BaFin blickt kritisch auf KI-Kreditvergabe

Bei immer mehr Banken sind Algorithmen an der Entscheidung über die Vergabe von Darlehen und die gewährten Konditionen beteiligt. Doch der Einsatz von Maschinellem Lernen (ML) und Künstlicher Intelligenz (KI) bei der Kreditvergabe birgt auch Risiken. Die BaFin hat die aktuelle Praxis der Finanzinstitute analysiert und legt dar, wie Banken potenzielle Probleme vermeiden können – oder müssen.

 

Die Bankenaufsicht BaFin befasst sich bereits seit einigen Jahren interdisziplinär mit Künstlicher Intelligenz, Big Data und Maschinellem Lernen. Im vergangenen Jahr verschafften sich die Expertinnen und Experten einen Überblick über den Einsatz im Kundengeschäft. Dabei zeigte sich das Feld der Kreditvergabe als besonders aufschlussreich. Teil dieser Analyse war auch der Austausch mit Bankenverbänden, IT-Dienstleistern und Auskunfteien. Diese gewährten tiefe Einblicke in ihre Verfahren und erläuterten ihre Positionen zu den damit verbundenen technologischen und gesellschaftlichen Unwägbarkeiten. Daraus sei laut BaFin ein praxisnaher, empirisch gesättigter und problemorientierter Überblick entstanden, der als Grundlage für die weitere Positionierung der Aufsicht dienen kann. Sprich: Wo es anhaltende Probleme gibt, könnte die Regulierung in Bezug auf den Einsatz von ML- und KI-Algorithmen angepasst werden.

Aus Perspektive der Banken bieten algorithmenbasierte Entscheidungssysteme viele Vorteile. Automatisierte Prozesse sind schneller und erfordern weniger Personaleinsatz. So können Kundeninnen und Kunden innerhalb weniger Minuten eine Entscheidung bekommen. Bei Kleinkrediten kann das Geld per InstantPayment quasi sofort zur Verfügung gestellt werden. Da die zugrundeliegenden Verfahren im Idealfall Entscheidungen nach einheitlichen Standards treffen, gelten sie als objektiv.

Status Quo der Automatisierung

Im nicht-risikorelevanten Privatkundengeschäft sind bei der Kreditvergabe sowohl teilautomatisierte wie vollautomatisierte Verfahren zu finden. Letzte kommen unter anderem im Ratenkreditgeschäft zum Einsatz. Bankbeschäftigte sind dann oft nur noch eingebunden, sofern es sich um Neukunden handelt. Im Baufinanzierungsgeschäft wurden keine vollautomatisierten Verfahren gefunden. Dies sei angesichts der hohen Anforderungen an die gutachterliche Sicherheitenbewertung im Immobilienbereich nicht zu erwarten gewesen. Zwar gebe es Institute, die auch für Baufinanzierungen im Zuge von Online-Verfahren ihre Angebote innerhalb weniger Minuten versenden. Diese stünden jedoch stets unter einem Überprüfungsvorbehalt durch Bankbeschäftigte.

Firmenkredite gelten ab einem bestimmten Schwellenwert als risikorelevantes Geschäft, für das ein zweites Votum vorgeschrieben ist – und damit die Beteiligung von Bankenmitarbeitern, die ihre Risikobewertung dokumentieren müssen. Allerdings können sie dafür ebenfalls auf verschiedene automatisierte und algorithmenbasierte Bewertungsverfahren zurückgreifen. In der Erhebung der BaFin zeigte sich, dass teils das Antrags-Scoring von den Mitarbeitern erstellt wurde, teils auch nur die Daten manuell oder automatisiert erfasst wurden, die dann im Rahmen des Firmenkundenratings verarbeitet werden.

Die BaFin verweist in ihren Ausführungen zur algorithmenbasierten Kreditvergabe auf die kommende 7. MaRisk-Novelle. Werden deren Anforderungen an automatisierte Verfahren im Hinblick auf Erklärbarkeit, Transparenz und Zuverlässigkeit der verwendeten Daten eingehalten, dann sei das automatische Überspielen von Firmendaten in die Ratingsysteme zulässig.

