--- title: "KI-Verordnung Finanzdienstleistungen: Compliance-Leitfaden Deutschland 2026" description: "KI-Verordnung Finanzdienstleistungen in Deutschland: Kreditscoring-Pflichten, BaFin-Anforderungen und Compliance-Checkliste für 2026." image: "https://compound.law/assets/images/og-image-de.webp" source: "https://compound.law/de-DE/ai-act/financial-services/" language: "de" --- ![KI-Compliance für Finanzdienstleister unter dem EU AI Act 2026](https://compound.law/assets/images/ai-act/ai_act_4.webp) ai-act # KI-Verordnung Finanzdienstleistungen: Compliance-Leitfaden Deutschland 2026 1\. Mai 2026 Welche KI-Pflichten gelten für Finanzdienstleister ab 2026? Finanzdienstleister in Deutschland, die KI für Kreditscoring, Betrugserkennung oder Robo-Advisory einsetzen, unterliegen dem EU AI Act. Hochrisiko-Systeme müssen ab August 2026 compliant sein – zusätzlich zu BaFin-, DSGVO- und KWG-Anforderungen. - Kreditscoring und Versicherungs-Underwriting sind explizit hochriskante KI-Systeme nach Anhang III. - Hochrisiko-Pflichten gelten vollständig ab August 2026, Legacy-Systeme ab Februar 2027. - Betrugserkennung mit Kontozugangssperrung löst erhöhte Transparenzpflichten aus. - DSGVO, KWG und AI-Act-Pflichten gelten kumulativ – nicht alternativ zu BaFin-Anforderungen. Finanzdienstleister in Deutschland, die KI für **Kreditscoring, Betrugserkennung oder automatisierte Anlageberatung** einsetzen, unterliegen ab August 2026 den vollen Anforderungen des EU AI Act. Scoring-Systeme zur Kreditwürdigkeitsprüfung natürlicher Personen sind in Anhang III des AI Act explizit als hochriskant eingestuft – sie brauchen ein Risikomanagementsystem, Bias-Tests, technische Dokumentation und menschliche Aufsicht. Eine Einführung in das regulatorische Gesamtbild bietet unser [EU AI Act Überblick](https://compound.law/de-DE/ai-act/). Für deutsche Finanzinstitute bedeutet das, AI-Act-Anforderungen auf BaFin-Aufsicht, DSGVO und bestehende Finanzregulierung aufzuschichten – nicht alternativ, sondern kumulativ. *Zuletzt aktualisiert: Mai 2026* ## EU AI Act Fristen für Finanzdienstleister Die Uhr läuft. Finanzinstitute müssen die folgenden Fristen einplanen: | Frist | Inhalt | | ---------------- | ------------------------------------------------------------------- | | **Februar 2025** | Verbotene KI-Praktiken (Art. 5) gelten ab sofort – keine Ausnahmen | | **August 2026** | Hochrisiko-Pflichten für neue KI-Systeme treten in Kraft | | **Februar 2027** | Übergangsregelung endet: Altsysteme müssen ebenfalls compliant sein | Für die meisten Kreditinstitute ist August 2026 die entscheidende Frist: Neue Scoring-Modelle, neue Betrugssysteme, neue Robo-Advisory-Plattformen müssen ab diesem Datum den vollen Hochrisiko-Anforderungen entsprechen. Systeme, die bereits vor August 2026 im Betrieb waren, erhalten eine Gnadenfrist bis Februar 2027. „Bereits im Betrieb” hat Grenzen. Erhebliche Modifikationen an bestehenden Systemen können die Übergangsfrist entfallen lassen. Wer 2026 ein Modellupgrade oder eine Plattformmigration plant, sollte vorab prüfen, ob die Änderung als wesentliche Modifikation gilt. ## Kreditscoring und Versicherungs-Underwriting: Hochriskant Jede KI, die Kreditwürdigkeit bewertet oder Versicherungsprämien und -berechtigung für natürliche Personen bestimmt, ist nach dem EU AI Act hochriskant. Das ist keine Interpretationsfrage – Anhang III listet es explizit. Kreditscoring, Versicherungs-Underwriting, Schadenbewertung: alle brauchen volle Compliance-Behandlung. Die Anforderungen sind erheblich: - **Risikomanagementsystem** – kontinuierliche Überwachung während des gesamten Lebenszyklus - **Datengouvernanz** – Qualität, Vollständigkeit und Repräsentativität der Trainingsdaten dokumentieren - **Bias-Tests** – systematische Prüfung auf diskriminierende Ergebnisse vor und