Interview mit Rechtsanwalt Daniel Blazek zur erweiterten Zuständigkeit der BaFin
Die Bundesanstalt für Finanzdienstleistungsaufsicht übernimmt künftig die Marktüberwachung für KI-Systeme, die unmittelbar mit regulierten Finanzgeschäften verbunden sind. Betroffen sind insbesondere Banken, Versicherungen und andere von der BaFin beaufsichtigte Finanzunternehmen.
Die neue Zuständigkeit umfasst unter anderem Chatbots in der Kundenkommunikation, KI-gestützte Kreditwürdigkeitsprüfungen sowie Systeme zur Risikobewertung in der Lebens- und Krankenversicherung. Die BaFin soll kontrollieren, ob die Vorgaben der europäischen KI-Verordnung eingehalten werden. Bei Verstößen kann sie Bußgelder verhängen.
Über die praktischen Folgen für Finanzunternehmen, Geschäftsleitungen und Kunden sprechen wir mit Rechtsanwalt Daniel Blazek, Fachanwalt für Handels- und Gesellschaftsrecht und Partner der BEMK Rechtsanwälte PartGmbB. Die Kanzlei ist unter anderem im Kapitalmarktrecht, Haftungsrecht, Wirtschaftsstrafrecht und Wirtschaftsverwaltungsrecht tätig.
Frage: Herr Blazek, ist die neue Zuständigkeit der BaFin nur eine weitere regulatorische Formalität?
Daniel Blazek: Nein, die Erweiterung des BaFin-Mandats ist wesentlich bedeutsamer. Künstliche Intelligenz wird im Finanzsektor zunehmend für Entscheidungen eingesetzt, die erhebliche wirtschaftliche Folgen für einzelne Menschen haben können.
Es macht einen großen Unterschied, ob eine KI einen Text zusammenfasst oder darüber mitentscheidet, ob jemand einen Kredit, eine Versicherung oder bestimmte Vertragskonditionen erhält. In solchen Bereichen berührt der Einsatz von KI unmittelbar die Vermögensinteressen und möglicherweise auch die Grundrechte der Kunden.
Die BaFin erhält deshalb nicht einfach nur eine zusätzliche technische Prüfaufgabe. Sie wird kontrollieren müssen, ob der Einsatz von KI mit den besonderen Anforderungen eines regulierten Finanzmarktes vereinbar ist.
Frage: Welche Anwendungen werden besonders im Mittelpunkt stehen?
Daniel Blazek: Besonders relevant sind Systeme, die in Entscheidungsprozesse eingreifen. Dazu gehören beispielsweise KI-gestützte Kreditwürdigkeitsprüfungen, automatisierte Risikoklassifizierungen und Systeme, mit denen Versicherer Risiken in der Lebens- oder Krankenversicherung bewerten.
Auch Chatbots und andere Anwendungen, die unmittelbar mit Kunden kommunizieren, fallen unter die neuen Transparenzanforderungen. Ein Kunde muss erkennen können, dass er es mit einem KI-System und nicht mit einem Menschen zu tun hat.
Je stärker eine Anwendung die Entscheidung über einen Vertrag, einen Preis oder eine Leistung beeinflusst, desto höher werden die Anforderungen an Transparenz, Kontrolle und Dokumentation sein.
Frage: Warum stuft die KI-Verordnung bestimmte Finanzanwendungen als besonders riskant ein?
Daniel Blazek: Eine Kredit- oder Versicherungsentscheidung kann das Leben eines Menschen erheblich beeinflussen. Wird jemand aufgrund fehlerhafter Daten oder eines verzerrten Modells abgelehnt, kann dies den Zugang zu Wohnraum, Mobilität, einer Unternehmensfinanzierung oder einer wichtigen Absicherung verhindern.
Bei solchen Entscheidungen besteht außerdem die Gefahr, dass historische Benachteiligungen unbemerkt in einem KI-Modell fortgeführt werden. Ein System kann nach außen neutral wirken und dennoch bestimmte Personengruppen systematisch schlechter behandeln.
Genau deshalb genügt es nicht, dass ein Modell im Durchschnitt gute Ergebnisse liefert. Unternehmen müssen auch prüfen, wie diese Ergebnisse zustande kommen und ob einzelne Gruppen ungerechtfertigt benachteiligt werden.
Frage: Kann eine KI diskriminieren, obwohl sie Merkmale wie Herkunft oder Geschlecht gar nicht ausdrücklich abfragt?
