Wer behält die Kontrolle?

Die niederländische Datenschutzbehörde hat gegen Uber ein Bußgeld von 824,99 Millionen Euro verhängt: Fahrerkonten wurden durch rechtswidrige automatische Entscheidungen gesperrt, und Informationen zum Profiling fehlten. Uber hat Berufung eingelegt. Der Fall trifft eine Frage, die auch bei KI und in der Finanzaufsicht auftaucht: Wer sieht, was ein System entscheidet, und wer kann eingreifen?

Neu hinzugekommen sind KI-Governance und Datenschutz samt Sicherheit; auch Klimafinanzierung und ESG-Strategie sind neu vertreten. Datenschutz und Finanzaufsicht liefen weiter. Ruhiger wurden die bisherigen Themen KI-Regulierung, Nachhaltigkeitsberichte, Energiewende, Cybersicherheit und NIS-2-Registrierung.

Bei KI beginnt diese Kontrollfrage schon vor der einzelnen Anwendung: Die EU-Kommission will überhaupt erst systematisch erfassen, wo KI eingesetzt wird und was sie in strategischen Sektoren bewirkt. Dafür hat sie Aufbau und dreijährigen Betrieb des European AI Observatory ausgeschrieben. Die Ausschreibung der Kommission verlangt Indikatoren, Berichte für einzelne Sektoren und sektorübergreifende Auswertungen; eine interaktive Website soll Investitionen, Kompetenzen, Infrastruktur und wirtschaftliche Folgen sichtbar machen. Das ist ein anderer Blick als der auf ein einzelnes Modell: Erst wenn diese Informationen zusammenlaufen, lässt sich die Nutzung über Branchen hinweg beschreiben.

Während das Observatorium die breite Nutzung erfassen soll, untersucht ein wissenschaftliches Gremium der Kommission konkrete Sicherheitsrisiken bei Frontier-KI. Das Gremium hat Vorfälle betrachtet und gemeinsam mit dem AI Office Fragen an die Entwickler erarbeitet. Für eine Sondersitzung sind Empfehlungen von 60 unabhängigen Fachleuten zu diesen Risiken vorgesehen. Beides gehört zusammen, erfüllt aber unterschiedliche Zwecke: Das Observatorium soll Folgen über Sektoren hinweg sichtbar machen, während die Untersuchung nach möglichen Kontrollverlusten bei besonders leistungsfähigen Systemen fragt. Wer KI in Prozesse einbindet, begegnet damit zwei offenen Ebenen von Aufsicht — dem Blick auf die Verbreitung und dem Blick auf das Verhalten der Systeme.

Bei Uber ist aus der allgemeinen Frage nach Kontrolle ein sehr konkreter Vorgang geworden: Ein gesperrtes Konto betraf unmittelbar die Arbeit eines Fahrers. Eine bei Europa1 dokumentierte Entscheidung der niederländischen Datenschutzaufsicht nennt neben den automatischen Sperren auch die fehlenden Informationen zum Profiling. Der Streit dreht sich damit nicht bloß um die Technik hinter einer Entscheidung, sondern darum, was Betroffene über sie erfahren. Die Berufung von Uber gehört ebenfalls zum Stand des Falls; das Bußgeld ist also nicht das letzte Wort. Gerade dieser Unterschied zwischen einem laufenden Verfahren und einem festgestellten Problem geht bei der großen Summe leicht unter.

Kontrolle kann aber auch viel früher fehlen, noch bevor ein System eine Entscheidung trifft. In Italien erhielt IQVIA ein Bußgeld von sieben Millionen Euro, weil Patientendaten nicht anonym waren; unter anderem fehlten eine geeignete Rechtsgrundlage und eine Datenschutz-Folgenabschätzung. Bei Emirates beanstandete die italienische Behörde unklare Angaben zu einem Gesundheitsformular und eine Speicherdauer von sieben Jahren. Das sind andere Verarbeitungen als eine automatische Kontosperre, doch sie legen dieselbe praktische Frage offen: Wer weiß zuverlässig, welche personenbezogenen Daten im Prozess bleiben und auf welcher Grundlage? Bei Gesundheitsdaten fällt diese Frage besonders deutlich auf, weil schon die Annahme, Daten seien anonym, hier nicht trug.

