Bafin überwacht künftig finanzbezogene KI-Systeme
Im Rahmen der europäischen KI-Verordnung (AI Act) erhält die Bafin vom deutschen Gesetzgeber neue Kompetenzen. Die Behörde überwacht künftig KI-Systeme von Unternehmen des Finanzsektors, damit auch von Kreditinstituten und Versicherern.
Eckpunkte:
- Bafin künftig zuständig für Überwachung der Einhaltung der Anforderungen aus der KI-Verordnung (AI Act)
- KI-Verordnung als Ergänzung bestehender Regelungen
- Schutz von Grundrechten
- Anwendung pragmatisch, stichprobenbezogen
- Erste Transparenzpflichten ab 2. August 2026
Der deutsche Gesetzgeber erweitert das Mandat der Finanzaufsicht Bafin. Die Behörde übernimmt die Marktüberwachung für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen. Die neue Zuständigkeit erstrecke sich auf Kreditinstitute, Versicherer und andere Finanzunternehmen unter Aufsicht der Bafin, schreibt die Behörde am Mittwoch in einer Mitteilung.
Grundlage für die neue Regulatorik ist das Gesetz zur Durchführung der europäischen Verordnung über Künstliche Intelligenz, das am Mittwoch in Kraft getreten ist. Die KI-Verordnung der EU ist auch asl„AI Act“ bekannt. Aufgrund ihres neuen Mandats werde die Bafin künftig überwachen, ob die beaufsichtigten Unternehmen die Anforderungen der KI-Verordnung einhalten.
„Die KI-Verordnung ergänzt die bestehende Regulierung des Finanzmarktes. Sie schafft einen Rahmen, in dem Unternehmen Innovationen verantwortungsvoll vorantreiben können“, betont Bafin-Präsident Mark Branson. Bereits heute setzten Finanzunternehmen auf vielfältige Weise KI ein. „Die Menschen müssen sich darauf verlassen können, dass ihre Grundrechte beim Einsatz von KI geschützt werden. Die Bafin wird zum Beispiel dafür sorgen, dass alle einen fairen Zugang zu Finanzdienstleistungen haben und niemand durch KI diskriminiert wird.“
Die Bafin werde die Marktüberwachung für KI-Systeme eng mit ihrer laufenden Unternehmensaufsicht abstimmen. „Beim Einsatz von KI sind Transparenz, Diskriminierungsfreiheit und ein wirksames Risikomanagement zentral“, sagt Branson. Entscheidungen müssten weiterhin von Menschen korrigiert und rückgängig gemacht werden können. „Die Verantwortung für den Einsatz von KI liegt bei den beaufsichtigten Unternehmen und ihren Geschäftsleitungen.“
Beginn: 2. August 2026
Die ersten Transparenzpflichten der KI-Verordnung gelten ab dem 2. August 2026. Ab dem 2. Dezember 2027 greifen die Anforderungen an Hochrisiko-KI-Systeme. „Wir erwarten von den Unternehmen, dass sie sich ausführlich mit der KI-Verordnung auseinandersetzen“, sagt Branson. „Wir alle haben das gleiche Ziel: KI soll einen Mehrwert stiften. Dafür müssen die Modelle sicher und fair gestaltet sein."
Bestimmte KI-Praktiken sind laut Bafin bereits seit dem 2. Februar 2025 verboten. Darunter fielen Systeme, die besonders schützenswerte Informationen über Menschen sammeln und bewerteten, was zu einer ungerechtfertigten Benachteiligung von Menschen führen könne.
Die Marktüberwachung der Bafin beschränkt sich laut Mitteilung auf KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen. Andere KI-Anwendungen, etwa im Personalmanagement von Finanzunternehmen, fallen in den Zuständigkeitsbereich der Bundesnetzagentur. Bei Verstößen gegen die KI-Verordnung kann die Bafin Bußgelder verhängen.
In direktem Zusammenhang mit regulierter Tätigkeit
Auf der Bafin-Website erläutert Jens Obermöller, Leiter der Abteilung Cyberrisiken und Technologie im Finanzsektor, unter anderem, wie die Bafin bei der Überwachung von KI-Systeme vorgehen will. „Wir schauen uns an, wie Banken, Versicherer und andere Finanzunternehmen KI in direktem Zusammenhang mit einer regulierten Finanztätigkeit einsetzen. Wir sind also dann am Zug, wenn Unternehmen KI für die Tätigkeiten einsetzen, für die sie unsere Erlaubnis brauchen. Also zum Beispiel für Bankgeschäfte und Versicherungsgeschäfte."
Man konzentriere sich auf die KI-Systeme, „die mit unserem Kernmandat zusammenhängen", erklärt Obermöller. In der Praxis ginge man dabei pragmatisch und risikoorientiert vor. Man werde sich Anwendungen stichprobenhaft anschauen.
Von Dezember 2027 an kümmere man sich dann auch um Hochrisiko-KI, so Obermöller. Darunter fielen zum Beispiel KI-Systeme, die Versicherer zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung einsetzen. KI könne hier zum Beispiel berechnen, welche individuellen Zuschläge ein Kunde oder eine Kundin zahlen muss. Bei Banken und anderen Finanzunternehmen meint man damit in der Regel die KI-Systeme für die Prüfung der Kreditwürdigkeit und Bonität natürlicher Personen. (de)