Der EU AI Act im Finanzsektor: Wie Datenprodukte, Data Contracts und Semantik die Nachweispflichten erfüllen

Was sich im Juli 2026 geändert hat

Der EU AI Act (Verordnung (EU) 2024/1689, auch KI-Verordnung) ist die weltweit erste umfassende KI-Regulierung. Er folgt einem risikobasierten Ansatz: Manche KI-Praktiken sind komplett verboten, Hochrisiko-KI-Systeme unterliegen strengen Anforderungen, und KI-Systeme, die mit Menschen interagieren, müssen Transparenzpflichten erfüllen.

Im Juli 2026 hat Deutschland festgelegt, wer das im Finanzsektor durchsetzt: Das deutsche Durchführungsgesetz (KI-Marktüberwachungs- und Innovationsförderungsgesetz, KI-MIG) bestimmt die BaFin als Marktüberwachungsbehörde für KI-Systeme, die unmittelbar mit einer regulierten Finanztätigkeit verbunden sind. Das betrifft Banken, Versicherer und andere Finanzunternehmen unter Aufsicht von BaFin oder EZB.

Die Aufsicht der BaFin umfasst unter anderem:

• Verbotene KI-Praktiken (Artikel 5), verboten seit dem 2. Februar 2025.
• Transparenzpflichten (Artikel 50) für KI-Systeme, die direkt mit Menschen interagieren (etwa Chatbots in der Kundenkommunikation), beaufsichtigt ab dem 2. August 2026.
• Hochrisiko-KI-Systeme (Anhang III), zu denen ausdrücklich die Kreditwürdigkeitsprüfung durch Banken sowie Risikobewertung und Preisgestaltung in der Lebens- und Krankenversicherung gehören, mit vollständiger Aufsicht schrittweise bis 2027.

Die BaFin kann Verstöße mit Bußgeldern ahnden und hat klar formuliert, was sie erwartet: Unternehmen sollten ein Inventar der eingesetzten KI-Systeme führen, verstehen, welche Vorgaben des AI Acts für sie gelten, und die Anforderungen in ihre bestehenden Governance-, Risiko- und Compliance-Strukturen einbetten, idealerweise aufbauend auf dem IKT-Asset-Inventar, das DORA bereits verlangt.

KI-Compliance ist vor allem Daten-Compliance

Die meisten Pflichten für Hochrisiko-KI-Systeme betreffen die Daten, die in das KI-System fließen, nicht die Modellarchitektur.

Artikel 10: Daten und Daten-Governance. Trainings-, Validierungs- und Testdaten für Hochrisiko-KI-Systeme müssen angemessenen Daten-Governance-Praktiken unterliegen. Dazu gehören dokumentierte Designentscheidungen, Datenerhebungsprozesse und Datenherkunft, Bewertungen von Verfügbarkeit, Menge und Eignung sowie die Untersuchung auf mögliche Verzerrungen. Daten müssen relevant, hinreichend repräsentativ und so weit wie möglich fehlerfrei und vollständig für den vorgesehenen Zweck sein.

Artikel 12 und 13: Aufzeichnungspflichten und Transparenz. Hochrisiko-Systeme müssen nachvollziehbar sein, und Betreiber müssen die Ausgaben des Systems verstehen und interpretieren können. In der Praxis heißt das: Du kannst eine KI-Entscheidung nicht erklären, wenn du nicht erklären kannst, was die Eingabedaten bedeuten.

Artikel 14: Menschliche Aufsicht. Menschen müssen KI-Entscheidungen verstehen, überwachen und bei Bedarf übersteuern können. Auch hier gilt: Die Aufsicht über ein Kredit-Scoring-Modell ist unmöglich, ohne genau zu wissen, welche Daten hineinfließen, aus welcher Quelle, mit welchen Qualitätsgarantien und mit welcher fachlichen Definition.

Artikel 4: KI-Kompetenz. Alle, die KI-Systeme betreiben oder nutzen, brauchen ausreichende Kompetenz, und dazu gehört, die Daten zu verstehen, die diese Systeme konsumieren.

