KI-Aufsicht: Bafin wird Marktüberwachungsbehörde

Bafin übernimmt die KI-Marktüberwachung

Mit Inkrafttreten des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) ist die Bafin Marktüberwachungsbehörde für KI-Systeme, die in unmittelbarem Zusammenhang mit regulierten Finanztätigkeiten stehen. Damit wird die Einhaltung des EU AI Act Teil der praktischen Finanzaufsicht. Für horizontale Anwendungen, etwa im Recruiting oder in der allgemeinen Verwaltung, kann dagegen die Bundesnetzagentur zuständig sein. Institute sollten diese Zuordnung je KI-Anwendung nachvollziehbar dokumentieren.

Gestaffelte Pflichten und wichtige Stichtage

Die Verbote bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz gelten bereits seit dem 2. Februar 2025. Seit dem 2. August 2026 sind insbesondere die Transparenzpflichten für Chatbots, synthetische Inhalte und Deepfakes zu beachten. Die Anforderungen an die einschlägigen Hochrisiko-KI-Systeme greifen ab dem 2. Dezember 2027. Dazu zählen vor allem Systeme zur Kreditwürdigkeitsprüfung natürlicher Personen sowie zur Risiko- und Preisbewertung in der Lebens- und Krankenversicherung.

Rollen und Risiken richtig einordnen

Der Pflichtenumfang hängt wesentlich davon ab, ob ein Finanzunternehmen Anbieter, Betreiber oder nachgelagerter Anbieter ist. Auch ein zunächst als Betreiber auftretendes Institut kann durch Eigenentwicklung, wesentliche Veränderung oder Zweckänderung zum Anbieter werden. Die Rollenbestimmung sollte deshalb Bestandteil des KI-Inventars und jedes Freigabeprozesses sein.

Sechs Prioritäten für die Umsetzung

Finanzunternehmen sollten ihre KI-Aufsicht insbesondere auf folgende Maßnahmen ausrichten:

• ein vollständiges KI-Inventar mit Risikoklasse, Rolle und zuständiger Behörde aufbauen;
• Verantwortlichkeiten entlang der drei Verteidigungslinien festlegen;
• rollenbasierte Programme zur KI-Kompetenz dokumentieren;
• Transparenzhinweise und Kennzeichnungsprozesse anwendungsbezogen umsetzen;
• eine Hochrisiko-Roadmap bis zum 2. Dezember 2027 etablieren; und
• Verträge mit KI-Dienstleistern um risikoadäquate Informations-, Audit-, Protokollierungs-, Änderungs- und Kooperationsrechte ergänzen.

Die neue KI-Aufsicht steht nicht isoliert neben bestehenden Vorgaben. Sie ist mit DORA, MaRisk, DSGVO, dem Modellrisikomanagement und den Auslagerungsanforderungen zu verzahnen. Geschäftsleitungen sollten KI-Governance daher nicht als reines IT- oder Innovationsthema behandeln, sondern als Bestandteil ihrer Compliance-, Governance- und Organisationsverantwortung.