90 Prozent im Betrieb: Was die KI-Zahl der EZB-Aufsicht misst und was sie offenlässt

Am 22. September 2026 hat Claudia Buch, die Vorsitzende des Aufsichtsgremiums der Europäischen Zentralbank (EZB), auf der Jahreskonferenz der Foreign Bankers’ Association of the Netherlands in Amsterdam über digitale Innovation und die Geschäftsmodelle der Banken gesprochen. In einem Absatz der Rede stehen die Zahlen, die seither zitiert werden: „More than 90% of banks supervised directly by the ECB already integrate AI into their operations, and 85% use generative AI, according to supervisory data.“ In demselben Absatz ist die Risikominderung der wichtigste Anwendungsfall, 64 Prozent der Banken setzen künstliche Intelligenz (KI) gegen Betrug und Cyberkriminalität ein. Neun Tage später, am 1. Oktober, verwies EZB-Präsidentin Christine Lagarde auf der Jahreskonferenz des Europäischen Ausschusses für Systemrisiken (ESRB) auf die Rede und schrieb, fast neun von zehn bedeutenden Banken im Euroraum nutzten generative KI.

Naheliegend ist, solche Zahlen als Fortschrittsmeldung zu lesen: Die Banken sind bei der KI angekommen, das Thema ist erledigt oder zumindest auf gutem Weg. Die eigenen Veröffentlichungen der Aufsicht erzählen eine nüchternere Geschichte. Nach dem Supervision Newsletter der EZB-Bankenaufsicht vom 20. November 2025 nutzten schon 2023 87 Prozent der bedeutenden Institute KI und 2024 88 Prozent. Die veröffentlichte Quote liegt also seit drei Jahren in derselben Größenordnung. Gewachsen ist der Einsatz an den Stellen, an denen KI Entscheidungen stützt, etwa beim Kreditscoring, wo sich der Anteil der Institute von 14 auf 30 Prozent mehr als verdoppelt hat. Für diesen Einsatz nennen die Aufsichtstexte andere Maßstäbe als die Quote, nämlich die Qualität der Daten, den Nachweis des Nutzens und die Governance einzelner Anwendungen, und ihre Befunde dazu klingen weit weniger freundlich. Eine Rede ist keine Statistikveröffentlichung, und die Aufsicht hat für 2023 und 2024 ihren Nenner offengelegt. Das Folgende ordnet die veröffentlichten Aufsichtstexte ein.

Die veröffentlichte Quote lag schon 2023 bei knapp neun von zehn Banken

Die Aufsicht erhebt die Nutzung neuer Technologien jährlich. Im Jahresbericht über ihre Aufsichtstätigkeit 2025 beschreibt die EZB eine „annual data collection on digitalisation and the use of innovative technologies“, die Teil der Short-Term Exercise (STE) ist, einer Datenabfrage, die das reguläre Meldewesen ergänzt. Veröffentlicht hat die Aufsicht Ergebnisse daraus im Supervision Newsletter vom 20. November 2025. Die Grafik dort zeigt den Anteil der bedeutenden Institute mit KI für 2023 und 2024, und die Anmerkung nennt den Nenner, gezählt in bedeutenden Instituten (SIs): „Based on the STE data from supervisory reporting of 107 SIs in 2023 and 110 SIs in 2024.“ Danach nutzten 87 und 88 Prozent der Institute KI. Christine Lagarde nannte am 23. März 2026 in einer Rede zur KI im Euroraum „nearly 90 per cent of significant euro area banks“, mit einem Datenstand für 2025 laut Anmerkung zur Grafik.

Dazwischen liegt eine Reihe von Reden mit wechselnden Formulierungen. Patrick Montagner, Mitglied des Aufsichtsgremiums der EZB, sprach am 3. Februar 2026 von „over 85% of the banks we supervise“, Pedro Machado, ebenfalls Mitglied des Gremiums, am 24. Februar von „more than 85%“ der „large banks under European supervision“, die KI „in some form“ nutzten, Frank Elderson, Vizevorsitzender des Aufsichtsgremiums, am 3. Juni wieder von mehr als 85 Prozent. Claudia Buch sprach im September von Banken, die KI „into their operations“ integrieren. Ob „use in some form“ und „integrate into operations“ dasselbe messen, lässt sich aus den veröffentlichten Texten nicht ablesen. Der Sprung von 85 auf 90 Prozent ist deshalb kein belegter Zuwachs, er kann ebenso an der Formulierung liegen. Belegt ist, dass die Quote seit 2023 je nach Formulierung bei knapp 90 Prozent oder darüber liegt.

