# Wer die KI-Verordnung in Luxemburg überwacht: CNPD, CSSF, CAA und Gesetzentwurf Nr. 8476

> Gesetzentwurf Nr. 8476 macht die CNPD zur zentralen KI-Aufsicht in Luxemburg, CSSF und CAA für ihre Sektoren. Im Oktober 2026 war er noch nicht verabschiedet.

Veröffentlicht: 2026-10-06 · Dataplaz-Redaktion · https://dataplaz.lu/de/ki-verordnung-behoerden-luxemburg-cnpd/

## Das Wichtigste
- Nach dem am 23. Dezember 2024 eingebrachten Gesetzentwurf Nr. 8476 wäre die CNPD in Luxemburg allgemeine Marktüberwachungsbehörde, zentrale Anlaufstelle und Betreiberin des nationalen KI-Reallabors.
- CSSF und Commissariat aux assurances (CAA) würden KI bei den von ihnen beaufsichtigten Unternehmen überwachen; ILNAS, ILR, ALIA, die Autorité de contrôle judiciaire und eine künftige Arzneimittelagentur decken bestimmte Produkte und Einsätze ab.
- Der Staatsrat gab am 10. Juli 2026 sein Gutachten mit mehreren förmlichen Einsprüchen ab, unter anderem zur Zuständigkeit der CSSF und zur Koordinierung konkurrierender Beschwerden.
- Stand 6. Oktober 2026 war der Entwurf nicht verabschiedet; die Parlamentsakte enthielt keine Regierungsänderungen nach dem Gutachten des Staatsrats.
- Die EU-Regeln gelten unabhängig vom nationalen Gesetz: verbotene Praktiken seit dem 2. Februar 2025, Transparenzpflichten nach Artikel 50 seit dem 2. August 2026.

In Luxemburg soll die Commission nationale pour la protection des données (CNPD) die zentrale Behörde für die europäische KI-Verordnung werden: allgemeine Marktüberwachungsbehörde, zentrale Anlaufstelle und Betreiberin des nationalen KI-Reallabors. Die Finanzaufsicht CSSF und das Commissariat aux assurances (CAA) würden KI bei den Unternehmen überwachen, die sie bereits beaufsichtigen. Stand 6. Oktober 2026 war der Gesetzentwurf Nr. 8476, der diese Zuständigkeiten festlegt, jedoch nicht verabschiedet; letzter Schritt war das Gutachten des Staatsrats vom 10. Juli 2026.

## Warum Luxemburg ein nationales Gesetz braucht

Die [KI-Verordnung (Verordnung (EU) 2024/1689)](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) gilt unmittelbar in allen Mitgliedstaaten, die Durchsetzung liegt aber bei nationalen Behörden. Artikel 70 verlangt mindestens eine notifizierende Behörde und eine Marktüberwachungsbehörde pro Land, Artikel 57 mindestens ein nationales KI-Reallabor und Artikel 99 nationale Sanktionsregeln.

Die Regierung brachte den [Gesetzentwurf Nr. 8476](https://www.chd.lu/fr/dossier/8476) am 23. Dezember 2024 in die Abgeordnetenkammer ein. Statt eine neue Behörde zu gründen, verteilt er die Aufsicht auf bestehende Regulierer und überträgt der CNPD die Koordinierung.

## Wer was macht nach Gesetzentwurf Nr. 8476

| Behörde | Rolle im Entwurf (eingereichte Fassung) |
|---|---|
| CNPD | Allgemeine Marktüberwachungsbehörde (Art. 7 Abs. 1); zentrale Anlaufstelle (Art. 13); notifizierte Stelle für Hochrisiko-KI, die Strafverfolgungs-, Einwanderungs- oder Asylbehörden in Betrieb nehmen (Art. 6); Einrichtung mindestens eines KI-Reallabors (Art. 12) |
| CSSF | Marktüberwachung für KI, die von beaufsichtigten Unternehmen in Verkehr gebracht, in Betrieb genommen oder genutzt wird; Informationsweitergabe an die EZB für Banken im einheitlichen Aufsichtsmechanismus |
| Commissariat aux assurances (CAA) | Marktüberwachung für KI, die von beaufsichtigten Unternehmen in Verkehr gebracht, in Betrieb genommen oder genutzt wird |
| ILNAS | Marktüberwachung für Hochrisiko-KI in Produkten nach Anhang I Nummern 1 bis 10 und für kritische Infrastruktur (Anhang III Nummer 2); notifizierende Behörde gemeinsam mit dem Regierungskommissariat für Daten |
| Institut luxembourgeois de régulation (ILR) | Betreiber von KI in kritischer Infrastruktur, die wesentliche oder wichtige Einrichtungen nach dem nationalen NIS2-Gesetz sind |
| Agence luxembourgeoise des médicaments et produits de santé (geplant) | Medizinprodukte und In-vitro-Diagnostika (Anhang I Nummern 11 und 12), als Marktüberwachungs- und notifizierende Behörde |
| Autorité luxembourgeoise indépendante de l'audiovisuel (ALIA) | Transparenzpflichten für KI-generierte Inhalte und Deepfakes (Artikel 50 Absätze 2 und 4) |
| Autorité de contrôle judiciaire | KI, die Gerichte in ihrer rechtsprechenden Tätigkeit einsetzen |

