KI-Aufsicht in Versicherung und bAV: BaFin, Bundesnetzagentur, DORA und KI-MIG

Zwei Regelwerke, zwei Aufsichtswege

Wer in einem Versicherungsunternehmen, einer Pensionskasse oder einem Pensionsfonds KI einsetzt, bewegt sich in zwei Rechtsrahmen zugleich. DORA, die Verordnung (EU) 2022/2554 über die digitale operationale Resilienz, gilt seit dem 17. Januar 2025 und erfasst KI als Teil der IKT. Die KI-Verordnung (EU) 2024/1689 regelt KI als Produkt und ihren Einsatz, gestaffelt bis 2028. Beide verfolgen unterschiedliche Ziele und werden unterschiedlich beaufsichtigt:

Für ein und dasselbe KI-System können also beide Regelwerke gelten. Ein Chatbot im Kundenportal eines Versicherers ist ein IKT-Dienst im Sinne von DORA und zugleich ein KI-System, das Artikel 50 der KI-Verordnung erfüllen muss. Welche Fristen der KI-Verordnung wann greifen, zeigt unser Leitfaden zum EU AI Act in der bAV.

Wer ist zuständig? Das KI-MIG

Das KI-Marktüberwachungsgesetz bestimmt, welche deutsche Behörde die KI-Verordnung überwacht. Es wurde am 11. Februar 2026 vom Kabinett beschlossen, am 11. Juni vom Bundestag verabschiedet, am 10. Juli vom Bundesrat gebilligt und ist seit dem 29. Juli 2026 in Kraft.

Ein Versicherungshaus hat damit regelmäßig zwei Ansprechpartner: die BaFin für KI im Versicherungsgeschäft, die Bundesnetzagentur für KI in Personal- und internen Querschnittsfunktionen. Die BaFin hat dazu am 29. Juli 2026 eine eigene Seite zur KI-Marktüberwachung veröffentlicht. Bei der Bundesnetzagentur ist das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) angesiedelt, dazu ein Service-Desk für kleinere Unternehmen und ein KI-Reallabor zur Erprobung neuer Anwendungen unter Aufsicht.

Die BaFin-Orientierungshilfe zu KI

Am 18. Dezember 2025 hat die BaFin eine Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen veröffentlicht. Sie schafft keine neuen Pflichten. Sie zeigt aber, wie die Aufsicht die bestehenden DORA-Pflichten auf KI anwendet, und ist deshalb ein guter Prüfmaßstab für die eigene Organisation. Drei Ebenen tragen das Dokument:

Governance

Kein KI-Einsatz ohne Governance. Die Geschäftsleitung trägt die Gesamtverantwortung, legt die KI-Strategie fest und muss selbst über ausreichende Kenntnisse verfügen. Die Orientierungshilfe ordnet KI in den bestehenden DORA-Rahmen für das IKT-Risikomanagement ein, statt eine eigene KI-Organisation zu verlangen. Für die Umsetzung bietet sich das bewährte Modell der drei Verteidigungslinien an: Fachbereiche und IT verantworten Entwicklung und Betrieb, Risikomanagement, Compliance und Informationssicherheit setzen den Rahmen und prüfen, die interne Revision prüft unabhängig.

Lebenszyklus

• Entwicklung und Beschaffung: sichere Entwicklungsprozesse, Tests gegen KI-spezifische Angriffe, Prüfung der Trainingsdaten. Ob ein System selbst gebaut oder als Standardsoftware eingekauft wurde, ändert den Maßstab nicht.
• Betrieb: fortlaufende Überwachung auf Abweichungen und Leistungsverlust. Eine einmalige Freigabe reicht nicht.
• Stilllegung: sichere Außerbetriebnahme der Modelle und nachweisbare Löschung der Daten.

Querschnittsthemen

• Cyber- und Datensicherheit, einschließlich der Manipulation von Trainingsdaten.
• Cloud- und Drittparteienrisiken: viele KI-Dienste gibt es nur aus der Cloud; das erzeugt Abhängigkeiten, die vor Vertragsschluss bewertet und mit Exit-Strategien abgesichert werden müssen.
• Vorfälle: schwerwiegende IKT-bezogene Vorfälle mit KI-Systemen fallen unter die Meldepflichten nach DORA.

Wie diese Ebenen in der Praxis aussehen, ordnen Mario Pustan und Dietmar Niehaus im Fachinterview zur BaFin-Orientierungshilfe ein.

DORA-Pflichten, die KI konkret treffen

Hinzu kommt die Überwachung großer IKT-Anbieter auf europäischer Ebene: Die europäischen Aufsichtsbehörden haben am 18. November 2025 erstmals 19 kritische IKT-Drittdienstleister benannt, darunter große Cloud-Anbieter, über die viele KI-Dienste bezogen werden. Das ersetzt nicht die eigene Risikobewertung des Finanzunternehmens.

