Der andere Aufseher
Im Juni ging es an dieser Stelle um die Bundesnetzagentur, die die KI-Aufsicht in Deutschland übernimmt. Das stimmt — nur eben nicht für Banken und Versicherer. Seit dem 29. Juli 2026 ist für diesen Teil der Wirtschaft eine andere Behörde zuständig, und es ist keine, die man dort erst kennenlernen müsste.
Was am 29. Juli in Kraft trat
Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) hat Deutschland die Zuständigkeiten für die Aufsicht über KI-Systeme sektoral verteilt, statt sie an einer Stelle zu bündeln. Für den Finanzsektor liegt sie seither bei der BaFin — aber nicht pauschal. Zuständig ist sie nur für KI-Systeme mit direktem Bezug zu einer regulierten Finanztätigkeit: Bonitätsprüfung, Prämienkalkulation, Risikobewertung. Setzt dieselbe Versicherung KI im Personalmanagement ein, bleibt dafür die Bundesnetzagentur zuständig — derselbe Konzern, zwei Aufseher, je nachdem, was das System tut.
Seit dem 2. August gelten zusätzlich die Transparenzpflichten aus Artikel 50 der EU-KI-Verordnung: Ein Chatbot muss sich als KI zu erkennen geben, synthetische Inhalte müssen gekennzeichnet sein. Das betrifft jede Versicherung, die im Kundenkontakt mit einem KI-System arbeitet — von der ersten Tarifauskunft auf der Website bis zur automatisierten Antwort im Kundenportal. Für Systeme, die vor dem 2. August schon im Einsatz waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026.
Zwei Aufseher, eine Verordnung
Für die meisten Branchen bleibt es bei dem Bild aus dem Juni: eine Verordnung, eine nationale Behörde. Für den Finanzsektor gilt eine Ausnahme, und sie folgt einer Logik, die es in Deutschland schon lange gibt — die Fachaufsicht bleibt bei der Stelle, die die Branche ohnehin überwacht. Die BaFin reguliert Versicherer bereits über das Versicherungsaufsichtsgesetz und Solvency II. Die KI-Aufsicht kommt jetzt als weiterer Baustein einer bestehenden Beziehung hinzu, nicht als neue.
Der Unterschied ist mehr als organisatorisches Beiwerk. Die Bundesnetzagentur baut ihre KI-Aufsicht seit Juni praktisch neu auf. Die BaFin dagegen prüft seit Jahrzehnten Risikomodelle und Meldeprozesse von Versicherern — sie muss die KI-Prüfung nicht neu erfinden, sondern einordnen.
Wer sich in den vergangenen Monaten auf die Bundesnetzagentur als zuständige Stelle eingestellt hat, sollte das für den Finanzsektor korrigieren — mit einer Einschränkung: Nur bei KI mit direktem Bezug zur Finanztätigkeit laufen Meldewege und Prüfungen jetzt über die BaFin. Bei KI im Personalbereich bleibt es bei der Bundesnetzagentur.
Was für Versicherer konkret gilt
KI-Systeme, die in der Lebens- und Krankenversicherung Risiken bewerten oder Prämien berechnen, zählen nach Anhang III der EU-KI-Verordnung als Hochrisiko-Systeme. Fünf Pflichten kommen auf sie zu: Risikomanagement, dokumentierte Datenqualität, technische Dokumentation, wirksame menschliche Aufsicht über die Systementscheidung und lückenlose Protokollierung — aber noch nicht sofort. Nach dem Zeitplan, den die BaFin selbst nennt, gelten die Hochrisiko-Anforderungen erst ab dem 2. Dezember 2027.
Nicht jedes System in einem Versicherungshaus fällt unter diese Einstufung. Ein internes Tool, das Vertriebsunterlagen zusammenfasst, ist kein Hochrisiko-System. Ein Modell, das über die Höhe einer Prämie mitentscheidet, ist es. Zwischen beidem liegt eine ganze Reihe von Anwendungen — etwa in der Schadenbearbeitung —, bei denen die Einordnung von der konkreten Ausgestaltung abhängt und im Einzelfall geprüft werden muss.
Bei einer Verletzung dieser Pflichten sieht Artikel 99 der Verordnung Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor. Der oft zitierte Rahmen von 35 Millionen Euro oder 7 Prozent gilt nur für die verbotenen Praktiken aus Artikel 5 — ein anderer, deutlich engerer Tatbestand.
Warum die vertraute Behörde die richtige ist
Man kann in einer neuen Zuständigkeit eine zusätzliche Hürde sehen. Näher am eigentlichen Effekt liegt eine andere Lesart: Ein Haus, das seit Jahren im ständigen Austausch mit seinem Aufseher steht, muss keine neue Behörde von Grund auf verstehen. Meldewege bestehen, Ansprechpartner sind bekannt. Was neu ist, ist der Gegenstand — KI-Systeme statt nur Kapitalquoten — nicht die Beziehung selbst.
Die BaFin behandelt die neue Zuständigkeit entsprechend: nicht als eigenständiges KI-Aufsichtsregime, sondern als Erweiterung der bestehenden Praxis. Ein Risikomodell für die Prämienkalkulation wird schon heute geprüft — ab Dezember 2027 kommen Fragen zur KI-Komponente hinzu, gestellt von derselben Stelle.
Fünfzehn Monate Vorlauf
Zwischen dem, was schon gilt, und dem, was noch kommt, liegt ein Jahr und mehr. Die Zuständigkeit der BaFin steht seit dem 29. Juli, die Chatbot-Kennzeichnung seit dem 2. August — beides real, beides prüfbar ab sofort. Die fünf Hochrisiko-Pflichten dagegen sind beschlossen, aber erst ab dem 2. Dezember 2027 verbindlich. Das ist kein Rückstand, sondern eine ungewöhnlich lange Vorlaufzeit für ein Regelwerk dieser Tragweite — Zeit, die sich nutzen lässt, um Risikomanagement und Dokumentation aufzubauen, bevor sie geprüft werden, statt sie unter Zeitdruck nachzuliefern.
Was das für Unternehmen bedeutet
Für Versicherer und ihre Dienstleister lohnt sich jetzt eine kurze Bestandsaufnahme: Welche KI-Systeme haben direkten Bezug zur Finanztätigkeit und fallen damit unter die BaFin, welche — etwa im Personalbereich — bleiben bei der Bundesnetzagentur? Welche Systeme werden unter die Hochrisiko-Einstufung fallen, und wer beginnt schon jetzt mit Risikomanagement und Dokumentation für 2027? Die Transparenzpflicht für Chatbots verlangt dagegen sofortiges Handeln: Sie betrifft nicht nur neue Systeme, sondern jedes bereits laufende, das bislang ohne Kennzeichnung im Kundenkontakt steht.
Wer diese Fragen beantworten kann, hat den eigentlichen Unterschied zum Juni schon verarbeitet: nicht eine neue Pflicht auf einen Schlag, sondern ein präziserer Absender, ein enger gefasster Zuständigkeitsbereich — und eine Prüfstelle, die die Branche seit Jahren kennt.