Die EU-KI-Verordnung gilt in Deutschland unmittelbar. Seit dem 29. Juli 2026 regelt das KI-Marktüberwachungsgesetz (KI-MIG) die nationale Durchführung: Die Bundesnetzagentur ist zentrale Marktüberwachungsbehörde und Beschwerdestelle, soweit keine Fachbehörde wie die BaFin zuständig ist. Sie betreibt ein Koordinierungs- und Kompetenzzentrum und soll mindestens ein KI-Reallabor einrichten. Stand: September 2026.
Die europäische KI-Verordnung gilt als EU-Verordnung unmittelbar in Deutschland — ein eigenes deutsches KI-Gesetz, das die Pflichten erst scharf schaltet, war nie nötig. Trotzdem blieb lange eine entscheidende Frage offen: Wer kontrolliert das Ganze eigentlich? Über zwei Jahre nach Inkrafttreten der Verordnung hatte Deutschland noch keine Aufsichtsbehörde benannt — für Unternehmen ein unbefriedigender Schwebezustand.
Seit Sommer 2026 ist die Lücke geschlossen. Dieser Artikel erklärt den aktuellen Durchführungsstand in Deutschland: was das neue KI-Marktüberwachungsgesetz regelt, welche Rollen die Bundesnetzagentur übernimmt, wo Fachbehörden zuständig bleiben, wie Bußgelder verhängt werden und was das alles konkret für kleine und mittlere Unternehmen bedeutet. Stand: September 2026.
EU-Verordnung gilt direkt — was Deutschland trotzdem regeln musste
Anders als eine Richtlinie (wie NIS2) braucht eine EU-Verordnung kein Umsetzungsgesetz: Die Pflichten des EU AI Act — Verbote, KI-Kompetenz, Transparenz, künftig die Hochrisiko-Anforderungen — gelten seit ihren jeweiligen Stichtagen unmittelbar für deutsche Unternehmen. Wer auf ein deutsches Gesetz gewartet hat, um zu starten, hat auf das falsche Signal gewartet.
Was die Mitgliedstaaten aber selbst regeln müssen, ist die Durchführung: Welche Behörde überwacht den Markt? Wer nimmt Beschwerden entgegen? Wer verhängt Bußgelder, und wie laufen die Verfahren? Die Verordnung verlangte die Benennung der nationalen Behörden eigentlich bis zum 2. August 2025 — diesen Termin hat Deutschland verpasst, auch wegen des Regierungswechsels 2025. Erst im Sommer 2026 kam das Durchführungsgesetz.
Das KI-MIG: Deutschlands Durchführungsgesetz
Am 11. Juni 2026 hat der Bundestag das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz beschlossen — kurz KI-MIG. Es ist am 29. Juli 2026 in Kraft getreten, wenige Tage vor dem großen Geltungsbeginn der Verordnung am 2. August 2026.
Der Name ist Programm, das Gesetz hat zwei Seiten:
- Marktüberwachung: Es benennt die zuständigen Behörden, regelt ihre Befugnisse und schafft die Strukturen für Beschwerden und Sanktionen.
- Innovationsförderung: Es verpflichtet den Bund, Informations- und Beratungsangebote bereitzustellen und mindestens ein KI-Reallabor einzurichten, in dem Unternehmen neue Anwendungen unter behördlicher Begleitung testen können.
Das KI-MIG erfindet keine neuen Pflichten für Unternehmen — die stehen in der EU-Verordnung. Es beantwortet die deutsche Zuständigkeits- und Verfahrensfrage. Eine Evaluierung des Gesetzes ist nach 18 Monaten und nach drei Jahren vorgesehen; Nachjustierungen sind also absehbar eingeplant.
Die Bundesnetzagentur: zentrale KI-Aufsicht mit vier Rollen
Kernentscheidung des KI-MIG: Deutschland bündelt die KI-Aufsicht bei der Bundesnetzagentur in Bonn, statt sie auf die 16 Länder oder viele Einzelbehörden zu verteilen. Die Behörde kennt diese Rolle bereits von anderen Digitalgesetzen, etwa als Koordinatorin für digitale Dienste.
| Rolle | Was sie konkret bedeutet |
|---|---|
| Marktüberwachungsbehörde | Überwacht die Einhaltung der KI-Verordnung, kann Auskünfte verlangen, Maßnahmen anordnen und Verstöße sanktionieren — überall dort, wo keine Fachbehörde zuständig ist |
| Zentrale Anlauf- und Beschwerdestelle | Nimmt Beschwerden von Bürgern und Unternehmen über mutmaßliche Verstöße entgegen und leitet sie an die jeweils zuständige Behörde weiter |
| Koordinierungs- und Kompetenzzentrum | Bündelt KI-Fachwissen der Verwaltung, fördert eine einheitliche Rechtsauslegung und unterstützt andere Behörden fachlich |
| Innovationsförderin | Stellt Informations- und Beratungsangebote bereit und soll mindestens ein KI-Reallabor betreiben, mit bevorzugtem Zugang für KMU und Start-ups |
Für Unternehmen ist damit erstmals klar, an wen sie sich wenden können — und von wem Post kommen kann, wenn etwas schiefläuft.