Die Zahl ist für die Aufsicht freilich ein berechtigtes Signal. Wenn fast jede Bank KI einsetzt, ist KI kein Randthema der Prüfung mehr, sondern Gegenstand jeder Einschätzung von Geschäftsmodell und operationellem Risiko, und genau so verwendet Claudia Buch sie. Allerdings beantwortet die Quote nur die Frage, ob eine Bank KI irgendwo einsetzt. Ob ein Institut mit einem einzelnen Chatbot im Kundenservice anders zählt als eines, dessen Kreditentscheidungen auf Modellen beruhen, verrät die Quote nicht. Wie schnell sich solche Zahlen verdichten, zeigt ihr Weg durch die EZB selbst. Claudia Buch nennt 85 Prozent für generative KI, Christine Lagarde verweist am 1. Oktober auf deren Rede und schreibt „Nearly nine out of ten significant euro area banks use it“, gemeint ist generative KI. Das ist eine sprachliche Rundung und als solche vertretbar, doch sie zeigt, wie aus einer Zahl ohne Nenner eine Gewissheit wird.

Die Kostenzahlen der Rede stammen von Ende 2021, die KI-Zahlen tragen keinen Stichtag

Die Rede vom 22. September enthält neben den KI-Zahlen drei Kennzahlen zur Digitalisierung der Banken. Mehr als 80 Prozent der beaufsichtigten Banken sehen nach Claudia Buchs Worten die Automatisierung von Prozessen als wichtigen Hebel zur Kostensenkung, die Banken investieren im Schnitt 2,8 Prozent ihres Betriebsergebnisses in Digitalisierungsprojekte, und rund fünf Prozent ihres Personals arbeiten an solchen Projekten. Die Fußnoten 4 und 40 der Rede verweisen dafür auf Folien der EZB-Bankenaufsicht vom 15. Februar 2023 zur Umfrage über digitale Transformation und Fintech. Dort steht der Datenstand ausdrücklich: „On average, banks invested 2.8% of their operating income in digital transformation projects in 2021“, die Folie nennt das selbst „a very preliminary estimate of banks’ digital spending at the end of 2021“. Die 80 Prozent heißen dort 83 Prozent, die fünf Prozent Personal 5,2 Prozent, ebenfalls mit Datenstand Ende 2021.

Wer auf dem Trading-Floor Positionen bewertet hat, kennt die Regel, dass ein Kurs ohne Stichtag keine Bewertung ist. Für die Rede bedeutet das: Die Kostenzahlen haben einen Stichtag, er steht in der Fußnote, und er liegt fast fünf Jahre zurück. Die KI-Zahlen haben im veröffentlichten Redetext keine Fußnote, also weder Stichtag noch Nenner noch Frage. In den für diesen Artikel durchgesehenen Dokumenten, vom Jahresbericht 2025 über die Aufsichtsprioritäten 2026 bis 2028 bis zu den aggregierten Ergebnissen des SREP 2025, steht keine neuere Zahl zu Budget und Personal für die Digitalisierung. Ob es eine gibt, lässt sich aus den veröffentlichten Texten nicht sagen. Eine bewusste Auswahl der Rednerin muss man darin nicht sehen, naheliegender ist eine Lücke in den Veröffentlichungen.

Die Lücke ist zudem keine Eigenheit der EZB. Die Europäische Bankenaufsichtsbehörde (EBA) schrieb in einem Kurzbericht vom 25. September 2025, sie beobachte „92% of EU banks are currently deploying AI“ und acht Prozent im Test oder in der Diskussion, im Kurzbericht ebenfalls ohne Stichprobe und Definition. Zwei europäische Aufsichtsbehörden nennen also dieselbe Größenordnung, und für die jüngsten Zahlen beider ist nicht veröffentlicht, was gezählt wurde. Für Banken, die sich an diesen Zahlen messen wollen, ist das die eigentliche Einschränkung: Eine Quote, deren Frage niemand kennt, taugt als Lagebild, aber nicht als Vergleichsmaßstab für das eigene Haus.

Gewachsen ist KI in Kredit- und Betrugsentscheidungen, und dort beginnt die Prüfung

Aussagekräftiger als die Gesamtquote sind die beiden Anwendungen, die der Newsletter vom November 2025 einzeln ausweist. Der Anteil der bedeutenden Institute mit KI im Kreditscoring stieg nach der Grafik von 14 Prozent 2023 auf 30 Prozent 2024, in der Betrugserkennung von 36 auf 62 Prozent. Christine Lagarde nannte für 2025 beim Kreditscoring wieder 30 Prozent und bei Betrug und Cyberkriminalität „more than half of banks“. Claudia Buchs 64 Prozent für „fraud and cybercrime prevention“ liegen in derselben Größenordnung, sind aber anders formuliert und deshalb kein Datenpunkt derselben Reihe. Das Muster ist trotzdem klar: Der Anteil der Banken mit KI wuchs von 2023 auf 2024 kaum noch, der Anteil mit KI in Kredit- und Betrugsentscheidungen wuchs deutlich.

