Serie „Compliance-Disruption“ · Teil 2 von 3
Eine unterschätzte Verschiebung
Der zentrale Wettbewerbsvorteil der etablierten RegTech-Anbieter war nie Technologie. Er war regulatorische Vertrautheit. Prüfer, Aufseher und Compliance-Officer teilten ein gemeinsames Vokabular — gebaut auf NICE-Actimize-Berichten, World-Check-Scorings, Oracle-FCCM-Dashboards. Wer diese Referenzarchitektur verließ, musste erklären, warum. Und das kostete Zeit, Nerven und Prüfungs-Rückenfreiheit.
2026 verliert dieser Vorteil an Kraft. Nicht weil die Alternativen besser werden — sondern weil der Regulator selbst einen gemeinsamen Rahmen vorgibt, dem alle Anbieter genügen müssen. EU AI Act, BaFin-Positionspapiere, DORA-ICT-Risikologik, AMLA-Single-Rulebook. Vier Kodifizierungen, eine Richtung.
KI-Governance wird auf einem Niveau festgeschrieben, das den Wettbewerbsvorteil „wir sind dem Prüfer vertraut“ in den Hintergrund drückt. Vertraut werden alle, die die Pflichtdokumentation liefern können.
Was die BaFin selbst tut
Die BaFin setzt maschinelles Lernen in ihrer eigenen Aufsichtspraxis ein — zur Mustererkennung in großen Datensätzen, zur Früherkennung von Risiken.⁵ Ihr Prinzipienpapier zu Big Data und Künstlicher Intelligenz formuliert Erwartungen an beaufsichtigte Institute, ohne präskriptiv bestimmte Technologien oder Anbieter zu privilegieren.⁵
Eine deutlichere Botschaft, als sie auf den ersten Blick wirkt. Eine Aufsichtsbehörde, die selbst ML einsetzt und ihre Erwartungen technologieneutral formuliert, entzieht der Argumentation „nur etablierte Anbieter sind aufsichtskompatibel“ die Grundlage. Die Aufsicht prüft das Was, nicht das Von wem.
Mit der Veröffentlichung der BaFin-Leitlinien zu ICT-Risiken im Kontext von KI-Nutzung im Dezember 2025 wurde zusätzlich ein entscheidender Rahmenschwenk vollzogen. KI ist nicht mehr primär Innovations- oder Ethikthema. KI ist ICT-Risiko — expliziter Teil des IKT-Risikomanagements unter DORA.⁶ Die Konsequenz: KI-Governance gehört in die existierenden Three-Lines-of-Defence-Strukturen, nicht in separate „AI Committees“. Keine Parallel-Organisationen. Keine eigenständigen Governance-Inseln. Dieselben Gremien, dieselben Prozesse, eine neue Risikokategorie.
Das Konzept des „kritischen IKT-Drittanbieters“ nach DORA Art. 31 ff. kann die großen Etablierten — Actimize, SAS, Oracle FCCM, World-Check — als systemrelevant zementieren. Es kann ihre Konzentrationsrisiken aber auch so sichtbar machen, dass Institute zu architektonischer Diversifizierung gezwungen werden. Welche Wirkung überwiegt, entscheidet die ESA-Designation-Praxis der kommenden achtzehn Monate. In beiden Fällen endet dieselbe Argumentation: „wir setzen auf den Anbieter, den alle setzen“. Im ersten Fall, weil die Designation zusätzliche Pflichten auslöst. Im zweiten Fall, weil Konzentration selbst zum prüfungsrelevanten Risiko wird.
Das Datum 2. August 2026
Der EU AI Act trat am 1. August 2024 in Kraft; wesentliche Pflichten für Allzweck-KI-Modelle gelten seit dem 2. August 2025.⁷ Die zentralen Anforderungen für Hochrisiko-KI-Systeme nach Annex III sowie die Transparenzpflichten werden am 2. August 2026 wirksam.⁷
Ein Datum. Eine Deadline. Eine neue Referenzarchitektur.
AML-Scoring, Sanktionslisten-Screening und KYC-Risikobewertung fallen nach Annex III eindeutig unter die Hochrisiko-Kategorie. Das bedeutet konkret:
Diese Pflichten gelten unabhängig davon, ob das KI-System proprietär oder offen ist, SaaS oder On-Prem, von einem Großkonzern oder einem Open-Source-Projekt geliefert wird. Der Code-of-Practice des EU-Kommissionsrahmens funktioniert für Nemotron genauso wie für NICE Actimize.⁷ Dieselbe Checkliste. Dieselbe Prüfungssprache. Dieselbe Dokumentationslast.
