Ein modernes Risikomanagement für KI-Modelle

Banken und andere Finanzdienstleister verwenden seit Jahrzenten Modelle, um Risiken zu steuern oder Preise – zum Beispiel für Kredite oder Derivate – zu berechnen. Dabei besteht seit jeher die Gefahr, dass durch falsche Modelle oder eine falsche Nutzung Entscheidungen getroffen werden, die zu negativen Konsequenzen führen können, zum Beispiel zu finanziellen Verlusten. Dieses Risiko wird als Modellrisiko bezeichnet.

Dass Modellrisiken nicht zu vernachlässigen sind, zeigen viele Beispiele aus der Vergangenheit, darunter fehlerhafte Marktpreisrisikomodelle oder Modelle zur Berechnung von Sicherheiten.

Um Modellrisiken zu reduzieren und zu messen, haben Banken umfangreiche und komplexe Modell-Risiko-Management (MRM)-Ansätze etabliert. Diese Ansätze sind, wie die Modelle selbst, seit Jahren etabliert und haben sich sukzessive weiterentwickelt.

Mit der zunehmenden Anwendung von künstlicher Intelligenz (KI) und Machine Learning (ML) wird aber eine umfassende Anpassung dieses Modell-Risiko-Ansatzes notwendig.

Denn neben den unbestrittenen Vorteilen bringen KI/ML-Ansätze neue, eigene Arten von Risiken mit sich, die in bestehenden Modell-Risiko-Management-Ansätzen nach unserer Erfahrung noch nicht ausreichend berücksichtigt werden. Diese neuen Risiken ergeben sich einerseits aus der größeren Komplexität und einer größeren Intransparenz der Algorithmen.

Andererseits muss ein deutlich größeres Augenmerk auf die Inputdaten gelegt werden, damit das Modell korrekt lernt und Fairness in den Entscheidungen sichergestellt ist. Weitere Aspekte, die unserer Meinung nach in ihrer Bedeutung und Komplexität nicht unterschätzt werden dürfen, umfassen Themen wie Datenschutz, Fragestellungen rund um technische Implementierungen und Herausforderungen im Regelbetrieb.

Wir beobachten außerdem, dass KI/ML-Modelle vermehrt in Bereichen eingesetzt werden, die bisher nicht oder nur wenig von Modellen unterstützt wurden, zum Beispiel in der Personalisierung von Customer Experiences oder bei der Automatisierung von sich wiederholenden beziehungsweise manuellen Aufgaben. Wir erwarten, dass dieser Trend sich in Zukunft weiter verstärken wird. Die Folge ist, dass diese Modelle teilweise nicht in den aktuellen Anwendungsbereich des MRM-Ansatzes fallen und dass die Risiken hieraus häufig nicht ausreichend gesteuert werden.

Als weiterer Katalysator wird unserer Meinung nach auch die Aufsicht wirken, da das Modellrisiko von KI/ML-Modellen zunehmend in den regulatorischen Fokus rückt. So haben die deutsche Aufsicht (zum Beispiel die BaFin) durch Positions- und Konsultationspapiere und die Europäische Union mit dem Entwurf des sogenannten EU AI Act neue zusätzliche Anforderungen angekündigt.

Um den neuen Herausforderungen durch KI-Modelle und deren Regulierung gerecht zu werden, empfiehlt es sich aus unserer Sicht, bestehende MRM-Ansätze in spezifischen Aspekten anzupassen und zu erweitern. Das ermöglicht es, bestehende Methoden, Prozesse und Tools zu verwenden und somit Synergien zu nutzen. Wir haben sieben Handlungsschritte identifiziert, die unserer Ansicht nach zu einem erheblichen Fortschritt in der Identifikation und Steuerung der Risiken führen können:

1. Einführung einer unternehmensweiten Definition von KI/ML-Modellen und eine entsprechende Erweiterung des Modellinventars.
2. Update der Definition zur Modell-Risikokategorisierung, insbesondere was Kriterien um Materialität, Kritikalität und Unsicherheit angeht und um beispielsweise das Risiko der Diskriminierung durch unfaire Algorithmen zu berücksichtigen.
3. Erweiterung beziehungsweise Anpassung des „Risikoappetits“, da traditionell keine KI/ML- Modelle vorgesehen sind.
4. Klärung von Zuständigkeiten und Etablierung einer funktionsübergreifenden KI-Governance, da im Allgemeinen mehrere unabhängige Risikomanagementfunktionen (zum Beispiel MRM, Compliance, Datenmanagement) betroffen sind.
5. Investitionen in die nötigen Skills, zum Beispiel Expertise in Data Science und Engineering sowie Machine Learning. Sie stehen in Banken nur in geringen Umfang zur Verfügung und sind in allen Branchen gesucht. Deshalb müssen Verantwortliche gezielt auf das Einstellen solcher Fachkräfte hinwirken oder externe Experten hinzuziehen. Dabei ist es unserer Erfahrung nach wichtig, dass die Mitarbeitenden auch Know-how in dem jeweiligen bankfachlichen Thema haben.
6. Erweiterung des Risikomanagement, das heißt verschiedene bestehende Frameworks, zum Beispiel in MRM oder Compliance, müssen um KI/ML-spezifische Komponenten erweitert werden. Dies umfasst beispielsweise zusätzliche Kontrollen beim Design und Betrieb von Modellen, verbesserte Datenqualität, -verfügbarkeit und performante Datenhaushalte.
7. Zusätzliche Tests und Prozesse zur Validierung von ML-Modellen, zum Beispiel in den Bereichen der Eingangsdaten, der Modellkalibration, der Interpretierbarkeit (XAI), der Vermeidung von Bias oder der andauernden Modellüberwachung.

In den kommenden Jahren wird die Nutzung von KI auch in Finanzinstituten zunehmend Einzug halten. Auch der regulatorische Rahmen wird klarer werden. Zudem ist die Anpassung eines Modellrisiko-Ansatzes auf die Anforderung der Nutzung von KI unserer Meinung nach nicht zu unterschätzen. Denn die vielen Beteiligten und die neuen fachlichen und prozessualen Anforderungen machen das Vorhaben komplex. Schon jetzt ist es daher sinnvoll, das bestehende Modell-Risiko-Management für KI-Modelle fit zu machen. Und es wird sich langfristig lohnen, eine nachhaltige und ganzheitliche KI-Governance einzuführen.

Denn klar ist: Es ist nicht die Frage, ob KI eine wichtige Rolle bei Banken einnehmen wird – sondern nur wann.