Kurz zusammengefasst
Das KI-MIG ist am 29. Juli 2026 in Kraft getreten und macht BaFin zur Marktüberwachungsbehörde für KI im deutschen Finanzsektor. Ab dem 2. August 2026 kann BaFin die Transparenzpflichten des EU-KI-Gesetzes bei Banken und Versicherungen durchsetzen: Chatbots müssen sich als KI ausweisen, KI-generierte Inhalte müssen maschinenlesbar gekennzeichnet sein. Hochrisiko-KI — darunter algorithmisches Kreditscoring und KI-basierte Versicherungsrisikoberechnung — wird ab dem 2. Dezember 2027 reguliert.
Für Teams, die FinTech-Software bauen oder für BaFin-beaufsichtigte Unternehmen entwickeln, ist das eine Produktanforderung, keine Compliance-Fußnote: KI-Offenlegung muss in der UI verankert sein, das KI-Inventar muss dokumentiert vorliegen, und Anbieter-Due-Diligence wird Bestandteil des Entwicklungsprozesses.
KI-MIG: Was steckt hinter dem neuen Gesetz?
Die EU-KI-Verordnung gilt unmittelbar in allen Mitgliedstaaten — sie braucht kein nationales Umsetzungsgesetz. Was sie nicht regelt, ist die Frage: Welche nationale Behörde übernimmt die Marktüberwachung? Für Deutschland beantwortet das KI-MIG, das am 29. Juli 2026 im Bundesgesetzblatt verkündet und sofort in Kraft getreten ist, genau diese Frage.
Das Ergebnis ist eine behördliche Arbeitsteilung: Die Bundesnetzagentur fungiert als allgemeine KI-Marktüberwachungsbehörde für branchenübergreifende Anwendungen. BaFin erhält eine sektoral abgegrenzte Parallelzuständigkeit — ausschließlich für KI-Systeme, die „in direktem Zusammenhang mit einer regulierten Finanztätigkeit" stehen und von BaFin- oder EZB-beaufsichtigten Unternehmen eingesetzt werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bleibt zuständig für sicherheitsrelevante Aspekte. Die drei Behörden sollen sich abstimmen; eine Koordinierungsstruktur ist im Gesetz vorgesehen.
Für Unternehmen im Finanzsektor ändert das die Ansprechpartnerfrage: KI-Compliance im Kerngeschäft ist jetzt ein BaFin-Thema — verankert im bekannten aufsichtsrechtlichen Rahmen, nicht bei einer neuen, noch unbekannten Behörde.
Welche KI-Systeme fallen unter BaFin?
Das entscheidende Kriterium ist der sachliche Zusammenhang mit der regulierten Finanztätigkeit — nicht das Unternehmen, das die KI einsetzt. Ein Kreditinstitut, das einen Chatbot für die Kontoeröffnung betreibt, fällt unter BaFin. Dasselbe Kreditinstitut, das eine KI zur Analyse von Bewerbungsunterlagen nutzt, fällt für diesen Anwendungsfall an die Bundesnetzagentur — weil HR keine regulierte Finanztätigkeit ist.
Konkret beaufsichtigt BaFin damit unter anderem:
- Kundenservice-Chatbots von Kreditinstituten und Versicherungen — Transparenzpflicht bereits ab 2. August 2026
- KI-basierte Risikomodelle in der Kreditvergabe und Versicherungsrisikoberechnung — Hochrisiko-Anforderungen ab 2. Dezember 2027
- Fraud-Detection-Systeme und algorithmische AML-Monitoring-Lösungen
- KI-gestützte Anlageberatung und Robo-Advisor-Lösungen
- Scoring-Modelle für Kreditwürdigkeit und Kapitalmarktrisiken
Beaufsichtigt werden Unternehmen, die BaFin oder die EZB direkt reguliert: Kreditinstitute, Wertpapierfirmen, Versicherungen, Zahlungsdienstleister und Emittenten signifikanter Asset-Referenced Token. Auch die Versorgungsanstalt des Bundes und der Länder fällt in den Geltungsbereich.