Die praktische Frage der BaFin wird also lauten:

Welche Daten nutzt dieses KI-System? Woher kommen sie? Wer ist dafür verantwortlich? Wie wird ihre Qualität gesichert und kontinuierlich überwacht? Was bedeuten sie fachlich? Und ist diese Nutzung der Daten überhaupt erlaubt?

Wenn deine Organisation diese Fragen pro KI-System beantworten kann, aus einem verlässlichen Inventar und mit Belegen, bist du gut aufgestellt. Wenn die Antworten in einzelnen Köpfen, Wiki-Seiten und veralteten Katalogeinträgen stecken, hast du bis zum Start der vollständigen Aufsicht 2027 noch Arbeit vor dir.

Wie Entropy Data dir hilft, diese Fragen zu beantworten

Entropy Data ist ein Datenmarktplatz für Datenprodukte, aufgebaut auf Data Contracts und Semantik. Er wurde gebaut, um Menschen und AI Agents hochwertige Daten zugänglich zu machen. Genau deshalb passt er so gut zu den Datenpflichten des AI Acts: Die Verordnung verlangt, in juristischer Sprache, was eine gut geführte Datenprodukt-Architektur ohnehin bietet.

Ownership und Inventar → Datenprodukte

Die BaFin empfiehlt, das KI-Inventar am IKT-Asset-Inventar aus DORA auszurichten. Ein KI-Inventar allein ist aber nur die halbe Wahrheit: Du musst auch wissen, welche Daten jedes KI-System konsumiert. Datenprodukte liefern dir diese andere Hälfte. Jedes Datenprodukt hat einen klar benannten Owner, einen definierten Output Port und dokumentierte Consumers. Verbindest du deine KI-Anwendungsfälle mit den Datenprodukten, die sie konsumieren, wird aus „wir haben eine Liste unserer KI-Systeme“ ein „für jedes KI-System können wir die vollständige Data Lineage zeigen, mit einem verantwortlichen Owner für jede Quelle“.

Datenqualität und Herkunft (Artikel 10) → Data Contracts

Ein Data Contract spezifiziert maschinenlesbar (mit dem offenen ODCS-Standard): das Schema, die Semantik jedes Felds, Qualitätsregeln, Service Levels, Nutzungsbedingungen und den verantwortlichen Owner. Mit dem Open-Source-Tool Data Contract CLI werden diese Garantien automatisch in deinen CI/CD-Pipelines getestet und in Produktion überwacht.

Für Artikel 10 ändert das die Art deiner Nachweise. Statt eines Daten-Governance-Richtliniendokuments hast du Daten-Governance in der Ausführung: dokumentierte Herkunft, explizite Qualitätskriterien und kontinuierliche automatisierte Prüfung, dass die Daten sie tatsächlich einhalten. Qualitätschecks und Zertifizierungsstatus sind im Marktplatz sichtbar. Deine Second Line of Defense und ein Prüfer können jederzeit sehen, ob die Daten eines Hochrisiko-Systems innerhalb der vertraglich zugesicherten Garantien liegen.

Bedeutung und menschliche Aufsicht (Artikel 13 und 14) → Semantik

Diskussionen über Erklärbarkeit drehen sich meist um das Modell. In der Praxis scheitern sie einen Schritt früher: Niemand kann präzise sagen, was die Eingabedaten bedeuten. Was zählt als „Kunde“? Wann ist eine Zahlung „ausgefallen“? Welcher „Umsatz“ ist das genau?

Der Semantic Layer beantwortet das mit einer gemeinsamen Ontologie aus Business-Konzepten, Metriken und Beziehungen, direkt verknüpft mit Datenprodukten, Contracts und einzelnen Feldern. In regulierten Branchen kannst du auf etablierten offenen Ontologien aufbauen, darunter FIBO für die Finanzbranche, und sie um eigene Definitionen erweitern. Ein Mensch, der eine KI-Entscheidung überwacht, und ein Prüfer, der sie nachvollzieht, können jede Eingabe auf ein sauber definiertes Business-Konzept mit einer benannten, verbindlichen Definition zurückführen.

