Die ACPR als KI-Marktüberwachungsbehörde für Kredit und Versicherung ab Dezember 2027

Was die KI-Verordnung vorsieht¶

Zwei Anwendungsfälle aus dem Finanzbereich stehen in Anhang III der Verordnung (EU) 2024/1689. Nummer 5 Buchstabe b erfasst Systeme, die bestimmungsgemäß die Kreditwürdigkeit natürlicher Personen prüfen oder ihre Kreditpunktzahl ermitteln sollen, mit Ausnahme von Systemen zur Aufdeckung von Finanzbetrug. Nummer 5 Buchstabe c erfasst Systeme, die bestimmungsgemäß für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen in der Lebens- und Krankenversicherung verwendet werden sollen.

Für diese Systeme benennt Artikel 74 Absatz 6 die Marktüberwachungsbehörde, die standardmäßig zuständig ist. Werden die Systeme von Finanzinstituten eingesetzt, die dem Unionsrecht über Finanzdienstleistungen unterliegen, gilt „die in jenen Rechtsvorschriften für die Finanzaufsicht über diese Institute benannte nationale Behörde als Marktüberwachungsbehörde für die Zwecke dieser Verordnung“, soweit die Verwendung in unmittelbarem Zusammenhang mit der Erbringung dieser Finanzdienstleistungen steht. Nach Artikel 74 Absatz 7 kann ein Mitgliedstaat eine andere Behörde benennen, sofern die Koordinierung sichergestellt ist. Die Wahl der ACPR folgt der Logik der Verordnung.

Der Zeitplan steht fest. Der Digital Omnibus hat die Anwendung von Kapitel III Abschnitte 1 bis 3 für Hochrisiko-KI-Systeme nach Anhang III auf den 2. Dezember 2027 verschoben. Ab demselben Datum gelten die Pflichten der Betreiber, darunter die Grundrechte-Folgenabschätzung (FRIA) nach Artikel 27 für die Kreditwürdigkeitsprüfung und die Preisgestaltung in der Lebens- und Krankenversicherung.

Wo die französische Benennung steht¶

Die Benennung erfolgt über den Gesetzentwurf mit verschiedenen Bestimmungen zur Anpassung des französischen Rechts an das EU-Recht (DDADUE). Er wurde am 10. November 2025 im beschleunigten Verfahren im Senat eingebracht, vom Senat am 18. Februar 2026 in erster Lesung angenommen und am 20. Februar 2026 an die Nationalversammlung übermittelt (Gesetzentwurf Nr. 2518).

Im Senat hat die Regierung einen Änderungsantrag durchgesetzt, der das Governance-Modell festlegt: Die CNIL wird eine der zuständigen Behörden nach Artikel 70 der KI-Verordnung und Marktüberwachungsbehörde für mehrere Kategorien nach Anhang III. In der Begründung des Änderungsantrags heißt es, dass Systeme, mit denen Finanzinstitute die Kreditwürdigkeit, das Risiko oder die Preisgestaltung in Bezug auf natürliche Personen bewerten, in die Zuständigkeit der ACPR fallen.

In der Mitteilung zu ihrer Konsultation über algorithmische Fairness, aktualisiert am 24. September 2026, schreibt die ACPR, dass sie nach dem DDADUE-Gesetzentwurf, den das Parlament derzeit prüft, als Marktüberwachungsbehörde für Hochrisiko-Anwendungsfälle im Zusammenhang mit Finanzdienstleistungen benannt würde und dass ihre neuen Aufgaben am 2. Dezember 2027 beginnen würden. Am 2. Oktober 2026 ist der Gesetzentwurf noch nicht endgültig verabschiedet. Behandeln Sie die Benennung als vorgeschlagen; die KI-Verordnung gilt unmittelbar, gleich welche Behörde am Ende benannt wird.

