KI-MIG: Die Bundesnetzagentur als KI-Aufsicht, was Unternehmen jetzt wissen müssen

Kurz beantwortet: Seit dem 29. Juli 2026 regelt das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG), wer in Deutschland den EU AI Act überwacht. Grundsätzlich zuständig ist die Bundesnetzagentur; für KI in regulierten Produkten bleiben die bisherigen Produkt-Marktüberwachungsbehörden zuständig, für KI in regulierter Finanztätigkeit die BaFin. Die Bundesnetzagentur ist zudem zentrale Anlauf- und Beschwerdestelle, errichtet und betreibt mindestens ein KI-Reallabor und führt ein Register für bestimmte Hochrisiko-KI-Systeme. Neben den Geldbußen nach Art. 99 KI-VO sieht das KI-MIG eigene Bußgelder bis 50.000 Euro vor.

Der EU AI Act ist eine europäische Verordnung, doch durchgesetzt wird er überwiegend von nationalen Behörden. Welche Behörde Ihnen gegenübersteht, wo Betroffene sich beschweren und welche nationalen Bußgelder hinzukommen, bestimmt in Deutschland das KI-MIG. Für Anbieter und Betreiber von KI-Systemen lohnt es sich, diese Struktur zu kennen, bevor die erste Anfrage einer Behörde eingeht.

Was ist das KI-MIG?

Das Gesetz zur Durchführung der Verordnung über künstliche Intelligenz vom 22. Juli 2026 wurde im BGBl. 2026 I Nr. 223 am 28. Juli 2026 verkündet und ist nach seinem Art. 5 am Tag nach der Verkündung, also am 29. Juli 2026, in Kraft getreten. Sein Art. 1 enthält das KI-MIG. Es regelt ergänzend zur KI-Verordnung die zuständigen Behörden, Maßnahmen zur Innovationsförderung sowie Bußgelder (§ 1 KI-MIG). Die Pflichten selbst, etwa zu verbotenen Praktiken, Transparenz oder Hochrisiko-Systemen, ergeben sich weiterhin aus der KI-Verordnung und ihren Fristen (siehe Der Zeitplan des EU AI Act).

Wer ist zuständig?

§ 2 KI-MIG verteilt die Marktüberwachung nach dem Grundsatz „Bundesnetzagentur, soweit nichts anderes bestimmt ist“:

Die KI-Marktüberwachungskammer besteht aus dem Präsidenten oder der Präsidentin der Bundesnetzagentur als Vorsitz und den Vizepräsidenten oder Vizepräsidentinnen, handelt völlig unabhängig und legt dem Bundestag jährlich einen Tätigkeitsbericht vor (§ 4 KI-MIG). Für Software- und SaaS-Unternehmen außerhalb der Finanzbranche und regulierter Produkte dürfte damit regelmäßig die Bundesnetzagentur zuständig sein.

Welche weiteren Aufgaben hat die Bundesnetzagentur?

• Koordinierungs- und Kompetenzzentrum (§ 5 KI-MIG): Das Zentrum bei der Bundesnetzagentur unterstützt die zuständigen Behörden bei komplexen Entscheidungen, koordiniert ihre Zusammenarbeit, erleichtert Verhaltenskodizes und stellt Schulungsangebote, allgemeine Informationen und Prüfempfehlungen bereit.
• Zentrale Anlaufstelle (§ 6 KI-MIG): Die Bundesnetzagentur veröffentlicht die Kontaktadressen der zuständigen Behörden und nimmt Eingaben der Öffentlichkeit und des Büros für Künstliche Intelligenz entgegen.
• Zentrale Beschwerdestelle (§ 8 KI-MIG): Beschwerden wegen eines Verstoßes gegen die KI-Verordnung können bei der Bundesnetzagentur eingereicht werden. Sie leitet Beschwerden an die zuständige Behörde weiter und informiert den Beschwerdeführer darüber.
• Register (§ 20 KI-MIG): Die Bundesnetzagentur führt ein nicht-öffentliches Register für Hochrisiko-KI-Systeme nach Anhang III Nr. 2 KI-VO (kritische Infrastruktur). Anbieter müssen sich und das System dort vor dem Inverkehrbringen oder der Inbetriebnahme registrieren.

Wie fördert das KI-MIG Innovation?

