Kreditscoring und automatisierte Entscheidungen

Jahrelang beschränkte sich die regulatorische Analyse eines Scoring-Modells auf den Datenschutz. Heute überlagern sich drei Regelwerke bei derselben Entscheidung – einer Person einen Kredit zu gewähren oder zu verweigern –, und jedes betrachtet etwas anderes:

• Die Richtlinie (EU) 2023/2225, die CCD2, betrachtet das Ergebnis für den Verbraucher: welche Rechte er hat, wenn die Entscheidung ihn betrifft, welche Daten nicht verwendet werden dürfen und was zu prüfen ist.
• Die Verordnung (EU) 2024/1689, die KI-Verordnung, betrachtet das System: wie es aufgebaut wurde, mit welchen Daten es trainiert wurde, wie es dokumentiert ist und wer es beaufsichtigt.
• Die DSGVO betrachtet die Verarbeitung: die Rechtsgrundlage, die Information der betroffenen Person und die Grenzen für Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen.

Praktisch bedeutet das: Ein Projekt, das nur eine der drei Ebenen bearbeitet hat, weist mit ziemlicher Sicherheit Lücken bei den beiden anderen auf. Und die häufigste Lücke ist in allen Fällen dieselbe: Das Modell funktioniert, lässt sich aber nicht erklären. Es kann gute Prognosen liefern und trotzdem nicht in der Lage sein, einem Kunden in verständlichen Worten zu sagen, warum er abgelehnt wurde, oder einer Aufsichtsbehörde zu zeigen, wie es aufgebaut wurde.

Ein Gedanke ordnet alles Weitere und sollte deshalb vorab feststehen: Keines der drei Regelwerke verbietet die Automatisierung. Sie verlangen vielmehr, dass sie umkehrbar, erklärbar und beaufsichtigt ist. Ein Modell, das allein entscheidet, ohne Möglichkeit einer menschlichen Überprüfung und ohne die Fähigkeit, sein Ergebnis zu erklären, ist kein effizientes Modell: Es ist ein Modell, das die Vorschriften nicht erfüllt.

Die drei Rechte sind schnell gelesen und langsam umgesetzt, weil jedes eine andere Ebene des Systems berührt. Das Recht auf menschliches Eingreifen ist organisatorisch: Es erfordert Personen, Schulung und eine klare Festlegung, wie weit ihre Befugnis reicht, das Modell zu übersteuern. Das Recht auf Erläuterung ist technisch: Das Modell muss Gründe liefern, nicht nur eine Zahl – was in der Praxis bestimmt, welche Architekturen in Frage kommen. Und das Recht auf Überprüfung ist verfahrensbezogen: Man muss aufnehmen, was der Kunde vorbringt, festhalten, dass es gewürdigt wurde, und die neue Entscheidung begründen.

Das zweite Recht zwingt die meisten Projekte zum Umdenken. Ein sehr präzises, aber undurchsichtiges Modell – etwa ein tiefes Ensemble-Modell – kann unbrauchbar werden, nicht wegen seiner Leistung, sondern weil sich sein Ergebnis nicht in eine aussagekräftige Erläuterung übersetzen lässt. Das ist eine Architekturentscheidung, die man besser beim Design trifft und nicht erst, wenn die erste Beschwerde eingeht.

Und es gibt einen Zusammenhang, den man nicht aus den Augen verlieren sollte: Die Richtlinie über Finanzdienstleistungen im Fernabsatz sieht parallel das Recht vor, in der vorvertraglichen Phase ein menschliches Eingreifen zu erhalten, wenn automatisierte Tools eingesetzt werden. Es sind zwei verschiedene Regelwerke, die auf denselben Punkt zielen – vor Vertragsschluss und bei der Kreditentscheidung –, daher muss der Eskalationsprozess beide Momente abdecken.

Die CCD2 legt fest, auf welche Informationen sich die Kreditwürdigkeitsprüfung stützen darf, und schließt ausdrücklich zwei Quellen aus, die bisher in alternativen Scoring-Modellen auftauchten:

• Die besonderen Kategorien personenbezogener Daten der DSGVO, wobei Gesundheitsdaten ausdrücklich genannt werden.
• Daten aus sozialen Netzwerken.