Daniel Blazek: Ja. Eine Diskriminierung kann auch mittelbar entstehen. Ein System kann aus anderen Daten Rückschlüsse ziehen, die faktisch als Ersatzmerkmale dienen. Postleitzahl, Wohnumfeld, Erwerbsbiografie oder bestimmte Konsummuster können beispielsweise mit geschützten Merkmalen zusammenhängen.
Das bedeutet nicht, dass jedes dieser Merkmale automatisch unzulässig ist. Unternehmen müssen aber untersuchen, ob die verwendeten Daten und Gewichtungen zu sachlich nicht gerechtfertigten Benachteiligungen führen.
Die Behauptung, man habe dem System keine diskriminierenden Regeln einprogrammiert, wird als Entlastung nicht ausreichen. Entscheidend ist auch das tatsächliche Ergebnis.
Frage: Die BaFin betont, dass Entscheidungen von Menschen korrigiert und rückgängig gemacht werden können müssen. Was bedeutet das praktisch?
Daniel Blazek: Eine rein symbolische menschliche Beteiligung genügt nicht. Es reicht nicht, wenn ein Mitarbeiter theoretisch auf einen Knopf drücken kann, die Empfehlung der KI in der Praxis aber immer ungeprüft übernimmt.
Die zuständigen Mitarbeiter müssen die Entscheidung tatsächlich überprüfen können. Dazu benötigen sie ausreichende Informationen über die verwendeten Daten, die maßgeblichen Kriterien und mögliche Fehlerquellen.
Außerdem müssen sie fachlich und organisatorisch befugt sein, von der Empfehlung des Systems abzuweichen. Eine menschliche Letztentscheidung ist nur dann wirksam, wenn der Mensch das Ergebnis verstehen, hinterfragen und korrigieren kann.
Frage: Können sich Banken oder Versicherungen damit verteidigen, dass das KI-System von einem externen Anbieter stammt?
Daniel Blazek: Nein. Die Verantwortung für den Einsatz eines Systems bleibt grundsätzlich beim beaufsichtigten Unternehmen und seiner Geschäftsleitung. Auch die BaFin stellt ausdrücklich klar, dass sich die Unternehmensleitung ihrer Verantwortung nicht durch die Verwendung fremder Technologie entziehen kann.
Der Einkauf einer KI-Lösung ist deshalb keine gewöhnliche Softwarebeschaffung. Das Finanzunternehmen muss vor dem Einsatz prüfen, ob das System die rechtlichen und aufsichtsrechtlichen Anforderungen erfüllt.
In den Verträgen mit Technologieanbietern müssen unter anderem Prüfungsrechte, Informationspflichten, Dokumentationsanforderungen, Sicherheitsstandards und Regelungen für technische Änderungen vorgesehen werden. Ein Unternehmen muss auch nach dem Kauf noch nachvollziehen können, wie sich das System entwickelt und welche Auswirkungen Updates haben.
Frage: Welche Verantwortung tragen Vorstände und Geschäftsführer persönlich?
Daniel Blazek: Die Geschäftsleitung muss eine angemessene Organisation schaffen, Risiken erkennen und gesetzliche sowie aufsichtsrechtliche Anforderungen umsetzen. Sie darf das Thema KI daher nicht vollständig an die IT-Abteilung oder einen externen Dienstleister delegieren.
Erforderlich sind klare Zuständigkeiten, interne Kontrollprozesse, regelmäßige Berichte und nachvollziehbare Entscheidungen über den Einsatz besonders relevanter Systeme. Die Geschäftsleitung muss wissen, wo KI verwendet wird, welchen Zweck sie erfüllt und welche Risiken damit verbunden sind.
Wer ein Hochrisikosystem ohne angemessene Prüfung, Überwachung oder Dokumentation einsetzen lässt, kann nicht nur ein aufsichtsrechtliches Problem verursachen. Je nach Einzelfall können auch gesellschaftsrechtliche Haftungsfragen, Schadenersatzansprüche oder versicherungsrechtliche Auseinandersetzungen entstehen.
Kurz gesagt: Die technische Entscheidung darf delegiert werden. Die rechtliche und organisatorische Verantwortung lässt sich nicht an den Algorithmus auslagern.
Frage: Müssen Finanzunternehmen jetzt ein vollständiges Verzeichnis ihrer KI-Systeme erstellen?
Daniel Blazek: Aus meiner Sicht ist das einer der ersten notwendigen Schritte. Ein Unternehmen kann nur solche Risiken kontrollieren, von deren Existenz es weiß.
Die Bestandsaufnahme sollte nicht auf offiziell als „KI“ bezeichnete Großprojekte beschränkt bleiben. Auch in Standardsoftware, Kundenportalen, Betrugserkennungssystemen, Marketinganwendungen oder externen Cloud-Diensten können KI-Komponenten enthalten sein.
