Wer überwacht die KI-Verordnung in Luxemburg? CNPD und CSSF

Ein institutioneller Kunde schickt Ihnen einen Compliance-Fragebogen mit einer Frage zur KI-Verordnung. Oder ein Wirtschaftsprüfer stellt bei der jährlichen Revision die Frage direkt: Welche Behörde würde Ihre KI-Systeme kontrollieren, wenn es darauf ankäme? Für ein luxemburgisches KMU liegt die erste Antwort meist nahe – "die CNPD, wie bei der DSGVO" – und das ist ein vernünftiger Reflex, aber nur ein Teil der Antwort. Berührt Ihre Tätigkeit auch nur am Rand den Finanzsektor, der in Luxemburg besonders ausgeprägt ist, kommt zusätzlich die CSSF ins Spiel. Hier ist, was heute bekannt ist – und was noch offen bleibt.

Was die Verordnung vorschreibt: eine Marktüberwachungsbehörde pro Mitgliedstaat

Artikel 70 der KI-Verordnung (Verordnung (EU) 2024/1689) verpflichtet jeden EU-Mitgliedstaat, mindestens eine notifizierende Behörde – zuständig für die Bewertung von Konformitätsbewertungsstellen – und mindestens eine Marktüberwachungsbehörde zu benennen, die kontrolliert, ob die tatsächlich eingesetzten KI-Systeme der Verordnung entsprechen. Die von der EU gesetzte Frist lief am 2. August 2025 ab. Die Verordnung lässt jedem Mitgliedstaat die Wahl, eine neue Stelle zu schaffen oder die Aufgabe bestehenden Regulierungsbehörden zu übertragen. Zum Zeitpunkt dieses Artikels liegt uns keine bestätigte, endgültige und öffentlich zugängliche Benennung der luxemburgischen Marktüberwachungsbehörde vor – wir sagen das lieber ausdrücklich, als eine Zuständigkeit zu behaupten, die sich später als falsch erweisen könnte. Was sich dagegen sinnvoll einschätzen lässt, ist die wahrscheinlichste Konstellation, ausgehend von den bereits bestehenden Zuständigkeiten.

Warum diese Frage nicht nur akademisch ist: Artikel 99 der Verordnung sieht Bussgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes für Verstösse gegen die meisten Pflichten vor, mit noch höheren Sätzen für verbotene Praktiken. Artikel 99 Absatz 6 schreibt für KMU und Start-ups ausdrücklich vor, dass jeweils der niedrigere der beiden Beträge angewendet wird – ein Schutzmechanismus bei der Höhe, der die grundsätzliche Zuständigkeit einer Aufsichtsbehörde aber nicht aufhebt. Wer diese Behörde in Luxemburg konkret ist, entscheidet, an wen Sie sich im Zweifel wenden – und wer sich im Ernstfall an Sie wendet.

Die CNPD: naheliegende Kandidatin für alles mit Personenbezug

Die Commission nationale pour la protection des données (CNPD) ist die luxemburgische Behörde, die seit 2018 die DSGVO durchsetzt. Sobald ein KI-System personenbezogene Daten verarbeitet – KI-gestütztes Recruiting, Kundenscoring, HR-Chatbots, videobasierte Überwachung, Kreditbewertung –, hat die CNPD ein natürliches Interesse daran, sei es im Rahmen der DSGVO, der KI-Verordnung, oder beider Regelwerke zugleich, da sich beide Regime für die meisten betrieblichen KI-Anwendungen erheblich überschneiden. Diese Überschneidungen und ihre Unterschiede behandeln wir ausführlich in unserem Artikel zu DSGVO und KI-Verordnung für luxemburgische Unternehmen. Für ein KMU ausserhalb des regulierten Finanzsektors bleibt die CNPD nach heutigem Stand der wahrscheinlichste Ansprechpartner bei Fragen zu einem KI-System.

Die CSSF: der Sonderfall bereits regulierter Finanzunternehmen

Die Commission de Surveillance du Secteur Financier (CSSF) überwacht bereits Banken, Verwaltungsgesellschaften von Investmentfonds, Vermögensverwalter, Wertpapierfirmen und Versicherer mit Sitz in Luxemburg. Gehört Ihr Unternehmen zu einer dieser Kategorien und setzt es KI in einem Prozess ein, der bereits unter die prudenzielle Aufsicht der CSSF fällt – Kreditrisikobewertung, Betrugserkennung, automatisierte Anlageberatung, Geldwäschebekämpfung –, ist es vernünftig anzunehmen, dass die Kontrolle der Einhaltung der KI-Verordnung auf dieser bestehenden Aufsichtsbeziehung aufbaut, statt einen komplett getrennten Kontrollkanal zu schaffen. Das passt zur Logik von Artikel 70, der es Mitgliedstaaten erlaubt, sich auf bereits bestehende sektorale Regulierungsbehörden zu stützen. Wir formulieren das bewusst im Konjunktiv: Uns ist nicht bekannt, dass die CSSF bislang einen detaillierten, endgültigen Rahmen veröffentlicht hätte, der die Zuständigkeitsverteilung zwischen ihr und der CNPD bei KI-Systemen der von ihr überwachten Unternehmen genau beschreibt. Ist Ihr Unternehmen CSSF-reguliert, lohnt es sich, diesen Punkt direkt bei der CSSF zu verifizieren, statt ihn nur analog abzuleiten.

