AFM KI-Verordnung Umsetzungsbewertung: Lücken, die Unternehmen angehen müssen
Die niederländische Finanzmarktaufsicht, die Autoriteit Financiële Markten (AFM), ist zu dem Schluss gekommen, dass der vorgeschlagene nationale Umsetzungsgesetz für die EU-KI-Verordnung grundsätzlich umsetzbar ist, jedoch gezielte Anpassungen erfordert, bevor sie eine wirksame Überwachung von künstlicher Intelligenz in Finanzdienstleistungen unterstützen kann. Die Bewertung, veröffentlicht am 12. Juni 2026, umfasst zwei Dokumente: eine formelle Durchführbarkeitsprüfung und eine öffentliche Konsultationsantwort. Beide haben direkte Auswirkungen auf Finanzunternehmen, Wirtschaftsprüfer und alle Betreiber, die KI-gesteuerte Werkzeuge nutzen, einschließlich solcher, die für Krypto-Buchhaltungssoftware und umfassendere digitale Asset-Buchhaltungssoftware-Workflows verwendet werden.
Was die AFM tatsächlich bewertet hat
Durchführbarkeitsprüfung versus Konsultationsantwort
Eine Durchführbarkeitsprüfung (uitvoeringstoets) ist eine strukturierte Bewertung durch eine Aufsichtsbehörde, ob ein Gesetzesentwurf in der Praxis durchgesetzt werden kann. Dabei wird geprüft, ob die Aufsichtsbefugnisse klar sind, ob ausreichende Ressourcen vorhanden sind und ob Informationsflüsse praktikabel sind. Eine Konsultationsantwort ist die formelle Position der Regulierungsbehörde zu demselben Entwurf während der öffentlichen Kommentierungsphase, die Unterstützung ausdrückt, wo angebracht, und spezifische Verbesserungen identifiziert.
Die AFM hat beide Dokumente in Bezug auf das vorgeschlagene Uitvoeringswet AI-verordening eingereicht, das niederländische Gesetz, das nationale zuständige Behörden benennen und Durchsetzungsverfahren für die EU-KI-Verordnung in den Niederlanden festlegen wird.
Das Gesamtergebnis der AFM
Die Hauptschlussfolgerung der Regulierungsbehörde ist abgewogen: Der Gesetzesentwurf ist grundsätzlich umsetzbar, aber mehrere Bereiche benötigen Anpassungen, damit die Überwachung sowohl effektiv als auch zukunftssicher ist. AFM-Vorsitzende Laura van Geest erklärte, dass gezielte Änderungen in Bezug auf Kapazitäten, klare Befugnisse und eine eindeutige Aufgabenteilung zwischen den Aufsichtsbehörden erforderlich sind.
Wichtige von der AFM angemerkte Bedenken
Zuweisung von Aufsichtsaufgaben zwischen AFM und DNB
Das substanziellste Bedenken in der Konsultationsantwort betrifft die Aufteilung der Aufsichtsverantwortung zwischen der AFM und De Nederlandsche Bank (DNB). Das Mandat der AFM konzentriert sich auf die Verhaltensaufsicht mit dem Verbraucherinteresse im Kern. Das Mandat der DNB ist aufsichtsrechtlich. Die AFM argumentiert, dass beide Behörden formell benannt werden sollten, um die Einhaltung der verbotenen KI-Anwendungen der KI-Verordnung und der Hochrisiko-KI-Normen zu überwachen, jeweils aus ihrem eigenen bestehenden Mandat heraus. Der aktuelle Entwurf erreicht dies nach Einschätzung der AFM nicht klar genug.
Dies ist für Finanzunternehmen wichtig, da unklare Zuständigkeitsgrenzen Compliance-Unsicherheit schaffen. Ein Unternehmen, das nicht sicher ist, ob die AFM oder die DNB eine bestimmte KI-Anwendung prüfen wird, kann seine interne Governance oder seine Prüfpfade nicht mit Zuversicht kalibrieren.
Neuer Aufsichtsumfang unter der KI-Verordnung
Die EU-KI-Verordnung führt völlig neue Aufsichtskategorien ein, die die AFM bisher nicht ausgeübt hat. Dazu gehören:
- Überwachung verbotener KI-Anwendungen
- Transparenzpflichten gegenüber Verbrauchern beim Einsatz von KI-Systemen
- Hochrisiko-KI-Anwendungen, wobei Bonitätsbewertung und Versicherungstarifierung genannt werden
Jede dieser Kategorien erfordert neue technische Expertise innerhalb der Regulierungsbehörde, zusätzliche Aufsichtsinstrumente und eine enge operationelle Zusammenarbeit mit der DNB. Die AFM weist offen darauf hin, dass dies eine Herausforderung für Ressourcen und Fähigkeiten darstellt, nicht nur ein juristisches Problem.