Was das für bAV-Träger, Dienstleister und Vermittler heißt

• Pensionskassen und Pensionsfonds behandeln KI wie jede andere IKT: im Risikomanagement, im Informationsregister, in der Vorfallmeldung. Für eingekaufte Verwaltungsplattformen mit KI-Funktionen zählt vor allem die Exit-Fähigkeit: Lassen sich die Bestandsdaten im Ernstfall vollständig und prüfbar übertragen? Dafür haben wir DORA ExitProof entwickelt, einen technischen Exit-Test mit dokumentiertem Ergebnis.
• IT-Dienstleister von Versicherern unterliegen DORA nicht unmittelbar, aber über ihre Verträge. Sie müssen Nachweise liefern: Vertragsanlagen nach Art. 30, Meldewege für Vorfälle, Angaben zu Datenstandort und Subdienstleistern, Unterstützung beim Ausstieg. Wie wir das für unseren eigenen Betrieb lösen, beschreibt Rechenzentrum und BPO.
• Arbeitgeber sind nicht DORA-pflichtig. Für KI in HR- und bAV-Prozessen gilt die KI-Verordnung mit der Bundesnetzagentur als Aufsicht; wie sie das intern organisieren, beschreibt unser Leitfaden zur KI-Governance in HR und bAV.
• Vermittler mit Gewerbeerlaubnis fallen ebenfalls nicht unter die BaFin-Marktüberwachung für KI, sondern unter die Bundesnetzagentur. Ihre Pflichten aus der KI-Verordnung, etwa nach Artikel 50, bleiben dieselben.

Behördliche Auskünfte und ihre Grenzen

Das KoKIVO bietet Kontaktformular, FAQ, Prüfleitfaden und Factsheets. Das hilft bei der Orientierung, ersetzt aber keine verbindliche Auskunft: Wer dort anfragt, erhält eine Einschätzung, keine Absicherung. Für Prüfungen zählt die eigene Auslegung. Bewährt hat sich ein kurzer Vermerk je KI-System: Ist es ein KI-System im Sinne der Verordnung? Welche Rolle hat das Unternehmen? Welche Risikoklasse, welche Behörde? Dazu Datum und Name der verantwortlichen Person.

Checkliste für Vorstände

• Ist eine KI-Strategie beschlossen und mit Geschäfts-, Risiko- und IKT-Strategie verzahnt?
• Verfügt die Geschäftsleitung selbst über ausreichende KI-Kenntnisse, und ist das dokumentiert?
• Sind alle KI-Systeme im IKT-Risikomanagement und, soweit von Dritten bezogen, im Informationsregister erfasst?
• Ist für jedes System geklärt, welche Behörde nach dem KI-MIG zuständig ist?
• Werden KI-Systeme im Betrieb überwacht, und gibt es einen Plan für ihre Stilllegung?
• Erfasst der Vorfallprozess auch Fehlverhalten von KI-Systemen?
• Gibt es für kritische Dienstleister eine getestete Exit-Strategie, nicht nur ein Dokument?
• Enthalten die Verträge mit KI- und SaaS-Anbietern die Mindestinhalte nach Art. 30 DORA?

Häufige Fragen

Ist die BaFin-Orientierungshilfe zu KI verbindlich?

Nein. Sie begründet keine eigenen Pflichten, zeigt aber, wie die BaFin die verbindlichen Anforderungen aus DORA auf KI anwendet. Wer davon abweicht, sollte begründen können, warum.

Ist für eine Pensionskasse die BaFin oder die Bundesnetzagentur zuständig?

Für DORA immer die BaFin. Für die KI-Verordnung ist die BaFin zuständig, soweit die KI mit den beaufsichtigten Tätigkeiten zusammenhängt; für KI etwa im Personalbereich ist es die Bundesnetzagentur.

Gilt DORA auch für IT-Dienstleister von Versicherern?

Nicht unmittelbar, außer sie werden als kritische IKT-Drittdienstleister benannt. Über die Verträge mit ihren Kunden müssen sie aber viele DORA-Anforderungen erfüllen und nachweisen.

Müssen KI-Vorfälle gesondert gemeldet werden?

Nach DORA gibt es keinen eigenen Meldeweg für KI. Schwerwiegende IKT-bezogene Vorfälle, auch solche mit KI-Systemen, laufen über den regulären Meldeprozess. Für Hochrisiko-KI kommen ab Dezember 2027 eigene Meldepflichten nach der KI-Verordnung hinzu.

Kann man sich auf Auskünfte der Bundesnetzagentur verlassen?

Sie geben Orientierung, sind aber nicht bindend. Entscheidend ist die eigene, dokumentierte Einordnung.

---

Sie wollen die Exit-Fähigkeit Ihrer bAV-Plattform nach DORA belegen? DORA ExitProof liefert einen technischen Migrationstest mit dokumentiertem Ergebnis, zum Festpreis. Für Dienstleisterverträge stellen wir die passenden DORA-Vertragsanlagen bereit. Termin für ein Gespräch vereinbaren.

---