Zwei Behörden, ein KMU: wie sich beide Zuständigkeiten kombinieren können

Eine Verwaltungsgesellschaft, die ein KI-Tool zur Analyse von Zeichnungsunterlagen einsetzt, vereint faktisch beide Logiken: die CSSF im Rahmen ihrer prudenziellen Aufsicht, und die CNPD, sobald personenbezogene Daten natürlicher Personen verarbeitet werden. Das ist in Luxemburg kein Ausnahmefall – angesichts des Gewichts der Fonds- und Private-Banking-Branche in der Landeswirtschaft ist es für einen erheblichen Teil der finanznahen KMU eher der Normalfall, zumal viele von ihnen als Dienstleister oder Unterauftragnehmer für CSSF-regulierte Kunden arbeiten und über deren Sorgfaltsprüfungs- und Compliance-Fragebögen mit dem Thema konfrontiert werden, ohne selbst direkt reguliert zu sein. Der sinnvolle Reflex ist deshalb nicht die Suche nach einer einzigen zentralen Anlaufstelle, die es wahrscheinlich nicht gibt, sondern die Dokumentation für jedes eingesetzte KI-System: Zweck, verarbeitete Daten, Risikostufe im Sinne der Verordnung, und welche Behörde oder Behörden sich legitim dafür interessieren könnten. Genau dieses Dokument schützt Sie, unabhängig davon, welche Stelle sich als Erste meldet.

Checkliste: mit wem hätten Sie es zu tun?

• Verarbeitet das System, auch nur indirekt, Daten zu einer identifizierten oder identifizierbaren Person (Kunde, Mitarbeiter, Bewerber)? Falls ja, ist die CNPD betroffen.
• Ist Ihr Unternehmen von der CSSF zugelassen oder überwacht (Bank, Verwaltungsgesellschaft, Wertpapierfirma, Versicherung, PSF)? Falls ja, ist neben der CNPD wahrscheinlich auch die CSSF betroffen.
• Greift das KI-System in eine Entscheidung ein, die bereits einer bestehenden prudenziellen Pflicht unterliegt – Kreditscoring, Geldwäschebekämpfung, Anlageberatung, Betrugserkennung? Diese Überschneidung erhöht die Wahrscheinlichkeit einer CSSF-Kontrolle.
• Wird das System von einem Anbieter ausserhalb Luxemburgs oder der EU bereitgestellt oder gehostet? Dann kann zusätzlich die Zusammenarbeit zwischen den Marktüberwachungsbehörden verschiedener Mitgliedstaaten greifen, neben den DSGVO-Regeln zu Datenübermittlungen.
• Haben Sie ein schriftliches Verzeichnis Ihrer KI-Systeme, mit Zweck und geschätzter Risikostufe für jedes einzelne? Falls nicht, ist das der sinnvollste Ausgangspunkt, bevor Sie sich fragen, welche Behörde Sie kontrollieren könnte.
• Wissen Sie, wer intern zuständig wäre, falls die CNPD oder die CSSF eine Frage zu einem bestimmten KI-System stellt? Fehlt eine klare Antwort, ist das oft ein Zeichen für ein noch informelles Compliance-Vorhaben.

Allgemeine Information, kein Rechtsrat

Die vorstehenden Ausführungen sind eine allgemeine Information, die ein noch im Aufbau befindliches institutionelles Umfeld in Luxemburg einordnen soll; sie sind kein Rechtsrat, und die genaue Zuständigkeitsverteilung zwischen CNPD und CSSF kann sich ändern, insbesondere sobald die offizielle Benennung der Marktüberwachungsbehörde feststeht. Bei Komplya unterscheiden wir klar zwischen rechtlich geprüften Inhalten und Arbeitsdokumenten, und wir aktualisieren diesen Artikel, sobald belastbarere Informationen veröffentlicht werden.

Statt auf eine institutionelle Klärung zu warten, die derzeit noch unvollständig ist, ist der nützlichste Schritt, den eigenen Stand genau zu kennen: welche KI-Systeme Sie einsetzen, welche Behörde sich dafür legitimerweise interessieren könnte, und was noch fehlt, um darauf gelassen antworten zu können. Unser Online-Fragebogen hilft Ihnen, diesen Stand in wenigen Minuten zu erfassen – bevor CNPD oder CSSF die Frage an Sie stellen.