KI-Verordnung in Luxemburg: Leitfaden für KMU

Sie haben einen Fragebogen von einer Fondsverwaltungsgesellschaft, einer Depotbank oder einer CSSF-regulierten Gesellschaft auf dem Tisch, in dem plötzlich nach „KI-Systemen im Einsatz“ und „Einhaltung der KI-Verordnung“ gefragt wird. Ihr Unternehmen ist selbst nicht reguliert – Sie liefern Dienstleistungen an regulierte Akteure zu, etwa als Fondsadministrator, Transfer Agent, Wirtschaftsprüfer, IT-Dienstleister oder Berater. Trotzdem sollen Sie plötzlich Auskunft über Ihre KI-Nutzung geben. Genau diese Situation erleben derzeit viele deutschsprachige KMU in und um Luxemburg – Grenzgänger-Unternehmen aus der Region Trier und Saarland, deutsche Tochtergesellschaften, Finanzdienstleister mit deutschsprachigem Personal. Dieser Beitrag erklärt, warum die KI-Verordnung Sie betrifft, was für Luxemburg konkret gilt und was Sie als Nächstes tun sollten.

Warum die KI-Verordnung plötzlich auf Ihrem Tisch liegt

Die europäische KI-Verordnung (Verordnung (EU) 2024/1689, kurz KI-Verordnung oder AI Act) ist keine Richtlinie, die Luxemburg erst in nationales Recht umsetzen müsste – sie ist eine EU-Verordnung und gilt seit ihrem Inkrafttreten unmittelbar und einheitlich in allen Mitgliedstaaten, also auch in Luxemburg. Das unterscheidet die Rechtslage grundlegend von der Schweiz, wo die KI-Verordnung nur über Umwege und Marktzugangsfragen relevant wird. Luxemburg ist EU-Mitgliedstaat: Art. 2 der KI-Verordnung definiert den sachlichen und räumlichen Anwendungsbereich, und jedes Unternehmen, das in Luxemburg ein KI-System bereitstellt, betreibt oder dessen Ergebnisse in der EU verwendet werden, fällt grundsätzlich darunter – unabhängig von Unternehmensgröße oder Branche. Für den Fondsstandort Luxemburg kommt eine Besonderheit hinzu: Regulierte Akteure (Verwaltungsgesellschaften, Banken, Versicherer) müssen ihre eigene Lieferkette prüfen, und genau deshalb landen KI-Verordnung-Fragen zunehmend bei ihren Zulieferern und Dienstleistern – also bei Ihnen, auch wenn Sie kein Finanzunternehmen sind.

Wer in Luxemburg konkret betroffen ist

Nicht jedes Unternehmen, das irgendeine Software mit „KI“-Etikett nutzt, hat automatisch weitreichende Pflichten. Die KI-Verordnung unterscheidet Risikostufen, und die meisten praktischen Anwendungen in KMU fallen in die niedrigeren Stufen. Entscheidend ist aber, dass Sie diese Einordnung selbst vornehmen und dokumentieren können – genau das wird zunehmend abgefragt. Typische Anzeichen, dass Ihr Unternehmen sich mit der KI-Verordnung befassen sollte:

• Sie erhalten Due-Diligence- oder Lieferantenfragebögen von CSSF-regulierten Kunden (Verwaltungsgesellschaften, Banken, Versicherern) mit Fragen zu KI-Einsatz.
• Sie setzen KI-gestützte Tools für KYC/AML-Prüfungen, Kreditwürdigkeitsbewertung, Betrugserkennung oder automatisierte Dokumentenanalyse ein.
• Ihr Unternehmen nutzt generative KI (z. B. für Reporting, Kundenkommunikation oder interne Dokumente) ohne klare interne Richtlinie.
• Sie sind Anbieter oder Vertreiber eines KI-Systems, das an Finanzdienstleister in Luxemburg verkauft oder lizenziert wird.
• Sie beschäftigen Mitarbeitende, deren Aufgaben durch automatisierte Systeme unterstützt oder bewertet werden (z. B. Personalvorauswahl).

