Regulatorischer Hintergrund

Die europäische KI-Verordnung (Verordnung (EU) 2024/1689, „EU AI Act“) ist am 1. August 2024 in Kraft getreten und gilt unmittelbar in allen Mitgliedstaaten. Sie verfolgt einen risikobasierten Ansatz: Bestimmte KI-Praktiken sind verboten, Hochrisiko-KI unterliegt strengen Anforderungen, für andere Systeme gelten vor allem Transparenzpflichten. Unternehmen sind dabei meist Betreiber, also Nutzer von KI-Systemen – etwa im Rechnungswesen, im Controlling oder im Personalbereich.

Mit der Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744) hat der EU-Gesetzgeber die Regeln im Juli 2026 vereinfacht und Fristen verschoben. In Deutschland regelt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) seit dem 29. Juli 2026 die Aufsicht: Zuständig ist grundsätzlich die Bundesnetzagentur, für von der BaFin beaufsichtigte Finanzunternehmen die BaFin.

Was gilt ab wann?

2025: Seit Februar 2025 sind bestimmte KI-Anwendungen verboten, etwa manipulative Systeme oder Social Scoring. Zugleich müssen Unternehmen dafür sorgen, dass ihre Mitarbeitenden kompetent mit KI umgehen können. Seit August 2025 gelten außerdem Regeln für die großen KI-Modelle hinter gängigen Chatbots sowie die Vorschriften zu Aufsicht und Sanktionen.

2026: Seit August 2026 gilt die Verordnung in weiten Teilen – unter anderem mit Transparenzpflichten, etwa wenn täuschend echte KI-Bilder und -Videos oder ungeprüfte KI-Texte veröffentlicht werden. Anbieter generativer KI müssen ihre Inhalte spätestens ab Dezember 2026 maschinenlesbar kennzeichnen.

2027: Ab Dezember 2027 gelten die strengen Pflichten für Hochrisiko-KI – im Finanzbereich etwa für KI, die Personalentscheidungen oder die Kreditwürdigkeitsprüfung von Privatpersonen unterstützt. Wer solche Anwendungen nutzt, sollte Verantwortlichkeiten, Dokumentation und menschliche Aufsicht rechtzeitig vorbereiten.

2028: Ab August 2028 folgen die Pflichten für KI in regulierten Produkten, etwa in Maschinen oder Medizinprodukten.

Hinweis: Die Übersicht gibt den aktuellen Stand (Oktober 2026) wieder. Fristen und Anforderungen können sich weiter ändern – bei der Projektplanung sollten sie daher noch einmal genau geprüft werden.

Was sich gegenüber dem bisherigen Stand geändert hat

• KI-Kompetenz: Bisher mussten Unternehmen „nach besten Kräften“ sicherstellen, dass ihre Mitarbeitenden über ein ausreichendes Maß an KI-Kompetenz verfügen. Seit Juli 2026 genügen Maßnahmen zur Förderung der KI-Kompetenz – ein bestimmtes Niveau muss nicht mehr garantiert werden.
• Hochrisiko-KI: Die Pflichten nach Anhang III gelten erst ab 2. Dezember 2027 statt ab 2. August 2026; für Hochrisiko-KI in Produkten ab 2. August 2028 statt ab 2. August 2027.
• Bestandssysteme: Hochrisiko-Systeme, deren Typ schon vor diesen Stichtagen am Markt war, fallen grundsätzlich erst bei wesentlichen Änderungen am Design unter die Pflichten.
• Mittelstand: Einzelne Erleichterungen für KMU gelten künftig auch für kleine Mid Caps.

Was das für Ihr IKS bedeutet

Für die meisten KI-Anwendungen im Finanzbereich – etwa beim Rechnungsabgleich oder in der Prognose – gelten in der Regel keine Hochrisiko-Pflichten. Gefordert sind aber KI-Kompetenz, klare Verantwortlichkeiten und wirksame Kontrollen. Wo KI Personalentscheidungen oder Kreditwürdigkeitsprüfungen unterstützt, sollten die Hochrisiko-Pflichten frühzeitig vorbereitet werden.

Wir erstellen mit Ihnen ein KI-Inventar, etablieren AI-Governance und Kontrollen für KI-gestützte Prozesse und verankern KI-Risiken im Prüfungsplan der Internen Revision.

Typische Fragestellungen

• Wo setzen wir im Finanzbereich bereits KI ein - und wer verantwortet sie?
• Sind unsere Kontrollen für KI-gestütze dokumentiert und wirksam?
• Wie bezieht die Interne Revision KI in Risikoanalyse und Prüfungsplan ein?
• Wie fördern wir die KI-Kompetenz unserer Finance-Teams nachweisbar?

Unser Leistungsangebot