Die stille Nivellierung
Die Wettbewerbslogik verändert sich grundlegend. Bisher konnten Incumbents argumentieren: „Unsere Dokumentation, unsere Zertifizierungen, unsere Prüfungstauglichkeit haben wir über Jahre aufgebaut. Das ist nicht reproduzierbar.“ Ab dem 2. August 2026 ist es reproduzierbar — weil der Regulator präzise vorgibt, was dokumentiert werden muss. Nicht mehr „Best Practice“. Eine Checkliste.
Eine Checkliste ist demokratisierend. Jedes Institut, das ein offenes Modell in einem eigenen Deployment nutzt, kann dieselbe Checkliste abarbeiten wie ein Institut, das Actimize einsetzt. Die Dokumentationslast ist gleich. Der Unterschied liegt nicht mehr in der Prüfungstauglichkeit. Er liegt in Betriebskosten, Flexibilität und Datenhoheit.
AMLA: Die Europäisierung der Prüferbeziehung
Der zweite Hebel kommt aus Frankfurt. Die im Juni 2024 per Verordnung errichtete EU-Behörde zur Bekämpfung von Geldwäsche und Terrorismusfinanzierung (AMLA) hat 2025 ihren operativen Betrieb in Frankfurt aufgenommen.⁸ Ihre vollen Aufgaben greifen gestaffelt bis 2028: Direktaufsicht über etwa vierzig systemisch bedeutende Finanzinstitute mit grenzüberschreitender Tätigkeit und hohem ML/TF-Risiko, koordinierende Oversight über die nationalen Supervisoren und — zentral für diese Serie — Erlass harmonisierter Regulatory und Implementing Technical Standards zum EU-Single-Rulebook nach AMLR und AMLD6.⁸
Lesen Sie diese Funktionsbeschreibung noch einmal. Und beobachten Sie, was mit der „Prüferbeziehung“ als Wettbewerbsvorteil geschieht.
Die Prüferbeziehung war bisher ein nationaler Moat. Deutsches Institut, deutscher BaFin-Prüfer, deutsche Referenzarchitektur — das Dreieck funktionierte für etablierte Anbieter, weil der Prüfer das Produkt kannte und der Anbieter den Prüfer. In dem Moment, in dem eine zentrale EU-Behörde harmonisierte Technical Standards erlässt und über vierzig Schlüsselinstitute direkt aufsichtlich tätig wird, verliert dieses Dreieck seinen Boden. Nicht, weil die Beziehung zum nationalen Prüfer wertlos wird. Sondern weil sie transferierbar wird. Ein harmonisierter Standard lässt sich einmal erarbeiten und in jeder Jurisdiktion verteidigen. Die Prüferbeziehung wird europäisiert — und genau das entwertet sie als anbieter-spezifischen Moat.
Für die Dynamik dieses Marktes heißt das: Der „deutsche Aufsichtsrabatt“ für lange etablierte Anbieter schmilzt gleichzeitig auf zwei Achsen. Zwei Kodifizierungen, ein Effekt. Was bisher Vertrautheit war, wird Vergleichbarkeit.
Der Vorsprung, den die Checkliste nicht nimmt
Die Nivellierung der Dokumentationspflichten ist nicht die Nivellierung der Umsetzungsgeschwindigkeit. NICE Actimize, SAS und Oracle FCCM verfügen über Rechts- und Compliance-Abteilungen, die Annex-III-Dokumentation schneller, rechtssicherer und in der etablierten Sprache der Aufsicht produzieren können als die meisten Open-Source-Integratoren oder Inhouse-Teams mittelgroßer Institute. Die Checkliste macht die Anforderungen lesbar. Demokratisch macht sie sie nicht automatisch.
Der Vorsprung der Incumbents ist dreifach: jahrelang geschliffene Compliance-Dokumentationsprozesse, die sich auf Annex-III-Anforderungen übertragen lassen; etablierte Kommunikationswege zu nationalen Aufsehern, deren implizite Erwartungen jedes Dokument antizipiert; und Haftungskapazität, die ein mittelgroßes Institut bei Eigenentwicklungen selbst schultern muss — eine bilanzielle Realität, die in keiner Software-Vergleichsrechnung auftaucht.