Wo Fachbehörden zuständig bleiben
Die Bundesnetzagentur ist Auffangbehörde, nicht Alleinherrscherin. In Sektoren mit etablierter Aufsicht bleibt diese auch für KI zuständig — die Fachaufsicht kennt ihre Branche schließlich am besten. Die wichtigsten Beispiele:
- Finanzsektor: Für Banken und Versicherungen führt die BaFin die KI-Aufsicht im Rahmen ihrer bestehenden Zuständigkeit — etwa bei KI zur Kreditwürdigkeitsprüfung.
- Regulierte Produkte: Bei KI in Medizinprodukten, Maschinen oder Fahrzeugen bleiben die jeweiligen Marktüberwachungs- und Prüfstrukturen des Produktrechts maßgeblich.
- Datenschutz: Sobald personenbezogene Daten im Spiel sind, gelten DSGVO und die Zuständigkeit der Datenschutzbehörden parallel weiter — die KI-Verordnung verdrängt den Datenschutz nicht.
Für die Praxis heißt das: Ein Unternehmen kann es je nach Anwendungsfall mit mehreren Aufsichten zu tun haben. Das Koordinierungszentrum der Bundesnetzagentur soll genau hier für einheitliche Linien sorgen, damit nicht jede Behörde die Verordnung anders auslegt.
Bußgelder und Durchsetzung: Was jetzt real droht
Der Sanktionsrahmen kommt aus der EU-Verordnung selbst: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 Prozent für sonstige Pflichtverstöße, bis zu 7,5 Millionen Euro oder 1 Prozent für Falschangaben gegenüber Behörden. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Beträge.
Mit dem KI-MIG gibt es seit Ende Juli 2026 auch die Behördenstruktur, die diese Bußgelder in Deutschland tatsächlich verhängen kann. Sanktioniert werden kann allerdings nur, was bereits anwendbar ist: Verstöße gegen die Verbote, die Transparenzpflichten oder die GPAI-Regeln — nicht aber gegen die Hochrisiko-Anforderungen, die erst ab Dezember 2027 beziehungsweise August 2028 greifen.
Realistische Einordnung statt Panikmache: Die Bundesnetzagentur baut ihre KI-Aufsicht gerade erst auf. Flächendeckende Prüfwellen sind kurzfristig nicht zu erwarten; wahrscheinlicher sind anlassbezogene Verfahren nach Beschwerden — etwa von Wettbewerbern, Kunden oder Beschäftigten. Genau deshalb lohnt es sich, die bereits geltenden Basics sauber umzusetzen, bevor jemand anderes darauf zeigt.
Das KI-Reallabor: Testen unter behördlicher Begleitung
Ein oft übersehener Teil des Durchführungsstands ist die Innovationsseite. Die KI-Verordnung verpflichtet jeden Mitgliedstaat, bis zum 2. August 2026 mindestens ein KI-Reallabor (Regulatory Sandbox) auf nationaler Ebene bereitzustellen; das KI-MIG weist diese Aufgabe der Bundesnetzagentur zu.
Die Idee: Unternehmen können neue KI-Anwendungen in einem kontrollierten Rahmen entwickeln und testen, bevor sie auf den Markt kommen — mit behördlicher Begleitung statt behördlicher Sanktion. Teilnehmer erhalten Rechtssicherheit über die Auslegung der Verordnung für ihren konkreten Fall. KMU und Start-ups haben bevorzugten Zugang und zahlen keine Teilnahmegebühren.
Für mittelständische Unternehmen, die eigene KI-Produkte planen — insbesondere in potenziellen Hochrisiko-Bereichen —, ist das Reallabor eine ernsthaft prüfenswerte Option: Es ersetzt keine Konformitätsbewertung, senkt aber das Risiko, mit einer falschen Einstufung oder Architektur in die falsche Richtung zu entwickeln.
Was deutsche Unternehmen jetzt konkret tun sollten
Aus dem Durchführungsstand ergibt sich eine klare To-do-Liste (Stand: September 2026):
- Bestandsaufnahme: Alle eingesetzten KI-Systeme in einem Inventar erfassen — einschließlich KI-Funktionen in Standardsoftware.
- Geltende Pflichten umsetzen: Verbotene Praktiken ausschließen, Mitarbeitende nachweisbar schulen (Artikel 4), Chatbots und KI-generierte Inhalte kennzeichnen (Artikel 50).
- Rollen klären: Sind wir nur Betreiber oder auch Anbieter? Wer im Haus verantwortet KI-Themen?