nach Inbetriebnahme - **Transparenz** – Nutzer müssen über den KI-Einsatz informiert werden - **Menschliche Aufsicht** – Mechanismen für Eingriffe durch natürliche Personen - **Genauigkeitsüberwachung** – laufende Evaluation der Systemleistung - **Technische Dokumentation** – vor Inbetriebnahme vollständig erstellt Deutsche Institute haben bereits Compliance-Infrastruktur für BaFin-Anforderungen. Unser [KI-Risikobewertungs-Framework](https://compound.law/de-DE/compliance/ai-risk-assessment/) hilft, AI-Act-Compliance damit zu integrieren. Spezifische Anforderungen für Kreditentscheidungen deckt der [KI-Kreditscoring-Compliance-Leitfaden](https://compound.law/de-DE/compliance/ai-credit-scoring/) ab. ## Betrugserkennung: Grauzone mit klarer Linie KI zur Betrugserkennung fällt nicht automatisch unter die Hochrisiko-Kategorie. Die entscheidende Frage ist: Was passiert, wenn das System anschlägt? - Flaggt das System eine Transaktion zur **menschlichen Prüfung**: niedrigere Pflichten - Sperrt das System **Kontozugang oder wesentliche Dienste**: erhöhte Pflichten, möglicherweise Hochrisiko Diese Unterscheidung ist für deutsche Banken und Zahlungsdienstleister kritisch. Wer Konten auf Basis von KI-Entscheidungen einfriert, muss Transparenz- und Widerspruchsrechte sicherstellen. Details dazu enthält unser [KI-Betrugserkennungs-Compliance-Leitfaden](https://compound.law/de-DE/compliance/ai-fraud-detection/). ## Investment-KI und Robo-Advisory Algorithmischer Handel und Robo-Advisory haben ihr eigenes Regulierungs-Framework unter MiFID II. Der AI Act überschreibt das nicht – er ergänzt es. KI-spezifische Risiken brauchen Aufmerksamkeit, auch wenn MiFID-II-Compliance solide ist: - **Model Drift**: Wenn sich Marktdaten verändern, kann ein Modell systematisch falsch liegen – ohne dass jemand es merkt - **Trainingsdaten-Bias**: Historische Ungleichgewichte in Finanzdaten übertragen sich auf Modellentscheidungen - **Algorithmischer Bias**: Benachteiligung bestimmter Kundengruppen bei Produktempfehlungen Für Handelssysteme braucht die Interaktion zwischen AI-Act-Transparenz und Marktintegritätsregeln sorgfältige Navigation. Praxisnahe Hinweise liefern unser [KI-Handelsalgorithmen-Compliance](https://compound.law/de-DE/compliance/ai-trading-algorithms/)- und [KI-Portfoliomanagement-Compliance](https://compound.law/de-DE/compliance/ai-portfolio-management/)-Leitfaden. ## DSGVO und KWG: Besonderheiten für deutsche Banken Deutsche Finanzinstitute, die personenbezogene Daten in KI-Systemen verarbeiten, müssen EU AI Act und DSGVO gleichzeitig erfüllen. Beide Frameworks greifen im Finanz-KI-Kontext erheblich ineinander – hinzu kommen Anforderungen aus dem Kreditwesengesetz (KWG). **Automatisierte Entscheidungen (DSGVO Art. 22)**: Die DSGVO schränkt ausschliesslich automatisierte Entscheidungen mit erheblichen Auswirkungen auf natürliche Personen ein. Kreditscoring-KI, die Entscheidungen eines Sachbearbeiters unterstützt, fällt möglicherweise nicht direkt unter Art. 22 – die Hochrisiko-Pflichten des AI Act gelten jedoch unabhängig davon, ob formal ein Mensch im Entscheidungsprozess eingebunden ist. **Datensparsamkeit und KI-Training**: Der DSGVO-Grundsatz der Datensparsamkeit begrenzt, welche personenbezogenen Daten für das Training von KI-Modellen genutzt werden dürfen. Institute, die Scoring-Modelle mit Kundentransaktionsdaten trainieren, brauchen eine klare Rechtsgrundlage und eine dokumentierte Zweckbindungsanalyse, bevor diese Daten in eine Trainingspipeline fliessen. **Auskunfts- und Erklärungsrechte**: Wo KI-gestützte Entscheidungen Kunden betreffen, entstehen parallele Pflichten aus DSGVO-Auskunftsrechten und AI-Act-Transparenzanforderungen. Empfehlenswert ist ein einheitlicher Kundenprozess, der beide Anforderungen gleichzeitig abdeckt, statt zwei getrennte