Die Sanktionen folgen der KI-Verordnung: Verwarnung, Verweis und Geldbußen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken sowie bis zu 15 Millionen Euro oder 3 % bei den meisten anderen Verstößen.

## Die CNPD im Zentrum

Jedes KI-System, das keinem Sektorregulierer zugeordnet ist, fällt automatisch in die Zuständigkeit der CNPD. Als zentrale Anlaufstelle koordiniert sie die übrigen Behörden und leitet Meldungen an die Europäische Kommission und die anderen Mitgliedstaaten weiter.

Ein Reallabor betreibt die CNPD bereits. Am 21. Mai 2024 startete sie [Sandkëscht](https://cnpd.public.lu/fr/actualites/national/2024/05/lancement-sandkescht.html), um die Verarbeitung personenbezogener Daten durch KI-Systeme im Rahmen der Datenschutz-Grundverordnung zu erproben. Laut ihrer [Bewerbungsseite](https://cnpd.public.lu/fr/professionnels/outils-conformite/sandbox/soumettre-projet.html), zuletzt aktualisiert am 15. Januar 2026, ist die Pilotphase abgeschlossen; Bewerbungen für das KI-Reallabor nach der KI-Verordnung sollten im August 2026 möglich werden. Eine öffentliche Bestätigung, dass dieser Aufruf gestartet ist, war bis zum 6. Oktober 2026 nicht auffindbar.

Der Entwurf setzt der CNPD die Frist 2. August 2026, entsprechend der ursprünglichen KI-Verordnung. Der [Digital-Omnibus zur KI (Verordnung (EU) 2026/1744)](https://eur-lex.europa.eu/eli/reg/2026/1744/oj), seit dem 27. Juli 2026 in Kraft, hat die EU-Frist für nationale Reallabore auf den 2. August 2027 verschoben.

## Finanzsektor: CSSF und CAA

In der eingereichten Fassung sind CSSF und CAA zuständig, sobald ein beaufsichtigtes Unternehmen ein KI-System in Verkehr bringt, in Betrieb nimmt oder nutzt. Artikel 74 Absatz 6 der KI-Verordnung ist enger gefasst: Finanzaufseher sind für Hochrisiko-KI nur zuständig, soweit diese in unmittelbarem Zusammenhang mit der Erbringung von Finanzdienstleistungen steht. Der Staatsrat erhob dazu einen förmlichen Einspruch. Wird der Text an Artikel 74 Absatz 6 angepasst, fiele KI, die eine Bank oder ein Versicherer ohne Bezug zu Finanzdienstleistungen einsetzt, an die allgemeine Behörde.

## Was der Staatsrat beanstandet

Das [Gutachten des Staatsrats vom 10. Juli 2026](https://wdocs-pub.chd.lu/docs/Dossiers_parlementaires/8476/20260710_Avis_2.pdf) enthält förmliche Einsprüche zu:

- der fehlenden Aufgabenteilung zwischen ILNAS und dem Regierungskommissariat als notifizierende Behörden;
- dem Zuständigkeitsbereich der CSSF, der über Artikel 74 Absatz 6 hinausgeht;
- Verordnungsbefugnissen für Behörden, die keine öffentlichen Anstalten sind;
- fehlenden Regeln für Beschwerden zum selben KI-System oder Betreiber bei verschiedenen Behörden, was Rechtsunsicherheit schaffe.

Zudem will der Staatsrat auf die zweite verfassungsmäßige Abstimmung erst verzichten, wenn das Gesetz zur Gründung der Arzneimittelagentur (Gesetzentwurf Nr. 8491) in Kraft ist.

## Stand im Oktober 2026

Die Parlamentsakte verzeichnet Stellungnahmen unter anderem von CSSF, CNPD, ILNAS, ILR und Handelskammer, die Ernennung eines Berichterstatters am 3. Juni 2025 und als letzten Schritt das Gutachten des Staatsrats vom 10. Juli 2026. Stand 6. Oktober 2026 waren weder Regierungsänderungen noch ein Ausschussbericht oder eine Abstimmung veröffentlicht. Bis zur Verabschiedung bleibt die beschriebene Zuständigkeitsverteilung ein Vorschlag.

Die EU-Pflichten warten nicht darauf: Verbotene Praktiken und KI-Kompetenz gelten seit dem 2. Februar 2025, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025 und die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026.

