Centraltec

AI Consulting

Neue BaFin-Aufsicht für KI: Was Banken, Versicherer und Finanzdienstleister jetzt vorbereiten müssen

Die BaFin überwacht künftig KI-Systeme im Finanzsektor. Was ab August 2026 gilt, welche Anwendungen als Hochrisiko zählen und was Unternehmen in 90 Tagen erledigen sollten.

Der Einsatz künstlicher Intelligenz im Finanzsektor wird zu einem eigenständigen Aufsichtsthema. Mit dem Inkrafttreten des deutschen KI-Marktüberwachungs- und Innovationsförderungsgesetzes hat die Bundesanstalt für Finanzdienstleistungsaufsicht neue Zuständigkeiten für die Überwachung von KI-Systemen erhalten.

Betroffen sind KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen. Dazu gehören beispielsweise Anwendungen in der Kundenkommunikation, bei Kreditentscheidungen sowie in der Risiko- und Tarifbewertung von Versicherungen. Für Banken, Versicherer und andere beaufsichtigte Finanzunternehmen bedeutet dies: KI-Governance ist nicht mehr nur eine Frage der IT-Strategie, sondern wird Teil der regulatorischen Unternehmenssteuerung. (BaFin)

Was sich durch die neue BaFin-Zuständigkeit ändert

Die BaFin wird künftig als Marktüberwachungsbehörde prüfen, ob KI-Systeme im Finanzsektor die Anforderungen der europäischen KI-Verordnung erfüllen. Die Zuständigkeit betrifft ausschließlich Systeme, die unmittelbar mit einer regulierten Finanztätigkeit verbunden sind.

KI-Anwendungen ohne direkten Bezug zur Finanzmarktregulierung fallen dagegen grundsätzlich in den Zuständigkeitsbereich anderer Behörden. Ein Recruiting-System, das Bewerbungen innerhalb einer Bank bewertet, kann beispielsweise von der Bundesnetzagentur überwacht werden. Ein KI-System zur Bewertung der Kreditwürdigkeit fällt dagegen in den Zuständigkeitsbereich der BaFin. Maßgeblich ist somit nicht das Unternehmen allein, sondern der konkrete Verwendungszweck des jeweiligen Systems. (Deutscher Bundestag)

Die BaFin nennt insbesondere drei Bereiche, mit deren Überwachung sie unmittelbar beginnt:

Ab dem 2. Dezember 2027 kommt die umfassende Überwachung von Hochrisiko-KI-Systemen hinzu. Dazu zählen unter anderem Systeme zur Bewertung der Kreditwürdigkeit sowie bestimmte KI-Systeme zur Risiko- und Preisbewertung in der Lebens- und Krankenversicherung. (BaFin)

Transparenzpflichten gelten bereits ab August 2026

Die ersten Transparenzpflichten der KI-Verordnung gelten ab dem 2. August 2026. Unternehmen müssen insbesondere sicherstellen, dass Personen erkennen können, wenn sie unmittelbar mit einem KI-System interagieren.

Dies betrifft beispielsweise Chatbots, automatisierte Kundenassistenten und dialogbasierte Beratungssysteme. Kunden dürfen nicht den Eindruck erhalten, ausschließlich mit einem Menschen zu kommunizieren, wenn tatsächlich ein KI-System eingesetzt wird. Für Hochrisiko-Systeme gelten die Transparenzanforderungen zusätzlich zu den weitergehenden Anforderungen dieser Risikoklasse. (Digitale Strategie Europa)

Für Finanzunternehmen bedeutet dies, dass nicht nur öffentlich sichtbare Chatbots überprüft werden müssen. Auch eingebettete KI-Funktionen in Kundenportalen, Apps, Sprachassistenten oder automatisierten Serviceprozessen können betroffen sein.

Die Pflicht zur KI-Kompetenz gilt bereits

Seit dem 2. Februar 2025 müssen Anbieter und Betreiber von KI-Systemen nach besten Kräften sicherstellen, dass die mit Entwicklung, Betrieb oder Nutzung befassten Personen über ein ausreichendes Maß an KI-Kompetenz verfügen.