Workflows zu pflegen. **Kreditwesengesetz (KWG)**: Das KWG verlangt Zuverlässigkeit und Ordnungsmässigkeit von Bankgeschäften – einschliesslich der eingesetzten technischen Systeme. KI-Systeme, die Kreditentscheidungen unterstützen, müssen sowohl KWG-Anforderungen als auch die Hochrisiko-Pflichten des AI Act erfüllen. Beides gilt kumulativ, nicht alternativ. **Auftragsverarbeitungsverträge (AVV) mit KI-Anbietern**: Verarbeiten externe KI-Systeme personenbezogene Kundendaten, ist ein AVV nach DSGVO Art. 28 Pflicht. Der AVV muss die spezifischen KI-Verarbeitungsaktivitäten abdecken und darf sich nicht auf generische Datenverarbeitungsbedingungen stützen. Unser [Leitfaden zu Auftragsverarbeitungsverträgen](https://compound.law/de-DE/compliance/data-processing-agreement/) zeigt, was ein AVV für einen KI-Systemanbieter enthalten muss. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat sich in Aufsichtsmitteilungen sowohl mit AI-Act- als auch DSGVO-Aspekten befasst. Institute sollten BaFin-Veröffentlichungen gemeinsam mit EBA- und ESMA-Leitlinien im Blick behalten und ihr Compliance-Programm mit Datenschutzbeauftragtem und Rechtsberatung abstimmen. ## Compliance-Checkliste für Finanzinstitute Nutzen Sie diese Checkliste als Ausgangspunkt für Ihre AI-Act-Compliance-Vorbereitung. Spezifische Situationen erfordern individuelle Rechtsberatung. **Schritt 1 – KI-Inventar erstellen** - [ ] Alle KI-Systeme im Unternehmen erfassen - [ ] Einsatzzweck und beteiligte Daten dokumentieren - [ ] Systeme nach AI-Act-Risikokategorien klassifizieren **Schritt 2 – Hochrisiko-Systeme identifizieren** - [ ] Kreditscoring-Modelle als hochriskant einstufen - [ ] Versicherungs-Underwriting-KI als hochriskant einstufen - [ ] Betrugserkennung auf Auswirkungen auf Kontozugang prüfen - [ ] GPAI-Modell-Integrationen in hochriskante Entscheidungspipelines prüfen **Schritt 3 – Hochrisiko-Anforderungen umsetzen** - [ ] Risikomanagementsystem aufbauen - [ ] Datengouvernanz-Dokumentation erstellen - [ ] Bias-Testprotokolle einführen - [ ] Menschliche Aufsichtsmechanismen etablieren - [ ] Technische Dokumentation vollständig erstellen - [ ] EU-Konformitätserklärung vorbereiten **Schritt 4 – BaFin, DSGVO und KWG-Integration** - [ ] AI-Act-Compliance mit bestehenden BaFin-Anforderungen abgleichen - [ ] MiFID-II-Pflichten mit AI-Act-Anforderungen harmonisieren - [ ] DSGVO-Datenschutzbeauftragten in den Compliance-Prozess einbinden - [ ] KWG-Anforderungen an technische Systemzuverlässigkeit mit AI-Act-Dokumentationspflichten synchronisieren - [ ] Interne Zuständigkeiten und Eskalationswege definieren **Schritt 5 – Drittanbieter-KI** - [ ] Scoring-Modelle und KI-Systeme externer Anbieter auditieren - [ ] Prüfen, ob Anbieter Hochrisiko-Pflichten als Hersteller erfüllen - [ ] Vertraglich Zugang zur notwendigen technischen Dokumentation sichern - [ ] AVV für alle Systeme abschliessen, die personenbezogene Daten verarbeiten Bei der Auswahl von KI-Infrastruktur – etwa [Azure OpenAI](https://compound.law/de-DE/tools/azure-openai/) oder der [OpenAI API](https://compound.law/de-DE/tools/openai-api/) – ist die regulatorische Einbettung des Anbieters sorgfältig zu prüfen. ## So hilft Compound Law - KI-Systeminventar und Risikoklassifizierung - Kredit- und Versicherungs-Scoring-Compliance - BaFin- und AI-Act-Integration - Trading-KI-Regulierungsabstimmung - Bias-Test- und Dokumentations-Frameworks - DSGVO/KWG und AI-Act-Schnittstellenanalyse - Compliance-Checklisten und interne Schulungen ## Häufig gestellte Fragen ### Wann müssen Finanzinstitute AI-Act-Anforderungen erfüllen? Neue hochriskante KI-Systeme müssen ab **August 2026** compliant sein. Für bereits im Betrieb befindliche Altsysteme (in Verkehr vor August 2026) gilt eine Übergangsfrist bis **Februar 2027**. ### Deckt MiFID-II-Compliance