In Deutschland gilt die KI-Verordnung unmittelbar; ergänzt wird sie durch das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das seit dem 29. Juli 2026 in Kraft ist. Zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle ist die Bundesnetzagentur. Für beaufsichtigte Finanzunternehmen ist die BaFin zuständig, für regulierte Produkte die bisherigen Fachbehörden.
Das Wichtigste in Kürze
- Das KI-MIG ist Artikel 1 eines Gesetzes vom 22. Juli 2026 (BGBl. 2026 I Nr. 223) und seit dem 29. Juli 2026 in Kraft.
- Die Bundesnetzagentur ist Marktüberwachungsbehörde, „soweit nichts anderes bestimmt ist“, außerdem zentrale Anlaufstelle und zentrale Beschwerdestelle.
- Deutschland setzt auf ein hybrides Modell ohne neue KI-Behörde: BaFin für Finanzunternehmen, Fachbehörden für Produkte, Landesmedienanstalten für Medien.
- Der KI-Service-Desk der Bundesnetzagentur hilft vor allem KMU kostenlos, etwa mit einem Online-Tool zur ersten Einschätzung der Risikoklasse.
- Die Bundesnetzagentur muss mindestens ein KI-Reallabor einrichten; Stand Oktober 2026 ist es in Planung.
Warum Deutschland ein eigenes Gesetz braucht
Die KI-Verordnung ist eine EU-Verordnung und gilt ohne Umsetzung. Sie überlässt den Mitgliedstaaten aber einige Aufgaben: Behörden benennen, Verfahren und Bußgelder regeln, Reallabore einrichten. Das hat Deutschland mit dem KI-MIG getan. Das Bundeskabinett beschloss den Regierungsentwurf am 11. Februar 2026; laut Bundesministerium für Digitales und Staatsmodernisierung wurden dabei über 1.000 Änderungsvorschläge aus der Beteiligung berücksichtigt.
Den Wortlaut des KI-MIG finden Sie auf gesetze-im-internet.de. Für Unternehmen ändert das Gesetz die Pflichten aus der Verordnung nicht – es legt fest, wer sie kontrolliert. Welche Pflichten das sind, beschreibt unser Überblick zur KI-Verordnung.
Brauchen Sie Hilfe mit cloud?
Buchen Sie ein kostenloses 30-Minuten-Gespräch mit einem unserer cloud-Spezialisten. Wir analysieren Ihren Bedarf und geben konkrete Empfehlungen — völlig unverbindlich.
Wer in Deutschland was überwacht
| Behörde | Zuständigkeit nach KI-MIG | Beispiel |
|---|---|---|
| Bundesnetzagentur | Marktüberwachungsbehörde, soweit nichts anderes bestimmt (§ 2 Abs. 1); zentrale Anlaufstelle (§ 6); zentrale Beschwerdestelle (§ 8); Koordinierungs- und Kompetenzzentrum (§ 5) | KI in der Personalauswahl, in Bildung und kritischer Infrastruktur; Transparenzpflichten; verbotene Praktiken |
| KI-Marktüberwachungskammer (bei der BNetzA, unabhängig) | bestimmte Hochrisiko-Systeme aus Anhang III, u. a. Strafverfolgung, Migration und Grenzkontrolle, Justiz und demokratische Prozesse | KI zur Unterstützung von Gerichten |
| BaFin | KI-Systeme in direktem Zusammenhang mit regulierter Finanztätigkeit beaufsichtigter Unternehmen (§ 2 Abs. 3) | Kreditscoring einer Bank, Tarifierung bei einem Versicherer |
| Fachbehörden für Produkte | KI in Produkten nach Anhang I Abschnitt A (§ 2 Abs. 2) | KI in Maschinen oder Medizinprodukten |
| Länder und Landesmedienanstalten | öffentliche Stellen der Länder, Mediendienste (§ 2 Abs. 6, 8) | Rundfunk, Landesverwaltung (oder per Organleihe die BNetzA) |
| BSI, DAkkS, BAuA | BSI übergangsweise notifizierende Behörde für Biometrie; DAkkS begutachtet Konformitätsbewertungsstellen; BAuA meldet an Kommission und Mitgliedstaaten | Prüfstellen für biometrische Systeme |
Die Bundesnetzagentur beschreibt das in ihrer Pressemitteilung vom 29. Juli 2026 als hybriden Ansatz: Etablierte Fachaufsichten bleiben in vollständig harmonisierten Produktbereichen zuständig, damit Unternehmen ihre gewohnten Ansprechpartner behalten. Die Bundesnetzagentur koordiniert das Gesamtsystem.
Die Rolle der Bundesnetzagentur
Für die meisten Unternehmen in Deutschland ist die Bundesnetzagentur künftig der wichtigste Ansprechpartner zur KI-Verordnung. Sie hat vier Funktionen:
- Marktüberwachung: Prüfung von KI-Systemen, Auskunfts- und Betretungsrechte, Anordnungen bis zur Rücknahme vom Markt.
