Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) ist zur Marktüberwachungsbehörde für künstliche Intelligenz bei Banken, Versicherern, Wertpapierfirmen und weiteren beaufsichtigten Unternehmen ernannt worden. Grundlage ist das Gesetz zur Durchführung der Verordnung (EU) 2024/1689 (KI-MIG), das am 29. Juli 2026 in Kraft getreten ist. Die BaFin prüft künftig, ob die beaufsichtigten Unternehmen die Anforderungen der KI-Verordnung für KI-Systeme einhalten, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen, und kann bei Verstößen Bußgelder verhängen.
BaFin-Präsident Mark Branson beschreibt den Schritt als Ergänzung der bestehenden Finanzmarktaufsicht. „Die KI-Verordnung ergänzt die bestehende Regulierung des Finanzmarktes. Sie schafft einen Rahmen, in dem Unternehmen Innovationen verantwortungsvoll vorantreiben können", so Branson. Die Designation war als nationale Voraussetzung vor den EU-Fristen vom 2. August 2026 für Hochrisiko-KI und Art. 50-Transparenz erwartet worden; sie ist in der Pressemitteilung der BaFin vom 29. Juli 2026 veröffentlicht worden.
Wer unterliegt der KI-Aufsicht der BaFin, und was umfasst sie?
Zum Zuständigkeitsbereich der BaFin gehören Kreditinstitute, Versicherer und sonstige Finanzunternehmen unter ihrer Aufsicht, allerdings nur für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen. Konkret rückt damit drei Pflichtenblöcke der KI-Verordnung in den Fokus der BaFin: Transparenzpflichten für KI-Systeme, die unmittelbar mit Menschen interagieren, etwa Chatbots in der Kundenkommunikation (Art. 50); die Verbote bestimmter KI-Praktiken nach Art. 5, bereits seit dem 2. Februar 2025 anwendbar; und Hochrisiko-KI-Systeme, namentlich die Kreditwürdigkeitsprüfung der Banken und die Risikobewertung der Versicherer in der Lebens- und Krankenversicherung.
Die BaFin wird ihre KI-Marktüberwachung eng mit der laufenden Unternehmensaufsicht abstimmen, sagte Branson. Transparenz, Diskriminierungsfreiheit und ein wirksames Risikomanagement seien die zentralen Erwartungen. Entscheidungen müssten weiterhin von Menschen korrigiert und rückgängig gemacht werden können; die Verantwortung für den KI-Einsatz bleibe bei den beaufsichtigten Unternehmen und ihren Geschäftsleitungen.
Was müssen Finanzunternehmen tun, und bis wann?
Die Pflichten der KI-Verordnung greifen gestaffelt, und die Überwachung der BaFin setzt bei jeder Stufe an, sobald sie verbindlich wird. Unternehmen sollten ihren KI-Bestand jetzt gegen diese Stufenleiter prüfen.
| Meilenstein der KI-VO | Datum | Was die BaFin prüft |
|---|---|---|
| Verbotene KI-Praktiken (Art. 5) | 2. Februar 2025 | Keine verbotenen Systeme im Einsatz, auch keine, die besonders schutzwürdige personenbezogene Daten sammeln und bewerten und so zu ungerechtfertigter Benachteiligung führen |
| Art. 50-Transparenz (Chatbots, Emotionserkennung) | 2. August 2026 | Kunden werden über KI-Interaktion informiert; generierte Inhalte werden gekennzeichnet |
| Hochrisiko-KI (Anhang III, namentlich Kreditwürdigkeitsprüfung und Versicherungsrisiko) | 2. Dezember 2027 | Risikomanagement, Datengovernance, menschliche Überwachung, Protokollierung und Konformität für Hochrisikosysteme |
Wie teilt sich die KI-Zuständigkeit zwischen BaFin und Bundesnetzagentur?
Das KI-MIG macht die Bundesnetzagentur (BNetzA) zur zentralen Marktüberwachungs- und Notifizierungsbehörde, die das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) einrichtet. Die BaFin ist sektorale Marktüberwachungsbehörde für Finanzdienstleistungen nach § 2 Abs. 3 KI-MIG. Die Trennlinie ist funktionell: Die BaFin zuständig für KI im direkten Zusammenhang mit einer regulierten Finanztätigkeit; andere KI-Anwendungen desselben Unternehmens, etwa im Personalwesen, fallen an die BNetzA. Ein einziges internes KI-Register deckt also nicht zwangsläufig nur eine Aufsichtsbehörde ab.
Welche Bußgelder und Sanktionen kann die BaFin verhängen?
Die BaFin kann bei Verstößen gegen die KI-Verordnung Bußgelder verhängen. Nach Art. 99 KI-VO, angewendet über § 15 KI-MIG i. V. m. § 30 OWiG, drohen bei den schwersten Verstößen, einschließlich der Art. 5-Verbote, Bußgelder bis zu 35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist. Die BaFin signalisiert, dass sie die KI-Marktüberwachung zusätzlich zur bestehenden Aufsicht durchführt, nicht an deren Stelle, wobei das KI-MIG-Gesetz (BGBl. 2026 I Nr. 223) die nationale Grundlage bildet.
Nutzen Sie diese Echtzeit-Überwachung
Für Compliance- und Risikoverantwortliche bei BaFin-aufsichtigen Unternehmen lautet die Checkliste: prüfen, ob ein eigenes oder fremdvergebenes KI-System eine regulierte Finanztätigkeit berührt, und es dem Zuständigkeitsbereich der BaFin zuordnen; die Art. 50-Auszeichnung für jeden kundenseitigen Chatbot vor dem 2. August 2026 sicherstellen; den aktuellen KI-Einsatz gegen die bereits geltenden Art. 5-Verbote screenen; und das Governance-, Daten- und Menschaufsichts-Gerüst aufbauen, das Hochrisiko-KI in Kredit und Versicherung bis zum 2. Dezember 2027 braucht. Eine kontinuierliche, nach Jurisdiktion gegliederte Überwachung meldet genau dann, wenn eine nationale Behörde wie die BaFin eine solche Designation veröffentlicht.