Die Demokratisierung findet statt. Aber sie ist eine Verschiebung über Jahre, nicht über Monate. 2026 profitieren die Incumbents, weil sie schneller dokumentieren. 2028 ziehen offene Stacks gleich, weil die Dokumentation standardisiert und reproduzierbar ist. 2030 ist der Vorsprung marginal. Diese Kadenz ist die realistische Lesart. Wer 2026 bereits die Ablösung erwartet, unterschätzt die Halbwertszeit institutioneller Prüferbeziehungen. Wer 2030 noch dieselben Vorsprünge erwartet, überschätzt sie.
Model Risk Management als neuer Schwerpunkt
Ein zweiter Effekt ist weniger offensichtlich, aber ebenso wichtig. Mit der Kodifizierung der KI-Governance wandert Kompetenz in die Institute hinein — weg von Anbieter-Inseln. Model Risk Management nach MaRisk AT 9 und AI Act Annex III verlangt, dass das Institut selbst die Verantwortung für jedes eingesetzte Modell trägt. Auch wenn es von einem Anbieter kommt.
Die Argumentation „wir haben das an NICE/SAS/Oracle ausgelagert, das ist deren Problem“ wird untragbar. Das Institut braucht eigene Fachlichkeit, unabhängig vom Anbieter. Und in dem Moment, in dem diese Fachlichkeit intern aufgebaut wird, sinkt die Lock-in-Abhängigkeit von proprietären Systemen automatisch.
Die Big Tech haben das verstanden. Google Cloud AML AI positioniert sich explizit über „Model Risk Management designed to meet governance needs of financial services“; ihre HSBC-Referenz (Celent Model Risk Manager of the Year 2023) ist der Beleg. NVIDIA liefert mit Shapley-Erklärbarkeit und dokumentierten Trainingsprozessen im Fraud Blueprint das offene Pendant. Die Incumbents bauen nach — aber der Vorteil ist nicht mehr struktureller Natur. Er ist eine Frage der Investitionsgeschwindigkeit.
Die asymmetrische Rechnung, die sich umkehrt
In Teil 1 war von der Asymmetrie der Fehlerkosten die Rede: Ein Compliance-Versagen mit etabliertem System kostet eine Strafe, eines mit neuem System kostet Strafe plus Arbeitsplatz. Diese Asymmetrie bestand, weil neue Systeme unklare regulatorische Akzeptanz hatten.
Mit der AI-Act-Kodifizierung kippt die Rechnung. Ein neues System, das die Annex-III-Pflichten nachweisbar erfüllt, ist regulatorisch gleichgestellt. Gleichzeitig wird ein altes System, das diese Pflichten nicht vollständig erfüllt, zum Compliance-Risiko — auch wenn es das ist, was Prüfer bisher kannten. Die Asymmetrie verschiebt sich. 2027 wird die sicherste Entscheidung nicht mehr sein, ein etabliertes System zu behalten, sondern ein Annex-III-konformes System zu betreiben. Wer diese Verschiebung früh erkennt, richtet Budgets und Abteilungen darauf aus, bevor sie unvermeidbar wird.
Was das für die Serie bedeutet
Teil 1 hat gezeigt: Die Kostenkurven treffen sich. Teil 2 zeigt: Die regulatorische Rückendeckung der Incumbents schmilzt auf zwei Achsen gleichzeitig — technisch durch den AI Act, supervisorisch durch AMLA. Damit sind zwei von drei Bedingungen für ein Kippen des Marktes erfüllt. Die dritte — die technische Integrationsfähigkeit, die offene Bausteine zu deploybaren Produkten macht — ist Thema von Teil 3.
Die Aufsicht disruptiert diesen Markt nicht. Sie öffnet ihn.
- BaFin — Big Data and Artificial Intelligence — Principles Paper
- Fieldfisher Deutschland — BaFin mit Weitblick: Strategische Ziele bis 2029 · banking.vision — AI Governance and Risk Management · EBA — DORA Oversight Framework (Art. 28–44, IKT-Drittparteienrisiko)
- EU AI Act — Zeitleiste und Pflichten: Deloitte Überblick · heydata: EU AI Act 2026 · Schulz Beratung: Code of Practice · thatworksmedia: Pflichten 2025/26
- AMLA / EU AML-Paket: EU Council — VO (EU) 2024/1620 · AMLA · EBA: Transition to AMLA