Trainingsdaten sind Schwachstelle

Während größere Institute teilweise hausintern eigene algorithmenbasierte Rating-, Scoring- oder Entscheidungsverfahren entwickeln, setzten kleinere und mittlere Banken oder deren Verbände meist auf externe Dienstleister. Diese setzen nach den Erkenntnissen der BaFin zunehmend auf Methoden des Maschinellen Lernens und der Künstlichen Intelligenz. Bevorzugt kommen ML-Verfahren zum Einsatz, wie etwa die logistische Regression, die teils ohne Regeln auskommt, teils Regeln selbstständig aus Trainingsdaten ermittelt.

Die Prognosegüte des Algorithmus hängt entscheidend von Umfang und Ausgewogenheit der Trainingsdatensätze ab. Sind die Trainingsdaten in gewissen Hinsichten nicht ausgewogen, sind sie beispielsweise nicht repräsentativ in Hinblick auf die avisierte Anwendergruppe, können Verzerrungen entstehen. Dies zieht eine Benachteiligung oder Bevorzugung bestimmter Personengruppen nach sich. Was jedoch als ausgewogene Trainingsdaten anzusehen ist, ist im Vorhinein nicht klar.

BaFin findet Licht und Schatten

Verantwortliche müssen sich bewusst sein, dass automatisierte Entscheidungssysteme und ihre Algorithmen bereits bestehende Diskriminierungen aufgreifen, verstärken und ausweiten können. Menschliche Vorurteile, Missverständnisse und Voreingenommenheit würden in diese Softwaresysteme einfließen, die in immer höherem Maße den Alltag bestimmen. Darauf macht die BaFin schon seit längerem aufmerksam.

Sie wertete die Antragsentscheidungen automatisierter Systeme unter diesem Gesichtspunkt aus und fand tatsächlich Fälle von diskriminierenden Ratingverfahren. Dies seien allerdings nur einzelne Fälle gewesen, die Verfahren seien inzwischen überarbeitet.

Im Großen und Ganzen wird der Finanzbranche von der BaFin jedoch bescheinigt, dass sie seit einigen Jahren sichtbar daran arbeitet, Diskriminierungen in ihren algorithmischen Verfahren auszuschließen. Beispielsweise verwendeten Banken kritische Merkmale wie Wohnort und Herkunft explizit nicht mehr als Parameter für Risikoklassifizierungsverfahren. Dies gelte auch für die von den Kreditinstituten eingeholten Schufa-Scores.

Anpassung bis Ende 2023

Noch in diesem Jahr soll die 7. Novelle der Mindestanforderungen an das Risikomanagement (MaRisk) in Kraft treten. Ein wesentlicher Punkt ist die Aufnahme eines neuen Moduls (AT 4.3.5) in den Allgemeinen Teil der MaRisk. Darin werden die Mindestanforderungen an Prognosegüte, Datenqualität, Erklärbarkeit und Transparenz für automatisierte Entscheidungssysteme gebündelt. Diese seien bewusst technologieneutral formuliert. Dementsprechend hänge die Frage, ob algorithmenbasierte Verfahren im Kreditgeschäft aufsichtsrechtlich zulässig sind, nicht vom Automatisierungsgrad oder der benutzten Technologie ab. Entscheidend seien die Risikorelevanz der Kredite sowie die Einhaltung der Mindestanforderungen. Außerdem muss aufsichtsrechtlich die menschliche Beteiligung an den Entscheidungsprozessen für die Modellentwicklung und -validierung immer erkennbar bleiben und dokumentiert sein.

Das Verhindern von Diskriminierungen bei der automatisierten Kreditvergabe ist auch Teil der Verbraucherschutz-Strategie der BaFin. Die Bankenaufseher weisen in diesem Zusammenhang darauf hin, dass Banken mit der MaRisk-Novelle verbraucherschutzrechtliche Aspekte noch stärker beachten müssen. Die BaFin wird daher Risikoklassifizierungsverfahren künftig intensiver daraufhin überprüfen, ob sie Parameter einsetzen, die unzulässig diskriminieren. Allerdings verstoße nicht jede Form von Benachteiligung gegen Gesetze. Vielmehr sei zu differenzieren, welches Kriterium beispielsweise bei der Kreditvergabe als sachgemäß gelten kann. hj