- Zentrale Anlaufstelle: Kontaktpunkt für Kommission, andere Mitgliedstaaten und Öffentlichkeit; sie veröffentlicht die Kontaktdaten aller zuständigen Behörden.
- Zentrale Beschwerdestelle: Jede Person kann Verstöße melden; die Bundesnetzagentur leitet an die zuständige Behörde weiter und informiert die beschwerdeführende Person.
- Innovationsförderung: Beratung, Schulungsangebote, Leitfäden, das KI-Reallabor und die Mitarbeit an Normen.
Auf ihren Fachseiten veröffentlicht die Behörde bereits praktische Hinweise, etwa zur KI-Kompetenz nach Artikel 4 und zu den Transparenzpflichten. Wer konkret wissen möchte, was diese Hinweise für die eigene Organisation bedeuten, kann seine KI-Nutzung im kostenlosen KI-Governance-Check erfassen und daraus eine KI-Richtlinie und weitere Governance-Dokumente erstellen lassen.
KI-Service-Desk und KI-Reallabor
Der KI-Service-Desk der Bundesnetzagentur ist seit Juli 2025 in Betrieb. Er richtet sich an Unternehmen, Behörden und andere Organisationen, besonders an KMU und Start-ups, und bietet ein Online-Tool für eine erste Einschätzung der Risikoklasse eines KI-Systems, aktuelle Informationen zu Leitlinien und Verhaltenskodizes der EU sowie Hinweise zum Aufbau von KI-Kompetenz. Die Angebote sind kostenlos und unverbindlich; eine Rechtsauskunft im Einzelfall ersetzen sie nicht.
Nach § 13 KI-MIG „errichtet und betreibt“ die Bundesnetzagentur mindestens ein KI-Reallabor, in dem innovative KI-Systeme unter Aufsicht entwickelt, trainiert und getestet werden können – vorrangig für KMU und Start-ups und in Zusammenarbeit mit den Datenschutzbehörden. Stand Oktober 2026 bezeichnet die Behörde das Reallabor als geplant; einen Starttermin hat sie nicht veröffentlicht. Nach EU-Recht müssen nationale Reallabore spätestens am 2. August 2027 bereitstehen.
Bußgelder und Verfahren in Deutschland
Die Bußgeldrahmen stehen in der KI-Verordnung selbst: bis 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis 15 Mio. Euro oder 3 Prozent bei den meisten anderen Pflichten, bis 7,5 Mio. Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden; für KMU gilt der niedrigere Betrag. Das KI-MIG regelt das Verfahren nach dem Ordnungswidrigkeitengesetz (§ 16) und ergänzt in § 15 Bußgelder bis 50.000 Euro für bestimmte weitere Verstöße, etwa fehlende Auskünfte oder eine unterlassene Grundrechte-Folgenabschätzung. Gegen Behörden und öffentliche Stellen werden keine Geldbußen verhängt (§ 17).
Weitere Regeln, die in Deutschland zählen
Datenschutzaufsicht
Für personenbezogene Daten bleiben die Landesdatenschutzbehörden und die oder der Bundesbeauftragte für den Datenschutz zuständig. Die Datenschutzkonferenz hat Orientierungshilfen zu KI veröffentlicht. Das Zusammenspiel erklärt der Beitrag KI und Datenschutz.
Finanzaufsicht
Banken, Versicherer und Zahlungsinstitute haben mit der BaFin eine Aufsicht für Finanzrecht, DORA und KI-Verordnung. KI-Modelle im Kreditgeschäft oder in der Tarifierung von Lebens- und Krankenversicherungen sind nach Anhang III Hochrisiko-KI – Einzelheiten im Beitrag zu Hochrisiko-KI-Systemen.
Mitbestimmung
Das Betriebsverfassungsgesetz gibt dem Betriebsrat bei KI-Tools, die Verhalten oder Leistung überwachen können, ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG) und nennt KI seit 2021 ausdrücklich bei Unterrichtung, Sachverständigen und Auswahlrichtlinien. Diese Rechte gelten zusätzlich zur Informationspflicht aus Artikel 26 der KI-Verordnung.
Was Unternehmen in Deutschland jetzt tun sollten
- KI-Systeme erfassen und Zuständigkeit klären: Bundesnetzagentur, BaFin oder Fachbehörde?
- Die bereits geltenden Pflichten prüfen: Verbote, KI-Kompetenz, Kennzeichnung nach Artikel 50.
- Betriebsrat und Datenschutz früh einbinden.
- Die Hinweise der Bundesnetzagentur und den KI-Service-Desk nutzen.
- Hochrisiko-Projekte für die Termine im Zeitplan der KI-Verordnung einplanen.
Eine strukturierte Prüfung beschreibt die Checkliste zum AI Act.