die AI-Act-Anforderungen ab? Nein. MiFID II deckt Marktverhalten und Anlageberatungspflichten ab. Der AI Act deckt KI-spezifische Risiken ab – Model Drift, Bias, Transparenz und menschliche Aufsicht. Beides ist parallel zu erfüllen. ### Ist Kreditscoring-KI immer hochriskant? Ja, wenn sie Kreditwürdigkeit natürlicher Personen bewertet. Das gilt unabhängig davon, ob das System selbst entscheidet oder einen menschlichen Entscheider unterstützt. Anhang III des AI Act lässt dazu keinen Interpretationsspielraum. ### Ist Betrugserkennung hochriskant? Nicht automatisch. Wenn sie Transaktionen zur menschlichen Prüfung markiert: niedrigere Pflichten. Wenn sie Kontozugang sperrt oder wesentliche Dienste verweigert: erheblich höhere Pflichten, möglicherweise Hochrisiko-Einstufung. ### Was ist mit B2B-Finanzdienstleistungen? Die Hochrisiko-Klassifizierung nach Anhang III fokussiert auf KI-Systeme, die Entscheidungen über natürliche Personen treffen. B2B-Dienste ohne Personenbezug haben niedrigere Pflichten, benötigen aber trotzdem Basis-Compliance wie Transparenzpflichten und interne Risikoprüfung. ### Wir nutzen ein Scoring-Modell eines Drittanbieters. Wer ist verantwortlich? Der Einsatz eines Drittanbieter-Modells entbindet Sie nicht von der Compliance-Pflicht. Als Betreiber (Deployer) tragen Sie Verantwortung für den ordnungsgemässen Einsatz. Prüfen Sie, ob der Anbieter die Anforderungen an Hochrisiko-KI-Systeme als Hersteller (Provider) erfüllt und stellen Sie vertraglich sicher, dass Sie die notwendigen Unterlagen erhalten. ### Was bedeutet KWG-Konformität für AI-Act-Pflichten? Das Kreditwesengesetz (KWG) regelt Zuverlässigkeit und Ordnungsmässigkeit von Bankgeschäften, einschliesslich technischer Systeme. KI-Systeme, die Kreditentscheidungen unterstützen, müssen sowohl KWG-Anforderungen als auch die Hochrisiko-Pflichten des EU AI Act erfüllen – beides gilt kumulativ. ### Wie verhält sich der AI Act zur DSGVO für Bankensysteme? DSGVO Art. 22 schränkt vollautomatisierte Entscheidungen mit erheblichen Auswirkungen auf natürliche Personen ein. Kreditscoring-KI, die Entscheidungen unterstützt, muss DSGVO-Auskunftsrechte und AI-Act-Transparenzpflichten parallel erfüllen. Beides lässt sich in einem einheitlichen Auskunftsprozess abbilden. ## Weitere Branchen-Guides [![EU AI Act Fristen Deutschland fuer 2 August 2026 2 Dezember 2027 und 2 August 2028](https://compound.law/assets/images/ai-act/ai_act_1.webp)](https://compound.law/de-DE/ai-act/august-2026-frist/) [ai-act](https://compound.law/de-DE/ai-act/august-2026-frist/) ### [EU AI Act Fristen Deutschland: 2. August 2026, 2027 und 2028](https://compound.law/de-DE/ai-act/august-2026-frist/) [Der EU AI Act kennt fuer Unternehmen in Deutschland nicht nur den 2. August 2026, sondern auch den 2. Dezember 2027 und 2. August 2028.](https://compound.law/de-DE/ai-act/august-2026-frist/) [![EU AI Act Compliance für Anwaltskanzleien in Deutschland](https://compound.law/assets/images/ai-act/ai_act_1.webp)](https://compound.law/de-DE/ai-act/legal-services/) [ai-act](https://compound.law/de-DE/ai-act/legal-services/) ### [EU AI Act Beratung für Kanzleien und Rechtsabteilungen](https://compound.law/de-DE/ai-act/legal-services/) [EU AI Act Beratung für Kanzleien: BRAO, Berufsgeheimnis und welche Systeme als Hochrisiko-KI gelten. Pflichten greifen bis Dezember 2027 und August 2028.](https://compound.law/de-DE/ai-act/legal-services/) [![KI-Compliance Landwirtschaft: EU AI Act für Agrarbetriebe 2026](https://compound.law/assets/images/ai-act/ai_act_1.webp)](https://compound.law/de-DE/ai-act/agriculture/) [ai-act](https://compound.law/de-DE/ai-act/agriculture/) ### [KI-Verordnung Landwirtschaft: Compliance-Leitfaden 2026](https://compound.law/de-DE/ai-act/agriculture/) [AI Act Landwirtschaft 2026: Welche KI-Systeme