KI-Verordnung: Hochrisiko-Systeme müssen ab Dezember 2027 die Vorgaben erfüllen

Seit dem 29. Juli 2026 fungiert die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) als zentrale Marktüberwachungsbehörde für Systeme mit Künstlicher Intelligenz (KI) in regulierten Finanztätigkeiten.

Für Anwendungen außerhalb des Finanzsektors liegt die Zuständigkeit hingegen bei der Bundesnetzagentur. Damit steuert die Finanzaufsicht die Einhaltung der europäischen Vorgaben für Banken, Finanzdienstleister und Versicherungsunternehmen im Bundesgebiet.

Einstufung in Risikoklassen und Kernbereiche

Die Aufsichtsbehörde verpflichtet regulierte Institute, eingesetzte KI-Anwendungen strukturiert zu erfassen, deren Risiken zu bewerten und die Nutzung lückenlos zu dokumentieren. Die BaFin unterscheidet hierbei vier Kategorien: verbotene Systeme, Hochrisiko-Systeme, Transparenzsysteme wie etwa Chatbots oder virtuelle Assistenten sowie Systeme mit niedrigem Risiko.

Im Finanzsektor stuft die Aufsicht insbesondere Verfahren zur Kreditvergabe und Bonitätsprüfung, Systeme zur Risikobewertung bei Lebens- und Krankenversicherungen sowie Modelle zur Kundensegmentierung mit Auswirkung auf den Kreditzugang als Hochrisiko ein.

Werden Modelle unter eigenem Namen oder eigener Marke bereitgestellt, deren Zweckbestimmung wesentlich verändert oder unter bestimmten Voraussetzungen mit eigenen Daten weitertrainiert, nehmen Institute selbst die Rolle eines Anbieters ein. Damit greifen zusätzliche Pflichten, darunter Konformitätsbewertungen und erweiterte Prüfungen.

Strenge Governance und Dokumentationsvorgaben

Für Hochrisiko-Anwendungen gelten besondere Anforderungen an Tests, die menschliche Aufsicht, technische Dokumentationen und die Protokollierung. Für den praktischen Ablauf empfiehlt die BaFin pro System eine zwei- bis vierwöchige Erfassungsphase. Dabei sollen Kennungen, Verantwortliche, die zugrunde liegende Technologie, Trainingsdaten, die Entscheidungslogik sowie ein Prüfpfad dokumentiert werden.

Die behördlichen Grundsätze verlangen, dass kein Produktivstart ohne vorherigen Bestandsverzeichnis-Eintrag, Risikobewertung und dokumentierte Freigabe erfolgen darf. Zudem sind Modelländerungen ohne versioniertes Änderungsprotokoll unzulässig. Für den kritischen Betrieb müssen dauerhafte Überwachungsmechanismen und definierte Eskalationspfade eingerichtet sein.

Wer sich mit der regulatorischen Einstufung von KI-Anwendungen befasst, benötigt eine klare Übersicht der neuen gesetzlichen Pflichten. Dieser kostenlose Leitfaden erklärt die verschiedenen Risikoklassen und zeigt auf, welche konkreten Maßnahmen Unternehmen jetzt ergreifen müssen. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt

Europäischer Rechtsrahmen und verlängerte Fristen

Die rechtliche Grundlage bildet die KI-Verordnung der Europäischen Union, die am 1. August 2024 in Kraft trat. Für die meisten Anwendungen gelten die Pflichten seit dem 2. August 2026 vollständig, Transparenzvorgaben nach Artikel 50 greifen bereits.

Der am 27. Juli 2026 in Kraft getretene europäische Rechtsakt zur Anpassung verschob jedoch wesentliche Termine: Die vollständigen Anforderungen an Hochrisiko-Systeme müssen ab dem 2. Dezember 2027 erfüllt werden, für in Produkte eingebettete Systeme gilt der 2. August 2028. Diese Anpassungen erfolgten aufgrund der regulatorischen Komplexität, berühren den Umfang der Pflichten jedoch nicht.

Für kleine Unternehmen mit mittlerer Kapitalisierung – definiert bis 750 Beschäftigte oder 150 Millionen Euro Jahresumsatz – wurden zudem Erleichterungen eingeräumt.

Angesichts der komplexen Übergangsfristen und drohender Sanktionen bei Verstößen warnen Experten vor einer zu späten Vorbereitung auf die neue Compliance. Der kostenlose Umsetzungsleitfaden liefert alle relevanten Termine und Dokumentationspflichten auf einen Blick. Jetzt kostenlosen Leitfaden zum EU AI Act herunterladen

Zur Standardisierung hat die Europäische Kommission am 14. Oktober 2026 die Referenz auf die harmonisierte Norm EN 18286:2026 im Amtsblatt bekannt gemacht. Der Standard operationalisiert Qualitätsmanagementsysteme für Anbieter von Hochrisiko-Systemen entlang des Lebenszyklus und baut auf bestehenden Regelwerken auf.

Für Finanzinstitute, die bereits unionsrechtlichen Vorgaben zur Unternehmensführung unterliegen, gilt die Pflicht zu einem Qualitätsmanagementsystem weitgehend als erfüllt. Ausgenommen hiervon bleiben das Risikomanagement, die Überwachung nach dem Inverkehrbringen sowie die Pflicht zur Meldung schwerwiegender Vorfälle.