Und selbst wenn ein Betroffener widerspricht, muss diese Information durch den ganzen Betrieb kommen. BBVA setzte einen Werbewiderspruch nicht systemübergreifend um; bei Wind Tre erhielten Menschen Werbung ohne wirksame Einwilligung oder trotz Widerspruchs, und teils wurden Verträge ohne ihr Wissen aktiviert. Gegen Wind Tre verhängte die italienische Behörde 16,7 Millionen Euro und verlangte stärkere Kontrollen des Vertriebsnetzes. Der EDPB beschreibt bei Smart Glasses noch eine andere Verteilung von Verantwortung: Je nach Nutzung oder Weitergabe von Aufnahmen können auch Nutzer selbst datenschutzrechtlich verantwortlich sein, während Hersteller und Diensteanbieter eigene Pflichten behalten. Verlässliche Aufnahmesignale sollen Umstehenden erkennbar machen, dass sie gefilmt werden — eine kleine sichtbare Stelle in einer sonst oft unsichtbaren Verarbeitung.

In der Finanzaufsicht wird dieselbe Frage nach Kontrolle zu einer Grenze, ab der ein Institut mehr Kapital braucht oder ein Dienst nicht weiterlaufen soll. Die BaFin6 knüpft zusätzliche Eigenmittelempfehlungen ab 2026 an die Ergebnisse des LSI-Stresstests: Betroffen sind Institute, die festgelegte Kapitalschwellen unterschreiten. Teilnehmende Institute können bereits am Erhebungsbogen erkennen, ob eine solche Empfehlung wahrscheinlich ist. ESMA7 zieht eine andere Grenze bei Stablecoins und will, dass MiCA-zugelassene Kryptodienstleister Dienste für EU-Kunden mit nicht konformen Stablecoins einstellen. Bestehende Risiken sollen nationale Aufseher binnen drei Monaten bereinigen lassen; weiterlaufen dürfen nur beaufsichtigte Dienste zur Abwicklung.

Diese Grenzen stehen nicht allein: ESMA27 hat für die Prüfung von Jahres- und Nachhaltigkeitsberichten des Jahres 2026 gemeinsame europäische Prioritäten gesetzt. Damit sollen nationale Aufseher die Vorgaben innerhalb der EU einheitlicher durchsetzen, statt Berichte nach ganz unterschiedlichen Schwerpunkten zu prüfen. Für 2027 setzen die europäischen Aufsichtsbehörden außerdem die DORA-Aufsicht über kritische IKT-Dienstleister, Cybervorsorge und die Folgen von KI auf ihre Prioritätenliste. Während die BaFin also ein Ergebnis des Stresstests an zusätzliche Eigenmittel bindet, richten die europäischen Behörden ihren Blick auch auf die Dienstleister und digitalen Abhängigkeiten hinter dem Finanzbetrieb. Die Kontrolle betrifft nicht nur die Bilanz eines Instituts, sondern ebenso die Technik, auf der sein Betrieb beruht.

Außerdem hat das BSI eine Leitlinie veröffentlicht, die die EU-Roadmap zur Post-Quanten-Kryptografie in Empfehlungen für die schrittweise Umstellung in Deutschland übersetzt. Bei der Klimafinanzierung will BII in den nächsten fünf Jahren 1,6 Milliarden US-Dollar für Projekte in Südostasien bereitstellen und mobilisieren. Und bei EFRAG ist der Vorsitz des Sustainability Reporting Board nach Kerstin Lopattas Rücktritt kommissarisch besetzt: Kristian Koktvedgaard übernimmt bis zur Nachfolge nach dem EU-Nominierungsverfahren. Hier laufen technische Umstellung, Finanzierung und Gremienarbeit nebeneinander — ohne dass sie dieselbe Aufsichtsfrage beantworten müssen.

Am 3. November endet die Ausschreibung für das European AI Observatory. Dann ist zunächst über den Aufbau einer Stelle zu entscheiden, die KI-Nutzung und ihre Folgen über strategische Sektoren hinweg beobachtbar machen soll.