Der notwendige Kompetenzumfang richtet sich unter anderem nach:

Eine allgemeine Einführung in ChatGPT oder generative KI genügt daher nicht automatisch. Beschäftigte müssen die Möglichkeiten, Grenzen und Risiken derjenigen Systeme verstehen, mit denen sie tatsächlich arbeiten. Dazu gehören beispielsweise Fehlentscheidungen, verzerrte Ergebnisse, unzulässige Dateneingaben, Datenschutzrisiken und die Pflicht zur menschlichen Kontrolle. (Bundesnetzagentur)

Die BaFin kann im Rahmen ihrer Marktüberwachung prüfen, ob Unternehmen entsprechende Maßnahmen eingerichtet haben. Unternehmen sollten deshalb nicht nur Schulungen anbieten, sondern auch dokumentieren, wer welche Qualifikation für welchen KI-Anwendungsfall benötigt und erhalten hat.

Hochrisiko-KI im Finanzsektor

Die europäische KI-Verordnung verfolgt einen risikobasierten Ansatz. KI-Systeme werden abhängig von ihrem Verwendungszweck und ihrem möglichen Einfluss auf Gesundheit, Sicherheit und Grundrechte unterschiedlichen Risikoklassen zugeordnet.

Im Finanzsektor sind insbesondere folgende Anwendungen relevant:

Diese Systeme können den Zugang zu wesentlichen privaten Dienstleistungen beeinflussen und erhebliche finanzielle oder persönliche Folgen für Betroffene haben. Deshalb werden sie grundsätzlich als Hochrisiko-KI behandelt. (Digitale Strategie Europa)

Für Hochrisiko-Systeme gelten künftig unter anderem Anforderungen an:

Anbieter müssen während des gesamten Lebenszyklus relevante Leistungsdaten erfassen, dokumentieren und analysieren. Betreiber müssen die Systeme entsprechend den Herstellerinformationen verwenden, überwachen und bei erkennbaren Risiken oder Vorfällen reagieren. (Digitale Strategie Europa)

Verantwortung bleibt beim Unternehmen

Der Einsatz eines extern entwickelten Modells oder einer cloudbasierten KI-Plattform verlagert die regulatorische Verantwortung nicht vollständig auf den Anbieter.

Finanzunternehmen müssen nachvollziehen können:

Nach Auffassung der BaFin müssen KI-gestützte Entscheidungen weiterhin von Menschen korrigiert und rückgängig gemacht werden können. Die Verantwortung für den Einsatz der Systeme liegt bei den beaufsichtigten Unternehmen und ihren Geschäftsleitungen. (BaFin)

KI-Projekte sollten deshalb nicht allein durch Innovationsabteilungen, Data-Science-Teams oder externe Dienstleister gesteuert werden. Notwendig ist eine gemeinsame Verantwortung von Geschäftsleitung, Fachbereich, IT, Informationssicherheit, Datenschutz, Risikomanagement und Compliance.

Mögliche Konsequenzen für Finanzunternehmen

KI-Anwendungen werden prüfungsrelevant

KI-Systeme können künftig Gegenstand regulatorischer Auskunftsersuchen, Stichproben und Prüfungen werden. Unternehmen müssen deshalb kurzfristig belastbar erklären können, welche Systeme sie einsetzen und wie diese kontrolliert werden.

Nicht dokumentierte Experimente, eigenständig genutzte KI-Dienste und dezentrale Fachbereichslösungen entwickeln sich damit zu einem regulatorischen Risiko.

Bestehende Prozesse müssen neu bewertet werden

Ein System kann auch dann unter die KI-Verordnung fallen, wenn es nicht als eigenständiges KI-Produkt beschafft wurde. KI-Funktionen werden zunehmend in CRM-Systeme, Kernbankanwendungen, Betrugsprävention, Dokumentenverarbeitung, Scoring-Lösungen und Standardsoftware integriert.

Die Prüfung darf sich daher nicht auf intern entwickelte Modelle beschränken.

