BaFin-KI-Marktaufsicht seit Juli 2026: Analyse

Das wichtigste KI-Dokument in einer Bank ist selten die Model Card. Es ist die Governance-Akte, die jemand tatsächlich vorlegen kann, wenn eine Aufsicht fragt, wer das System genehmigt hat, was es tut und was passiert, wenn es versagt. Seit Juli 2026 hat diese Frage in Deutschland eine klarere institutionelle Zuständigkeit: die BaFin. Für Finanzunternehmen ist KI-Compliance von abstrakter EU-Architektur zu der nüchterneren, teureren Arbeit an Verzeichnissen, Kontrollen, Anbieterakten und Verantwortung auf Vorstandsebene geworden.

Die BaFin sitzt jetzt mit am Tisch

Banking.Vision berichtete am 27. Oktober 2026, dass die BaFin seit Juli 2026 für die KI-Marktaufsicht im Finanzsektor zuständig ist. Das ist wichtig, weil Banken und Versicherer bereits in dichten Aufsichtsregimen arbeiten. KI-Aufsicht wird daher nicht als separate neue Box dazukommen. Sie wird durch Risikomanagement, Auslagerung, Kontrollen und dokumentierte Verantwortlichkeit gelesen werden. Praktisch heißt das einfach: Wenn ein KI-System regulierte Finanzaktivitäten unterstützt, muss die Compliance-Akte so aussehen, dass die Aufsicht sie prüfen kann.

Der Zeitpunkt liegt in einer breiteren rechtlichen Abfolge. Die Website zum EU-Gesetz über künstliche Intelligenz sagt, dass der EU AI Act am 12. Juli 2024 im Amtsblatt der Europäischen Union veröffentlicht wurde. Das deutsche Bundesgesetzblatt veröffentlichte anschließend das nationale Durchführungsgesetz zur Verordnung (EU) 2024/1689 als „BGBl. 2026 I Nr. 223 vom 28.07.2026“ und bezeichnete es als Gesetz zur Durchführung der EU-Verordnung über harmonisierte KI-Vorschriften. Das ist der Teil, den LinkedIn gern überspringt: Eine unmittelbar geltende EU-Verordnung braucht trotzdem nationale Strukturen dafür, wer beaufsichtigt, wohin Beschwerden gehen und wie Durchsetzung organisiert wird.

@title Aufsichtsuhr für Finanz-KI
@source EU AI Act Bundesgesetzblatt
@source Banking Vision BaFin speech

  12 July 2024 ··· EU AI Act published
  July 2026 ······ BaFin AI role
  28 July 2026 ··· German law published
  1 Jan 2027 ····· WpI MaRisk applies

@caption Vier Termine, die Finanz-KI-Teams jetzt in den Kalender eintragen sollten.

Was sich vor dem ersten Aufsichtsschreiben ändert

Der deutsche Bericht von Banking.Vision formuliert den unangenehmen Punkt klar und sagt: „Viele Pflichten gelten für Banken und Versicherer schon heute.“ Auf Englisch: Warten Sie nicht auf eine feierliche Durchsetzungssaison, bevor Sie mit grundlegender Compliance-Arbeit beginnen. Für Banken und Versicherer ist die nützliche Frage nicht, ob ein Modell beeindruckend ist. Sie lautet, ob das Institut seine Nutzung klassifizieren, die Kontrollen dokumentieren, bei Bedarf menschliche Aufsicht nachweisen und Abhängigkeiten von Drittanbietern erklären kann.

Das bedeutet: KI-Verzeichnisse müssen zu operativen Aufzeichnungen werden, nicht zu Innovationstheater. Ein Kreditprozess mit KI-Unterstützung, ein Tool zur Vorsortierung von Versicherungsfällen oder ein Kundenservice-Assistent, der regulierte Prozesse berührt, sollte eine verantwortliche Person, einen Zweck, Dokumentation zu Eingaben und Ausgaben, Überwachungskriterien und Eskalationsverfahren haben. Anbieterverträge brauchen die langweiligen Klauseln: Zugang zu Dokumentation, Berichte zu Vorfällen und Leistung, Änderungsmitteilungen, Transparenz zu Subunternehmern und Mitwirkung bei Prüfungen. Wenn Ihr Einkaufsteam diese Bedingungen nicht bekommt, mag das Modell immer noch clever sein, aber der Einsatz ist nicht bereit für eine Aufsicht.

Risikomanagement ist die Brücke

Die eigene Sprache der BaFin zu Wertpapierinstituten weist in dieselbe Richtung. In einer Rede am 26. Oktober 2026 sagte Exekutivdirektor Thorsten Pötzsch, dass die neuen WpI MaRisk für Wertpapierinstitute ab dem 1. Januar 2027 gelten. Er sagte außerdem, dass der Rahmen Governance, Risikosteuerung, Kontrollfunktionen und Auslagerung in einem Regelwerk zusammenführt. Das ist als solches keine KI-Regel, zeigt Entwicklern aber, wo die BaFin Kontrollen erwartet.

Für Fintech-Teams, die an die deutsche Finanzbranche verkaufen, ist dies die Landkarte. Ein Käufer wird seltener nach einem Manifest über verantwortungsvolle KI fragen und häufiger nach Nachweisen, die in seinen bestehenden Risikomanagementprozess passen. Kann das System überwacht werden? Kann die Bank Modelländerungen erklären? Kann ein Versicherer eine angefochtene Ausgabe auf Daten, Prozess und die zuständige Kontrollfunktion zurückführen? Wenn die Antwort lautet: „Unsere Anwälte prüfen das“, übersetzen Sie das als: noch nicht einsetzbar in einem regulierten Arbeitsablauf.

Die Compliance-Akte, die jetzt aufgebaut werden sollte

Das Bundesgesetzblatt bestätigt, dass Deutschlands Durchführungsgesetz mit der EU-Verordnung 2024/1689 verknüpft ist, während Banking.Vision die Rolle der BaFin im Finanzsektor seit Juli 2026 beschreibt. Zusammengenommen ist die unmittelbare Aufgabe nicht, jede künftige Geldbuße vorherzusagen. Sie besteht darin, KI-Nutzung für die Aufsicht verständlich zu machen, die bereits für den Sektor zuständig ist.

Das praktische Mindestpaket ist wenig glamourös. Führen Sie ein KI-Nutzungsverzeichnis nach Geschäftsprozess, nicht nach experimentellem Team. Klassifizieren Sie Systeme nach den Kategorien des AI Act und nach Auswirkungen auf die Finanzregulierung, und speichern Sie die Begründung. Fügen Sie Governance-Genehmigungen, Anbieterbedingungen, Überwachungskennzahlen, Vorfallwege und Kriterien für die Außerbetriebnahme hinzu. Trennen Sie Marketingaussagen von den tatsächlichen Kontrollnachweisen, denn Aufsichten bewerten keine Adjektive.

Als Nächstes sollte man beobachten, wie die BaFin ihre Prüfungen und Feststellungen beschreibt, sobald die Finanz-KI-Aufsicht reifer wird. Bis dahin sollten Banken, Versicherer und Fintech-Anbieter die aktuelle Prüfung als Umsetzungsfahrplan behandeln. Die Unternehmen, die den Papierkram früh erledigen, werden KI-Risiken nicht verschwinden lassen. Sie werden aber zumindest wissen, wo diese Risiken liegen, wer sie verantwortet und welche Nachweise sie übergeben können, wenn die höfliche E-Mail der Aufsicht eintrifft.