hochriskant sind, was bis August gilt und wie Agrarbetriebe compliant werden.](https://compound.law/de-DE/ai-act/agriculture/) ## Häufige Fragen Neue hochriskante KI-Systeme müssen ab August 2026 den Anforderungen des EU AI Act entsprechen. Für bereits im Betrieb befindliche Altsysteme (in Verkehr vor August 2026) gilt eine Übergangsfrist bis Februar 2027. Ja. KI-Systeme zur Kreditwürdigkeitsbewertung natürlicher Personen sind in Anhang III des EU AI Act explizit als hochriskant eingestuft. Das gilt für Banken, Leasinggesellschaften und Kreditplattformen gleichermassen. Betrugserkennung ist nicht automatisch hochriskant. Führt das System jedoch zu Kontosperrungen oder zur Verweigerung wesentlicher Finanzdienstleistungen, steigen die Transparenz- und Aufsichtspflichten nach dem AI Act erheblich. Ja. Der AI Act ergänzt die BaFin-Anforderungen und MiFID II, er ersetzt sie nicht. Finanzinstitute müssen beide Regulierungsrahmen parallel erfüllen. Robo-Advisory-Systeme unterliegen dem AI Act zusätzlich zu MiFID II. KI-spezifische Risiken wie Model Drift und algorithmischer Bias müssen dokumentiert, überwacht und gegenüber Kunden transparent gemacht werden. Hochriskante Systeme benötigen: technische Dokumentation, Risikomanagementsystem, Bias-Tests und Datengovernanznachweise, Protokolle zur menschlichen Aufsicht sowie eine EU-Konformitätserklärung vor Inbetriebnahme. Das Kreditwesengesetz (KWG) regelt Zuverlässigkeit und Ordnungsmässigkeit von Bankgeschäften, einschliesslich technischer Systeme. KI-Systeme, die Kreditentscheidungen unterstützen, müssen sowohl KWG-Anforderungen als auch die Hochrisiko-Pflichten des EU AI Act erfüllen – beides gilt kumulativ. DSGVO Art. 22 schränkt vollautomatisierte Entscheidungen mit erheblichen Auswirkungen auf natürliche Personen ein. Kreditscoring-KI, die Entscheidungen unterstützt, muss DSGVO-Auskunftsrechte und AI-Act-Transparenzpflichten parallel erfüllen. Beides lässt sich in einem einheitlichen Auskunftsprozess abbilden. ## Structured data ```json [ { "@context": "https://schema.org", "@type": [ "Organization", "LegalService" ], "@id": "https://compound.law/#organization", "name": "Compound Law", "alternateName": "Compound Law — AI Law Firm", "url": "https://compound.law/", "logo": { "@type": "ImageObject", "url": "https://compound.law/press/logos/PNG/Compound_Law_Icon.png", "width": 1024, "height": 1024 }, "image": "https://compound.law/assets/images/og-image.webp", "description": "Die KI-native Kanzlei in Berlin für Start-ups, Mittelstand und Konzerne: Commercial und Vertragsrecht, Datenschutz, KI-Verordnung, Marken, Gesellschaftsrecht sowie Sanierung und Insolvenz. Jedes Ergebnis prüft ein Anwalt, abgerechnet zum Festpreis.", "foundingDate": "2026", "founder": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] } ], "employee": [ { "@type": "Person", "name": "Mohit Tilwani", "jobTitle": "CTO", "url": "https://compound.law/de-DE/tech-team/mohit-tilwani/", "sameAs": [ "https://www.linkedin.com/in/mohit-tilwani/" ], "knowsAbout": [ "Engineering-Leadership und Architektur", "Skalierung von High-Traffic-Systemen", "KI- und Machine-Learning-Infrastruktur", "FinTech-Plattformentwicklung", "Cloud-Infrastruktur und DevOps", "Product Engineering" ] }, { "@type": "Person", "name": "Marko Bradic", "jobTitle": "CEO", "url": "https://compound.law/de-DE/tech-team/marko-bradic/", "sameAs": [ "https://www.linkedin.com/in/markobradic/" ], "knowsAbout": [ "Produktstrategie und -entwicklung", "Skalierung von Technologieunternehmen", "FinTech und Finanzdienstleistungen", "KI-gestützte Produktinnovation", "Geschäftsbetrieb und Wachstum", "Digitale Transformation" ] }, { "@type": "Person", "name": "Marc Schuba", "jobTitle": "Founding Partner, Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/marc-schuba/", "sameAs": [ "https://www.linkedin.com/in/marcschuba/" ], "knowsAbout": [ "IP- und IT-Recht", "SaaS- und IT-Verträge, IT-Outsourcing", "Software- und Open-Source-Lizenzen", "Datenschutzrecht (DSGVO)", "KI-Recht und KI-Verordnung (AI Act)" ] }, { "@type": "Person", "name": "Julian Jantze", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/julian-jantze/", "sameAs": [ "https://www.linkedin.com/in/julian-jantze-957b95158/" ], "knowsAbout": [ "Gesellschaftsrecht und Corporate Governance für Technologieunternehmen", "Arbeitsrecht und HR-Compliance", "EU AI Act Compliance und KI-Governance", "Mitarbeiterbeteiligungsmodelle (VSOP/ESOP)", "Regulatorische Compliance für Tech-Unternehmen", "Legal Operations und Legal Tech Implementierung" ] }, { "@type": "Person", "name": "Philipp Brandt", "jobTitle": "Partner, Rechtsanwalt, Fachanwalt für gewerblichen Rechtsschutz", "url": "https://compound.law/de-DE/lawyers/philipp-brandt/", "sameAs": [ "https://www.linkedin.com/in/philipp-brandt-81b446a/" ], "knowsAbout": [ "Sanierungs- und Insolvenzrecht (Krisenberatung der Geschäftsführung, Schutzschirm- und Planverfahren, Insolvenzverwaltung)", "Gewerblicher Rechtsschutz (Marken, Wettbewerbsrecht, Urheberrecht, Geschäftsgeheimnisse, Lizenzverträge)", "Datenschutzrecht (Datenpannen, Bußgeldverfahren, Auskunft und Schadensersatz)", "Vertriebs- und Handelsrecht (Vertriebsverträge, Kauf und Verkauf von Industrieanlagen)" ] }, { "@type": "Person", "name": "Dr. Markus Dreißigacker", "jobTitle": "Rechtsanwalt", "url": "https://compound.law/de-DE/lawyers/markus-dreissigacker/", "sameAs": [ "https://www.linkedin.com/in/markusdreissigacker" ], "knowsAbout": [ "M&A (Due Diligence, Post-Merger-Integration, IPO-Readiness)", "Gesellschaftsrecht (Governance, Gremienarbeit, Restrukturierung)", "Handelsrecht (Kundenverträge, Lieferantenvereinbarungen, NDAs)", "IP (Markenmanagement, IP-Übertragungsverträge)", "Compliance & ESG (Globale Compliance-Programme, Menschenrechte, Nachhaltigkeit)", "Datenschutz (DSGVO-Strategie, DPO-Erfahrung, Datenschutzprogramme)" ] } ], "address": { "@type": "PostalAddress", "addressLocality": "Berlin", "addressCountry": "DE" }, "areaServed": [ "Germany", "Austria", "Switzerland", "European Union", "United Kingdom", "United States", "Singapore" ], "availableLanguage": [ "de", "en" ], "serviceType": [ "AI law firm", "AI-native legal services", "legal counsel for start-ups and growth companies", "legal counsel for mid-sized companies and corporates", "Commercial Law", "Corporate Law", "Employment Law", "Regulatory & Compliance", "Intellectual Property", "Insolvency & Restructuring" ], "hasOfferCatalog": { "@type": "OfferCatalog", "name": "Compound Law services", "itemListElement": [ { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Commercial Contracts", "description": "Battle-tested contracts for your sales process", "serviceType": [ "enterprise contracts", "MSA", "DPA", "sales contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "International Employment", "description": "Compliant hiring across borders", "serviceType": [ "international employment", "hiring abroad", "employment contracts" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "VSOP/ESOP Setup", "description": "Employee participation that actually works", "serviceType": [ "VSOP", "ESOP", "employee stock options", "equity incentives" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Funding Round Support", "description": "Clean legal for your next raise", "serviceType": [ "funding round", "term sheet", "SHA", "due diligence", "cap table" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Corporate Housekeeping", "description": "Get your legal house in order", "serviceType": [ "corporate governance", "board resolutions", "shareholder register" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Data