AI-Act-Countdown: Was wann gilt, übersetzt für Finanzunternehmen

Aktualisierung, 11. Oktober 2026: Der Digital Omnibus zum AI Act (Verordnung (EU) 2026/1744) ist am 27. Juli 2026 in Kraft getreten und verschiebt die Hochrisiko-Pflichten. Für eigenständige Systeme nach Anhang III — darunter die Bonitätsprüfung sowie die Preisbildung in der Lebens- und Krankenversicherung — gelten sie nun ab dem 2. Dezember 2027, für KI in regulierten Produkten (Anhang I) ab dem 2. August 2028. Die Transparenzpflichten nach Artikel 50 gelten weiterhin ab dem 2. August 2026, mit einer Übergangsfrist bis zum 2. Dezember 2026 für die Kennzeichnung synthetischer Inhalte aus bereits im Markt befindlichen Systemen. Der Arbeitsplan unten bleibt gültig — er hat lediglich sechzehn Monate gewonnen.

Regulierung kommt gewöhnlich als Ereignis; der AI Act kommt als Treppe. Verbotene Praktiken im Februar 2025, Pflichten für Allzweck-Modelle im August 2025, die allgemeine Anwendung des Rahmens am 2. August 2026 — und als Stufe, die für die Finanzbranche am meisten zählt, das Hochrisiko-Regime, das nach der Verschiebung durch den Digital Omnibus am 2. Dezember 2027 folgt.

Warum gerade Finanzen? Weil Anhang III der Verordnung (EU) 2024/1689 zwei Finanz-Anwendungsfälle per Design als Hochrisiko benennt: die Bonitätsprüfung natürlicher Personen und die Risikobewertung und Preisbildung in Lebens- und Krankenversicherung. Jeder verbraucherorientierte Kreditgeber, BNPL-Anbieter und Insurtech mit Modellen in diesen Feldern ist entweder Anbieter oder Betreiber eines Hochrisiko-KI-Systems — Vokabular, an das der Act konkrete Pflichtenkataloge knüpft.

Die Unterscheidung Anbieter/Betreiber trägt die Compliance-Ökonomie. Anbieter — wer das System entwickelt oder unter eigenem Namen entwickeln lässt — tragen das volle Programm: Risikomanagementsystem, Daten-Governance, technische Dokumentation, Protokollierung, Design menschlicher Aufsicht, Genauigkeits- und Robustheitstests, Konformitätsbewertung, Registrierung. Betreiber — wer das System beruflich nutzt — tragen ein leichteres, aber reales Paket: Nutzung gemäß Anleitung, Sicherstellung menschlicher Aufsicht, Monitoring und spezifische Transparenzpflichten gegenüber Betroffenen. Eine Bank, die Scoring-Software kauft, ist typischerweise Betreiber; sobald sie das Modell wesentlich verändert oder unter eigenem Namen vermarktet, kann sie in die Anbieterrolle rutschen — eine Grenze, die man vor dem Stichtag kartieren sollte, nicht danach.

Was „Hochrisiko-Compliance“ tatsächlich enthält

• Daten-Governance mit Zähnen: Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und auf Verzerrungen geprüft sein — dokumentiert so, dass ein Prüfer folgen kann.
• Menschliche Aufsicht, die real ist: eine benannte Funktion mit der Kompetenz und Befugnis einzugreifen — kein Abnick-Bildschirm am Ende einer automatisierten Pipeline.
• Protokollierung und Nachvollziehbarkeit: automatisch aufgezeichnete Ereignisse, die rekonstruierbar machen, warum eine Entscheidung entstand.
• Transparenz gegenüber Betroffenen: Im Kreditkontext verzahnt sich das mit CCD2- und DSGVO-Rechten zu automatisierten Entscheidungen — eine Erklärungsarchitektur sollte allen dreien dienen.

Die Verzahnung mit der Finanzaufsicht

Der Act wurde in dem Wissen geschrieben, dass die Finanzbranche bereits unter Modell-Governance-Erwartungen lebt. Finanzinstitute dürfen Teile der AI-Act-Anforderungen in ihre bestehenden Risiko- und Governance-Rahmen integrieren, und die Aufsicht über Finanz-Anwendungsfälle wird zu den Finanzaufsehern kanalisiert — in Deutschland macht die Rolle der BaFin in der Marktüberwachung dieser Anwendungsfälle das KI-Gespräch zum Teil der normalen Aufsichtsbeziehung statt zu einem separaten Universum. Für Häuser mit bestehendem Model-Risk-Management heißt die praktische Aufgabe: Deltas kartieren und schließen, nicht bei null bauen.