An diesen Stellen ändert sich auch das Recht. Die KI-Verordnung (AI Act) stuft Systeme zur Kreditwürdigkeitsprüfung natürlicher Personen nach Anhang III als hochriskant ein, und nach der Verordnung (EU) 2026/1744, dem Digital-Omnibus vom Juli 2026, gelten die Pflichten für solche Systeme ab dem 2. Dezember 2027. Ausdrücklich ausgenommen sind nach demselben Anhang KI-Systeme, die zur Aufdeckung von Finanzbetrug verwendet werden. Die am schnellsten gewachsene Anwendung fällt also nicht unter diese Pflichten, das Kreditscoring schon. Die Aufsicht hat die Lage in Workshops mit 13 Banken zu Kreditscoring und Betrugserkennung erhoben und im Anhang zum Newsletter festgehalten: „A ‚human in the loop‘ remains central to banks’ processes“, zugleich aber „Interpretation of human in the loop is still varied, in some cases limited to explaining the credit decision to customer on demand.“ Fast 80 Prozent der Stichprobe hatten mit Prüfungen zur Bereitschaft für den AI Act begonnen. Der Newsletter warnt selbst, die Befunde aus der kleinen Stichprobe „should not be generalised for the entire sector“.

Bemerkenswerter als jede Quote ist ein Satz aus demselben Newsletter: „However, the financial quantification of realised benefits remains a challenge, echoing repeated findings from on-site inspections on banks’ ability to monitor the financial impact of strategic digital initiatives.“ Etwa die Hälfte der Banken in der Stichprobe hatte eigene Richtlinien oder Gremien für KI eingeführt, und bei der Überwachung durch die zweite und dritte Verteidigungslinie sieht die Aufsicht noch Entwicklungsbedarf. Pedro Machado hat den Maßstab im Februar so formuliert: „From a supervisory perspective, ambition is not a red flag. But unclear strategy and cost-benefit analysis of investment decisions is, because it results in poor steering of outcomes and risk-adjusted returns.“ Nach diesem Maßstab ist breiter Einsatz ohne bezifferten Nutzen ein Warnsignal und kein Ausweis von Fortschritt. Was die Aufsicht für den einzelnen wesentlichen Anwendungsfall erwartet, zeigt das Beispiel von Citis Agentenplattform.

Die britische Aufsicht legt Stichprobe und Definition offen

Wie eine Aufsicht dieselbe Frage mit offengelegter Methodik beantwortet, zeigt die Bank of England. Gemeinsam mit der Financial Conduct Authority (FCA) hat sie am 21. November 2024 den Bericht „Artificial intelligence in UK financial services – 2024“ veröffentlicht. Er nennt die Zahl der Antworten, „The survey received 118 responses“, gegliedert nach sechs Sektoren, und er druckt die Definition ab, nach der gefragt wurde: KI als „the simulation of human intelligence by machines“, die lernen, entscheiden und Probleme lösen kann. Das Ergebnis klingt vertraut: 75 Prozent der antwortenden Firmen nutzen KI, weitere zehn Prozent planen es, bei den internationalen Banken sind es 94 Prozent.

Der Unterschied liegt in dem, was danach kommt. Der britische Bericht fragt nach der Bedeutung der Anwendungen und hält fest: „62% of all AI use cases are rated low materiality by the firms that use them with 16% rated high materiality.“ Er fragt nach dem Verständnis, und 46 Prozent der Firmen gaben an, die eingesetzten Technologien nur teilweise zu verstehen, gegenüber 34 Prozent mit vollständigem Verständnis, was der Bericht vor allem mit Modellen von Drittanbietern erklärt. Nur zwei Prozent der Anwendungen entscheiden vollständig autonom. Die Vorgängerberichte von 2019 und 2022, damals noch zum maschinellen Lernen, schrieben ihre Grenzen in den Text, 2022 etwa mit dem Satz, Stichprobe und Ergebnisse „should not be seen as representative“, bei 71 Antworten von 168 angeschriebenen Firmen. Eine vierte Erhebung hat die Bank of England für dieses Jahr angekündigt. In einem Brief an den Finanzausschuss des Unterhauses vom 1. April 2026 schrieb sie zudem, die Marktteilnehmer hätten fortgeschrittene Formen wie generative oder agentische KI bislang nicht so eingesetzt, dass daraus ein systemisches Risiko entstünde.