Nach § 12 KI-MIG stellt die Bundesnetzagentur allgemeine Informationen und Anleitungen zur Anwendung der KI-Verordnung bereit, insbesondere für kleine und mittlere Unternehmen und Start-ups, und führt Sensibilisierungs- und Schulungsmaßnahmen durch. Nach § 13 KI-MIG errichtet und betreibt sie mindestens ein KI-Reallabor; die zuständige Datenschutzaufsichtsbehörde übernimmt dabei die Bewertung der datenschutzrechtlichen Vorgaben des Art. 59 KI-VO. Forschungseinrichtungen, Hochschulen und deren Ausgründungen erhalten unter den Voraussetzungen des § 13 Abs. 3 KI-MIG vorrangigen Zugang. Was ein Reallabor leisten kann, erläutert der Beitrag KI-Reallabore: die regulatorische Sandbox nutzen.

Wer ein Hochrisiko-System nach Anhang I Abschnitt A oder Anhang III außerhalb eines Reallabors unter Realbedingungen testen will, legt den Testplan vorher der zuständigen Marktüberwachungsbehörde vor. Erhält der Anbieter binnen 30 Tagen keine Antwort, gilt die Genehmigung als erteilt (§ 14 Abs. 2 KI-MIG).

Welche Bußgelder sieht das KI-MIG vor?

Die Geldbußen nach Art. 99 KI-VO bis 35 Mio. Euro oder 7 % des Umsatzes bleiben die zentrale Sanktion. Ergänzend regelt § 15 KI-MIG Ordnungswidrigkeiten, die mit einer Geldbuße bis zu 50.000 Euro geahndet werden können. Erfasst sind insbesondere:

• Anbieter von Hochrisiko-KI, die einer zuständigen Behörde Informationen oder Dokumentation nicht, nicht richtig oder nicht rechtzeitig übermitteln oder keinen Zugang zu den Protokollen gewähren (Art. 21 Abs. 1, 2 KI-VO),
• Betreiber, die eine Grundrechte-Folgenabschätzung nicht oder nicht richtig durchführen, nicht aktualisieren oder ihre Ergebnisse nicht mitteilen (Art. 27 Abs. 1 bis 3 KI-VO),
• notifizierte Stellen, die ihre Informationspflichten nach Art. 45 KI-VO verletzen,
• Betreiber von Hochrisiko-KI nach Anhang III Nr. 1, 3, 4 oder 5, die nicht dafür sorgen, dass betroffene Personen die Erläuterung nach Art. 86 Abs. 1 KI-VO erhalten.

Bußgeldbehörden sind die jeweils zuständigen Marktüberwachungsbehörden, die notifizierenden Behörden und die für Konformitätsbewertungsstellen zuständigen Stellen (§ 17 Abs. 1 KI-MIG). Gegen Behörden und sonstige öffentliche Stellen werden weder nach § 15 KI-MIG noch nach Art. 99 Abs. 3 bis 5 KI-VO Geldbußen verhängt (§ 17 Abs. 2 KI-MIG). Einen Bußgeldtatbestand zur KI-Kompetenz nach Art. 4 KI-VO enthält § 15 KI-MIG nicht.

Was ändert sich beim Hinweisgeberschutz?

Art. 2 des Durchführungsgesetzes hat das Hinweisgeberschutzgesetz ergänzt: Verstöße gegen Vorschriften der KI-Verordnung fallen nach § 2 Abs. 1 Nr. 10 HinSchG in dessen sachlichen Anwendungsbereich. Personen, die solche Verstöße melden, können damit unter den Voraussetzungen des Hinweisgeberschutzgesetzes geschützt sein. Ihre interne Meldestelle und Ihre KI-Richtlinie sollten KI-Themen deshalb ausdrücklich abdecken.

Was bedeutet das für Anbieter und Betreiber in der Praxis?

• Ansprechpartner klären: Prüfen Sie, ob für Ihr KI-System die Bundesnetzagentur, eine Produktbehörde oder die BaFin zuständig ist. Das bestimmt, wer Auskünfte verlangt und Bußgelder verhängt.
• Beschwerden einplanen: Betroffene können sich zentral bei der Bundesnetzagentur beschweren. Ein interner Prozess, der Beschwerden und Behördenanfragen schnell beantwortet, reduziert Reibung.
• Grundrechte-Folgenabschätzung ernst nehmen: Betreiber, die zur Abschätzung nach Art. 27 KI-VO verpflichtet sind, riskieren bei Versäumnissen ein nationales Bußgeld. Wie sie sich mit der Datenschutz-Folgenabschätzung verzahnen lässt, zeigt AI Act und DSGVO.
• Erläuterungen vorbereiten: Wer Hochrisiko-KI etwa im Personalbereich oder bei der Kreditwürdigkeitsprüfung einsetzt, sollte festlegen, wie betroffene Personen eine klare Erläuterung zur Rolle des KI-Systems nach Art. 86 Abs. 1 KI-VO erhalten.
• Anfragen beantworten können: Anbieter von Hochrisiko-KI sollten Dokumentation und Protokolle so vorhalten, dass sie auf eine begründete Anfrage der Behörde rechtzeitig reagieren können.

