Seit dem 29. Juli 2026 ist geregelt, wer in Deutschland die künstliche Intelligenz beaufsichtigt. An diesem Tag trat das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, in Kraft. Das Gesetz wurde einen Tag zuvor im Bundesgesetzblatt verkündet und setzt die europäische KI-Verordnung (EU) 2024/1689 in nationales Recht um. Für die Finanzbranche ist die wichtigste Antwort kurz: Wer eine Bank oder einen Versicherer beaufsichtigt, beaufsichtigt künftig auch deren KI.
Die zentrale Marktüberwachungsbehörde ist die Bundesnetzagentur. Für den Finanzsektor gilt jedoch eine Ausnahme, und die ist folgenreich. Die BaFin wird zur Marktüberwachungsbehörde für alle KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen. Damit landet die Aufsicht über KI dort, wo ohnehin schon die Aufsicht über das Geschäft liegt. Betroffen sind die von der BaFin oder der EZB beaufsichtigten Finanzunternehmen, die Emittenten bedeutender wertreferenzierter Token sowie die Versorgungsanstalt des Bundes und der Länder.
Welche KI-Systeme die BaFin jetzt prüft
Konkret nennt die BaFin drei Felder. Erstens die verbotenen Praktiken nach Artikel 5 der KI-Verordnung, also der harte Kern dessen, was künftig gar nicht mehr erlaubt ist. Zweitens die Transparenzpflichten nach Artikel 50: Wer mit einem KI-System interagiert, etwa mit einem Chatbot im Kundenservice, muss das erkennen können, und KI-generierte Inhalte müssen als solche gekennzeichnet sein. Drittens die als hochriskant eingestuften Anwendungen aus Anhang III der Verordnung.
Genau dieser dritte Punkt trifft das Kerngeschäft. Als Hochrisiko-KI gelten im Finanzbereich zwei Anwendungen, die in vielen Häusern längst im Einsatz sind. Zum einen KI-Systeme für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen, also automatisierte Scoring-Verfahren in der Kreditvergabe. Zum anderen KI-Systeme für die Risikobewertung und Preisbildung natürlicher Personen in der Lebens- und Krankenversicherung. Auch die algorithmische Anlageberatung, der sogenannte Robo-Advice, fällt in den Blick der Aufsicht, sobald sie in eine regulierte Tätigkeit eingebettet ist.
Der Zeitplan gibt den Häusern noch Luft, aber nicht überall
Der Einstieg ist gestaffelt. Ab dem 2. August 2026 greifen zwei Bausteine unmittelbar: das Verbot der Praktiken nach Artikel 5 und die Transparenzpflichten nach Artikel 50. Das heißt, die Kennzeichnung von Chatbots und KI-Inhalten ist keine Frage der fernen Zukunft, sondern gilt bereits in diesem Sommer.
Für die eigentliche Hochrisiko-KI, und damit für Kreditscoring und Versicherungstarifierung, gilt eine längere Frist. Die Anforderungen an diese Systeme werden erst ab dem 2. Dezember 2027 wirksam. Banken und Versicherer haben also gut ein Jahr Zeit, um ihre Modelle auf die Vorgaben zur Datenqualität, zur Dokumentation, zur menschlichen Aufsicht und zur Robustheit auszurichten. Wer diese Zeit als Puffer statt als Vorlauf begreift, unterschätzt den Aufwand einer vollständigen Modellinventur.
Was bei Verstößen droht
Das Sanktionsregime der KI-Verordnung ist abgestuft, und die BaFin kann es künftig im Finanzsektor anwenden. An der Spitze steht der Verstoß gegen die verbotenen Praktiken des Artikels 5. Hier drohen Geldbußen von bis zu 35 Millionen Euro oder, falls höher, bis zu 7 Prozent des weltweiten Jahresumsatzes eines Unternehmens. Es gilt jeweils der höhere Betrag.
Darunter liegen weitere Stufen. Verstöße gegen die meisten anderen Pflichten, etwa im Umgang mit Hochrisiko-Systemen, können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Wer den Behörden falsche oder unvollständige Auskünfte erteilt, riskiert bis zu 7,5 Millionen Euro oder 1 Prozent des Umsatzes. Für einen international aufgestellten Konzern ist die umsatzbezogene Obergrenze der eigentliche Hebel, denn 7 Prozent des Weltumsatzes übersteigen die absolute Zahl von 35 Millionen Euro schnell um ein Vielfaches.
Zwei Behörden, eine Anlaufstelle
Die Arbeitsteilung folgt einem einfachen Prinzip. Die Bundesnetzagentur bündelt die allgemeine Marktüberwachung und betreibt einen zentralen KI-Service-Desk als erste Anlaufstelle für Fragen. Beschwerden aus dem Finanzsektor bearbeitet dagegen die BaFin. Für die beaufsichtigten Häuser bedeutet das: Der Ansprechpartner für KI ist derselbe wie für alles andere. Das erspart neue Meldewege, verlagert aber auch keine Verantwortung. Die Aufseher, die bislang Eigenkapital, Liquidität und Governance prüfen, schauen nun zusätzlich auf die Modelle, die im Hintergrund Kredite bewerten und Tarife berechnen.
Die BaFin hat früh betont, dass viel Raum für Innovation bleibe und die neue Rolle keine Innovationsbremse sein solle. Der Anspruch ist eine schlanke Aufsicht, die an bestehende Prozesse andockt, statt eine zweite Regulierungsschicht aufzubauen. Ob das gelingt, wird sich an der Praxis zeigen, sobald 2027 die Prüfung der Hochrisiko-Systeme beginnt.
Für die Häuser ist die Botschaft schon heute eindeutig. Die Frage ist nicht mehr, ob KI in der Kreditvergabe und in der Tarifierung beaufsichtigt wird, sondern wie gut ein Institut den Nachweis führen kann, dass seine Modelle den Vorgaben genügen. Die erste sinnvolle Maßnahme ist banal und aufwendig zugleich: eine vollständige Inventur der eingesetzten KI-Systeme, ihre Einordnung nach dem Risikoprofil der Verordnung und die Klärung, welche davon ab 2027 als Hochrisiko-KI gelten. Wer diese Landkarte nicht hat, kann die neue Aufsicht nicht bedienen.
Discussion
Sign in to join the discussion.
No comments yet. Be the first to share your thoughts.