Das erste Verbot steht im Einklang mit dem allgemeinen Datenschutzrecht und überrascht wenig. Das zweite verändert Projekte: Jahrelang galt die Nutzung digitaler Verhaltenssignale und des sozialen Fußabdrucks als Weg, Personen ohne Kredithistorie einen Kredit zu geben. Dieser Weg ist für die Kreditwürdigkeitsprüfung bei Verbraucherkrediten nun versperrt.

Die Folge, die wirklich technische Arbeit erfordert, ist jedoch eine andere, und sie steht nirgends geschrieben: die Proxy-Variablen. Ein Modell kann auf Gesundheitsdaten verzichten und dennoch Variablen enthalten, die diese mit hoher Korrelation vorhersagen – Ausgabemuster in Apotheken, Art der Geschäfte, Häufigkeit bestimmter Kategorien. Formal wird das verbotene Merkmal nicht verwendet; materiell fließt es doch in die Entscheidung ein. Ein Modell von solchen Ersatzvariablen zu bereinigen, ist keine Dokumentenprüfung: Es ist eine statistische Übung, die an den tatsächlichen Variablen durchgeführt und dokumentiert werden muss.

Diese Analyse ist zudem doppelt nützlich. Sie ist das, was die CCD2 in Bezug auf die Daten verlangt, und weitgehend auch das, was die KI-Verordnung unter dem Stichwort Daten-Governance für Hochrisikosysteme fordert. Es lohnt sich, sie einmal durchzuführen und für beide Verfahren zu nutzen.

Die Einstufung ist eindeutig: Die Bewertung der Kreditwürdigkeit natürlicher Personen steht ausdrücklich in Anhang III, in der Kategorie Zugang zu grundlegenden Diensten. Ein Kreditgeber, der ein KI-System für Kreditentscheidungen einsetzt, betreibt ein Hochrisikosystem – mit allem, was daraus folgt.

Zwei der Pflichten verdienen besondere Aufmerksamkeit, weil sie am häufigsten missverstanden werden. Die menschliche Aufsicht ist nicht mit einem Übersteuerungsknopf erfüllt, den niemand benutzt: Die Verordnung verlangt eine Gestaltung, die eine wirksame Aufsicht ermöglicht. Die beaufsichtigende Person muss also das Ergebnis verstehen, tatsächlich Zeit haben, es zu bewerten, und real davon abweichen können. Und die Aufzeichnungspflicht meint nicht das Anwendungsprotokoll: Gemeint sind die Spuren, mit denen sich Monate später rekonstruieren lässt, warum das System bei einem konkreten Vorgang so entschieden hat.

Die gute Nachricht: Es gibt Überschneidungen mit dem, was die CCD2 bereits verlangt. Der Prozess für menschliches Eingreifen nach der Verbraucherkreditrichtlinie entspricht weitgehend der menschlichen Aufsicht nach der KI-Verordnung, und die Nachvollziehbarkeit, mit der sich eine Ablehnung erklären lässt, ist dieselbe, die die Aufzeichnungen ermöglicht. Beides getrennt zu gestalten, verdoppelt die Arbeit. Wenn Sie die KI-Verordnung bereits auf anderem Weg umsetzen, sollten Sie das mit unserer Analyse der KI-Verordnung abgleichen.

Artikel 22 DSGVO gibt der betroffenen Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Die Ablehnung eines Kredits fällt voll unter diesen Tatbestand, deshalb haben die meisten Institute zu dieser Frage bereits eine Position bezogen.

Neu ist, dass diese Position im Licht der beiden anderen Regelwerke überprüft werden muss, weil der Maßstab gestiegen ist. Viele Modelle stützten sich auf die Annahme, die Entscheidung sei nicht „ausschließlich“ automatisiert, weil es eine nominelle menschliche Überprüfung gab. CCD2 und KI-Verordnung verschärfen diese Lesart aus zwei Richtungen: Die erste gewährt ein ausdrückliches Recht auf menschliches Eingreifen, Erläuterung und Überprüfung; die zweite verlangt, dass die menschliche Aufsicht schon durch ihre Gestaltung wirksam ist. Eine rein formale Überprüfung trägt das Argument nicht mehr.

