Künstliche Intelligenz und maschinelles Lernen in Finanzdienstleistungen: Was sagen die Regulierungsbehörden?

Im Jahr 2022 konnte und sollte sich niemand im Umfeld der World Alliance den transformativen Auswirkungen der Technologien der künstlichen Intelligenz (KI) und des maschinellen Lernens (ML) zu entziehen versuchen. Wie bei jedem Wandel dieser Größenordnung stellt sich die Frage: Was sind die möglichen Vorteile und Schäden? Diese Fragen stellen sich, da diese beiden Technologiebereiche immer tiefer verankert werden. Um sie zu beantworten, ist zunächst grundlegend, dass Gesetze und Vorschriften die Leitlinien vorgeben, die den Rahmen dieser Branche bilden. Vor einigen Monaten veröffentlichte die International Organization for Securities Commissions (IOSCO) ihren Abschlussbericht zu den Fragen der Regulierungsbehörden zu KI und ML.

Was haben die Regulierungsbehörden gefragt?

Künstliche Intelligenz und maschinelles Lernen werden in Finanzdienstleistungen zunehmend eingesetzt, getragen von einer größeren Datenverfügbarkeit und Rechenleistung. Der Einsatz von KI und ML durch Marktintermediäre und Vermögensverwalter hat die Geschäftsmodelle der Unternehmen verändert. So nutzen beispielsweise viele Unternehmen KI und ML zur Unterstützung ihrer Beratungs- und Supportleistungen, ihres Risikomanagements, der Identifizierung und Überwachung von Kunden, der Auswahl von Handelsalgorithmen und des Portfoliomanagements. Dabei dürften sich auch ihre eigenen Risikoprofile verändert haben. Auch das Risikoumfeld um sie herum verändert sich insgesamt: Werden diese externen Veränderungen in der Branche angemessen bewertet?

Der Einsatz dieser Technologien kann für Unternehmen und Anleger erhebliche Effizienzgewinne und Vorteile mit sich bringen, darunter eine schnellere Ausführung und geringere Kosten für Anlagedienstleistungen. Gleichzeitig kann ihr Einsatz aber auch bestimmte Risiken schaffen oder verstärken, die sich möglicherweise auf die Effizienz der Finanzmärkte auswirken und Kunden schaden könnten.

Die IOSCO hat den Einsatz von KI und ML durch Marktintermediäre und Vermögensverwalter als zentrale Priorität eingestuft.[1] Im April 2019 beauftragte das IOSCO Board den Ständigen Ausschuss 3 „Regulation of Market Intermediaries“ und den Ständigen Ausschuss 5 „Investment Management“ der Organisation, aktuelle und mögliche bewährte Verfahren für die öffentliche Aufsicht über die Einführung und die Auswirkungen dieser Technologien zu untersuchen. Die Ausschüsse wurden gebeten, Leitlinien vorzuschlagen, deren Übernahme die Mitgliedsrechtsräume in Betracht ziehen können, um den Risiken im Geschäftsgebaren zu begegnen.

Im Konsultationsbericht ermittelte potenzielle Risiken

Verlautbarungen der IOSCO werden weltweit von Compliance-Mitarbeitenden in Finanzdienstleistungsunternehmen wahrgenommen. Die IOSCO führte Umfragen und Rundtischgespräche mit Marktintermediären durch und wandte sich an Vermögensverwalter, um zu ermitteln, wie KI und ML eingesetzt werden. Dabei wurde gefragt, welche Risiken damit verbunden sein könnten.

Im Konsultationsbericht vom Juni 2020[2] wurden folgende Bereiche hervorgehoben, in denen im Zusammenhang mit der Entwicklung, dem Testen und dem Einsatz dieser Technologien potenzielle Risiken und Schäden entstehen können:

• Governance und Aufsicht;
• Entwicklung, Testen und laufende Überwachung von Algorithmen;
• Datenqualität und Verzerrungen;
• Transparenz und Erklärbarkeit;
• Auslagerung; und
• Ethische Bedenken.

Leitlinien der IOSCO

Auf der Grundlage der Antworten, die das für diese Konsultation zusammengestellte Team globaler Regulierungsbehörden erhalten hat, enthält der Abschlussbericht Leitlinien, die die Mitglieder der IOSCO bei der Beaufsichtigung von Marktintermediären und Vermögensverwaltern, die KI und ML einsetzen, unterstützen sollen.

Die Leitlinien bestehen aus sechs Maßnahmen, die die erwarteten Verhaltensstandards der betroffenen Akteure des Privatsektors widerspiegeln. Auch hier ist das Wort „Leitlinien“ besonders wichtig, da jeder Rechtsraum den globalen Grundsatz an seine Markt-, Rechts- und Regulierungsgegebenheiten anpassen muss. Die Mitglieder der IOSCO und die Unternehmen sollten bei der Umsetzung von Maßnahmen zudem die Verhältnismäßigkeit jeder Reaktion berücksichtigen.

Der Einsatz von KI und ML wird mit dem technologischen Fortschritt voraussichtlich zunehmen, und es ist plausibel, dass sich der Regulierungsrahmen parallel dazu weiterentwickeln muss, um den damit verbundenen neu entstehenden Risiken zu begegnen. Die IOSCO wies darauf hin, dass der Bericht von 2022, einschließlich der Definitionen und Leitlinien, künftig überprüft und aktualisiert werden könnte. Die nationalen Behörden werden ermutigt, bei der Anpassung globaler Leitlinien bei Bedarf weiter zu gehen.

