Was regelt die KI-Verordnung der EU?

Die KI-Verordnung teilt KI in vier Gruppen mit je eigenem Kapitel. Kapitel II listet verbotene KI-Praktiken auf. Kapitel III regelt Hochrisiko-KI-Systeme. Kapitel IV enthält Transparenzpflichten, etwa für KI-Systeme, die direkt mit Menschen interagieren (Artikel 50). Kapitel V gilt für KI-Modelle mit allgemeinem Verwendungszweck.

Welche Praxis verbietet die KI-Verordnung? Ein Beispiel ist Social Scoring: KI, die Menschen über einen Zeitraum nach ihrem sozialen Verhalten oder persönlichen Merkmalen bewertet, wenn die Bewertung zu Nachteilen in fremden Zusammenhängen führt oder zu einer Behandlung, die in keinem Verhältnis zum Verhalten steht (Artikel 5 Absatz 1 Buchstabe c).

Zwei Hochrisiko-Fälle in Anhang III Nummer 5 betreffen Banken und Versicherer direkt. Buchstabe b nennt „KI-Systeme, die bestimmungsgemäß für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen verwendet werden sollen, mit Ausnahme von KI-Systemen, die zur Aufdeckung von Finanzbetrug verwendet werden“. Buchstabe c nennt „KI-Systeme, die bestimmungsgemäß für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen im Fall von Lebens- und Krankenversicherungen verwendet werden sollen“.

Für den Bankensektor der EU folgt daraus: Ein Scoring-Modell für Verbraucherkredite ist Hochrisiko-KI im Sinne der KI-Verordnung. Ein Modell zur Betrugserkennung fällt nicht unter Buchstabe b. Das Scoring von Unternehmen auch nicht, denn Buchstabe b nennt natürliche Personen.

Die KI-Verordnung gilt für Anbieter, die KI-Systeme entwickeln oder verkaufen, und für Betreiber, die sie in der EU einsetzen, gleich wo der Anbieter sitzt (Artikel 2 Absatz 1). Kauft eine Bank ein Scoring-Modell, ist sie Betreiber. Nach Artikel 26 muss sie das System gemäß der Betriebsanleitung verwenden, die menschliche Aufsicht Personen übertragen, die „über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen“, Eingabedaten relevant und repräsentativ halten, soweit sie diese kontrolliert, und den Betrieb überwachen.

Bevor ein Betreiber ein System für Kreditscoring oder Versicherungspreise einsetzt, schätzt er die Folgen für die Grundrechte ab (Artikel 27 Absatz 1). Zur Compliance gehört auch KI-Kompetenz: Nach Artikel 4 in der Fassung von 2026 unterstützen Anbieter und Betreiber die KI-Kompetenz ihres Personals. Das ist die Schulungspflicht des Gesetzes; ein bestimmtes Niveau für jede Person schreibt es nicht vor.

Die KI-Verordnung trat am 1. August 2024 in Kraft und gilt schrittweise. Die Fristen stehen in Artikel 113. Die Verordnung (EU) 2026/1744 vom 8. Juli 2026, in Kraft seit 27. Juli 2026, hat die Termine für Hochrisiko-Systeme verschoben.

Für eine Bank gelten im Jahr 2026 also schon die Verbote, die Pflicht zur KI-Kompetenz und die allgemeinen Regeln. Die Hochrisiko-Pflichten für Systeme zum Kreditscoring beginnen am 2. Dezember 2027.

In Deutschland und Österreich gilt die KI-Verordnung unmittelbar. Für KI-Systeme, die Finanzinstitute in direktem Zusammenhang mit ihren Finanzdienstleistungen einsetzen, ist Marktüberwachungsbehörde die Behörde, die für ihre Finanzaufsicht zuständig ist (Artikel 74 Absatz 6). In Deutschland ist das die BaFin, in Österreich die FMA. Nach Artikel 74 Absatz 7 kann ein Mitgliedstaat in geeigneten Fällen eine andere Behörde benennen.

Nach dem Gesetz zur Durchführung der europäischen Verordnung über Künstliche Intelligenz, in Kraft seit 29. Juli 2026, überwacht die BaFin KI-Systeme, die beaufsichtigte Unternehmen in direktem Zusammenhang mit einer regulierten Finanztätigkeit einsetzen, darunter Kreditwürdigkeitsprüfung und Risikobewertung in der Versicherung. Bei Verstößen kann die BaFin Bußgelder verhängen.

Die EU-Aufsicht für Versicherer sitzt in Frankfurt: Die EIOPA am Westhafenplatz 1 in Frankfurt am Main veröffentlichte am 6. August 2025 ihre Stellungnahme zu Governance und Risikomanagement bei KI. Sie erklärt, wie das Versicherungsrecht auf KI-Systeme anzuwenden ist, von Data Governance und Fairness bis zu Erklärbarkeit und menschlicher Aufsicht.

Die Schweiz gehört nicht zur EU, die KI-Verordnung gilt dort nicht. Die FINMA-Aufsichtsmitteilung 08/2024 vom 18. Dezember 2024 beschreibt, was die FINMA von beaufsichtigten Instituten bei Governance und Risikomanagement im KI-Einsatz erwartet, auch zu Modellrisiken wie instabilen oder falschen Ergebnissen, fehlender Erklärbarkeit oder Verzerrungen. Diese Seite ist keine Rechtsberatung.