Was die Behörden prüfen dürfen
Das KI-MIG stattet die Marktüberwachungsbehörden mit den Befugnissen der EU-Marktüberwachungsverordnung und der KI-Verordnung aus. Sie können Unterlagen und Auskünfte verlangen, Zugang zu Dokumentation, Trainings- und Testdaten fordern, Proben nehmen, Geschäftsräume betreten und Systeme auch aus der Ferne prüfen; dabei dürfen sie Dritte hinzuziehen. Betreten außerhalb der Geschäftszeiten ist nur zur Abwehr dringender Gefahren zulässig.
Die Behörden arbeiten zusammen und tauschen dafür auch vertrauliche Informationen aus. Bei Fragen der Cybersicherheit wird das BSI einbezogen, bei Datenschutzthemen die Datenschutzaufsicht, bei Wettbewerbsfragen das Bundeskartellamt. Für Unternehmen bedeutet das: Wer eine Anfrage der Bundesnetzagentur erhält, sollte damit rechnen, dass Erkenntnisse auch bei anderen Aufsichten ankommen.
Häufig gestellte Fragen
Wer überwacht die KI-Verordnung in Deutschland?
Grundsätzlich die Bundesnetzagentur. Sie ist nach dem KI-MIG Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle. Ausnahmen: Die BaFin überwacht KI bei beaufsichtigten Finanzunternehmen, Fachbehörden überwachen KI in regulierten Produkten, die Landesmedienanstalten Mediendienste. Für bestimmte sensible Hochrisiko-Bereiche entscheidet eine unabhängige Kammer bei der Bundesnetzagentur.
Ist das KI-Marktüberwachungsgesetz schon in Kraft?
Ja. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) ist seit dem 29. Juli 2026 in Kraft. Es wurde als Artikel 1 eines Gesetzes vom 22. Juli 2026 im Bundesgesetzblatt veröffentlicht. Damit können die deutschen Behörden die KI-Verordnung seit Ende Juli 2026 durchsetzen.
Was bietet der KI-Service-Desk der Bundesnetzagentur?
Kostenlose Orientierung zur KI-Verordnung, vor allem für KMU und Start-ups: ein Online-Tool zur ersten Einschätzung der Risikoklasse, Informationen zu EU-Leitlinien und Verhaltenskodizes, Hinweise zu KI-Kompetenz und Transparenzpflichten sowie ein Kontaktformular für Fragen. Eine verbindliche Rechtsauskunft gibt der Service-Desk nicht.
Gibt es in Deutschland eine eigene KI-Behörde?
Nein. Die Bundesregierung hat sich bewusst gegen eine neue Behörde entschieden und die Aufgaben bei der Bundesnetzagentur gebündelt, die bereits Märkte wie Telekommunikation und Energie reguliert. Bestehende Fachaufsichten behalten ihre Zuständigkeiten, damit Unternehmen keine zusätzlichen Ansprechpartner bekommen.
Gilt der EU AI Act auch in Österreich und der Schweiz?
In Österreich ja, als EU-Mitglied gilt die Verordnung unmittelbar; die nationale Aufsicht regelt Österreich selbst. Die Schweiz ist nicht gebunden, Schweizer Unternehmen fallen aber unter den AI Act, wenn sie KI-Systeme in der EU anbieten oder deren Ergebnisse in der EU genutzt werden.
Bereit für die deutsche KI-Aufsicht?
Seit die Bundesnetzagentur durchsetzen kann, zählt, was dokumentiert ist. Der KI-Governance & Readiness-Check von Opsio erstellt aus Ihren Antworten – etwa 40 Minuten, vierzehn Schritte – ein KI-Governance-Rahmenwerk, eine KI-Richtlinie für Mitarbeitende, eine Checkliste zur Prüfung von KI-Anbietern und eine Vorlage zur KI-Risikobewertung und zeigt Ihren Reifegrad in zehn Bereichen. Die Fragen sind auf Deutsch, die Dokumente auf Englisch als Word-Dateien, die Ihnen gehören. Kostenlos und ohne Verpflichtung.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung. Maßgeblich sind die konsolidierte Fassung der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung und das KI-MIG. Angaben zu deutschen Behörden: Stand Oktober 2026.
Verfasst von
Country Manager, Schweden
Johan leitet die Schweden-Operationen von Opsio und treibt KI-Adoption, DevOps-Transformation, Sicherheitsstrategie und Cloud-Lösungen für nordische Unternehmen voran. Mit über 12 Jahren Erfahrung in der Cloud-Infrastruktur hat er mehr als 200 Projekte auf AWS, Azure und GCP geliefert — mit Schwerpunkt auf Well-Architected-Reviews, Landing-Zone-Design und Multi-Cloud-Strategie.
Redaktionelle Standards: Dieser Artikel wurde von Cloud-Praktikern verfasst und von unserem Engineering-Team geprüft. Wir überarbeiten ihn, wenn sich die behandelte Technologie oder Regulierung ändert; die Daten auf dieser Seite zeigen die letzte Aktualisierung. Opsio ist redaktionell unabhängig.