Veröffentlichungsregime und Vertraulichkeit
Die AFM empfiehlt zudem, dass der Gesetzesentwurf ein klares Veröffentlichungsregime für Aufsichtsentscheidungen festlegt und dass die Vertraulichkeitsbestimmungen ordnungsgemäß mit dem bestehenden Geheimhaltungsrahmen im Wet op het financieel toezicht (Wft) abgestimmt werden. Ohne diese Abstimmung besteht die Gefahr, dass Informationen, die im Rahmen der KI-Überwachung gesammelt werden, entweder unangemessen offengelegt oder umgekehrt in einer Weise isoliert werden, die die Zusammenarbeit zwischen den Behörden einschränkt.
Kapazitäts- und Datenaustauschbedingungen
Ein durchgängiges Thema in beiden Dokumenten ist: Effektive KI-Überwachung erfordert ausreichende Kapazitäten und eine rechtliche Grundlage für den Datenaustausch zwischen Behörden. Die AFM betrachtet dies nicht als nebensächliche administrative Punkte. Ohne sie wird selbst ein gut formuliertes Gesetz eine Überwachung hervorbringen, die reaktiv und nicht proaktiv ist.
Warum dies für Finanzunternehmen, die KI nutzen, wichtig ist
KI in Finanzdienstleistungen ist bereits im Geltungsbereich
Die EU-KI-Verordnung gilt direkt in allen Mitgliedstaaten. Das niederländische Umsetzungsgesetz fügt keine neuen materiellen Verpflichtungen hinzu, die über das hinausgehen, was die Verordnung selbst verlangt, aber es bestimmt, wer diese Verpflichtungen mit welchen Befugnissen und unter welchen Verfahrensregeln durchsetzen wird. Das macht die Durchführbarkeitsbewertung der AFM zu einem praktischen Compliance-Signal, nicht nur zu einer legislativen Formalie.
Für jedes Unternehmen, das KI in Kreditentscheidungen, kundenorientierter Kommunikation, Preisgestaltung, Betrugserkennung oder regulatorischer Berichterstattung einsetzt, sind die Hochrisiko-Einstufungsbestimmungen bereits in Kraft. Die Bereitschaft des niederländischen Umsetzungsgesetzes beeinflusst, wie und wann die Durchsetzung folgen wird.
Auswirkungen auf Krypto-Buchhaltungssoftware und digitale Asset-Workflows
Unternehmen, die Krypto-Buchhaltungssoftware oder digitale Asset-Buchhaltungssoftware nutzen, die KI-gesteuerte Kategorisierung, Risikobewertung oder automatischen Abgleich integriert, sollten die Betonung der AFM auf Erklärbarkeit und Datenqualität beachten. Die Anforderungen der Verordnung an Hochrisiko-KI-Systeme umfassen Verpflichtungen zur Pflege technischer Dokumentation, zur Sicherstellung menschlicher Aufsicht und zur Bereitstellung aussagekräftiger Informationen für Benutzer über die Funktionsweise des Systems. Wenn die KI-Komponente des Softwareanbieters die Hochrisikoschwelle erreicht, teilt sich das einsetzende Unternehmen die Verantwortung für die Einhaltung der Vorschriften.
Dies ist direkt relevant für Prüfungs-Workflows. Wirtschaftsprüfungsgesellschaften, die KI-Tools zur Verarbeitung von On-Chain-Transaktionsdaten oder zur Erstellung von Risikobewertungen für Krypto-Kunden einsetzen, müssen die Logik des KI-Systems dokumentieren, die Qualität seiner Trainingsdaten verifizieren und sicherstellen, dass Aufsichtsmechanismen vorhanden sind. Eine gute Krypto-Buchhaltungssoftware löst diese Verpflichtungen nicht automatisch; die Governance-Ebene liegt bei dem Unternehmen, das sie einsetzt.
Die Bedenken der AFM hinsichtlich der Verbrauchertransparenz erstrecken sich auch auf B2B-KI-Tools, wenn diese Tools letztlich nachgelagerte Privatkunden betreffen. Wirtschaftsprüfungsgesellschaften, die Krypto-Unternehmen zu KI-Governance beraten, sollten diese Kette der Verantwortlichkeit berücksichtigen.
Verbindung zur breiteren EU-Regulierungsarchitektur
Die AFM-Bewertung steht neben einem breiteren EU-Regulierungsaufbau. Der MiCA-Rahmen, dessen Übergangszeitraum für Krypto-Asset-Dienstleister im Juli 2026 abgelaufen ist (siehe unsere Berichterstattung über Ablauf der MiCA-Übergangsfrist und obligatorische CASP-Zulassung), erlegt CASPs, die in den Niederlanden tätig sind, bereits Verhaltensanforderungen auf. Die KI-Verordnung fügt eine weitere Schicht für jeden CASP hinzu, der KI in kundenorientierten oder Risikomanagementprozessen einsetzt. Das Beharren der AFM auf einer klaren Trennung zwischen ihrem eigenen Verhaltensmandat und der aufsichtsrechtlichen Rolle der DNB spiegelt dieselbe Logik wider, die dem dualen Aufsichtsmodell von MiCA zugrunde liegt.