Im Ergebnis laufen die drei Regelwerke auf dasselbe praktische Arbeitsergebnis hinaus, und es lohnt sich, es nur einmal aufzubauen: eine Entscheidungsakte pro Vorgang, die festhält, welche Daten eingeflossen sind, welches Ergebnis das System geliefert hat, wer es überprüft hat, was der Kunde gegebenenfalls eingewandt hat und wie die endgültige Entscheidung begründet wurde. Diese Akte ist zugleich der Nachweis der DSGVO-Konformität, der Beleg für das menschliche Eingreifen nach der CCD2 und die Aufzeichnung, die die KI-Verordnung verlangt.

Zwei Formulierungen dieser Tabelle verdienen Aufmerksamkeit, weil sie die meiste Arbeit verursachen. Die erste ist „die angemessene Berücksichtigung der bestehenden Verpflichtungen“: Es reicht nicht, das Einkommen zu kennen, man muss auch die finanzielle Belastung einbeziehen, die der Kunde bereits trägt. Das zwingt dazu, zu klären, woher diese Information stammt – Abfrage von Auskunfteien, vom Kunden vorgelegte Unterlagen, Kontoaggregation – und die Wahl zu dokumentieren.

Die zweite ist „in einer dem Geschäftsvolumen angemessenen Weise“. Das ist eine Verhältnismäßigkeitsklausel, und man sollte sie in beide Richtungen lesen. Für einen kleinen Kreditgeber bedeutet sie, dass von ihm nicht der Apparat eines großen Instituts verlangt wird. Für einen großen bedeutet sie genau das Gegenteil: Der erwartete Standard wächst mit dem Volumen, sodass ein handgestricktes Verfahren ab einer gewissen Größe nicht mehr zu verteidigen ist. Verhältnismäßigkeit ist nicht immer eine Erleichterung.

Stellen Sie sich die Szene vor, denn genau sie muss gelöst werden: Ein Kunde, dessen Kreditantrag abgelehnt wurde, ruft an und fragt nach dem Grund. Die Antwort „Sie haben unser Bewertungssystem nicht bestanden“ genügt nicht mehr. Die Richtlinie gewährt das Recht auf eine aussagekräftige und verständliche Erläuterung, und diese beiden Adjektive haben einen Inhalt.

Aussagekräftig bedeutet, dass sich die Erläuterung auf die Faktoren beziehen muss, die bei dieser konkreten Entscheidung tatsächlich ins Gewicht fielen, und nicht auf eine allgemeine Beschreibung des Modells. Verständlich bedeutet, dass sie in der Sprache des Kunden formuliert sein muss, nicht in der des Risikoteams: Von einem „Perzentil der Variable Beschäftigungsdauer“ zu sprechen, erklärt gar nichts.

Dafür braucht es drei Dinge, die vor der ersten Anfrage aufgebaut sein müssen:

• Technische Fähigkeit zur Attribution. Das System muss angeben können, welche Faktoren die Entscheidung bei diesem Vorgang bestimmt haben – nicht im Durchschnitt. Das bestimmt die Architektur des Modells.
• Ein Katalog von Gründen in klarer Sprache. Vorformulierte und geprüfte Übersetzungen jedes Faktors in einen Satz, den ein Verbraucher versteht, damit die Erläuterung nicht davon abhängt, wer den Anruf entgegennimmt.
• Ein Prozess für Einwände und Überprüfung. Wo das eingeht, was der Kunde vorbringt, wer es bewertet und wie die neue Entscheidung begründet wird.

Außerdem gilt es, eine Grenze zu beachten: Erklären heißt nicht, das Modell offenzulegen. Es gibt ein Gleichgewicht zwischen dem Recht des Verbrauchers, die Entscheidung zu verstehen, und dem berechtigten Interesse des Instituts, sein Bewertungssystem nicht dem Reverse Engineering oder Betrug auszusetzen. Dieses Gleichgewicht wird bei der Gestaltung des Katalogs von Gründen hergestellt – konkret genug, um nützlich zu sein, aggregiert genug, um keine Anleitung zur Täuschung des Modells zu bieten –, und es sollte schriftlich begründet werden.