Für jedes System sollte dokumentiert werden:
- wo es eingesetzt wird,
- welchem Zweck es dient,
- welche Daten verarbeitet werden,
- welche Entscheidungen es vorbereitet oder trifft,
- wer technisch und fachlich verantwortlich ist,
- ob ein externer Anbieter beteiligt ist,
- welche Kontrollen bestehen,
- und welcher Risikokategorie das System zuzuordnen ist.
Ohne ein solches Verzeichnis wird eine belastbare rechtliche Bewertung kaum möglich sein.
Frage: Welche Rolle spielt die Datenqualität?
Daniel Blazek: Eine sehr große. Ein technisch leistungsfähiges Modell kann keine rechtmäßigen Entscheidungen gewährleisten, wenn seine Daten unvollständig, veraltet oder systematisch verzerrt sind.
Unternehmen müssen deshalb nicht nur den Algorithmus betrachten, sondern die gesamte Verarbeitungskette. Dazu gehören Herkunft, Auswahl, Qualität und Aktualität der verwendeten Daten.
Besonders problematisch wird es, wenn ein Unternehmen selbst nicht mehr erklären kann, auf welcher Grundlage eine nachteilige Kundenentscheidung getroffen wurde. Ein Ergebnis darf nicht allein deshalb als richtig gelten, weil es von einem komplexen Modell erzeugt wurde.
Frage: Müssen Kunden künftig jede KI-Entscheidung vollständig erklärt bekommen?
Daniel Blazek: Der Umfang der erforderlichen Erklärung hängt von der konkreten Anwendung und den jeweils einschlägigen Vorschriften ab. Eine allgemeine Offenlegung sämtlicher technischer Einzelheiten wird regelmäßig weder erforderlich noch für Kunden hilfreich sein.
Ein Unternehmen sollte aber nachvollziehbar erklären können, welche wesentlichen Faktoren eine Entscheidung beeinflusst haben. Besonders bei einer Ablehnung oder einer deutlich ungünstigeren Einstufung muss eine Überprüfung möglich sein.
Die Erklärung darf nicht aus einer unverständlichen technischen Standardformel bestehen. Transparenz muss für den Betroffenen praktisch nutzbar sein.
Frage: Was können Kunden tun, wenn sie eine KI-gestützte Entscheidung für fehlerhaft oder diskriminierend halten?
Daniel Blazek: Zunächst sollten sie eine nachvollziehbare Begründung und eine menschliche Überprüfung verlangen. Dazu sollten sie die Entscheidung, die Kommunikation mit dem Unternehmen und alle übermittelten Unterlagen dokumentieren.
Je nach Sachverhalt können eine Beschwerde beim Unternehmen, bei der BaFin oder bei einer Datenschutzaufsichtsbehörde sowie eine rechtliche Prüfung in Betracht kommen. Dabei ist zu unterscheiden: Die Aufsichtsbehörde kann einen möglichen Regelverstoß untersuchen, setzt aber nicht automatisch individuelle Zahlungs- oder Schadenersatzansprüche eines Kunden durch.
Ob ein Anspruch besteht, hängt unter anderem davon ab, welche Daten verarbeitet wurden, wie die Entscheidung zustande kam und welcher konkrete Schaden entstanden ist.
Frage: Droht durch die neuen Regeln eine Innovationsbremse?
Daniel Blazek: Regulierung kann Innovation erschweren, wenn sie unklar, widersprüchlich oder unnötig bürokratisch gestaltet wird. Umgekehrt kann ein verlässlicher Rechtsrahmen Innovation aber auch ermöglichen.
Banken und Versicherer brauchen Rechtssicherheit, bevor sie erhebliche Mittel in neue Systeme investieren. Kunden wiederum werden KI-Anwendungen eher akzeptieren, wenn sie darauf vertrauen können, dass Entscheidungen fair und überprüfbar bleiben.
Der richtige Ansatz besteht deshalb nicht darin, KI pauschal zu verhindern. Es geht um eine risikogerechte Regulierung. Ein einfacher Kundenchatbot muss nicht genauso behandelt werden wie ein System, das über Kreditwürdigkeit oder Versicherungsschutz mitentscheidet.
Frage: Besteht die Gefahr einer Doppelregulierung?
Daniel Blazek: Diese Gefahr besteht durchaus. Finanzunternehmen unterliegen bereits umfangreichen Anforderungen an Risikomanagement, Datenschutz, IT-Sicherheit, Auslagerungen und Unternehmensorganisation.