Separat hat die AFM aktiv Anforderungen an digitale Schnittstellen spezifiziert, die von Krypto-Dienstleistern verwendet werden (siehe Frühere AFM-Anforderungen an Krypto-Dienstleister für Online-Schnittstellen). Der KI-Aufsichtsrahmen wird diese bestehenden Schnittstellen- und Offenlegungspflichten überlagern, was bedeutet, dass Compliance-Programme integriert und nicht isoliert sein müssen.
Was Unternehmen jetzt tun sollten
Praktische Schritte vor der Verabschiedung des Umsetzungsgesetzes
Der Gesetzesentwurf befindet sich noch im Gesetzgebungsverfahren, und die Empfehlungen der AFM werden möglicherweise nicht vollständig übernommen. Diese Unsicherheit ist selbst ein Grund, frühzeitig zu handeln, anstatt auf einen endgültigen Text zu warten. Unternehmen, die im niederländischen Finanzmarkt tätig sind oder KI-Tools verwenden, deren Ergebnisse niederländische Verbraucher betreffen, sollten die folgenden Schritte unternehmen.
Erstens: Jedes aktuell verwendete KI-System gegen die Risikoklassifizierungsstufen der EU-KI-Verordnung abbilden. Systeme, die in der Kreditwürdigkeitsprüfung, Versicherungstarifierung, Geldwäschebekämpfung oder Verhaltensanalyse von Kunden eingesetzt werden, sind die wahrscheinlichsten Kandidaten für eine Hochrisiko-Einstufung. Zweitens: Lieferantenverträge überprüfen, um zu bestätigen, dass KI-Tool-Anbieter die von der Verordnung geforderten technischen Unterlagen liefern können, einschließlich Informationen zu Trainingsdaten, Verwendungszweck, Genauigkeitsmetriken und menschlichen Aufsichtsmechanismen. Drittens: Interne Governance für jedes KI-System dokumentieren, einschließlich der Frage, wer innerhalb des Unternehmens für die Überwachung der Ausgaben verantwortlich ist und welche Eskalationsverfahren bestehen, wenn das System unerwartete Ergebnisse produziert.
Viertens: Sich in den laufenden Gesetzgebungsprozess einbringen. Die Konsultationsantwort der AFM ist öffentlich verfügbar und legt die Erwartungen der Regulierungsbehörde detailliert dar. Compliance-Teams und ihre Berater sollten beide Dokumente direkt lesen, anstatt sich auf Zusammenfassungen zu verlassen.
Häufig gestellte Fragen
Was ist das Uitvoeringswet AI-verordening?
Es ist das niederländische nationale Umsetzungsgesetz für die EU-KI-Verordnung. Die Verordnung selbst gilt direkt in der gesamten EU, aber jeder Mitgliedstaat muss ein nationales Gesetz erlassen, um zuständige Aufsichtsbehörden zu benennen und verfahrensrechtliche Durchsetzungsregeln festzulegen. Das Uitvoeringswet AI-verordening tut dies für die Niederlande.
Welche KI-Anwendungen in Finanzdienstleistungen werden nach der EU-KI-Verordnung als Hochrisiko eingestuft?
Anhang III der EU-KI-Verordnung listet Hochrisiko-KI-Systeme auf. Im Finanzdienstleistungsbereich umfasst dies KI, die bei der Bonitätsbewertung und Versicherungstarifierung verwendet wird, sowie andere Anwendungen. Systeme, die in diesen Kontexten verwendet werden, müssen vor der Bereitstellung Dokumentations-, Aufsichts- und Transparenzanforderungen erfüllen.
Ändert die Bewertung der AFM etwas für Unternehmen jetzt?
Nicht direkt. Die EU-KI-Verordnung ist bereits in Kraft und ihre Anforderungen gelten unabhängig davon, wo das niederländische Umsetzungsgesetz landet. Was die AFM-Bewertung ändert, ist das Signal, das sie über die Aufsichtsabsicht sendet: Die Regulierungsbehörde möchte klare Befugnisse, angemessene Ressourcen und eine definierte Rolle neben der DNB. Unternehmen sollten mit aktiver Durchsetzung rechnen, sobald das Umsetzungsgesetz verabschiedet ist.
Wie wirkt sich dies auf Unternehmen aus, die KI in Krypto-Buchhaltungs- oder digitalen Asset-Workflows einsetzen?
Wenn eine KI-Komponente innerhalb eines Krypto-Buchhaltungs- oder digitalen Asset-Workflows die Hochrisikoschwelle erreicht, ist das einsetzende Unternehmen für die Einhaltung der technischen und Governance-Anforderungen der Verordnung verantwortlich, selbst wenn die KI von einem Drittanbieter bereitgestellt wird. Unternehmen sollten ihren Tool-Stack überprüfen und entsprechende Dokumentation von den Anbietern verlangen.
Wo finden Unternehmen die vollständigen Bewertungsdokumente der AFM?
Sowohl die Durchführbarkeitsprüfung als auch die Konsultationsantwort sind auf der offiziellen Website der AFM veröffentlicht. Der Quellenlink unten führt Sie direkt zur entsprechenden Pressemitteilung, die auf beide Dokumente in voller Länge verweist.