Die zwei Fristen, die zählen
Das EU-KI-Gesetz kennt gestaffelte Anwendungszeitpunkte — der KI-MIG übernimmt diese Staffelung für die BaFin-Aufsicht:
2. August 2026 (bereits aktiv): BaFin kann die Transparenzpflichten nach Artikel 50 EU-KI-Gesetz durchsetzen. Das bedeutet: Jede KI-Anwendung im Kundenkontakt muss sich als solche ausweisen. Wer mit einem Chatbot der Bank kommuniziert, muss wissen, dass er mit einem KI-System interagiert — in klarer, für den Nutzer verständlicher Form. KI-generierte oder KI-manipulierte Inhalte müssen maschinenlesbar markiert sein. BaFin kann ab sofort Dokumente anfordern, Systeme prüfen und Abhilfemaßnahmen verlangen.
2. Dezember 2027: Hochrisiko-KI-Anforderungen werden durchsetzbar. Dazu zählen insbesondere KI-Systeme zur Bonitätsbeurteilung und Kreditscoring sowie zur Risikoberechnung und Tarifierung in der Lebens- und Krankenversicherung. Für diese Systeme gelten dann strenge Dokumentationspflichten, Risikomanagementsysteme, Qualitätssicherung der Trainingsdaten und menschliche Kontrollmöglichkeiten.
Was das für FinTech-Entwickler und Softwarepartner bedeutet
Für Teams, die Software für den deutschen Finanzsektor bauen — ob als internes Entwicklungsteam oder als Dienstleister — verschieben sich die Anforderungen. KI-Compliance ist keine Rechtsfrage mehr, die nach dem Launch geklärt wird. Sie ist eine Architekturentscheidung, die früh getroffen werden muss.
Drei konkrete Konsequenzen für die Softwareentwicklung:
- Chatbot-Offenlegung ist eine UI-Anforderung. Jedes Interface, in dem Nutzer mit KI kommunizieren, braucht eine klare, unvermeidbare Kennzeichnung — nicht versteckt im Footer oder in den AGB. Design und UX müssen das von Anfang an einplanen, nicht nachträglich einbauen.
- KI-Inventar ist Teil der Dokumentation. Welche Modelle laufen im System? Von welchem Anbieter? Mit welchem Trainingsdaten-Status? BaFin kann das jederzeit anfordern. Wer diese Fragen in fünf Minuten beantworten kann, hat einen Wettbewerbsvorteil gegenüber Wettbewerbern, die erst suchen müssen.
- Anbieter-Due-Diligence wird Vertragsbestandteil. Baut eine Bank auf einem Drittanbieter-KI-Modell, trägt sie das regulatorische Risiko, wenn dieses Modell nicht konform ist. Verträge mit KI-Lieferanten müssen Compliance-Zusicherungen und Änderungsrechte enthalten — sonst drohen Nachbesserungen unter Zeitdruck.
Ein Blick auf die EU-KI-Gesetz-Compliance-Arbeit, die viele Unternehmen bereits für DSGVO und DORA aufgebaut haben: Datenherkunftsnachweise, Zugriffskontrollen und Protokollierung überlappen stark mit dem, was BaFin im Rahmen eines KI-Audits abfragen würde. Teams, die diese Governance-Strukturen bereits haben, investieren marginal für die KI-spezifischen Ergänzungen. Teams, die von Null starten, haben mehr Aufbauarbeit vor sich — die aber nicht nur für BaFin nützlich ist, sondern auch für Enterprise-Kunden, die entsprechende Fragen in der Lieferantenbewertung stellen.
Checkliste: Was jetzt zu tun ist
Für Teams, die im oder für den deutschen Finanzsektor entwickeln, ist das kein Projekt für nächstes Quartal:
- KI-Anwendungen inventarisieren. Alle KI-Systeme erfassen, die in Kundenkontakt oder regulierten Prozessen eingesetzt werden. Unterscheiden: selbst gebaut, zugekauft, hybride Integration.