Die Zuständigkeit kann je Anwendungsfall wechseln

Innerhalb eines Finanzunternehmens können BaFin und Bundesnetzagentur für unterschiedliche KI-Systeme zuständig sein. Das erhöht den organisatorischen Aufwand und macht eine saubere Klassifizierung erforderlich.

Ein unternehmensweites KI-Register muss deshalb nicht nur Risiken und Verantwortliche abbilden, sondern auch die voraussichtlich zuständige Aufsichtsbehörde.

Nachweisbarkeit wird wichtiger als Absichtserklärungen

Eine interne KI-Richtlinie allein wird nicht ausreichen. Unternehmen müssen zeigen können, dass Vorgaben tatsächlich umgesetzt werden.

Dazu gehören unter anderem:

Lieferantenmanagement wird zum zentralen Faktor

Viele Finanzunternehmen nutzen Modelle und KI-Funktionen externer Anbieter. Für die eigene Compliance werden sie dennoch Informationen über Funktionsweise, Einschränkungen, Datenverarbeitung, Sicherheitsmaßnahmen und Leistungsqualität benötigen.

Fehlen entsprechende Informationen oder vertragliche Mitwirkungsrechte, kann ein Unternehmen seine eigenen Nachweis- und Überwachungspflichten möglicherweise nicht erfüllen. Daraus folgt, dass KI-spezifische Anforderungen künftig bereits in Ausschreibungen, Verträgen und Dienstleisterprüfungen berücksichtigt werden müssen. (EUR-Lex)

Mögliche Sanktionen

Die KI-Verordnung sieht abgestufte Bußgeldrahmen vor. Die höchsten Sanktionen gelten bei Verstößen gegen verbotene KI-Praktiken. In diesen Fällen können Geldbußen von bis zu 35 Millionen Euro oder bis zu sieben Prozent des weltweiten Jahresumsatzes verhängt werden.

Für andere Verstöße, beispielsweise gegen Betreiberpflichten oder Transparenzvorgaben, gelten niedrigere, aber weiterhin erhebliche Höchstgrenzen. Auch falsche, unvollständige oder irreführende Informationen gegenüber zuständigen Behörden können sanktioniert werden. Bei kleinen und mittleren Unternehmen ist grundsätzlich der jeweils niedrigere Betrag aus absoluter Höchstsumme und Umsatzanteil maßgeblich. (EUR-Lex)

Neben Bußgeldern bestehen weitere Risiken:

Handlungsempfehlungen für die nächsten 90 Tage

1. Vollständiges KI-Inventar erstellen

Alle KI-Anwendungen müssen unternehmensweit erfasst werden. Das Register sollte mindestens folgende Angaben enthalten:

Auch Pilotprojekte, integrierte Softwarefunktionen und eigenständig genutzte Cloud-Dienste müssen berücksichtigt werden.

2. Anwendungen nach Risiko und Zuständigkeit klassifizieren

Für jedes System sollte geprüft werden:

Die Leitlinien der Europäischen Kommission sind zwar nicht rechtlich bindend, sollen jedoch die Auslegung und spätere Durchsetzung unterstützen. (Digitale Strategie Europa)

3. Transparenzpflichten sofort umsetzen

Alle Anwendungen mit unmittelbarer Mensch-KI-Interaktion sollten vor dem 2. August 2026 überprüft werden.

Notwendig sind insbesondere:

4. KI-Kompetenz rollenbezogen aufbauen

Unternehmen sollten ein verpflichtendes Schulungskonzept einführen. Dabei sind unterschiedliche Rollen zu berücksichtigen:

Die Schulungen sollten wiederkehrend stattfinden und nachweisbar dokumentiert werden.

5. Klare KI-Governance etablieren

Jedes KI-System benötigt einen fachlichen und einen technischen Verantwortlichen. Zusätzlich sollte ein verbindlicher Freigabeprozess eingerichtet werden.

Dieser sollte mindestens folgende Prüfschritte enthalten:

6. Menschliche Kontrolle technisch absichern

Die menschliche Aufsicht darf nicht nur organisatorisch beschrieben werden. Sie muss im System tatsächlich möglich sein.