Gewiss ist der britische Bericht nicht direkt vergleichbar. Er erfasst neben Banken auch Versicherer, Kreditgeber außerhalb des Bankensektors, Kapitalmarktfirmen und Finanzmarktinfrastrukturen, und er ist älter als die Zahlen aus Frankfurt. Doch gerade deshalb ist er ein brauchbarer Maßstab für die Frage, was eine Quote sagen kann. Die britischen Zahlen zur Breite liegen in derselben Größenordnung wie die europäischen, und erst die Fragen nach Wesentlichkeit, Verständnis und Autonomie zeigen, wie viel von dieser Breite tatsächlich trägt. In den veröffentlichten EZB-Texten stehen Angaben zur Rolle des Menschen im Prozess und zu Governance-Strukturen bislang nur für die 13 Banken der Workshops, zur Wesentlichkeit keine. Die Aufsichtsprioritäten 2026 bis 2028 kündigen im Zusammenhang mit einer gezielteren Prüfung generativer KI an, eine „supervisory stance on the materiality of these AI applications“ zu entwickeln, als Grundlage künftiger Prüfungen. In den durchgesehenen Texten findet sich ein solches Urteil bislang nicht.

Nach der Aufsicht hängt die Wirkung von KI an den Daten der Bank

Im zweiten Teil derselben Rede nennt Claudia Buch eine Voraussetzung, die mit KI zunächst wenig zu tun hat. Als erstes Element einer belastbaren Digitalstrategie nennt sie die Qualität der Daten. Starke Fähigkeiten zur Aggregation von Risikodaten und zur Risikoberichterstattung (Risk Data Aggregation and Risk Reporting, RDARR) bestimmen nach ihren Worten, „how effectively banks can exploit AI and advanced analytics“. Die Aufsichtsprioritäten 2026 bis 2028 sagen dasselbe: „a strong RDARR framework positions banks to exploit digitalisation tools and technologies such as AI and advanced analytics.“

Bei genau diesem Fundament meldet die Aufsicht nur langsamen und unzureichenden Fortschritt. In den aggregierten Ergebnissen des SREP 2025 heißt es: „In the area of risk data aggregation and risk reporting (RDARR), progress continues to be slow and insufficient.“ Als Ursachen nennt der Bericht „a lack of prioritisation at the board level, inadequate data architecture and IT infrastructures, as well as deficiencies in data quality controls“, und viele Institute konzentrierten sich eher auf die Kosten der Behebung als auf deren Nutzen. Die Aufsichtsprioritäten stellen fest, dass sich der zugehörige durchschnittliche Teilscore im SREP 2025 gegenüber dem Vorjahr nicht verbessert hat. Claudia Buch spricht in ihrer Rede von einem Fortschritt, der „often too slow“ sei, und verweist auf eine aufsichtliche Eskalationsstrategie, wenn wesentliche Mängel nicht rechtzeitig behoben werden.

Was das im Alltag bedeutet, steht im Leitfaden der EZB zur Risikodatenaggregation vom Mai 2024. Die Aufsicht beobachtete dort „Large-scale miscalculations of key risk ratios and limits“, verursacht durch Abstimmungsfehler, manuelle Anpassungen und lückenhafte Daten, und „In many cases, production times of 40 or more working days were observed for monthly risk reports.“ Für ein Kreditmodell, das aus neuen Daten lernen soll, wäre ein Monatsbericht von mindestens acht Wochen ein schwaches Fundament. Der Leitfaden legt die Verantwortung dafür ausdrücklich auf die Geschäftsleitung, die „full responsibility for risk data quality and governance“ trägt, ausreichende Mittel bereitstellt und ein bis zwei Mitglieder benennt, nach einer Fußnote pragmatischerweise den Chief Risk Officer, allein oder mit dem Chief Financial Officer.

Daraus folgt eine unbequeme Lesart der 90 Prozent. Eine Bank kann KI an vielen Stellen einsetzen und zugleich zu den Häusern gehören, deren Risikodaten die Aufsicht als unzureichend einstuft. Der Einsatz wird dann breiter, ohne reifer zu werden. Claudia Buch hat den Zusammenhang selbst benannt: „a bank with reliable data, modern infrastructure and effective governance will be better placed to identify valuable applications of new technology and to deploy them safely at scale.“ Für einen Vorstand ist die Quote deshalb keine Kennzahl der eigenen Stellung. Aussagekräftiger ist, ob die eigene Risikoberichterstattung deutlich schneller steht als die 40 Arbeitstage, die die Aufsicht beobachtet hat, ob sich der Nutzen der eigenen Anwendungen beziffern lässt und wer im Vorstand dafür einsteht. Das sind die Fragen, die sich aus den veröffentlichten Aufsichtstexten ableiten lassen, auch wenn die Aufsicht dazu bislang keine Quote veröffentlicht.

Handlungsempfehlungen

Begriffserklärung