- Transparenzpflichten prüfen. Jede Nutzerschnittstelle mit KI-Beteiligung auf klare Offenlegung prüfen. Fehlt sie, muss sie sofort ergänzt werden — die Frist ist abgelaufen.
- Anbieter-Compliance überprüfen. Für jedes eingesetzte KI-Drittmodell: Hat der Anbieter technische Dokumentation, Trainingsdaten-Zusammenfassung und Urheberrechtspolitik veröffentlicht? Gaps sind Lieferkettenrisiken.
- Hochrisiko-Roadmap starten. Für KI-Systeme in Kreditscoring und Versicherungstarifierung: bis zum 2. Dezember 2027 Risikomanagementsystem, Trainingsdaten-Qualitätssicherung und menschliche Kontrollmechanismen implementiert haben. Frühzeitig anfangen.
- Bestehende Governance nutzen. DSGVO-Verzeichnis der Verarbeitungstätigkeiten, DORA-Drittparteienregister und BSI-Grundschutz sind kein paralleles Projekt — KI-Anforderungen lassen sich weitgehend in bestehende Strukturen einbetten.
- Verträge mit KI-Dienstleistern aktualisieren. Compliance-Zusicherungen, Dokumentationspflichten und Kündigungsrechte bei regulatorischen Änderungen verankern.
Häufige Fragen
Was regelt das KI-MIG genau?
Das Gesetz zur Marktüberwachung und Innovationsförderung im Bereich der Künstlichen Intelligenz (KI-MIG) legt fest, welche nationale Behörde welche KI-Systeme beaufsichtigt. Im Finanzsektor ist das die BaFin — für alle KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen und von BaFin- oder EZB-beaufsichtigten Unternehmen eingesetzt werden. KI außerhalb des Finanzsektors, etwa im HR-Bereich, fällt an die Bundesnetzagentur.
Welche KI-Systeme muss BaFin ab sofort überwachen?
Ab dem 2. August 2026 überwacht BaFin die Einhaltung der Transparenzpflichten (Artikel 50 EU-KI-Gesetz): Chatbots müssen sich als KI ausweisen, KI-generierte Inhalte müssen maschinenlesbar gekennzeichnet sein. Ab dem 2. Dezember 2027 kommen Hochrisiko-KI-Systeme hinzu, darunter KI zur Kreditwürdigkeitsprüfung und zur Risikoberechnung in der Lebens- und Krankenversicherung.
Was bedeutet das für FinTech-Startups und Softwareteams?
Wer Software für Banken, Versicherungen oder andere BaFin-regulierte Unternehmen baut, muss die KI-Konformität als Produktanforderung einplanen: Chatbot-Offenlegung in der UI, KI-Inventar, Anbieter-Due-Diligence. BaFin kann Dokumentation anfordern, Systeme bewerten und Abhilfemaßnahmen anordnen — das Risiko landet nicht nur beim Endkunden, sondern auch beim Entwicklungsdienstleister, wenn die Software mangelhaft ausgeliefert wurde.
Wie unterscheidet sich BaFin-Aufsicht von der Bundesnetzagentur-Aufsicht?
Die Bundesnetzagentur ist die allgemeine KI-Marktüberwachungsbehörde für Deutschland. BaFin übernimmt parallel dazu speziell den Finanzsektor — alle KI-Systeme in direktem Zusammenhang mit regulierten Finanzdienstleistungen. Ein Onlinebanking-Chatbot fällt unter BaFin; ein internes HR-Bewerbungsscreening desselben Kreditinstituts fällt an die Bundesnetzagentur, weil es keine regulierte Finanztätigkeit ist.
Quellen
BaFin Pressemitteilung — Überwachung von KI: Bafin erhält neue Kompetenzen, 29. Juli 2026 (Primärquelle)
BaFin — KI-Marktüberwachung: Zuständigkeiten und Geltungsbereich (Primärquelle)
Bundesgesetzblatt — KI-MIG Gesetzestext, BGBl. I 2026 (Primärquelle)
TÜV SÜD Consulting — KI-MIG Deutschland: Behörden, Bußgelder, Fristen