Was passiert ist
Die Europäische Kommission hat Ende August 2026 begonnen, das EU-KI-Gesetz aktiv durchzusetzen. Wie der Branchendienst Tokenstead berichtet, gehen erste Informationsanfragen, sogenannte RFIs, an Anbieter von Allzweck-KI-Modellen. Die Anfragen betreffen Sicherheits- und Transparenzpflichten aus dem AI Act. Sie sind noch keine Sanktionen. Aber sie zeigen: Brüssel meint es ernst.
Der AI Act trat bereits im August 2024 in Kraft. Viele Pflichten gelten jedoch erst seit dem 2. August 2026. Für Anbieter von Allzweck-KI-Modellen, kurz GPAI, sind das vor allem Dokumentations- und Transparenzpflichten. Jetzt fragt die Kommission nach. Das ist der erste Schritt in der Durchsetzung.
Für Finanzdienstleister ist das keine ferne Tech-Regulierung. Sie nutzen genau diese Modelle in Kreditentscheidung, Betrugserkennung, Handelsalgorithmen und Beratungsassistenz. Die RFIs an Modellanbieter sind ein Weckruf.
Warum es jetzt für Finanzdienstleister zählt
Der AI Act unterscheidet zwischen Anbietern und Betreibern von KI-Systemen, den Deployern. Die meisten Finanzinstitute sind Betreiber. Sie kaufen oder lizenzieren Modelle von Drittanbietern und setzen sie in eigenen Anwendungen ein. Doch Vorsicht: Wer ein Modell feintunt, es also mit eigenen Daten weiter trainiert, kann selbst zum Anbieter werden. Dann gelten die vollen Pflichten.
Die Finanzbranche ist vom AI Act besonders betroffen. Viele typische Anwendungsfälle fallen unter die Hochrisiko-Kategorie. Dazu gehören Kreditwürdigkeitsprüfung, Bonitätsbewertung, Betrugserkennung im Zahlungsverkehr, automatisierte Anlageberatung und Eignungsprüfungen. Für Hochrisiko-Systeme verlangt der AI Act Risikomanagement, Daten-Governance, technische Dokumentation, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit.
Die jetzt verschickten RFIs an Modellanbieter zeigen: Die EU wird die Lieferkette genau prüfen. Finanzdienstleister müssen sicherstellen, dass die von ihnen genutzten Modelle die Anforderungen erfüllen. Sonst haften sie als Betreiber mit. Das ist nicht nur ein Reputationsrisiko. Bei Verstößen drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Für viele Finanz-KMU ist das existenzbedrohend.
Ich sehe in meiner Beratungspraxis ein häufiges Muster: Viele Finanzdienstleister haben kein vollständiges KI-Inventar. Sie wissen nicht, welche KI-Systeme in ihren Prozessen laufen, welche Daten sie verarbeiten und welche Risikoklasse zutrifft. Typisches Beispiel: Ein unabhängiger Finanzberater nutzt ein KI-Tool für die Produktauswahl. Das System bewertet die Eignung von Finanzinstrumenten für einen Kunden. Nach AI Act fällt das unter Hochrisiko. Viele Berater wissen nicht, dass sie als Betreiber Pflichten haben.
Auch Zahlungsdienstleister, Krypto-Verwahrer und Trading-Häuser sind betroffen, wenn sie KI für Transaktions-Monitoring, Fraud-Detection oder Signal-Generierung einsetzen. Die Aufsichtsbehörden BaFin, FMA und FINMA werden den AI Act in ihre Aufsichtspraxis integrieren. Wer jetzt nicht reagiert, riskiert Ordnungswidrigkeitenverfahren, sobald die Behörden nachziehen. Zusätzlich ergänzt der AI Act die Anforderungen aus DORA um KI-spezifische Pflichten.
Aus meiner Sicht ist das kein Grund zur Panik. Aber es ist ein klarer Weckruf. Wer jetzt die Hausaufgaben macht, hat einen Wettbewerbsvorteil. Wer wartet, bis die ersten Bußgelder verhängt werden, zahlt doppelt.
Handlungsempfehlung für Finanz-KMU
Drei Schritte sind jetzt sinnvoll.
Erstens: KI-Inventar und Risikoklassifizierung. Erfassen Sie alle KI-Systeme, die in Ihrem Unternehmen im Einsatz sind. Notieren Sie Zweck, Datenquellen, verwendete Modelle und Anbieter. Bewerten Sie die Risikoklasse nach AI Act. Besonders kritisch sind Kreditentscheidung, Betrugserkennung, automatisierte Anlageberatung und Eignungsprüfungen. Wenn Sie unsicher sind, holen Sie externe Unterstützung.
Zweitens: Verträge mit Modellanbietern prüfen. Stellen Sie sicher, dass Ihre Anbieter die AI-Act-Pflichten erfüllen. Fordern Sie Konformitätserklärungen, technische Dokumentationen und Audit-Rechte an. Prüfen Sie, ob die Verträge Datenverarbeitung, Haftung und Auskunftsrechte regeln. Verhandeln Sie nach, falls nötig. Denken Sie auch an Datenflüsse: Wer hat Zugriff auf welche Daten?
Drittens: Governance und Verantwortlichkeiten einrichten. Benennen Sie einen KI-Beauftragten oder ein KI-Team. Richten Sie Prozesse für Risikomanagement, Incident-Reporting und menschliche Aufsicht ein. Schulen Sie Ihre Mitarbeiter im Umgang mit KI-Systemen. Dokumentieren Sie Entscheidungen und Risikobewertungen. Das ist nicht nur Pflicht, sondern schützt Sie im Ernstfall.
Mein Rat: Beginnen Sie diese Woche mit der Bestandsaufnahme. Der AI Act wird die Finanzbranche nicht verschonen. Wer die Anforderungen früh umsetzt, kann KI weiter nutzen und Vertrauen bei Kunden und Aufsicht gewinnen.