Pengawasan pasar AI BaFin sejak Juli 2026: analisis

Dokumen AI terpenting di sebuah bank jarang sekali berupa model card. Biasanya, dokumen itu adalah berkas tata kelola yang benar-benar bisa ditunjukkan ketika pengawas bertanya siapa yang menyetujui sistem tersebut, apa fungsinya, dan apa yang terjadi ketika sistem itu gagal. Sejak Juli 2026, pertanyaan itu di Jerman memiliki pemilik kelembagaan yang lebih jelas: BaFin. Bagi perusahaan keuangan, kepatuhan AI telah bergeser dari arsitektur UE yang abstrak ke pekerjaan yang lebih membosankan dan lebih mahal: inventaris, kontrol, berkas vendor, dan akuntabilitas di tingkat dewan.

BaFin sekarang ikut terlibat

Banking.Vision melaporkan pada 27 Oktober 2026 bahwa BaFin telah memegang tanggung jawab atas pengawasan pasar AI di sektor keuangan sejak Juli 2026. Ini penting karena bank dan perusahaan asuransi sudah berada di dalam rezim pengawasan yang padat, sehingga pengawasan AI tidak akan hadir sebagai kotak baru yang terpisah. AI akan dibaca melalui manajemen risiko, outsourcing, kontrol, dan akuntabilitas terdokumentasi. Terjemahan praktisnya sederhana: jika sebuah sistem AI mendukung aktivitas keuangan yang teregulasi, berkas kepatuhannya perlu terlihat seperti sesuatu yang bisa disentuh oleh pengawasan.

Waktunya berada dalam rangkaian hukum yang lebih luas. Situs EU Artificial Intelligence Act menyatakan bahwa EU AI Act diterbitkan dalam Official Journal of the European Union pada 12 Juli 2024. Federal Law Gazette Jerman kemudian menerbitkan undang-undang implementasi nasional untuk Regulation (EU) 2024/1689 sebagai “BGBl. 2026 I Nr. 223 vom 28.07.2026,” yang mengidentifikasinya sebagai undang-undang yang mengimplementasikan regulasi UE tentang aturan AI yang diharmonisasi. Inilah bagian yang sering dilewati LinkedIn: regulasi UE yang berlaku langsung tetap membutuhkan perangkat nasional untuk menentukan siapa yang mengawasi, ke mana keluhan diajukan, dan bagaimana penegakan diarahkan.

@title Jam pengawasan AI keuangan
@source EU AI Act Bundesgesetzblatt
@source Banking Vision BaFin speech

  12 July 2024 ··· EU AI Act published
  July 2026 ······ BaFin AI role
  28 July 2026 ··· German law published
  1 Jan 2027 ····· WpI MaRisk applies

@caption Empat tanggal yang perlu dimasukkan tim AI keuangan ke kalender sekarang.

Apa yang berubah sebelum surat inspeksi pertama

Laporan Jerman dari Banking.Vision menyampaikan poin yang kurang nyaman secara lugas, dengan mengatakan “Viele Pflichten gelten für Banken und Versicherer schon heute.” Dalam bahasa Indonesia: jangan menunggu musim penegakan resmi untuk mulai melakukan pekerjaan kepatuhan dasar. Bagi bank dan perusahaan asuransi, pertanyaan yang berguna bukanlah apakah sebuah model mengesankan. Pertanyaannya adalah apakah institusi dapat mengklasifikasikan penggunaannya, mendokumentasikan kontrol, menunjukkan pengawasan manusia jika diperlukan, dan menjelaskan ketergantungan pada penyedia pihak ketiga.

Itu berarti inventaris AI perlu menjadi catatan operasional, bukan teater inovasi. Alur kerja kredit yang menggunakan dukungan AI, alat triase klaim asuransi, atau asisten layanan pelanggan yang menyentuh proses teregulasi harus memiliki pemilik, tujuan, dokumentasi input dan output, kriteria pemantauan, serta prosedur eskalasi. Kontrak vendor membutuhkan klausul-klausul yang membosankan: akses ke dokumentasi, pelaporan insiden dan kinerja, pemberitahuan perubahan, visibilitas subkontraktor, dan kerja sama audit. Jika tim pengadaan Anda tidak bisa mendapatkan ketentuan tersebut, modelnya mungkin tetap cerdas, tetapi penerapannya belum siap untuk pengawas.

Manajemen risiko adalah jembatannya

Bahasa BaFin sendiri tentang perusahaan investasi mengarah ke arah yang sama. Dalam pidato pada 26 Oktober 2026, direktur eksekutif Thorsten Pötzsch mengatakan bahwa WpI MaRisk baru untuk perusahaan investasi berlaku mulai 1 Januari 2027. Ia juga mengatakan bahwa kerangka tersebut menyatukan tata kelola, pengarah risiko, fungsi kontrol, dan outsourcing dalam satu buku aturan. Itu bukan aturan AI secara khusus, tetapi memberi tahu para pembangun di mana BaFin mengharapkan kontrol berada.

Bagi tim fintech yang menjual ke sektor keuangan Jerman, inilah petanya. Pembeli akan lebih jarang meminta manifesto tentang AI yang bertanggung jawab dan lebih sering meminta bukti yang dapat terhubung ke proses manajemen risiko mereka yang sudah ada. Bisakah sistem dipantau? Bisakah bank menjelaskan perubahan model? Bisakah perusahaan asuransi menelusuri output yang dipersengketakan kembali ke data, proses, dan fungsi kontrol yang bertanggung jawab? Jika jawabannya adalah “pengacara kami sedang meninjaunya,” terjemahkan itu sebagai belum dapat diterapkan dalam alur kerja teregulasi.

Berkas kepatuhan yang perlu dibangun sekarang

Federal Law Gazette mengonfirmasi bahwa undang-undang implementasi Jerman terkait dengan EU Regulation 2024/1689, sementara Banking.Vision mengidentifikasi peran BaFin di sektor keuangan sejak Juli 2026. Gabungkan keduanya, dan kewajiban langsungnya bukanlah memprediksi setiap denda di masa depan. Kewajibannya adalah membuat penggunaan AI dapat dipahami oleh pengawas yang sudah bertanggung jawab atas sektor tersebut.

Paket praktis minimum tidak glamor. Pelihara daftar penggunaan AI berdasarkan proses bisnis, bukan berdasarkan tim eksperimental. Klasifikasikan sistem terhadap kategori AI Act dan dampak regulasi keuangan, dengan alasan yang disimpan. Lampirkan persetujuan tata kelola, ketentuan vendor, metrik pemantauan, jalur insiden, dan kriteria penghentian. Pisahkan klaim pemasaran dari bukti kontrol yang sebenarnya, karena pengawas tidak menilai kata sifat.

Hal berikutnya yang perlu diperhatikan adalah bagaimana BaFin menggambarkan inspeksi dan temuannya setelah pengawasan AI keuangan semakin matang. Sampai saat itu, bank, perusahaan asuransi, dan pemasok fintech sebaiknya memperlakukan pengawasan saat ini sebagai peta jalan implementasi. Perusahaan yang mengerjakan dokumen lebih awal tidak akan membuat risiko AI hilang. Namun setidaknya mereka akan tahu di mana risikonya, siapa pemiliknya, dan bukti apa yang bisa mereka serahkan ketika email sopan dari pengawasan datang.