Protection & Privacy", "description": "GDPR compliance that doesn't slow you down", "serviceType": [ "GDPR", "data protection", "privacy", "DPA", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "AI Act Compliance", "description": "Navigate EU AI regulation", "serviceType": [ "AI Act", "AI compliance", "AI governance", "EU AI regulation" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "IP & Competition", "description": "Protect and enforce what you've built", "serviceType": [ "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Fractional General Counsel", "description": "In-house legal without the full-time cost", "serviceType": [ "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "FinTech Compliance", "description": "Navigate financial regulation", "serviceType": [ "fintech compliance", "BaFin", "banking regulation", "AML", "KYC" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Legal Retainer", "description": "Predictable legal support when you need it", "serviceType": [ "legal retainer", "legal subscription", "ongoing legal support" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "M&A Preparation", "description": "Get ready for acquisition interest", "serviceType": [ "M&A preparation", "acquisition", "due diligence", "exit" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } }, { "@type": "Offer", "itemOffered": { "@type": "Service", "name": "Restructuring & Insolvency", "description": "From the first liquidity check to the restructuring itself", "serviceType": [ "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ], "areaServed": [ "Germany", "European Union", "United Kingdom", "United States", "Singapore" ] } } ] }, "contactPoint": { "@type": "ContactPoint", "contactType": "sales", "email": "contact@compound.law", "availableLanguage": [ "English", "German" ], "areaServed": [ "DE", "AT", "CH", "EU", "GB", "US", "SG" ] }, "email": "contact@compound.law", "sameAs": [ "https://www.linkedin.com/company/compoundlawfirm", "https://x.com/CompoundLawFirm" ], "knowsAbout": [ "Commercial Contracts", "enterprise contracts", "MSA", "DPA", "sales contracts", "International Employment", "international employment", "hiring abroad", "employment contracts", "VSOP/ESOP Setup", "VSOP", "ESOP", "employee stock options", "equity incentives", "Funding Round Support", "funding round", "term sheet", "SHA", "due diligence", "cap table", "Corporate Housekeeping", "corporate governance", "board resolutions", "shareholder register", "Data Protection & Privacy", "GDPR", "data protection", "privacy", "cookies", "data breach response", "GDPR fines", "Art. 82 GDPR", "AI Act Compliance", "AI Act", "AI compliance", "AI governance", "EU AI regulation", "IP & Competition", "IP protection", "intellectual property", "trademarks", "trademark enforcement", "warning letters", "preliminary injunctions", "unfair competition", "software licensing", "open source compliance", "Fractional General Counsel", "fractional GC", "fractional general counsel", "outsourced legal", "legal retainer", "FinTech Compliance", "fintech compliance", "BaFin", "banking regulation", "AML", "KYC", "Legal Retainer", "legal subscription", "ongoing legal support", "M&A Preparation", "M&A preparation", "acquisition", "exit", "Restructuring & Insolvency", "restructuring", "insolvency", "StaRUG", "self-administration", "insolvency plan", "director liability" ] }, { "@context": "https://schema.org", "@type": "Article", "headline": "KI-Verordnung Finanzdienstleistungen: Compliance-Leitfaden Deutschland 2026", "description": "KI-Verordnung Finanzdienstleistungen in Deutschland: Kreditscoring-Pflichten, BaFin-Anforderungen und Compliance-Checkliste für 2026.", "image": "https://compound.law/assets/images/ai-act/ai_act_4.webp", "datePublished": "2026-05-01T00:00:00.000Z", "dateModified": "2026-05-01T00:00:00.000Z", "author": { "@type": "Person", "name": "Dr. Markus