Erlaubte Nutzung → Nutzungsbedingungen, durchgesetzt beim Zugriff

Der AI Act, die DSGVO und die Aufsichtserwartungen der BaFin verlangen alle dasselbe: Daten dürfen nur wie vorgesehen und erlaubt genutzt werden, von Menschen und von KI.

In Entropy Data sind Nutzungsbedingungen Teil des Data Contracts, und sie werden durchgesetzt. Zugriff wird über den Marktplatz beantragt und genehmigt, sodass jede Nutzungsbeziehung mit ihrem Zweck dokumentiert ist. Und wenn KI-Clients über den MCP-Server auf Daten zugreifen, wird die angefragte Nutzung automatisch beim Zugriff gegen die Nutzungsbedingungen des Data Contracts und deine globalen Policies geprüft. Damit hast du eine prüffähige Antwort auf „Wie stellt ihr sicher, dass eure Daten nur wie erlaubt genutzt werden?“, und diese Antwort gilt auch für autonome AI Agents, nicht nur für geschulte Mitarbeiter.

Anforderungen und Fähigkeiten im Überblick

Anforderung des EU AI Acts	Was die BaFin sehen will	Fähigkeit in Entropy Data
Inventar der KI-Systeme & Daten	Welche Systeme, welche Daten, wer ist verantwortlich	Datenprodukte mit Ownern, Consumern, Lineage
Art. 10 Daten-Governance	Herkunft, Qualitätskriterien, kontinuierliche Validierung	Data Contracts (ODCS) + Tests mit der Data Contract CLI, Quality Score, Zertifizierung
Art. 13 Transparenz	Was die Eingaben bedeuten	Semantik: Business-Ontologie (inkl. FIBO), verbindliche Definitionen pro Feld
Art. 14 menschliche Aufsicht	Entscheidungen verstehen und übersteuern können	Semantische Definitionen + dokumentierte Lineage pro Datenprodukt
Zweckbindung & erlaubte Nutzung	Daten nur wie vorgesehen genutzt, auch von AI Agents	Nutzungsbedingungen in Contracts, Self-Service-Zugriffsworkflow, MCP-Zugriffschecks, globale Policies
Laufende Compliance-Nachweise	Kontinuierlich statt punktuell	Automatisierte Contract-Tests, KI-gestützte Policy-Checks, Sichtbarkeit im Marktplatz

Nutze die Zeit bis 2027

Der Aufsichtszeitplan ist bewusst gestaffelt: Transparenzpflichten werden bereits beaufsichtigt, die vollständige Hochrisiko-Aufsicht kommt schrittweise bis 2027. Das lässt Zeit zur Vorbereitung. Institute, die den AI Act als Dokumentationsübung behandeln, werden 2027 unter Prüfungsdruck ihre Datenflüsse mühsam rekonstruieren. Institute, die jetzt ein Fundament aus Datenprodukten bauen, bekommen Compliance als Nebenprodukt guter Datenarchitektur, plus alles andere, was dieses Fundament ermöglicht: vertrauenswürdige Analysen, schnelleren Datenzugriff und Daten, die AI Agents tatsächlich nutzen können.

Der letzte Punkt zählt über die Compliance hinaus. Die Eigenschaften, die die Aufsicht verlangt (klare Ownership, garantierte Qualität, explizite Semantik, zweckgebundener Zugriff), sind genau das, was AI Agents brauchen, um sicher mit Unternehmensdaten zu arbeiten. Die Vorbereitung auf den AI Act ist damit zugleich die Grundlage für KI-Einführung im Finanzsektor. Mehr zu diesem Zusammenhang findest du im BARC Spotlight A Data Marketplace Is What Your Agents Need.

Sieh es dir in der Praxis an: Teste die 1-Click-Demo (keine Registrierung erforderlich) oder buche eine Demo, um deine AI-Act-Readiness mit uns durchzusprechen.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine Einschätzung deiner konkreten Pflichten unter dem EU AI Act wende dich an deine Rechts- und Compliance-Funktionen.