## Was jetzt zu tun ist

1. **KI-Systeme erfassen** und für jedes notieren, welche Behörde nach dem Entwurf zuständig wäre: CSSF oder CAA für regulierte Finanztätigkeiten, die CNPD für die meisten anderen Einsätze.
2. **Verbotene Praktiken ausschließen** (Artikel 5), einschließlich der zwei neuen Verbote zu nicht einvernehmlichen intimen Inhalten und Darstellungen sexuellen Kindesmissbrauchs, die ab dem 2. Dezember 2026 gelten.
3. **Transparenz nach Artikel 50 umsetzen** für Chatbots, synthetische Inhalte und Deepfakes. Anbieter generativer Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, haben für die maschinenlesbare Kennzeichnung bis zum 2. Dezember 2026 Zeit.
4. **Maßnahmen zur KI-Kompetenz dokumentieren** für Beschäftigte, die KI betreiben oder nutzen.
5. **Hochrisiko-Anwendungen identifizieren**, etwa Kreditwürdigkeitsprüfung, Tarifierung in der Lebens- und Krankenversicherung oder Personalauswahl, und den 2. Dezember 2027 einplanen. Wer einen externen Blick auf die Prioritäten möchte, kann mit [einer kurzen Standortbestimmung zur KI-Governance](https://harro.lu/work-with-me) beginnen.
6. **Gesetzentwurf Nr. 8476 verfolgen** auf chd.lu, insbesondere Regierungsänderungen als Antwort auf den Staatsrat.

## Fragen & Antworten
**Welche Behörde ist in Luxemburg für die KI-Verordnung zuständig?**
Gesetzentwurf Nr. 8476 benennt die CNPD als allgemeine Marktüberwachungsbehörde und zentrale Anlaufstelle. Stand 6. Oktober 2026 war der Entwurf nicht verabschiedet, die Benennung also noch nicht geltendes Recht.

**Überwacht die CSSF KI bei Banken und Wertpapierfirmen?**
Der Entwurf macht die CSSF zuständig für KI-Systeme, die von beaufsichtigten Unternehmen in Verkehr gebracht, in Betrieb genommen oder genutzt werden. Der Staatsrat verlangt eine Beschränkung auf KI, die unmittelbar mit der Erbringung von Finanzdienstleistungen zusammenhängt, wie es Artikel 74 Absatz 6 der KI-Verordnung vorsieht.

**Gibt es in Luxemburg ein KI-Reallabor?**
Die CNPD betreibt seit Mai 2024 die DSGVO-gestützte Sandbox Sandkëscht und kündigte Bewerbungen für das KI-Reallabor nach der KI-Verordnung für August 2026 an. Die EU-Frist für das nationale Reallabor liegt inzwischen beim 2. August 2027.

**Können Unternehmen bis zur Verabschiedung des luxemburgischen Gesetzes abwarten?**
Nein. Die KI-Verordnung gilt als EU-Verordnung unmittelbar. Verbotene Praktiken, KI-Kompetenz, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck und die Transparenzpflichten nach Artikel 50 gelten bereits.

## Quellen
1. [Verordnung (EU) 2024/1689 (KI-Verordnung)](https://eur-lex.europa.eu/eli/reg/2024/1689/oj) · EUR-Lex
2. [Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI)](https://eur-lex.europa.eu/eli/reg/2026/1744/oj) · EUR-Lex
3. [Projet de loi 8476 – dossier parlementaire](https://www.chd.lu/fr/dossier/8476) · Chambre des Députés
4. [Projet de loi n° 8476 – document de dépôt (23. Dezember 2024)](https://wdocs-pub.chd.lu/docs/exped/0151/094/302942.pdf) · Chambre des Députés
5. [Avis du Conseil d'État n° 62.024 (10. Juli 2026)](https://wdocs-pub.chd.lu/docs/Dossiers_parlementaires/8476/20260710_Avis_2.pdf) · Conseil d'État / Chambre des Députés
6. [Soumettre un projet – Sandkëscht](https://cnpd.public.lu/fr/professionnels/outils-conformite/sandbox/soumettre-projet.html) · CNPD
7. [La CNPD lance un bac à sable réglementaire sur l'IA (Mai 2024)](https://cnpd.public.lu/fr/actualites/national/2024/05/lancement-sandkescht.html) · CNPD
8. [L'AI Act en action (20. Januar 2026)](https://cnpd.public.lu/fr/actualites/national/2026/01/ai-act-in-action-cp-jan2026.html) · CNPD
9. [L'Irlande crée son AI Office, le Luxembourg cherche son gendarme](https://paperjam.lu/article/lirlande-cree-son-ai-office-le-luxembourg-cherche-son-gendarme) · Paperjam