Aufsichtsstruktur der KI-Verordnung im Finanzsektor
Die KI-Verordnung (EU AI Act) ist seit August 2024 in Kraft. Wer ihre Einhaltung in Deutschland überwacht, war allerdings lange offen. Seit dem 29. Juli 2026 ist das nun geregelt: im Finanzsektor übernimmt die BaFin diese Rolle. Grundlage ist das Gesetz zur Durchführung der KI-Verordnung mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) [1], [6].
Die KI-Marktüberwachung der BaFin betrifft Banken, Versicherer und weitere Finanzunternehmen unter Aufsicht der BaFin oder der EZB [2].
Zuständig ist die BaFin allerdings nur für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen, also mit Tätigkeiten, für die ein Unternehmen ihre Erlaubnis braucht [1], [3]. Setzt eine Bank KI dagegen im Personalmanagement ein, liegt die Zuständigkeit bei der Bundesnetzagentur [1].
Was bereits gilt und was ab Dezember 2027 kommt
Viele Pflichten gelten schon länger. Neu ist, dass im Finanzsektor nun die BaFin über ihre Einhaltung wacht. Ab sofort prüft sie [2]:
- ob eingesetzte KI-Systeme verbotene Praktiken enthalten (gilt seit Februar 2025),
- ob die Transparenzpflichten eingehalten werden, Menschen also erkennen können, dass sie etwa mit einem Chatbot kommunizieren oder Inhalte mit KI erzeugt wurden (gilt seit August 2026) [1], [2],
- ob Unternehmen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden zu fördern (gilt seit Februar 2025) [4].
Ab dem 2. Dezember 2027 kommen die Anforderungen an Hochrisiko-KI im Banking hinzu. Im Zuständigkeitsbereich der BaFin betrifft das KI-Systeme zur Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen sowie zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung [2].
Ursprünglich sollten diese Pflichten schon im August 2026 greifen, doch die Digital-Omnibus-Verordnung zur KI hat den Stichtag um 16 Monate verschoben [5]. Die Institute gewinnen damit Zeit, aber keine Entlastung, denn an den Anforderungen selbst ändert sich im Kern nichts.
Hochrisiko-KI im Banking: Was der EU AI Actkonkret von Ihnen verlangt
Wie die BaFin bei der KI-Marktüberwachung vorgeht
Die BaFin versteht ihren Auftrag ausdrücklich als Überwachung, nicht als Aufsicht. Statt jedes einzelne System zu kontrollieren, nimmt sie risikoorientiert und stichprobenartig Anwendungen in den Blick, die viele Finanzunternehmen an besonders relevanten Stellen einsetzen [3]. Ob eine Anwendung geprüft wird, hängt damit nicht allein vom eigenen Risikoprofil ab, sondern auch davon, wie verbreitet die Lösung im Markt ist. Gängige Standardsoftware und Modelle externer Anbieter, etwa im Kreditscoring oder in Chatbots für die Kundenkommunikation, dürften daher eher ins Blickfeld geraten als eine Eigenentwicklung im Subprozess.
Wann die Behörde genauer hinsieht, bestimmt sie allerdings nicht allein. Jede natürliche oder juristische Person kann bei der zuständigen Marktüberwachungsbehörde Beschwerde einreichen, wenn sie einen Verstoß gegen die KI-Verordnung vermutet [4]. Eine Prüfung kann also auch von Kunden ausgehen. Was die BaFin dabei feststellt, bleibt zudem nicht in der Marktüberwachung, denn die Behörde stimmt diese eng mit ihrer Unternehmensaufsicht ab und nutzt Erkenntnisse aus Gesprächen mit Instituten für beide Bereiche [1], [3]. Auffälligkeiten beim KI-Einsatz können so auch im laufenden Aufsichtsdialog zur Sprache kommen.
Wo verbotene Praktiken Banken betreffen
Welche KI-Praktiken verboten sind, regelt Artikel 5 der KI-Verordnung [2], [4]. Fachlich am nächsten liegt für Finanzunternehmen das Verbot, Personen anhand ihres Sozialverhaltens oder ihrer Persönlichkeitsmerkmale zu bewerten, wenn daraus eine Benachteiligung in Zusammenhängen folgt, die mit der ursprünglichen Datenerhebung nichts zu tun haben [4]. Schwierig wird das bei alternativen Datenquellen im Scoring. Wer Merkmale aus nicht kreditbezogenen Quellen in Bonitätsmodelle einspeist, muss ihren Bezug zur Kreditentscheidung belastbar begründen können.
Außerdem dürfen KI-Systeme keine manipulativen oder täuschenden Techniken enthalten und keine Schutzbedürftigkeit ausnutzen [2]. In KI-gestützten Vertriebs- und Beratungsprozessen betrifft das auch die Gestaltung der Kundeninteraktion, nicht allein das Modell.
Drei Hebel für die Umsetzung der KI-Verordnung im Finanzsektor
Hebel 1: Das KI-Inventar
Als Ausgangspunkt empfiehlt die BaFin selbst einen Überblick über die eingesetzten KI-Systeme, orientiert am Inventar der Informations- und IKT-Assets, das DORA bereits vorsieht [2]. Wie sich ein solches Inventar in die Governance einbettet, zeigt unser Beitrag KI-Governance als Pflichtprogramm.