Systeme, die für Kreditwürdigkeitsprüfung, Bonitätsbewertung oder bestimmte KYC-/AML-Anwendungen eingesetzt werden, können unter Anhang III der KI-Verordnung als Hochrisiko-KI-System eingeordnet werden – mit entsprechend höheren Anforderungen an Risikomanagement, Dokumentation und menschliche Aufsicht. Gerade im Luxemburger Fonds- und Bankenumfeld ist das keine theoretische Frage, sondern betrifft reale, bereits eingesetzte Tools.

Was auf dem Spiel steht

Art. 99 der KI-Verordnung sieht Bußgelder von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes für die schwersten Verstöße vor (verbotene KI-Praktiken), gestaffelt nach Verstoßart. Für KMU relevant ist Art. 99 Abs. 6: Er sieht vor, dass bei Bußgeldern gegen KMU und Start-ups jeweils der niedrigere der beiden möglichen Beträge (Festbetrag oder Prozentsatz vom Umsatz) angewendet wird – eine gewisse Entlastung, aber keine Befreiung von der Pflicht selbst. Neben dem regulatorischen Risiko gibt es ein praktischeres, näherliegendes Risiko: Wenn Sie die Fragen Ihrer regulierten Kunden zur KI-Verordnung nicht plausibel beantworten können, riskieren Sie den Auftrag oder die Aufnahme in deren Lieferantenliste – unabhängig davon, ob eine Behörde jemals bei Ihnen prüft.

Wer in Luxemburg die Marktüberwachung für die KI-Verordnung ausübt, war zum Zeitpunkt der Erstellung dieses Beitrags nicht abschließend und öffentlich bestätigt festgelegt – die Frist zur Benennung der nationalen Marktüberwachungsbehörde nach Art. 70 der KI-Verordnung lief am 2. August 2025 ab. Die CSSF als Aufsicht über den Finanzsektor ist ein naheliegender Kandidat für KI-Systeme, die bei CSSF-regulierten Unternehmen eingesetzt werden, doch dies ist Einschätzung, keine bestätigte Zuständigkeit. Details dazu finden Sie in unserem Beitrag zur Aufsicht über die KI-Verordnung in Luxemburg.

Was Sie jetzt konkret prüfen sollten

Bevor Sie in aufwendige Compliance-Programme investieren, lohnt sich eine ehrliche Bestandsaufnahme. Drei Fragen helfen bei der Einordnung: Welche Systeme mit KI-Komponente setzen Sie tatsächlich ein – auch solche, die als „normale Software“ wahrgenommen werden, aber automatisierte Entscheidungen oder Bewertungen treffen? In welche Risikokategorie der KI-Verordnung fallen diese Systeme voraussichtlich? Und: Welche Dokumentation können Sie heute schon vorlegen, wenn ein Kunde oder eine Behörde danach fragt? Die DSGVO-Seite dieser Frage – etwa wenn KI-Systeme personenbezogene Daten verarbeiten und die CNPD als zuständige Aufsichtsbehörde ins Spiel kommt – behandeln wir vertieft in unserem Beitrag zu DSGVO und KI-Verordnung in Luxemburg. Beide Regelwerke greifen in der Praxis oft ineinander, gerade bei automatisierten Entscheidungen über Kunden oder Mitarbeitende.

Nächster Schritt

Dieser Beitrag bietet allgemeine Informationen zur Einordnung und ersetzt keine Rechtsberatung im Einzelfall. Komplya unterscheidet zwischen redaktionell geprüften Inhalten und Entwurfsmaterial; dieser Text wurde als Orientierungshilfe erstellt und sollte bei konkreten Entscheidungen durch eine rechtliche Prüfung ergänzt werden.

Der einfachste erste Schritt ist keine vollständige Gap-Analyse, sondern eine kurze Einordnung: Beantworten Sie unseren kurzen Fragebogen zur Anwendbarkeit der KI-Verordnung auf Ihr Unternehmen – in wenigen Minuten erhalten Sie eine erste Einschätzung, ob und in welcher Risikokategorie Ihre Systeme voraussichtlich liegen, und welche Unterlagen Sie als Nächstes vorbereiten sollten, bevor der nächste Fragebogen eines Kunden bei Ihnen eintrifft.