Was die ACPR über ihre Methode gesagt hat¶

Bei ihrem Branchentreffen am 1. Juli 2026 stellte die ACPR ihren Fahrplan unter der Arbeitsannahme vor, dass sie benannt wird. Drei Punkte sind für Compliance- und Risikoteams wichtig.

Zwei Quellen der Zuständigkeit. Die ACPR leitet ihre Befugnisse zur KI-Aufsicht aus der KI-Verordnung ab, für die Fälle 5 b und 5 c, und aus dem bestehenden sektoralen Recht, für jedes KI-System, das aufsichtsrechtliche Risiken oder Verhaltensrisiken trägt, einschließlich Kundenschutz und AML-CFT. Nach dem Grundsatz der Technologieneutralität verfügt sie bereits über diese Befugnisse, auch wenn sie sie nach ihren eigenen Folien in der Praxis noch nicht nutzt. Ein KI-Agent, der AML-Alerts triagiert, fällt nicht unter Anhang III und bleibt dennoch Gegenstand der Aufsicht.

Vier Schwerpunktbereiche. Leistung und Robustheit, Erklärbarkeit, Fairness sowie Cybersicherheit und Datenschutz. Dies sind die Achsen einer KI-Prüfmethodik, die die ACPR nach eigenen Angaben gemeinsam mit der Branche entwickeln will und die mit der Zeit zu einem Referenzrahmen werden soll.

Ein zweiteiliger Fahrplan. Eine verhältnismäßige Aufsicht konzipieren (Informationserhebung, Risikobewertung, Priorisierung, interne Organisation) und den Instituten helfen, die personellen und technischen Kapazitäten aufzubauen, mit denen sie die Erfüllung der Anforderungen nachweisen.

Die Konsultation zur algorithmischen Fairness¶

Am 1. Juli 2026 veröffentlichte die ACPR ein Diskussionspapier, "L'équité algorithmique dans le secteur financier" (algorithmische Fairness im Finanzsektor), und eröffnete eine öffentliche Konsultation bis zum 30. September 2026. Die Frage lautet, wie sich eine risikobasierte, differenzierte Preisgestaltung mit der Vermeidung unfairer oder diskriminierender Behandlung vereinbaren lässt, insbesondere einer Behandlung, die mit sensiblen persönlichen Merkmalen zusammenhängt. Der Anwendungsbereich bezieht sich auf die beiden Hochrisiko-Anwendungsfälle: Kredit sowie Lebens- und Krankenversicherung.

Das Papier behandelt den anwendbaren Rechtsrahmen, Fairness-Konzepte und -Kennzahlen, Methoden zur Erkennung, Messung und Korrektur von Verzerrungen sowie Wege, diese in die Praxis der Institute einzubinden. Es stützt sich auf technische Workshops mit freiwillig teilnehmenden Instituten. Die ACPR stellt klar, dass es keine offizielle Position der ACPR ist.

Für ein Institut ist die Folge konkret. Fairness wird eine der vier Aufsichtsachsen sein, und die Konsultation liefert das Vokabular der künftigen Fragen: welche Fairness-Definition das Institut für jedes Modell anwendet, welche Kennzahlen es verfolgt, wie es mit Variablen umgeht, die mit sensiblen Merkmalen korrelieren, und welche Aufzeichnungen es über die getroffenen Abwägungen führt.

Die Note von CNIL und CIANum zu agentischer KI¶

Am 20. Juli 2026 veröffentlichten die CNIL und der Conseil de l’IA et du Numérique eine explorative Note, „IA agentique et protection des données personnelles : équation à inconnues multiples pour les utilisateurs“ (agentische KI und Schutz personenbezogener Daten). Sie schafft keine neue Pflicht. Sie beschreibt, wie der Übergang zu Agenten die Grundsätze der DSGVO belastet, und hält fest, dass die KI-Verordnung keine spezifischen Regeln für KI-Agenten enthält.

