Die Bafin erhält neue Kompetenzen für die Überwachung von KI-Systemen im Finanzsektor. Grundlage ist das deutsche Durchführungsgesetz zur europäischen KI-Verordnung, das am 29. Juli 2026 in Kraft getreten ist. Zuständig ist die Bafin künftig für KI-Systeme, die in direktem Zusammenhang mit regulierten Finanztätigkeiten stehen.
Für Banken, Versicherer und andere beaufsichtigte Finanzunternehmen ist das mehr als eine formale Zuständigkeitsfrage. Die Ankündigung zeigt: Die Aufsicht betrachtet KI künftig stärker als Teil bestehender Governance- und Risikomanagementprozesse. Die Bafin will ihre Marktüberwachung eng mit der laufenden Unternehmensaufsicht abstimmen. Damit behandelt sie KI nicht als isoliertes Technologiethema, sondern als Teil eines regulierten Geschäftsbetriebs.
Besonders relevant werden Anwendungen, die Entscheidungen mit direkter Wirkung auf Kunden unterstützen oder beeinflussen. Die Bafin nennt unter anderem Systeme zur Kreditwürdigkeitsprüfung bei Banken sowie Systeme zur Risikobewertung in der Lebens- und Krankenversicherung. Für Hochrisiko-KI-Systeme greifen die entsprechenden Anforderungen nach Angaben der Bafin ab dem 2. Dezember 2027. Erste Transparenzpflichten gelten bereits ab dem 2. August 2026.
Die genannten Fristen sind Teil der gestaffelten Umsetzung der europäischen KI-Verordnung. Mit den jüngsten Anpassungen im Rahmen des KI-Omnibus wurden insbesondere für Hochrisiko-KI-Systeme wichtige Zeitpläne angepasst. Was sich konkret ändert, haben wir bereits in einem separaten Beitrag zum KI-Omnibus eingeordnet.
Warum diese Entwicklung für Finanzunternehmen wichtig ist
Viele Finanzunternehmen nutzen datenbasierte und automatisierte Verfahren bereits seit Jahren, etwa in der Betrugserkennung, im Risikomanagement, in der Kundenkommunikation oder bei Kredit- und Versicherungsentscheidungen. Die Regulierung von Technologie ist im Finanzsektor nicht Neues. Durch die KI-Verordnung werden Anforderungen an Transparenz, Diskriminierungsfreiheit, menschliche Aufsicht und Risikomanagement nun aber stärker an konkrete KI-Systeme geknüpft. Bafin-Präsident Mark Branson betont, dass Entscheidungen weiterhin von Menschen korrigiert und rückgängig gemacht werden können müssen. Für den Einsatz von KI bleiben die beaufsichtigten Unternehmen und ihre Geschäftsleitungen verantwortlich.
Im Mittelpunkt stehen damit die Steuerbarkeit, Absicherung und Nachweisbarkeit des konkreten KI-Einsatzes im Unternehmen sowie die wirksame Kontrolle externer Dienstleister, die Modelle, Schnittstellen oder vollständige KI-Systeme bereitstellen.
Für Unternehmen bedeutet das unter anderem, folgende Punkte zu klären:
- Welche Daten fließen ein?
- Wie wirken Modelle und Entscheidungen zusammen?
- Wo entstehen Risiken für Kunden oder für das Unternehmen selbst?
- Wie stellen Organisationen sicher, dass menschliche Kontrollmöglichkeiten nicht nur formal bestehen, sondern im Betrieb tatsächlich greifen?
- Und ab wann zählt ein statistisches Verfahren als KI?
Unsere Einordnung: AI Assurance wird zur Voraussetzung für belastbaren Einsatz
Für regulierte Unternehmen bestätigt die Bafin-Ankündigung eine Entwicklung, die vielerorts bereits sichtbar ist: Im Finanzsektor reicht nicht allein die Leistungsfähigkeit eines KI-Systems. Unternehmen müssen dessen Einsatz nachvollziehbar, steuerbar und sicher gestalten und dies gegenüber Prüfern belegen können.
„Bestehende Governance- und Risikostrukturen bieten dafür bereits wichtige Anknüpfungspunkte: DORA, Informationssicherheitsmanagement, Auslagerungsmanagement, interne Kontrollen und Incident-Prozesse. Die Herausforderung besteht darin, regulatorische Anforderungen, technische Sicherheitsprüfungen und die Nachweisfähigkeit von KI-Systemen zusammenzuführen. Genau dieses Zusammenspiel verstehen wir unter AI Assurance.“
Dr. Christian Schwartz, Vorstand usd Security Consulting, usd AG
Unternehmen sollten deshalb frühzeitig erfassen, welche KI-Systeme sie einsetzen, welche davon regulatorisch besonders relevant sind und wie bestehende Kontroll- und Sicherheitsstrukturen gezielt erweitert werden können.
Die offizielle Pressemeldung der Bafin finden Sie hier.