Die neuen Pflichten müssen deshalb möglichst sinnvoll in die bestehenden Aufsichtsstrukturen integriert werden. Die Entscheidung, die BaFin für KI-Systeme im unmittelbaren Zusammenhang mit regulierten Finanzgeschäften zuständig zu machen, kann hier Vorteile haben. Die Behörde kennt die Unternehmen und ihre bisherigen Kontrollsysteme bereits.
Der Gesetzgeber verfolgt gerade das Ziel, bestehende Aufsichtsstrukturen zu nutzen und unnötige Doppelstrukturen zu vermeiden. Für andere KI-Anwendungen, etwa im Personalmanagement eines Finanzunternehmens, soll hingegen grundsätzlich die Bundesnetzagentur zuständig sein.
Trotzdem werden Abgrenzungsfragen entstehen. Ein System kann beispielsweise gleichzeitig für Kundenkommunikation, Vertriebssteuerung und Personalplanung eingesetzt werden. Unternehmen sollten deshalb früh klären, welche Regeln und welche Aufsichtsbehörden im konkreten Fall relevant sind.
Frage: Was müssen Finanzunternehmen kurzfristig beachten?
Daniel Blazek: Die Unternehmen sollten nicht bis zum letzten Geltungstermin warten. Bestimmte KI-Praktiken sind bereits verboten. Erste Transparenzpflichten gelten ab dem 2. August 2026; weitere Anforderungen, insbesondere für bestimmte Hochrisiko-KI-Systeme, folgen gestaffelt.
Kurzfristig sind aus meiner Sicht insbesondere folgende Maßnahmen notwendig:
- sämtliche KI-Anwendungen erfassen,
- die Systeme rechtlich und technisch klassifizieren,
- verbotene Praktiken ausschließen,
- Verantwortlichkeiten in der Organisation festlegen,
- Vertragsbeziehungen mit Technologieanbietern überprüfen,
- Kontroll- und Dokumentationsprozesse einrichten,
- Mitarbeiter schulen,
- Beschwerde- und Korrekturverfahren vorbereiten.
Wichtig ist außerdem, sämtliche Veränderungen eines Systems zu dokumentieren. Ein Modell, das bei seiner Einführung als unproblematisch bewertet wurde, kann sich durch neue Daten, Funktionen oder Updates wesentlich verändern.
Frage: Was dürfte die BaFin bei einer Prüfung besonders interessieren?
Daniel Blazek: Vermutlich wird die BaFin nicht nur danach fragen, ob ein Unternehmen eine Richtlinie zum Einsatz von KI besitzt. Entscheidend wird sein, ob die Vorgaben tatsächlich gelebt werden.
Ein Unternehmen sollte zeigen können, dass es seine Systeme kennt, die Risiken bewertet, Verantwortlichkeiten festgelegt und die Ergebnisse fortlaufend kontrolliert hat. Dazu gehören insbesondere nachvollziehbare Prüfprotokolle, Freigabeprozesse, Änderungsdokumentationen und Verfahren für problematische Einzelfälle.
Papier allein wird nicht genügen. Zwischen der schriftlichen Regelung und der tatsächlichen Unternehmenspraxis darf keine Lücke bestehen.
Frage: Ihr Fazit zur neuen Rolle der BaFin?
Daniel Blazek: Die neue Zuständigkeit ist grundsätzlich nachvollziehbar. KI kann Finanzdienstleistungen schneller, günstiger und möglicherweise auch präziser machen. Gleichzeitig darf sie nicht zu einer anonymen Entscheidungsinstanz werden, deren Ergebnisse niemand mehr erklären oder korrigieren kann.
Die zentrale Botschaft an die Unternehmen lautet: Wer KI einsetzt, bleibt verantwortlich. Das gilt für die Qualität der Daten, die Funktionsweise der Prozesse, den Schutz der Kunden und die Entscheidungen der Geschäftsleitung.
Verantwortungsvolle Innovation setzt voraus, dass technische Möglichkeiten und rechtliche Kontrolle gemeinsam entwickelt werden. Unternehmen, die jetzt belastbare Strukturen schaffen, werden langfristig nicht nur regulatorisch besser aufgestellt sein. Sie können auch das Vertrauen ihrer Kunden stärken.
Zur Person
Daniel Blazek ist Rechtsanwalt und Fachanwalt für Handels- und Gesellschaftsrecht. Er ist Partner der BEMK Rechtsanwälte PartGmbB in Bielefeld. Die Kanzlei berät und vertritt unter anderem in den Bereichen Kapitalmarktrecht, Haftungsrecht, Wirtschaftsverwaltungsrecht, Wirtschaftsstrafrecht und Organhaftung.
Kommentar hinterlassen