EU AI Act: Das müssen Banken und Versicherungen ab sofort umsetzen

Ein blauer Ordner mit dem Titel „EU AI Act“ steht auf einem Tisch. Im Hintergrund ist eine europäische Flagge sichtbar. Der Ordner enthält Informationen über den Europäischen Gesetzesentwurf zur Regulierung von Künstlicher Intelligenz, der für Banken und Versicherungen relevant ist. — KI, DALL-E

Seit dem 2. August 2026 sind zentrale Bestimmungen der europäischen KI-Verordnung (EU AI Act) in Kraft getreten. Diese sind damit auch für Banken und Versicherungen verbindlich. So gelten ab sofort etwa strenge Transparenz- und Kennzeichnungspflichten, die darüber informieren, dass Personen mit KI interagieren.

Betroffen sind Finanzinstitute und Versicherungsunternehmen, die KI in Kundenservice, Risikobewertung oder Betrugserkennung einsetzen. Die Bafin hatte bereits angekündigt, den KI-Einsatz in der Branche entsprechend zu prüfen.

KI muss als solche klar gekennzeichnet werden

Gemäß den Regelungen des EU AI Acts müssen Banken und Versicherungen sicherstellen, dass alle KI-Systeme, mit denen Kunden oder Mitarbeiter direkt interagieren, klar als solche gekennzeichnet sind. Dies betrifft insbesondere Chatbots im Online-Banking, Voicebots in der Schadensmeldung oder KI-gestützte Beratungsassistenten auf Websites und in Apps.

Die Kennzeichnung muss dabei nicht nur für Nutzer sichtbar, sondern auch maschinenlesbar sein, etwa durch Metadaten oder Wasserzeichen, um eine automatisierte Erkennung zu ermöglichen.

Eine Offenlegungspflicht betrifft synthetische Inhalte. Dies sind zum Beispiel KI-generierte Texte, Bilder oder Videos, die für die Öffentlichkeit bestimmt sind, künstlich erzeugt oder manipuliert wurden (Deepfakes) und keine menschliche redaktionelle Prüfung stattfindet.

Use Cases im Finanz- und Versicherungssektor können hier etwa Finanzanalysen oder Produktbeschreibungen sein. Für Bestandssysteme, die bereits vor dem 2. August 2026 im Einsatz waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026, um die technischen Anforderungen nachzurüsten.

Entlastung bei Hochrisiko-KI

Für Entlastung sorgen Fristverlängerungen für sogenannte Hochrisiko-KI-Systeme. Diese Systeme betreffen besonders sensible Bereiche. Unter anderem Kreditvergabe, Betrugserkennung oder Geldwäscheprävention. Hierbei gelten besonders strenge Vorschriften zur Datenqualität, Dokumentation und Überwachung.

So hatte das Europäische Parlament im Zuge der Verhandlungen beschlossen, die Umsetzungsfristen für den EU AI Act deutlich zu verschieben. Stichtag für Hochrisiko-KI-Systeme ist damit erst der 2. Dezember 2027.

Hochrisiko-KI-Systeme müssen so konzipiert sein, dass natürliche Personen die Funktionsweise überwachen und bei Bedarf eingreifen können. Die Anforderungen an Genauigkeit, Robustheit und Cybersicherheit (Art. 15) ergänzen das technische Anforderungsprofil.

Bei Verstößen drohen Bußgelder

Die zuständigen Behörden können die Einhaltung der Transparenzpflichten kontrollieren und bei Verstößen Bußgelder verhängen. Verstöße gegen die bereits geltenden Pflichten für KI-Modelle mit allgemeinem Verwendungszweck können ebenfalls ab dem 2. August 2026 sanktioniert werden.

Wer zum Beispiel gegen die Verbote nach Art. 5 EU AI Act (Website) verstößt, kann mit Geldbußen von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden. Je nachdem, welcher Betrag höher ist.

Verstöße gegen die Anforderungen an Hochrisiko-KI-Systeme können Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes nach sich ziehen.dw