Das Vollzugsvakuum schließt sich

Monatelang war das beliebteste Argument gegen ernsthafte AI-Act-Vorbereitung ein praktisches: Es prüft ja ohnehin niemand. Die Aufsichtsstrukturen fehlten, die Zuständigkeiten waren offen, und manche Compliance-Planung bestand im Kern aus der Wette, dass das so bleibt. Diese Wette ist verloren.

Das Bundeskabinett hat im Februar 2026 das deutsche Durchführungsgesetz zum AI Act beschlossen. Es regelt die nationale Marktüberwachung und konkretisiert die Sanktionen. Deutschland setzt dabei auf ein hybrides Aufsichtsmodell: Die Bundesnetzagentur übernimmt als zentrale Stelle die Koordination, ergänzt durch sektorale Behörden, für Finanzinstitute also weiterhin mit der BaFin im Spiel. Damit ist die letzte große Unbekannte der AI-Act-Umsetzung in Deutschland geklärt: Es gibt eine Aufsicht, sie hat ein Mandat, und sie wird ab dem Stichtag tätig.

Was das hybride Modell für Finanzinstitute heißt

Für Banken, Versicherer und Finanzdienstleister ist die Konstruktion doppelt relevant. Die Bundesnetzagentur bringt die horizontale AI-Act-Perspektive ein, die BaFin die sektorale, und beide Perspektiven treffen auf dieselben Systeme: Kreditscoring, Betrugserkennung, Underwriting. Wer bisher nur in MaRisk-Kategorien dokumentiert hat, bedient künftig zwei Prüflogiken.

Praktisch bedeutet das: Die KI-Dokumentation muss beide Sprachen sprechen. Die Anhang-III-Klassifikation, die technische Dokumentation und die Betreiberpflichten nach AI Act auf der einen Seite, die gewohnte Modell-Governance auf der anderen. Häuser, die beides in einem Inventar zusammenführen, beantworten künftige Anfragen aus einer Quelle statt aus zwei Parallelwelten.

Eine neue Behörde will sich beweisen

Es gibt ein Muster bei neuen Aufsichtszuständigkeiten: Die ersten Prüfungen setzen Maßstäbe, und die Behörde wählt dafür selten die kompliziertesten Fälle, sondern die sichtbarsten. Hochrisiko-Systeme nach Anhang III, zu denen die Kreditwürdigkeitsprüfung ausdrücklich zählt, stehen dabei weit oben auf jeder denkbaren Liste.

Die Sanktionsdrohung ist dabei real: Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei den schwersten Verstößen. Entscheidender als die Maximalbeträge ist aber der Reputationsmechanismus. Das erste Finanzinstitut, das öffentlich wegen AI-Act-Verstößen beanstandet wird, zahlt vor allem mit Vertrauen.

Warum Finanzinstitute besonders im Blick stehen

Die Kreditwürdigkeitsprüfung ist in Anhang III des AI Act namentlich als Hochrisiko-Anwendung gelistet. Das hebt Finanzinstitute aus der breiten Masse der KI-Anwender heraus: Während ein Industrieunternehmen mit KI im Marketing kaum in den Fokus gerät, betreibt nahezu jede Bank ein System, das definitionsgemäß zur höchsten regulierten Kategorie zählt. Die Wahrscheinlichkeit, geprüft zu werden, ist für Kreditinstitute damit strukturell höher als für die meisten anderen Branchen.

Hinzu kommt, dass die BaFin diese Systeme ohnehin kennt, aus der Modell-Governance, aus MaRisk-Prüfungen, aus dem laufenden Aufsichtsdialog. Eine Behörde, die ihren Prüfgegenstand bereits gut kennt, braucht keine lange Anlaufzeit. Das hybride Modell verkürzt damit den Weg von der neuen Zuständigkeit zur konkreten Prüfung erheblich.

Die Mindestvorbereitung bis August

Was bis zum 2. August 2026 mindestens vorliegen sollte, ist überschaubar: ein vollständiges KI-Inventar, eine begründete Risikoklassifikation pro System und für die Hochrisiko-Fälle ein dokumentierter Maßnahmenplan mit Terminen. Das ist keine perfekte Compliance, aber es ist der Unterschied zwischen einem Haus, das seine Pflichten kennt, und einem, das hofft.

Realistisch betrachtet wird kaum ein Institut bis zum Stichtag jede Anforderung vollständig erfüllen. Genau deshalb kommt es auf die Glaubwürdigkeit des Vorgehens an. Eine Aufsicht, die ein sauberes Inventar, eine nachvollziehbare Klassifikation und einen terminierten Abarbeitungsplan vorfindet, sieht ein Haus, das seine Verantwortung ernst nimmt. Eine Aufsicht, die nichts vorfindet, sieht den Anfangsverdacht für ein Verfahren. Der Unterschied entscheidet sich in den verbleibenden Wochen.

Mehr zum Thema: DSGVO trifft KI-Modelle: Was jeder Modell-Betreiber wissen muss. und DORA-Register: Die Frist ist durch. Wer jetzt noch Lücken hat, hat ein Vorstandsproblem..

Sotica führt diese Bestandsaufnahme als kompaktes Format mit Finanzinstituten durch, inklusive Priorisierung der Maßnahmen nach Exposition. Die Aufsicht hat jetzt eine Adresse. Die eigene Vorbereitung sollte eine haben.