- Hochrisiko-Check: Systeme in Anhang-III-Bereichen identifizieren und die Zeit bis Dezember 2027 für die Vorbereitung nutzen.
- Dokumentieren: Einstufungen, Schulungen und Regeln schriftlich festhalten — im Beschwerdefall zählt, was belegbar ist.
Wer zusätzlich eigene KI-Produkte entwickelt, sollte die Angebote der Bundesnetzagentur — Beratung, Leitlinien, Reallabor — aktiv verfolgen. Die Behörde hat ein erklärtes Interesse daran, gerade kleineren Unternehmen den Einstieg zu erleichtern.
Systematik statt Einzelmaßnahmen: die Rolle von ISO 42001
Die Punkte aus der To-do-Liste — Inventar, Risikobewertung, Schulungen, Verantwortlichkeiten, Dokumentation — sind exakt die Bausteine, die ISO/IEC 42001 für ein KI-Managementsystem (AIMS) vorschreibt. Wer die Norm umsetzt, erledigt die organisatorischen Anforderungen der KI-Verordnung nicht als lose Einzelaktionen, sondern in einem System mit klaren Zuständigkeiten und Nachweisen — und kann das per Zertifikat gegenüber Kunden und Auftraggebern belegen.
Dabei gilt es, zwei Dinge sauber zu trennen: Ein ISO-42001-Zertifikat ist kein Konformitätsnachweis nach der KI-Verordnung. Die Konformitätsbewertung für Hochrisiko-Systeme ist ein eigenes Verfahren nach der Verordnung, das kein Managementsystem-Zertifikat ersetzt. Was die Norm leistet, ist die Systematik dahinter — und genau die prüft am Ende auch jede Aufsichtsbehörde: Weiß das Unternehmen, welche KI es einsetzt? Sind Risiken bewertet, Mitarbeitende geschult, Prozesse dokumentiert? Wer diese Fragen mit einem gelebten Managementsystem beantworten kann, steht in jedem Behördenkontakt deutlich besser da.
Häufige Fragen
Die Bundesnetzagentur — als zentrale Marktüberwachungsbehörde und Beschwerdestelle, soweit keine Fachbehörde zuständig ist. Das regelt das KI-Marktüberwachungsgesetz (KI-MIG), das am 29. Juli 2026 in Kraft trat. In Spezialsektoren bleiben Fachaufsichten zuständig, etwa die BaFin für Banken und Versicherungen; beim Umgang mit personenbezogenen Daten gelten zusätzlich die Datenschutzbehörden.
Nicht im Sinne eigener Pflichten für Unternehmen — die stehen in der unmittelbar geltenden EU-Verordnung 2024/1689. Das deutsche KI-MIG vom Sommer 2026 ist ein Durchführungsgesetz: Es benennt die Aufsichtsbehörden, regelt Verfahren und Beschwerdewege und verankert die Innovationsförderung, etwa das KI-Reallabor bei der Bundesnetzagentur.
Seit Ende Juli 2026. Deutschland hätte seine Behörden eigentlich bis zum 2. August 2025 benennen müssen, hat diese Frist aber verpasst. Der Bundestag beschloss das KI-MIG am 11. Juni 2026, in Kraft trat es am 29. Juli 2026 — rechtzeitig vor dem großen Geltungsbeginn der Verordnung am 2. August 2026. Der Aufbau der Aufsichtspraxis läuft seitdem.
Bei der Bundesnetzagentur: Sie ist die zentrale Anlauf- und Beschwerdestelle für mutmaßliche Verstöße und leitet Beschwerden an die jeweils zuständige Behörde weiter. Beschweren können sich nicht nur Betroffene, sondern auch Wettbewerber oder Beschäftigte. Für Unternehmen ist das ein praktischer Grund, die bereits geltenden Pflichten nicht auf die lange Bank zu schieben.
Unternehmen können dort neue KI-Anwendungen unter behördlicher Begleitung entwickeln und testen und erhalten Rechtssicherheit über die Auslegung der Verordnung für ihren Fall. KMU und Start-ups haben bevorzugten, kostenfreien Zugang. Die KI-Verordnung verpflichtet jeden Mitgliedstaat zu mindestens einem solchen Reallabor; in Deutschland setzt das KI-MIG diese Vorgabe um.
Die Pflichten selbst kommen aus der EU-Verordnung und sind europaweit einheitlich — deutsche Zusatzpflichten schafft das KI-MIG nicht. Daneben gelten aber weiterhin die allgemeinen Gesetze: DSGVO beim Umgang mit personenbezogenen Daten, Urheberrecht, Arbeitsrecht und gegebenenfalls die Mitbestimmung des Betriebsrats beim KI-Einsatz. KI-Compliance ist immer ein Zusammenspiel mehrerer Rechtsgebiete.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT