Die KI-Aufsicht hat eine Adresse: für Finanzunternehmen die BaFin

Das Vollzugsvakuum ist geschlossen

Lange war offen, wer in Deutschland die europäische KI-Verordnung überwacht. Manche Compliance-Planung beruhte im Kern auf der Annahme, dass es ohnehin niemand prüft. Diese Annahme trägt nicht mehr: Das Gesetz zur Durchführung der KI-Verordnung wurde am 28. Juli 2026 im Bundesgesetzblatt veröffentlicht und gilt seit dem 29. Juli 2026. Für Finanzunternehmen ist die Antwort auf die Zuständigkeitsfrage dabei eindeutig: Die Bundesnetzagentur übernimmt die KI-Marktüberwachung für viele Bereiche, für KI-Systeme im direkten Zusammenhang mit regulierten Finanztätigkeiten ist es die BaFin.

Für Banken, Versicherer und Finanzdienstleister ist diese Zuordnung eine gute Nachricht. Diese Unternehmen treffen auf eine Behörde, die ihre Geschäftsmodelle, Prozesse und Modelle bereits kennt, etwa aus Modellprüfungen nach den Mindestanforderungen an das Risikomanagement oder aus der DORA-Aufsicht, und können KI-Pflichten in vertraute Aufsichtsstrukturen einordnen, statt eine zweite Parallelwelt aufzubauen.

Wer überwacht KI in Deutschland?

Bundesnetzagentur und BaFin, mit klarer Arbeitsteilung. Teil des Durchführungsgesetzes ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das regelt, wann die BaFin und wann die Bundesnetzagentur die Marktüberwachung übernimmt. Nach Paragraf 2 Absatz 3 KI-MIG überwacht die BaFin KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen und von Unternehmen eingesetzt werden, die von der BaFin oder der Europäischen Zentralbank beaufsichtigt werden.

Die Bundesnetzagentur übernimmt die Marktüberwachung in anderen Bereichen und bietet einen KI-Service-Desk für allgemeine Fragen. Hinweise auf verbotene Praktiken im Markt nehmen laut BaFin sowohl die BaFin als auch die Bundesnetzagentur entgegen. Für Finanzunternehmen ist damit die eigene Aufsicht auch die KI-Aufsicht, sofern es um KI im regulierten Geschäft geht. Einen kompakten Überblick bietet der Beitrag BaFin wird KI-Aufsicht.

Was prüft die BaFin heute schon?

Drei Bereiche gelten bereits. Die BaFin überwacht, ob eingesetzte KI-Systeme verbotene Praktiken nach Artikel 5 der KI-Verordnung enthalten, etwa manipulative oder täuschende Techniken. Außerdem überwacht sie die Transparenzpflichten nach Artikel 50: Menschen müssen erkennen können, dass sie mit KI interagieren und dass Inhalte mit KI erzeugt wurden. Schließlich achtet sie darauf, dass Unternehmen nach Artikel 4 Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden zu fördern.

Bei Artikel 4 hat der Digital Omnibus, der am 27. Juli 2026 in Kraft trat, den Maßstab verändert. Gefordert sind Maßnahmen zur Förderung der KI-Kompetenz, ein bestimmtes Kompetenzniveau einzelner Personen muss laut BaFin nicht garantiert werden. Was das für Schulungskonzepte bedeutet, beschreibt der Beitrag zu Artikel 4 und KI-Kompetenz.

Welche Fristen gelten jetzt?

Die Transparenzpflichten sind seit dem 2. August 2026 anwendbar; für Systeme, die vorher in Verkehr gebracht wurden, gilt laut BaFin eine Übergangsfrist bis zum 2. Dezember 2026. Die meisten Anforderungen an Hochrisiko-KI-Systeme gelten nach dem Digital Omnibus ab dem 2. Dezember 2027, für in regulierte Produkte eingebettete Systeme ab dem 2. August 2028. Ab dem 2. Dezember 2027 überwacht die BaFin dann auch die Hochrisiko-Pflichten im Finanzsektor.

Im Finanzsektor betrifft das vor allem zwei Anwendungsfälle aus Anhang III Nummer 5 der KI-Verordnung: KI-Systeme zur Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen, ausgenommen Systeme zur Aufdeckung von Finanzbetrug, sowie KI-Systeme zur Risikobewertung und Preisbildung für natürliche Personen in der Lebens- und Krankenversicherung. Wie sich der neue Fahrplan auf die Planung von Banken auswirkt, zeigt der Beitrag KI-Verordnung nach dem Omnibus.

Welche Sanktionen sieht die KI-Verordnung vor?

