BaFin übernimmt KI-Aufsicht im Finanzsektor: Warum Finanzunternehmen jetzt handeln sollten

Deutschland bündelt die Aufsicht über KI-Systeme von Finanzunternehmen künftig zentral bei einer Behörde. Die BaFin übernimmt für Banken, Versicherungen und andere beaufsichtigte Finanzunternehmen die Marktüberwachung von KI-Systemen, die in direktem Zusammenhang mit regulierten Finanzdienstleistungen stehen. Grundlage ist das Gesetz zur Durchführung der europäischen KI-Verordnung, das bereits in Kraft getreten ist. 

Das ab dem 29. Juli 2026 geltende Begleitgesetz KI-MIG (KI-Marktüberwachungs- und Innovationsförderungsgesetz) bestimmt, dass die BaFin die Einhaltung der Anforderungen kontrolliert und bei Verstößen Bußgelder verhängen kann. 

Die Zuständigkeit der BaFin richtet sich nicht nach der Größe eines Unternehmens, sondern danach, ob KI im Rahmen einer regulierten Finanzdienstleistung eingesetzt wird. Die Aufsicht umfasst insbesondere Banken, Versicherungen und andere Finanzunternehmen, die KI für erlaubnispflichtige Tätigkeiten wie Kreditvergabe, Anlageberatung oder Versicherungsgeschäfte nutzen. Damit knüpft die Zuständigkeit der BaFin an ihre Aufgabe an, die Stabilität des Finanzmarkts sowie den Schutz von Kunden und Verbrauchern sicherzustellen. Anwendungen ohne direkten Bezug zu regulierten Finanzdienstleistungen, beispielsweise im Personalwesen oder Recruiting, fallen grundsätzlich nicht in ihren Aufsichtsbereich; hierfür ist im Rahmen des EU AI Acts grundsätzlich die Bundesnetzagentur als zuständige Marktüberwachungsbehörde verantwortlich.

Viele Unternehmen verbinden die europäische KI-Verordnung (EU AI Act) vor allem mit den Anforderungen an Hochrisiko-KI-Systeme. Die BaFin macht aber in Veröffentlichungen deutlich, dass bereits heute konkrete Pflichten bestehen.

In ihrem Fokus stehen insbesondere die KI-Kompetenz der Mitarbeitenden, die Einhaltung von Transparenzpflichten sowie die Vermeidung verbotener KI-Praktiken. Unternehmen müssen sicherstellen, dass Mitarbeitende über ausreichendes Wissen zum verantwortungsvollen Umgang mit KI verfügen. Gleichzeitig müssen Nutzer erkennen können, wenn sie mit einer KI interagieren oder Inhalte künstlich erzeugt wurden. 

Die vielleicht wichtigste Botschaft der BaFin lautet: KI-Governance sollte nicht als isoliertes Compliance-Projekt aufgebaut werden. Erfolgreiche Finanzunternehmen werden bestehende Prozesse aus Informationssicherheit, Risikomanagement, Datenschutz und Compliance nutzen und gezielt um KI-Anforderungen erweitern. 

Die europäische KI-Verordnung sollte nicht losgelöst von bestehenden regulatorischen Anforderungen betrachtet werden. Die Aufsicht verweist ausdrücklich auf etablierte Governance- und Kontrollstrukturen sowie auf DORA als bestehenden Ordnungsrahmen. 

Das unterstreichen auch EBA, EIOPA und ESMA. Sie fordern eine verbesserte Governance und eine einheitliche, sektorübergreifende Aufsicht, um die IKT-Risiken durch innovative KI-Modelle im Finanzsektor zu reduzieren.

In vielen Häusern fehlt noch immer ein vollständiger Überblick über den tatsächlichen KI-Einsatz. Genau hierin dürfte künftig eines der wichtigsten Prüfungsthemen liegen.

Nur wer seine KI-Systeme identifiziert, klassifiziert und dokumentiert hat, kann regulatorische Anforderungen effizient erfüllen. Ein zentrales KI-Register schafft die Grundlage für Risikobewertungen, Nachweise gegenüber Prüfern und eine wirksame Governance. Die BaFin empfiehlt hierbei ausdrücklich, vorhandene Inventare und Asset-Register als Ausgangspunkt zu nutzen. 

Zusätzliche Orientierung bieten die Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen der BaFin sowie die DIN EN 18286 für KI-Qualitätsmanagementsysteme. Beide zeigen, wie Verantwortlichkeiten, Prozesse und Kontrollen rund um KI strukturiert aufgebaut werden können und unterstützen Finanzunternehmen dabei, die Anforderungen der europäischen KI-Verordnung praktikabel umzusetzen. 

Die neue Rolle der BaFin ist mehr als eine organisatorische Änderung. Sie macht deutlich, dass der Einsatz von KI künftig ein regulärer Bestandteil der Finanzaufsicht wird. Wer jetzt Transparenz über seine KI-Systeme schafft, Verantwortlichkeiten definiert und KI-Governance mit bestehenden Initiativen wie DORA verzahnt, schafft nicht nur die Grundlage für regulatorische Compliance. Er stärkt zugleich das Vertrauen in den verantwortungsvollen Einsatz von KI und stellt die Weichen für eine nachhaltige KI-Transformation im Finanzsektor.

Dieser Artikel entstand unter Mitwirkung von Lena Münstermann.