BaFin-Marktüberwachung für KI im Finanzsektor

• Die BaFin überwacht künftig KI-Systeme, soweit sie unmittelbar regulierte Finanzgeschäfte betreffen.
• Betroffen sind vor allem Banken, Versicherer und weitere beaufsichtigte Finanzunternehmen.
• Im Mittelpunkt stehen Transparenz, Diskriminierungsfreiheit, wirksames Risikomanagement und menschliche Korrigierbarkeit.
• Verbotene KI-Praktiken gelten bereits seit 2. Februar 2025; erste Transparenzpflichten ab 2. August 2026.
• Anforderungen an Hochrisiko-KI, etwa bei Kreditwürdigkeitsprüfung und Risikobewertung in Lebens- und Krankenversicherung, greifen ab 2. Dezember 2027.

Sachverhalt

Mit dem Durchführungsgesetz zur europäischen KI-Verordnung erhält die BaFin die Marktüberwachung für KI-Systeme im Finanzsektor. Zuständig ist sie nur, wenn das System in direktem Zusammenhang mit einer regulierten Finanztätigkeit steht, etwa bei Kreditvergabe, Risikobewertung oder kundenbezogener Finanzdienstleistung. KI-Anwendungen ohne solchen Bezug, etwa im Personalbereich, fallen nicht unter diese BaFin-Zuständigkeit. Die Aufsicht wird mit der laufenden Unternehmensaufsicht verzahnt. Für Institute bedeutet das: KI-Einsatz wird nicht nur technisch oder rechtlich, sondern auch als Teil der Geschäftsleitungsverantwortung geprüft.

Quelle: Aktuelles & Presse - Überwachung von KI: Bafin erhält neue Kompetenzen - Bafin

Rechtliche Bewertung

Entscheidend ist zunächst die saubere Einordnung jedes KI-Systems. Unternehmen müssen festlegen und dokumentieren, ob eine Anwendung verboten ist, Transparenzpflichten auslöst, als Hochrisiko-KI gilt oder außerhalb der BaFin-Zuständigkeit liegt. Maßstab ist, ob das KI-Ergebnis ein beaufsichtigtes Finanzgeschäft wesentlich vorbereitet, beeinflusst oder bestimmt. Fehler bei dieser Einordnung können zu Bußgeldern, Nutzungsuntersagungen und aufsichtsrechtlichen Folgefragen führen.

Für Hochrisiko-KI verlangt die KI-Verordnung einen nachweisbaren Kontrollrahmen über den gesamten Lebenszyklus. Dazu gehören Risikomanagement, Datenqualität, Prüfung auf Verzerrungen, technische Belastbarkeit, Protokollierung, menschliche Aufsicht mit echter Eingriffsmöglichkeit sowie Überwachung nach Inbetriebnahme. Besonders relevant sind Kreditwürdigkeitsprüfungen sowie Risikobewertungen in der Lebens- und Krankenversicherung. Wer eigene Modelle entwickelt oder zugekaufte Systeme einsetzt, muss Rollen, Verantwortlichkeiten und Nachweise klar zuordnen.

Bei kundennahem Einsatz, etwa Chatbots, müssen Institute verständlich kenntlich machen, dass Kundinnen und Kunden mit KI interagieren. Zugleich sind Geschäftsgeheimnisse zu schützen. Praktikabel sind kurze Hinweise an der Kundenschnittstelle, ergänzt durch leicht auffindbare Erläuterungen. Bei Kreditbewertung, Preisgestaltung und Risikoprüfung sind Diskriminierungsrisiken besonders sensibel: Institute brauchen nachvollziehbare Tests, klare Eskalationswege und die Möglichkeit, automatisierte Ergebnisse fachlich zu prüfen, zu korrigieren oder rückgängig zu machen.

Fazit

Für Geschäftsleitungen ergibt sich ein klarer Handlungsauftrag: erstens ein vollständiges KI-Inventar erstellen, zweitens jeden Anwendungsfall rechtlich einstufen, drittens verbotene Praktiken ausschließen, viertens Transparenzhinweise für kundennahe Systeme vorbereiten und fünftens Hochrisiko-Anwendungen mit belastbaren Kontrollen, Zuständigkeiten und Lieferantenregelungen absichern. Die Interne Revision sollte KI risikoorientiert in ihre Prüfplanung aufnehmen. Entscheidend ist, dass Klassifikation, Nachweise, Verantwortlichkeiten und Eingriffsmöglichkeiten jederzeit prüfbar vorliegen.