Ab morgen wird die europäische KI-Verordnung allgemein anwendbar. In vielen Banken kursiert seither die Erwartung, dass ab sofort jedes Scoring-Modell unter Hochrisiko-Auflagen fällt. Das stimmt so nicht – eine Verordnung vom Juli 2026 hat genau diesen Teil um 16 Monate verschoben. Was bleibt, ist trotzdem genug Arbeit für Compliance, Risiko und Fachbereich.
Der 2. August 2026 ist ein echtes Datum, aber ein missverstandenes. Ab diesem Tag ist die KI-Verordnung (VO (EU) 2024/1689) allgemein anwendbar – mit einer wichtigen Ausnahme. Die Verpflichtungen für eigenständige Hochrisiko-KI-Systeme nach Anhang III gelten seit der Digital-Omnibus-Verordnung (VO (EU) 2026/1744, veröffentlicht am 24. Juli 2026, in Kraft seit 27. Juli 2026) erst ab 2. Dezember 2027. Für KI als Sicherheitsbauteil in Produkten nach Anhang I wurde der Geltungsbeginn auf 2. August 2028 verschoben.
Und genau in Anhang III Nummer 5 steht das, was Banken und Versicherungen betrifft: KI-Systeme zur Bewertung der Kreditwürdigkeit natürlicher Personen sowie zur Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen. Von der Kreditwürdigkeitsprüfung ausdrücklich ausgenommen sind Systeme zur Aufdeckung von Finanzbetrug – für die Versicherungs-Fallgruppe gilt diese Ausnahme nicht. Ob ein konkretes Modell am Ende tatsächlich als Hochrisiko-System eingestuft wird, hängt an den Kriterien des Artikels 6 – das bleibt eine Einzelfallprüfung, keine Schublade.
Was morgen trotzdem scharf gestellt wird
Die Transparenzpflichten des Artikels 50 hat der Omnibus nicht verschoben. Sie gelten ab 2. August 2026. Praktisch heißt das: Der Chatbot im Onlinebanking oder im Schadenportal muss erkennbar machen, dass die Kundin gerade mit einem KI-System spricht. Für Systeme, die schon vor dem 2. August 2026 in Verkehr gebracht wurden, sieht die Omnibus-Verordnung für die maschinenlesbare Kennzeichnung synthetischer Inhalte eine kurze Übergangsfrist von vier Monaten vor.
Das ist kein IT-Thema. Es ist ein Textbaustein-, Prozess- und Freigabethema – und landet damit bei denselben Leuten, die schon die Beratungsdokumentation und die Werbemittel prüfen.
Die FMA sitzt im Finanzsektor am längeren Hebel
Artikel 74 Absatz 6 der KI-Verordnung regelt die Marktüberwachung für Finanzinstitute eigenständig: Bei Hochrisiko-KI-Systemen, die von nach Unionsrecht regulierten Finanzinstituten in Verkehr gebracht, in Betrieb genommen oder verwendet werden, gilt die für die Finanzaufsicht benannte nationale Behörde als Marktüberwachungsbehörde – sofern die Nutzung mit der Erbringung der Finanzdienstleistung in direktem Zusammenhang steht. Für österreichische Kreditinstitute läuft das also auf die FMA hinaus, nicht auf eine neue Extra-Behörde.
Für alles außerhalb dieses Sonderwegs ist die nationale Zuständigkeit noch nicht abschließend geregelt: Die KI-Servicestelle der RTR weist in ihren FAQ darauf hin, dass eine nationale Umsetzung der AI-Act-Zuständigkeiten in Österreich noch aussteht (abgerufen am 1. August 2026). Wer im Institut das Thema aufsetzt, sollte das im Blick behalten.
Die Pflicht, die seit Februar 2025 läuft
Übersehen wird gern Artikel 4. Die KI-Kompetenz-Bestimmung gilt bereits seit 2. Februar 2025: Anbieter und Betreiber müssen Maßnahmen ergreifen, damit ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt; der Omnibus hat die Formulierung in Richtung unterstützender Maßnahmen entschärft. Gesetzliche Mindestinhalte für Schulungen gibt es nicht, und die RTR hält fest, dass die Verordnung für Artikel 4 keine eigene Verwaltungsstrafe vorsieht. Wer daraus ableitet, man könne es lassen, argumentiert kurzsichtig – dokumentierte Schulungen sind das Erste, wonach eine Aufsicht fragt.
Wo diese Aufgaben im Stellenmarkt landen
Eigene Jobtitel mit "KI" sind in Österreichs Bankenstellenmarkt noch die Ausnahme. Die Aufgaben werden zu Compliance-, Rechts- und Risikorollen dazugelegt. Und das sind, gemessen an unserer eigenen Auswertung der aktuell auf bankkarriere.at ausgeschriebenen Stellen (Stand 01.08.2026), keine schlechten Adressen: Im Risikomanagement liegt das ausgeschriebene Mindestgehalt bei einem Median von 4.071 Euro brutto pro Monat (mittlere Bandbreite 3.678–4.285 Euro, 20 Stellen), in Compliance und Recht bei 3.428 Euro (2.981–4.285 Euro, 18 Stellen). Zum Vergleich: Über alle 252 Stellen mit Gehaltsangabe liegt der Median bei 3.366 Euro. Das ausgeschriebene Mindestgehalt ist dabei nicht das tatsächliche Einstiegsgehalt – verhandelt wird darüber.
Wer sich in den nächsten Monaten positionieren will, arbeitet sinnvollerweise an konkreten Dingen:
- ein belastbares Inventar aller eingesetzten KI-Systeme, getrennt nach eigenentwickelt und zugekauft – daran hängt die Rolle als Anbieter oder Betreiber
- die Einordnung der Scoring- und Tarifierungsmodelle entlang Anhang III Nummer 5 samt Begründung, warum ein System darunter fällt oder eben nicht
- die Kennzeichnung aller kundenseitigen Chat- und Textsysteme bis 2. August 2026
- ein Schulungskonzept mit Teilnahmenachweisen, das über eine E-Learning-Folie hinausgeht
Ein Hinweis zur Einordnung: Das hier ist allgemeine Information, keine Rechtsberatung im Einzelfall – die Klassifizierung eines konkreten Modells gehört mit der Rechtsabteilung und, wo nötig, externer Expertise abgestimmt.
Und noch etwas, das die Verschiebung auf Dezember 2027 nicht berührt: Artikel 22 DSGVO zur automatisierten Entscheidung im Einzelfall gilt für Kreditentscheidungen unverändert weiter. Wer heute in die Modellvalidierung oder in die KI-Governance wechseln will, muss auf 2027 also gar nicht warten.