Mehrere Feststellungen betreffen Banken unmittelbar. Ein persistentes Agentengedächtnis ermöglicht sehr genaue Nutzerprofile; Datenflüsse über mehrere Dienste erschweren die Zuordnung der Verantwortung; und die Intransparenz dieser Architekturen erhöht die Risiken automatisierter Entscheidungen, wobei regulierte Sektoren wie das Finanzwesen als Beispiele genannt werden. Zu den vorgeschlagenen Ansätzen gehören strengere Transparenzregeln für Agentenaktionen, eine verpflichtende menschliche Freigabe der kritischsten Entscheidungen sowie, bereits im Design, ein abgeschottetes Agentengedächtnis, die Ausführung in isolierten Umgebungen und ein Notausschalter.

Ein Institut, das einen Teil einer Kredit- oder Underwriting-Strecke an einen Agenten übergibt, steht dort, wo sich beide Regime treffen: die ACPR für das Hochrisiko-System und das Geschäftsgebaren, die CNIL für personenbezogene Daten. Die Note zeigt, welche Fragen die CNIL stellen wird, und sie überschneiden sich bei Nachvollziehbarkeit und menschlicher Kontrolle mit denen der ACPR.

Nachweise für eine Prüfung vorbereiten¶

Die ACPR hat ihre Prüfmethodik noch nicht veröffentlicht. Ihre vier Schwerpunktbereiche und ihre Kriterien von 2020 (Datenmanagement, Leistung, Stabilität, Erklärbarkeit) reichen aus, um schon jetzt mit der Vorbereitung von Nachweisen zu beginnen. Die Tabelle ist eine praktische Lesart; sie gibt keine veröffentlichte Anforderung wieder.

Was wir über Nachweisexporte gelernt haben¶

Bei der Vorbereitung einer Demo im Juli 2026 haben wir aus unseren eigenen Testumgebungen ein versiegeltes Nachweispaket erzeugt. Der Export endete mit „abgeschlossen mit Auslassungen“: Zwei Sicherheitsereignisse aus einer nicht maßgeblichen Quelle fehlten, und der Export kennzeichnete sie als Warnung. Das ist das richtige Verhalten: Ein Nachweispaket sollte angeben, was es nicht enthält. Ein Prüfer, der eine nicht deklarierte Lücke findet, vertraut dem Rest der Akte nicht mehr.

Für eine Bank, die sich auf eine Prüfung durch die ACPR vorbereitet, gilt diese Regel unabhängig von jedem Werkzeug. Das Systeminventar, die Validierungen und die Entscheidungsprotokolle sollten jeweils ihren Umfang und ihre Ausschlüsse angeben, mit der Begründung für jeden Ausschluss.

Zeitleiste¶

Die am 2. Oktober 2026 bekannten Daten.

Was vor Dezember 2027 zu tun ist¶

Vier Arbeitsstränge. Erfassen Sie die Systeme, die unter Nummer 5 Buchstaben b und c fallen, einschließlich der von Dritten gelieferten Systeme und der Kreditfunktionen, die in umfassendere Kundenstrecken eingebettet sind. Bereiten Sie für jedes System die FRIA nach Artikel 27 und die Nachweise für die vier Schwerpunktbereiche vor. Dokumentieren Sie anhand des Diskussionspapiers der ACPR eine Fairness-Definition und Kennzahlen je Modell. Zeichnen Sie für Agenten jede vorgeschlagene Aktion, die angewandte Regel und, wo erforderlich, die menschliche Entscheidung auf, damit sich eine Entscheidung für einen Prüfer erneut abspielen lässt.

Für Schritte einer Strecke, die an einen Agenten übergeben werden, bewertet ein Laufzeit-Checkpoint jede Aktion vor ihrer Ausführung und erzeugt diese Aufzeichnungen. KLA Control Plane setzt dieses Muster mit vier Ergebnissen (allow, warn, require_approval, block) und einem Datensatz je Entscheidung um. Die Pflichten der Betreiber sind in der FRIA-Vorlage und der ausgearbeiteten FRIA für Kreditscoring beschrieben.