Ein ehrlicher Vorbehalt gehörte in jedes Briefing des ersten Halbjahrs 2026: Brüssel debattierte gezielte Vereinfachungen und Timing-Anpassungen — und hat sie mit dem Digital Omnibus im Juli 2026 beschlossen. Das Umsetzungs-Ökosystem des AI Act — Standards, Leitlinien, nationale Behörden — läuft weiter gegen den Kalender. Kluge Planung behandelt den 2. Dezember 2027 als operative Frist; die Roadmap auf eine weitere Verschiebung zu wetten ist keine Strategie.

“

Für das Kredit-Scoring ist der AI Act keine neue Philosophie — er ist alte Modell-Governance mit Gesetzeskraft und Registrierungsnummer.

Die Anbieter-Dimension

Die meisten DACH-Finanzhäuser begegnen dem Act über ihre Anbieter. Das macht die Beschaffung zur ersten Compliance-Linie: Verträge brauchen die Konformitätsdokumentation des Anbieters, Kooperationspflichten für Aufsicht und Protokollierung und Klarheit darüber, wer welche Rolle trägt, wenn das Produkt konfiguriert, feinjustiert oder white-gelabelt wird. SaaS-Anbieter, die Scoring-, Fraud- oder Underwriting-Komponenten in den DACH-Markt verkaufen, sollten ein vollständiges AI-Act-Dossier als Vertriebsmaterial behandeln — wer damit auftaucht, passiert die Beschaffung, während Wettbewerber noch Antworten entwerfen.

Ein 60-Tage-Arbeitsplan

1. 01Jede KI-gestützte Entscheidung mit Bezug zu natürlichen Personen inventarisieren; gegen Anhang III und die Verbotsliste klassifizieren.
2. 02Anbieter-/Betreiber-Rollen pro System zuweisen — inklusive der Grenzfälle modifizierter Anbietermodelle.
3. 03Bestehende Modell-Governance-Artefakte gegen den Hochrisiko-Katalog mappen; die Lückenliste ist Ihr Projektplan.
4. 04Kritische Anbieterverträge um Dokumentations-, Protokollzugangs- und Kooperationspflichten ergänzen.
5. 05Die menschliche Aufsichtsfunktion mit echter Befugnis aufstellen und auf die konkreten Systeme schulen.

Jenseits von Anhang III: der Rest des Bestands

Hochrisiko ist die schärfste Kategorie, nicht die einzige. Chatbots und kundengerichtete Assistenten tragen Transparenzpflichten — Nutzer müssen wissen, dass sie mit einer Maschine sprechen. Generierte Inhalte treffen auf Kennzeichnungserwartungen. Interne Copilots für Entwickler und Analysten sitzen weitgehend in der unregulierten Komfortzone, aber ihre Ausgaben fließen in regulierte Prozesse — weshalb vernünftige Governance sie trotzdem inventarisiert. Und die Allzweck-Modelle, auf denen die meisten Firmen bauen, tragen ihre eigenen Anbieterpflichten stromaufwärts — womit ein Teil Ihrer Compliance-Geschichte wieder einmal Anbieterauswahl ist: Welche Foundation-Model-Anbieter können ihre AI-Act-Aufstellung belegen, und was erben Ihre Verträge von ihnen.

Die organisatorische Antwort, die sich in DACH-Finanzhäusern herausbildet, ist unspektakulär und richtig: ein KI-Register, gepflegt wie das Auslagerungsregister, ein leichter Intake-Prozess, der neue Anwendungsfälle vor dem Go-live klassifiziert, und klare Ownership in der Second Line. Häuser, die das früh aufgebaut haben, erleben die Frist als Verwaltungsereignis; Häuser, die es erst kurz vorher improvisieren, entdecken, wie viele Modelle sie betreiben, die formal niemandem gehören.

Fazit

Der AI Act macht KI-Governance im Finanzwesen vom Foliensatz zum Prüfungsthema — für Kredit- und Versicherungsmodelle ab Dezember 2027. Gut fahren werden die Häuser, die Kredit- und Versicherungsmodelle schon immer als regulierte Infrastruktur behandelt — und es dokumentiert — haben. Aegiron Capital Group unterstützt Finanzunternehmen und ihre Technologieanbieter dabei, Systeme zu klassifizieren und AI-Act-Readiness in bestehende Governance einzubauen; die Rechtsberatung übernimmt die Kanzlei, die Sie beauftragen.