Dreißigacker", "image": "https://compound.law/assets/images/team/markusdreissigacker.webp" }, "publisher": { "@type": "Organization", "@id": "https://compound.law/#organization", "name": "Compound Law" }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://compound.law/de-DE/ai-act/financial-services/" } }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://compound.law/de-DE/" }, { "@type": "ListItem", "position": 2, "name": "AI Act nach Branche", "item": "https://compound.law/de-DE/ai-act/" }, { "@type": "ListItem", "position": 3, "name": "KI-Verordnung Finanzdienstleistungen: Compliance-Leitfaden Deutschland 2026", "item": "https://compound.law/de-DE/ai-act/financial-services/" } ] }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Wann müssen Finanzinstitute die AI-Act-Anforderungen erfüllen?", "acceptedAnswer": { "@type": "Answer", "text": "Neue hochriskante KI-Systeme müssen ab August 2026 den Anforderungen des EU AI Act entsprechen. Für bereits im Betrieb befindliche Altsysteme (in Verkehr vor August 2026) gilt eine Übergangsfrist bis Februar 2027." } }, { "@type": "Question", "name": "Ist Kreditscoring-KI nach dem EU AI Act hochriskant?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. KI-Systeme zur Kreditwürdigkeitsbewertung natürlicher Personen sind in Anhang III des EU AI Act explizit als hochriskant eingestuft. Das gilt für Banken, Leasinggesellschaften und Kreditplattformen gleichermassen." } }, { "@type": "Question", "name": "Fällt Betrugserkennung unter den EU AI Act?", "acceptedAnswer": { "@type": "Answer", "text": "Betrugserkennung ist nicht automatisch hochriskant. Führt das System jedoch zu Kontosperrungen oder zur Verweigerung wesentlicher Finanzdienstleistungen, steigen die Transparenz- und Aufsichtspflichten nach dem AI Act erheblich." } }, { "@type": "Question", "name": "Gilt der EU AI Act zusätzlich zur BaFin-Aufsicht?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Der AI Act ergänzt die BaFin-Anforderungen und MiFID II, er ersetzt sie nicht. Finanzinstitute müssen beide Regulierungsrahmen parallel erfüllen." } }, { "@type": "Question", "name": "Was gilt für Robo-Advisory unter dem EU AI Act?", "acceptedAnswer": { "@type": "Answer", "text": "Robo-Advisory-Systeme unterliegen dem AI Act zusätzlich zu MiFID II. KI-spezifische Risiken wie Model Drift und algorithmischer Bias müssen dokumentiert, überwacht und gegenüber Kunden transparent gemacht werden." } }, { "@type": "Question", "name": "Welche Dokumentation brauchen hochriskante KI-Systeme im Finanzbereich?", "acceptedAnswer": { "@type": "Answer", "text": "Hochriskante Systeme benötigen: technische Dokumentation, Risikomanagementsystem, Bias-Tests und Datengovernanznachweise, Protokolle zur menschlichen Aufsicht sowie eine EU-Konformitätserklärung vor Inbetriebnahme." } }, { "@type": "Question", "name": "Was bedeutet KWG-Konformität für AI-Act-Pflichten?", "acceptedAnswer": { "@type": "Answer", "text": "Das Kreditwesengesetz (KWG) regelt Zuverlässigkeit und Ordnungsmässigkeit von Bankgeschäften, einschliesslich technischer Systeme. KI-Systeme, die Kreditentscheidungen unterstützen, müssen sowohl KWG-Anforderungen als auch die Hochrisiko-Pflichten des EU AI Act erfüllen – beides gilt kumulativ." } }, { "@type": "Question", "name": "Wie verhält sich der AI Act zur DSGVO für Bankensysteme?", "acceptedAnswer": { "@type": "Answer", "text": "DSGVO Art. 22 schränkt vollautomatisierte Entscheidungen mit erheblichen Auswirkungen auf natürliche Personen ein. Kreditscoring-KI, die Entscheidungen unterstützt, muss DSGVO-Auskunftsrechte und AI-Act-Transparenzpflichten parallel erfüllen. Beides lässt sich in einem einheitlichen Auskunftsprozess abbilden." } } ] } ] ```