar definiert und verantwortungsvoll genutzt werden.Vollständige Definition ansehen →, menschliche Aufsicht, Logging und Drift-Monitoring. Bauen Sie es vor dem Deployment.
• Tätig in den USA und der EU? Designen Sie zum EU-Standard, der in der Regel strenger ist, und führen Sie datierte Aufzeichnungen, weil die Regeln noch bis 2027 stufenweise in Kraft treten.