Maßnahme 1: Die Regulierungsbehörden sollten in Betracht ziehen, von den Unternehmen zu verlangen, eine benannte Geschäftsleitung zu haben, die für die Aufsicht über Entwicklung, Testen, Einsatz, Überwachung und Kontrollen von KI und ML verantwortlich ist. Dazu gehört ein dokumentierter interner Governance-Rahmen mit klaren Verantwortlichkeiten. Eine angemessen hochrangige Person oder Gruppe mit den einschlägigen Fähigkeiten und Kenntnissen sollte mit der Freigabe des erstmaligen Einsatzes und wesentlicher Aktualisierungen dieser Technologien betraut werden.

Maßnahme 2: Die Regulierungsbehörden sollten von den Unternehmen verlangen, die von ihnen verwendeten Algorithmen zu testen und zu überwachen, um die Ergebnisse der eingesetzten KI- und ML-Techniken fortlaufend zu validieren. Die Tests sollten vor dem Einsatz in einer von der Live-Umgebung getrennten Umgebung durchgeführt werden, um sicherzustellen, dass KI und ML:

(a) sich unter angespannten und nicht angespannten Marktbedingungen wie erwartet verhalten; und

(b) in einer Weise funktionieren, die den regulatorischen Pflichten entspricht.

Maßnahme 3: Die Regulierungsbehörden sollten von den Unternehmen verlangen, über angemessene Fähigkeiten, Fachkenntnisse und Erfahrung zu verfügen, um die von ihnen eingerichteten Kontrollen über KI und ML zu entwickeln, zu testen, einzusetzen, zu überwachen und zu beaufsichtigen. Die Compliance- und Risikomanagementfunktionen sollten in der Lage sein, die erzeugten Algorithmen zu verstehen und zu hinterfragen sowie eine Due-Diligence-Prüfung aller Drittanbieter durchzuführen, einschließlich des Umfangs an Wissen, Fachkenntnis und Erfahrung, den der Anbieter speziell im Kontext von Finanzdienstleistungen nachgewiesen hat.

Maßnahme 4: Die Regulierungsbehörden sollten von den Unternehmen verlangen, ihre Abhängigkeit von IT-Drittanbietern jeglicher Art zu verstehen und diese Beziehungen aktiv zu steuern. Dazu gehören die Überwachung ihrer Leistung und die Ausübung der Aufsicht. Um eine angemessene Rechenschaftspflicht sicherzustellen, sollten die Unternehmen über eine klare Service-Level-Vereinbarung und einen Vertrag verfügen, die den Umfang und die Verantwortung der ausgelagerten Funktionen und ihres Anbieters klarstellen. Es sollten klare Leistungsindikatoren sowie die Rechte und Abhilfemaßnahmen bei mangelhafter Leistung festgelegt werden.

Maßnahme 5: Die Regulierungsbehörden sollten prüfen, in welchem Umfang die Unternehmen den Einsatz von KI und ML offenlegen müssen, einschließlich:

• der Verpflichtung der Unternehmen, Kunden aussagekräftige Informationen darüber offenzulegen, wie sich ihr Einsatz dieser Technologien auf die Ergebnisse für die Kunden auswirkt.
• der Prüfung, welche Art von Informationen sie von Unternehmen, die KI und ML einsetzen, verlangen können, um eine angemessene und wirksame Aufsicht über diese Unternehmen sicherzustellen.

Maßnahme 6: Die Regulierungsbehörden sollten in Betracht ziehen, von den Unternehmen angemessene Kontrollen zu verlangen, um sicherzustellen, dass die Daten, auf denen die Leistung von KI und ML beruht, von ausreichender Qualität sind, um Verzerrungen zu verhindern, und ausreichend breit für eine fundierte Anwendung dieser Instrumente.

Zusätzlich zu diesen Maßnahmen der IOSCO fordern die G20/OECD Principles for Corporate Governance[3] die Verwaltungsräte auf, das unternehmensweite Risikomanagement zu beaufsichtigen und diese Vorschläge sowie deren laufende interne Überwachung zu verstehen, zu prüfen und freizugeben.

Schlussfolgerungen für die World Alliance

Die Aufsichtsbehörden, die Mitglieder der IOSCO sind, stammen aus der ganzen Welt. Die von ihnen beaufsichtigten Finanzdienstleistungen sind so unterschiedlich wie die Finanzplätze der Mitglieder der World Alliance. Aus diesem Grund arbeitet die IOSCO auf der Ebene von Grundsätzen, bewährten Verfahren und Empfehlungen; sie kann keine Regel zur identischen Übernahme in nationales Recht verfassen und eine gleichartige Durchsetzung in allen Rechtsräumen erwarten.

Diese transformativen Entwicklungen haben noch eine andere Seite: Für ihre eigene Arbeit müssen die Behörden RegTech wirksam einsetzen. Die Aufsichtsbehörden, die vergleichbare KI- und ML-Technologien für ihre Aufsicht einsetzen, müssen sich der Risiken und Vorteile ebenso bewusst sein wie der Privatsektor. Dies wird in jedem einzelnen Rechtsraum zu interessanten Diskussionen führen.

[3] https://www.oecd.org/corporate/principles-corporate-governance/. Der Text ist in 13 Sprachen verfügbar.

[2] The use of artificial intelligence and machine learning by market intermediaries and asset managers, IOSCO Board Consultation Report, Juni 2020, abrufbar unter: https://www.iosco.org/library/pubdocs/pdf/IOSCOPD658.pdf

[1] Board Priorities - IOSCO work program for 2019, 25. März 2019, abrufbar unter: https://www.iosco.org/library/pubdocs/pdf/IOSCOPD625.pdf