Wegen der geteilten Zuständigkeit sollte das Inventar neben Zweck, Risikoklasse und Rolle auch festhalten, welche Marktüberwachungsbehörde zuständig ist, und das nachvollziehbar begründen. Absehbar sind Grenzfälle wie Chatbots, die sowohl Mitarbeitende als auch Kunden bedienen, KI-Werkzeuge in der internen Revision oder generative Assistenten, deren Ergebnisse in die Beratungsdokumentation einfließen. Diese Zuordnung sollte vor der ersten Behördenanfrage geklärt sein. Kontaktwege zu BaFin und Bundesnetzagentur bündelt die BaFin auf ihrer Seite zur KI-Marktüberwachung [2].
Hebel 2: Governance integrieren statt neu aufbauen
Die KI-Verordnung nimmt regulierte Finanzinstitute ausdrücklich in den Blick. Wer als Anbieter eines Hochrisiko-Systems die Governance-Vorgaben des Finanzdienstleistungsrechts einhält, erfüllt damit im Wesentlichen auch die Pflicht zum Qualitätsmanagementsystem. Für Betreiber gilt Entsprechendes bei der Überwachungspflicht [4]. Eine parallele KI-Compliance-Struktur würde deshalb Arbeit doppeln und an Nachweise vorbeilaufen, die Institute ohnehin führen.
Die BaFin erwartet, dass Unternehmen die Anforderungen in ihre bestehenden Governance-, Risiko- und Compliance-Strukturen einbetten, mit DORA als Grundlage [2], [3]. Konkretisiert hat sie diese Linie bereits im Dezember 2025 mit ihrer Orientierungshilfe zu IKT-Risiken beim Einsatz von KI [7], deren Folgen für Governance und Prozesse wir im Beitrag zur BaFin-Orientierungshilfe KI analysiert haben.
Eine weitere Voraussetzung sieht die BaFin in einem vertieften Verständnis dafür, wie Daten und Modelle bei Entscheidungen zusammenwirken, denn nur so lassen sich verbotene Praktiken erkennen. Spätestens mit den Hochrisiko-Anforderungen müssen diese Prozesse formalisiert sein, etwa über eine angemessene Daten-Governance [3]. Wer heute nicht erklären kann, welches Merkmal eine Kreditentscheidung wie beeinflusst, wird Diskriminierungsfreiheit kaum belegen können.
Hebel 3: KI-Kompetenz in der Breite
Der Digital-Omnibus hat die Pflicht zur KI-Kompetenz weicher gefasst. Unternehmen müssen die Kompetenzentwicklung unterstützen, aber kein bestimmtes Niveau je Person garantieren [4], [5]. Am Kreis der Betroffenen ändert das nichts, und genau darin sieht die BaFin das eigentlich Neue. Die Anforderung erfasst nicht nur Modellentwicklung und Validierung, sondern grundsätzlich alle Personen, die KI-Systeme betreiben oder nutzen. Maßgeblich sind dabei auch der konkrete Einsatzkontext und die Personengruppen, bei denen KI eingesetzt wird [2]. Die BaFin empfiehlt deshalb, Schulungskonzepte adressatengerecht um KI-spezifische Inhalte und Rechtsgrundlagen zu ergänzen [2]. Wer Schulungen bislang allein nach Funktionen zuschneidet, wird mit einem zusätzlichen E-Learning-Modul kaum auskommen und sie stärker am Nutzungskontext ausrichten müssen.
Die Verantwortung bleibt bei der Geschäftsleitung
Die BaFin setzt auf Dialog, etwa über Reallabore, in denen Unternehmen neue Anwendungen mit früher regulatorischer Orientierung erproben. Bußgelder von bis zu 35 Millionen Euro oder sieben Prozent des Jahresumsatzes bezeichnet sie als Extremfall. Wer frühzeitig auf die Behörde zukommt und kooperiert, soll nach ihren Worten nur ausnahmsweise mit Strafen rechnen müssen [3].
Die Verantwortung für den Einsatz von KI liegt bei den beaufsichtigten Unternehmen und ihren Geschäftsleitungen, und Entscheidungen müssen weiterhin von Menschen korrigiert und rückgängig gemacht werden können [1].
Wer sein KI-Inventar jetzt um die Behördenzuordnung ergänzt und die KI-Verordnung in die bestehende DORA-Governance einbettet, schafft eine belastbare Grundlage für die KI-Marktüberwachung durch die BaFin.
Lisa WeinertSenior Managerin | Management & Business Consulting | msg for banking
Quellen
- 1. BaFin, Überwachung von KI: BaFin erhält neue Kompetenzen (Pressemitteilung), 2026
- 2. BaFin, KI-Marktüberwachung, 2026
- 3. BaFin, „Es bleibt viel Raum für Innovation“ (Interview mit Jens Obermöller), 2026
- 4. Europäische Union, Verordnung (EU) 2024/1689 (KI-Verordnung / EU AI Act), insbesondere Art. 4, 5, 17 Abs. 4, 26 Abs. 5, 50, 70 und 85, 2024
- 5. Europäische Union, Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), in Kraft seit 27. Juli 2026, 2026
- 6. Bundesrepublik Deutschland, Gesetz zur Durchführung der Verordnung (EU) 2024/1689 (mit KI-MIG), 2026
- 7. BaFin, Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen, 2025
