Der 29. Juli 2026 markiert eine Zeitenwende
Am 29. Juli 2026 hat die Bundesanstalt für Finanzdienstleistungsaufsicht neue, weitreichende Befugnisse erhalten. Ein entsprechendes Gesetz ist in Kraft getreten. Bafin-Chef Branson spricht von einem verbesserten Grundrechtsschutz für Kunden. Die Kernbotschaft: Die Aufsicht wird künftig aktiv den Einsatz Künstlicher Intelligenz bei allen von ihr beaufsichtigten Unternehmen prüfen und überwachen.
Das betrifft nicht nur große Banken und Versicherer. Es betrifft jeden, der in Deutschland eine Erlaubnis der BaFin hat. Vermögensverwalter, Finanzanlagenberater, Zahlungsdienstleister, Asset-Manager, Krypto-Verwahrer. Die Ära der freiwilligen Selbstverpflichtung bei KI ist vorbei.
Die neue Realität ist eine direkte Folge des EU-AI-Acts. Bisher fehlte der nationalen Aufsicht jedoch die gesetzliche Handhabe, um Hochrisiko-KI-Systeme konsequent zu prüfen. Diese Lücke hat der Gesetzgeber nun geschlossen. Die BaFin kann jetzt nicht nur fragen, sondern auch fordern: technische Dokumentation, Risikobewertungen, Konformitätsnachweise. Verstöße können sanktioniert werden. Bußgelder, Nachbesserungsaufforderungen, im Extremfall die Untersagung des Einsatzes.
Warum das jetzt sofort zählt
Bisher war KI-Regulierung für viele Finanzdienstleister ein theoretisches Konstrukt. Der EU-AI-Act war da, aber wer hat schon eine Prüfung erlebt? Mit diesem Gesetz bekommt die BaFin den Prüfungsstab in die Hand. Das bedeutet: Sie müssen damit rechnen, dass bei der nächsten Routineprüfung auch Ihre KI-Systeme unter die Lupe genommen werden. Die Prüfer kommen schneller, als Sie denken.
Konkret: Wenn Sie in der Kreditvergabe einen automatisierten Scoring-Algorithmus einsetzen, wird die BaFin fragen: Wie haben Sie das Modell trainiert? Welche Daten haben Sie verwendet? Wie stellen Sie sicher, dass es nicht diskriminiert? Haben Sie ein Bias-Monitoring? Wenn Sie in der Anlageberatung ein Tool nutzen, das Vorschläge macht, wird die BaFin die Geeignetheit des Algorithmus prüfen. Wenn Sie im Zahlungsverkehr Transaktions-Monitoring mit Machine Learning betreiben, wird die BaFin die False-Positive-Raten und die Modell-Governance sehen wollen.
Typisches Beispiel: Ein unabhängiger Vermögensverwalter, der ein Large Language Model für die Erstellung von Kundenreportings einsetzt. Bisher dachte er, das sei ein harmloses Produktivitätstool. Jetzt wird die BaFin fragen: Wie stellen Sie die Richtigkeit der generierten Texte sicher? Wer haftet, wenn das Modell eine falsche Wertentwicklung angibt? Solche Fragen sind neu. Sie treffen nicht nur die IT-Abteilung, sondern vor allem den Vorstand, den Compliance-Verantwortlichen, den Datenschutzbeauftragten.
Häufiges Muster: Ein Asset-Manager, der KI-basierte Research-Tools verwendet, um Investmentideen zu generieren. Diese Tools greifen auf externe Daten zu und liefern oft Quellen ohne klare Nachprüfbarkeit. Die BaFin wird nach der Validierung dieser Ergebnisse fragen und nach den Warnhinweisen, die Sie an Ihre Kunden weitergeben. Das betrifft die Sorgfaltspflicht nach § 31 WpHG.
Ein weiteres Muster: Im Bereich Krypto-Verwahrung und DeFi werden zunehmend Smart Contracts mit KI-gestützten Tools auditiert. Die BaFin könnte verlangen, dass diese Audits dokumentiert und die verwendeten Modelle validiert werden. Besonders dann, wenn es um die Sicherheit von Kundenvermögen geht. Die Beweislast liegt bei Ihnen.
Für Finanzberater und Honorarberater: Wenn Sie einen Robo-Advisor einsetzen, wird die BaFin die algorithmische Entscheidungsfindung prüfen. Ist der Algorithmus geeignet für die jeweilige Kundenrisikoklasse? Wie wird die Einhaltung der Geeignetheit sichergestellt? Die bisherige Praxis, einfach das Produkt eines Drittanbieters zu nutzen, wird nicht mehr ausreichen. Sie müssen die Funktionsweise verstehen und überwachen. Ihre Kontrollpflichten steigen.
Auch für CFOs im Mittelstand, die Finanzierungen mit KI-gestützten Scoring-Modellen beantragen, hat das Folgen. Die Kreditinstitute werden schärfer geprüft. Das kann dazu führen, dass die Kreditvergabe langsamer wird oder zusätzliche Nachweise für die Modelltransparenz verlangt werden. Das wirkt sich indirekt auf die gesamte Wirtschaft aus.
Im Zahlungsverkehr ist Echtzeit-Fraud-Detection mit Machine Learning Standard. Die BaFin wird die Modellqualität und die Aktualisierungszyklen prüfen. Werden die Modelle regelmäßig mit neuen Betrugsmustern trainiert? Gibt es eine Fallback-Strategie, wenn das Modell ausfällt? Auch die Erklärbarkeit von Entscheidungen wird wichtiger: Warum wurde eine bestimmte Transaktion blockiert? Das muss nachvollziehbar sein. Diese Transparenz ist kein Nice-to-have, sondern eine regulatorische Pflicht.
