Am 2. August 2026 endet für die europäische KI-Aufsicht die Schonfrist. Von diesem Tag an kann die EU-Kommission ihre Durchsetzungsbefugnisse gegen Anbieter universeller KI-Modelle (General Purpose AI, GPAI) tatsächlich anwenden. Das seit August 2025 zuständige KI-Büro der Kommission darf dann Unterlagen anfordern, technische Bewertungen der Modelle verlangen, Risikominderung durchsetzen und im Ernstfall Bußgelder von bis zu 3 Prozent des weltweiten Jahresumsatzes oder 15 Millionen Euro verhängen, je nachdem, welcher Betrag höher ist. Für Deutschlands Banken und Versicherer ist das kein fernes Brüsseler Thema. Als Anwender solcher Modelle beginnt für sie am selben Tag eine eigene Pflichtenuhr zu laufen.
Anbieter oder Anwender: die entscheidende Trennlinie
Die 3-Prozent-Sanktion nach Artikel 101 trifft zunächst die Modellanbieter, also die Häuser, die ein großes Sprach- oder Basismodell auf den Markt bringen. Deutsche Finanzunternehmen sind fast durchweg keine Anbieter, sondern Anwender: Sie kaufen ein Modell ein oder binden es per Schnittstelle ein, um Kundendialoge, Betrugserkennung, Bonitätsvorprüfung oder interne Dokumentenanalyse zu unterstützen. Diese Rolle als Betreiber (im Verordnungstext “Deployer”) entbindet nicht von Pflichten. Sie verschiebt sie nur. Wer die Trennlinie kennt, versteht, welche Vorschrift am 2. August für das eigene Haus greift und welche nicht.
Praktisch heißt das: Die spektakulären Anbieter-Bußgelder aus Artikel 101 laufen an den meisten Instituten vorbei. Die Pflichten, die sie treffen, stehen an anderer Stelle der Verordnung, und ihre Sanktionen richten sich nach Artikel 99.
Was am 2. August konkret gilt
Mit dem 2. August 2026 wird die KI-Verordnung in weiten Teilen unmittelbar anwendbar. Drei Blöcke sind für die Finanzbranche zentral.
Erstens die Transparenzpflichten nach Artikel 50. Wer ein KI-System betreibt, das direkt mit Menschen interagiert, etwa ein Chatbot im Online-Banking, muss die Nutzer darüber informieren, dass sie mit einer Maschine sprechen. Synthetisch erzeugte oder veränderte Inhalte sind zu kennzeichnen. Die Kommission hat dazu eigene Leitlinien für Anbieter und Betreiber veröffentlicht, die genau diese Pflichten zum 2. August konkretisieren.
Zweitens die Hochrisiko-Anwendungsfälle nach Anhang III. Dort ist die Bonitätsbewertung natürlicher Personen ausdrücklich als hochriskant eingestuft, ebenso die Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Setzt eine Bank KI für die Kreditwürdigkeitsprüfung von Privatkunden ein oder ein Versicherer für die Tarifierung, greifen ab diesem Datum die Betreiberpflichten aus Artikel 26: menschliche Aufsicht sicherstellen, das System nur gemäß der Anbieteranleitung nutzen, Eingabedaten auf Eignung prüfen, den Betrieb überwachen und Protokolle aufbewahren. Betroffene Personen haben zudem ein Recht auf Erläuterung von Einzelfallentscheidungen.
Drittens die Dokumentationskette. Die Anbieter der GPAI-Modelle müssen nachgelagerten Betreibern technische Unterlagen bereitstellen, damit diese das Modell rechtskonform einbinden können. Erst mit der Durchsetzbarkeit ab dem 2. August bekommt diese Weitergabe echtes Gewicht: Anwender können sich auf die gelieferte Dokumentation stützen, müssen sie aber auch aktiv einfordern und in die eigene Governance überführen.
Der Bußgeldrahmen für Anwender
Auch Betreiber sind sanktionsbewehrt, nur nach anderer Norm. Artikel 99 sieht für Verstöße gegen die meisten Pflichten, darunter die Transparenz- und Hochrisiko-Vorgaben, Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor. Für verbotene Praktiken nach Artikel 5 steigt der Rahmen auf bis zu 35 Millionen Euro oder 7 Prozent, für falsche Angaben gegenüber Behörden sinkt er auf 7,5 Millionen Euro oder 1 Prozent. Die vielzitierte 3-Prozent-Marke ist also nicht allein ein Anbieterrisiko. Sie kann ein deutsches Institut auch in seiner Rolle als Anwender treffen.
Die Brücke zur bestehenden Aufsicht
Für BaFin-regulierte Häuser ist die gute Nachricht, dass sie nicht bei null anfangen. Modellrisiken sind über die MaRisk längst Teil der internen Governance, und mit DORA gelten seit Januar 2025 verbindliche Anforderungen an das Management von Informations- und Kommunikationstechnologie. Die BaFin hat mit ihrer KI-Orientierungshilfe vom 18. Dezember 2025 bereits klargestellt, dass sie KI-Systeme als reguläre IKT-Assets unter DORA behandelt und eine klare Verantwortungszuweisung in der Geschäftsleitung erwartet. Wer diese Bausteine sauber gepflegt hat, muss die KI-Verordnung nicht als zweites, konkurrierendes Regelwerk aufbauen, sondern kann sie auf die vorhandene Modell- und IKT-Governance abbilden.
Die Aufgabe ist damit weniger ein Neubau als eine Kartierung: Welche der bereits dokumentierten KI-Anwendungen fällt unter Anhang III? Wo greift Artikel 50? Welche Anbieterunterlagen fehlen noch? Diese Abbildung ist der eigentliche Arbeitsschritt der kommenden Wochen.
Die Compliance-Uhr läuft
Ein Fixpunkt liegt bereits vor dem Stichtag. Die Kommission bittet Unterzeichner des freiwilligen GPAI-Verhaltenskodex, das Formular bis zum 22. Juli 2026 einzureichen, um in die erste Liste der Unterzeichner aufgenommen zu werden. Der Kodex ist rechtlich unverbindlich, verschafft aber eine Konformitätsvermutung, die in Durchsetzungsverfahren erhebliches Gewicht hat. Für Anwender ist er vor allem ein Signal, welche Anbieter belastbare Dokumentation liefern.
Bis zum 2. August bleiben deutschen Instituten damit nur wenige Tage für die entscheidenden Schritte: eine Bestandsaufnahme aller eingesetzten KI-Systeme, die Einordnung nach Risikoklasse, die Prüfung der Anbieterdokumentation und die Zuweisung klarer Verantwortlichkeiten. Für Modelle, die bereits vor dem 2. August 2025 auf dem Markt waren, gewährt die Verordnung eine längere Frist bis 2027. Für alles, was danach eingebunden wurde, endet die Übergangszeit jetzt. Die Aufsicht schaut ab August nicht mehr nur zu.
Discussion
Sign in to join the discussion.
No comments yet. Be the first to share your thoughts.