Dazu gehören:

7. Dokumentation und Protokollierung standardisieren

Für jedes relevante System sollte eine strukturierte Dokumentationsakte geführt werden. Sie sollte technische, fachliche und regulatorische Informationen zusammenführen.

Insbesondere bei Hochrisiko-Anwendungen sollten Unternehmen frühzeitig sicherstellen, dass Entscheidungen, Modellversionen, Eingabedaten, Ausgaben, menschliche Eingriffe und Änderungen nachvollziehbar protokolliert werden können.

8. Verträge mit KI-Anbietern überprüfen

Bestehende Verträge sollten darauf geprüft werden, ob der Anbieter ausreichende Informationen und Mitwirkungsleistungen bereitstellt.

Relevante Vertragsbestandteile sind beispielsweise:

9. Hochrisiko-Readiness nicht bis 2027 verschieben

Die vollständigen Vorgaben für bestimmte Hochrisiko-Systeme gelten zwar erst ab dem 2. Dezember 2027. Der Aufbau von Datenqualitätskontrollen, Dokumentation, Protokollierung, Governance und technischer Überwachung benötigt jedoch erhebliche Vorlaufzeit.

Systeme, die Ende 2027 compliant sein müssen, werden heute entwickelt, beschafft oder vertraglich gebunden. Die Anforderungen sollten daher bereits jetzt Bestandteil neuer Projekte und Ausschreibungen sein.

Fazit

Mit der neuen BaFin-Zuständigkeit beginnt für den Finanzsektor die operative Phase der KI-Regulierung. Unternehmen müssen nicht sämtliche KI-Projekte stoppen. Sie müssen jedoch jederzeit wissen, welche Systeme sie einsetzen, welche Risiken damit verbunden sind und wie die Einhaltung der regulatorischen Vorgaben nachgewiesen wird.

Der entscheidende Erfolgsfaktor ist eine integrierte KI-Governance. Technologie, Fachprozesse, Risikomanagement und Compliance dürfen nicht getrennt voneinander betrachtet werden.

Unternehmen, die jetzt ein belastbares KI-Inventar, klare Verantwortlichkeiten, nachvollziehbare Kontrollen und dokumentierte Freigabeprozesse etablieren, reduzieren nicht nur regulatorische Risiken. Sie schaffen zugleich die Voraussetzung dafür, KI schneller, kontrollierter und dauerhaft produktiv einzusetzen.

Offizielle Quellen

  1. BaFin: Pressemitteilung „Überwachung von KI: BaFin erhält neue Kompetenzen“, veröffentlicht am 29. Juli 2026. (BaFin)
  2. BaFin: Interview „Es bleibt viel Raum für Innovation“, veröffentlicht am 29. Juli 2026. (BaFin)
  3. Deutscher Bundestag: Verabschiedung des Gesetzes zur Durchführung der europäischen KI-Verordnung vom 11. Juni 2026. (Deutscher Bundestag)
  4. Deutscher Bundestag: Abgrenzung der Zuständigkeiten zwischen BaFin und Bundesnetzagentur. (Deutscher Bundestag)
  5. Europäische Kommission: Übersicht über Risikoklassen, Pflichten und Anwendungsfristen der KI-Verordnung. (Digitale Strategie Europa)
  6. Europäische Kommission: Leitlinien zur Einstufung von Hochrisiko-KI-Systemen. (Digitale Strategie Europa)
  7. Bundesnetzagentur: Anforderungen an Hochrisiko-KI-Systeme. (Bundesnetzagentur)
  8. Bundesnetzagentur: Transparenzpflichten für Anbieter und Betreiber von KI-Systemen. (Bundesnetzagentur)
  9. Bundesnetzagentur: Anforderungen an die KI-Kompetenz von Beschäftigten. (Bundesnetzagentur)
  10. EUR-Lex: Verordnung (EU) 2024/1689 über künstliche Intelligenz. (EUR-Lex)

← Zurück zu News

Neue BaFin-Aufsicht für KI: Was Banken, Versicherer und Finanzdienstleister jetzt vorbereiten müssen | Centraltec