All diese Szenarien zeigen: Die neuen Befugnisse der BaFin sind nicht abstrakt, sondern treffen den Kern vieler Geschäftsprozesse. Die Aufsicht wird nicht nur die technische Performance prüfen. Sie wird die gesamte Governance betrachten. Schriftliche Richtlinien, dokumentierte Verantwortlichkeiten, regelmäßige Audits. Der EU-AI-Act klassifiziert viele KI-Systeme in der Finanzbranche als Hochrisiko. Das erfordert eine umfassende Konformitätsbewertung. Mit dem neuen Gesetz hat die BaFin nun die Werkzeuge, diese Bewertungen auch durchzusetzen und zu sanktionieren.
Drei Schritte, um jetzt handlungsfähig zu bleiben
Die gute Nachricht: Sie können vorsorgen. Die schlechte: Der Zeitrahmen ist eng. Hier sind drei konkrete Schritte, die Sie sofort einleiten sollten.
Schritt 1: Erstellen Sie ein vollständiges KI-Inventar
Sie können nur beaufsichtigen, was Sie kennen. Der erste Schritt ist eine lückenlose Bestandsaufnahme aller Systeme, die KI oder maschinelles Lernen einsetzen. Das umfasst nicht nur die offensichtlichen Core-Modelle im Risikomanagement. Es umfasst auch ChatGPT-Lizenzen im Vertrieb, automatisierte Übersetzungstools in der Kommunikation, Smart-Contract-Prüfungen im Krypto-Bereich. Listen Sie jedes System auf. Notieren Sie den Zweck, die verwendeten Daten, den Anbieter und die bisherige Dokumentation. Diese Transparenz ist die Basis für alles Weitere. Erfassen Sie dabei ausdrücklich auch die Schatten-IT: Tools, die Fachbereiche eigenständig einsetzen, ohne dass die IT-Abteilung davon weiß. In meiner Praxis erlebe ich regelmäßig, dass die Zahl der ungesteuerten KI-Anwendungen unterschätzt wird.
Schritt 2: Führen Sie eine Lückenanalyse zum EU-AI-Act durch
Der EU-AI-Act ist der gesetzliche Rahmen. Prüfen Sie für jedes inventarisierte System die Risikoklassifizierung. Ist es Hochrisiko? Welche Pflichten ergeben sich daraus? In der Regel benötigen Sie eine technische Dokumentation, ein Risikomanagement-System, menschliche Aufsicht und Protokollierung. Vergleichen Sie Ihre bestehenden Prozesse mit diesen Anforderungen. Identifizieren Sie Lücken. Besonders kritisch: die Daten-Governance. Viele Modelle wurden mit unzureichend dokumentierten oder voreingenommenen Daten trainiert. Das müssen Sie bereinigen. Typische Lücken, die mir in Audits begegnen: fehlende Bias-Tests, fehlende Modell-Dokumentation, unzureichende Protokollierung von Modelländerungen. Gerade bei Modellen, die kontinuierlich dazulernen, ist das Nachweisproblem groß. Holen Sie diese Dokumentation jetzt nach. Sie gewinnen Zeit, bevor die Prüfer kommen.
Schritt 3: Suchen Sie sich fachkundige Begleitung
Die Schnittstelle zwischen KI-Technik und Finanzregulierung ist komplex. Ihr klassischer Wirtschaftsprüfer oder Ihr IT-Dienstleister allein wird die neuen BaFin-Prüfungen nicht abdecken können. Sie brauchen Expertise, die beide Welten versteht. Das können interne Teams sein, wenn Sie diese aufbauen können, oder spezialisierte externe Berater. Achten Sie auf Referenzen im Finanzsektor und auf profunde Kenntnis der BaFin-Praxis. Ein KI-Berater, der noch nie eine MaRisk-Prüfung gesehen hat, wird scheitern. Ein Regulierungsexperte, der keine Modellvalidierung versteht, ebenso. Die Kombination ist selten und wertvoll. Investieren Sie hier gezielt.
Die Kosten des Nichtstuns sind höher als die Investition in Compliance. Ein formeller Bescheid der BaFin mit der Aufforderung, ein System nachzubessern, kostet Zeit, Geld und Vertrauen. Besser, Sie handeln jetzt.
Aus meiner Sicht: Die vernünftige Ordnung eines Wildwuchses
Ich begrüße diesen Schritt. Die Finanzbranche hat in den letzten Jahren einen enormen Wildwuchs bei KI erlebt. Vieles davon war innovativ und wertvoll. Aber ohne klare Regeln entstanden auch Risiken: unfaire Kreditentscheidungen, falsche Beratungsimpulse, intransparente Modelle. Die BaFin bekommt nun die Möglichkeit, einen vernünftigen Ordnungsrahmen durchzusetzen. Das schützt letztlich auch die Anbieter, denn es schafft Vertrauen bei Kunden und reduziert Haftungsrisiken.
Mein Rat an Sie: Betrachten Sie die neuen BaFin-Befugnisse nicht als Feind, sondern als Anlass für einen dringend nötigen Frühjahrsputz. Wer heute seine KI-Governance ordnet, wird morgen im Wettbewerb die Nase vorn haben. Denn der Trend zu mehr Transparenz und Qualität ist unumkehrbar. Das Gesetz vom 29. Juli ist nicht das Ende, sondern der Anfang einer Entwicklung, die mehr Sicherheit und Stabilität in die digitalisierte Finanzwelt bringt. Genau das brauchen wir.