Empfindliche, nach Schwere gestaffelt. Verstöße gegen die Verbote nach Artikel 5 können nach Artikel 99 mit Geldbußen von bis zu 35 Millionen Euro oder bis zu 7 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Andere Verstöße, etwa gegen Pflichten für Hochrisiko-Systeme oder Transparenzpflichten, können bis zu 15 Millionen Euro oder bis zu 3 Prozent des Jahresumsatzes kosten. Die Mitgliedstaaten legen die Sanktionsregeln im Rahmen der Verordnung fest, für kleine und mittlere Unternehmen sind niedrigere Beträge vorgesehen.

Wichtiger als die Höchstbeträge ist im Alltag der Aufsichtsdialog. Die BaFin kann nach eigenen Angaben die erforderlichen Informationen und Unterlagen anfordern, geht Hinweisen auf mögliche Verstöße nach und ergreift bei festgestellten Verstößen die vorgesehenen Maßnahmen. Ein Institut, das auf Nachfrage ein sauberes Inventar und eine nachvollziehbare Einstufung vorlegt, steht in diesem Dialog deutlich besser da als eines, das erst suchen muss.

Was bedeutet die BaFin-Zuständigkeit für die Governance?

KI-Pflichten gehören in die vorhandenen Strukturen. Die BaFin erwartet, dass Finanzunternehmen einen Überblick über ihre KI-Systeme haben und wissen, inwieweit die Verordnung für sie gilt. Als Orientierung nennt sie das Inventar der Informations- und IKT-Assets, das der Digital Operational Resilience Act (DORA) ohnehin vorsieht. Die Anforderungen der KI-Verordnung sollen in Governance-, Risiko- und Compliance-Strukturen berücksichtigt werden, auf Grundlage der etablierten Regeln, übergreifend vor allem DORA.

Praktisch heißt das: ein Inventar, das KI-Systeme und IKT-Assets zusammenführt, eine begründete Einstufung je System und ein Plan für die Hochrisiko-Fälle. Wie das Informationsregister nach DORA dabei als Grundlage dient, beschreibt der Beitrag zum DORA-Informationsregister; welche Datenschutzfragen beim Training und Betrieb von Modellen dazukommen, der Beitrag DSGVO trifft KI-Modelle.

Was das Management jetzt veranlassen sollte

Fünf Schritte machen das Institut für die KI-Aufsicht auskunftsfähig:

1. Inventar zusammenführen: KI-Systeme in das bestehende IKT-Inventar nach DORA aufnehmen, einschließlich zugekaufter Lösungen.

2. Einstufung begründen: je System festhalten, ob Verbote, Transparenzpflichten oder Hochrisiko-Anforderungen greifen.

3. Transparenz umsetzen: Kundinnen und Kunden kennzeichnen, wo sie mit KI interagieren oder KI-erzeugte Inhalte erhalten.

4. Kompetenzmaßnahmen dokumentieren: Schulungs- und Befähigungsangebote rollengerecht festlegen und nachweisen.

5. Hochrisiko-Fälle planen: für Kreditwürdigkeitsprüfung und Tarifierung einen Maßnahmenplan bis Dezember 2027 aufsetzen.

Häufige Fragen

Ist die Bundesnetzagentur für KI in Banken zuständig?
Für KI-Systeme im direkten Zusammenhang mit regulierten Finanztätigkeiten ist nach Paragraf 2 Absatz 3 KI-MIG die BaFin zuständig. Die Bundesnetzagentur ist für andere Bereiche zuständig und Anlaufstelle für allgemeine Fragen.

Seit wann gilt das KI-Marktüberwachungsgesetz?
Das Gesetz zur Durchführung der KI-Verordnung, zu dem das KI-MIG gehört, wurde am 28. Juli 2026 verkündet und gilt seit dem 29. Juli 2026.

Ab wann prüft die BaFin Hochrisiko-KI wie Kreditscoring?
Die Anforderungen an Hochrisiko-KI-Systeme gelten nach dem Digital Omnibus ab dem 2. Dezember 2027; ab dann überwacht die BaFin ihre Einhaltung im Finanzsektor.

Weitere Beiträge zu KI-Verordnung, Aufsicht und digitaler Resilienz bündelt das Dossier Regulierung & Resilienz.

Wie gut ein Institut auf die KI-Aufsicht vorbereitet ist, zeigt sich an der Frage, wie lange es dauern würde, der BaFin eine vollständige Liste der eingesetzten KI-Systeme zu schicken. Über ein erstes Gespräch dazu freuen wir uns.