Den Gesamtrahmen aus Rollen, Pflichten und Fristen, in den sich die deutsche Aufsicht einfügt, ordnet der Leitfaden zum EU AI Act ein.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Hersteller von Geräten für die Physiotherapie mit rund 130 Mitarbeitenden setzt KI an zwei Stellen ein. Die Therapiesteuerung eines Geräts arbeitet mit einem KI-Modell und ist als Medizinprodukt zertifiziert, im Kundenservice beantwortet ein KI-Chatbot Fragen von Praxen. Die Geschäftsführung will wissen, welche Behörde ihr nach dem seit 29. Juli 2026 geltenden KI-MIG gegenübersteht. Grundsätzlich ist die Bundesnetzagentur zuständig, für KI im Zusammenhang mit Produkten nach Anhang I Abschnitt A der KI-Verordnung bleiben die bisherigen Marktüberwachungsbehörden zuständig.

Danach trennen sich die Wege. Für die Therapiesteuerung bleibt die Behörde Ansprechpartner, die schon die Medizinprodukte überwacht, und die KI-Unterlagen werden mit der Produktdokumentation geführt. Für den Chatbot ist die Bundesnetzagentur zuständig. Beschwerden können in beiden Fällen zentral bei der Bundesnetzagentur eingehen, die sie bei Bedarf an die zuständige Behörde weiterleitet. Weil Verstöße gegen die KI-Verordnung unter das Hinweisgeberschutzgesetz fallen, wird die interne Meldestelle um KI-Themen ergänzt. Am Ende stehen eine Übersicht je System mit Behörde und Unterlagen und ein Ablauf für Behördenanfragen. Diese Anfragen begleitet die Externe Rechtsabteilung laufend.

Häufige Fragen

Wer überwacht den EU AI Act in Deutschland?

Grundsätzlich die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG). Für KI in Produkten nach Anhang I Abschnitt A KI-VO bleiben die bisherigen Produkt-Marktüberwachungsbehörden zuständig, für KI in regulierter Finanztätigkeit BaFin-beaufsichtigter Unternehmen die BaFin und für öffentliche Stellen der Länder sowie Mediendienste die Landesbehörden.

Seit wann gilt das KI-MIG?

Seit dem 29. Juli 2026. Das Gesetz zur Durchführung der Verordnung über künstliche Intelligenz vom 22. Juli 2026 wurde am 28. Juli 2026 im BGBl. 2026 I Nr. 223 verkündet und trat am Tag danach in Kraft.

Wo können sich Betroffene über ein KI-System beschweren?

Bei der Bundesnetzagentur als zentraler Beschwerdestelle (§ 8 KI-MIG). Sie leitet die Beschwerde an die zuständige Behörde weiter, wenn eine andere Marktüberwachungsbehörde zuständig ist, und informiert den Beschwerdeführer darüber.

Wie hoch sind die nationalen Bußgelder nach dem KI-MIG?

Bis zu 50.000 Euro nach § 15 Abs. 3 KI-MIG, etwa für Verstöße bei der Grundrechte-Folgenabschätzung, bei Informations- und Zugangspflichten gegenüber Behörden oder beim Recht auf Erläuterung nach Art. 86 KI-VO. Die Geldbußen nach Art. 99 KI-VO gelten daneben.

Gibt es ein KI-Reallabor in Deutschland?

Das KI-MIG verpflichtet die Bundesnetzagentur, mindestens ein KI-Reallabor nach Art. 57 und 58 KI-VO zu errichten und zu betreiben (§ 13 Abs. 1 KI-MIG). Einzelheiten kann das Bundesministerium für Digitales und Staatsmodernisierung durch Rechtsverordnung regeln.

Wenn eine Behörde zu Ihren KI-Systemen anfragt, braucht die Geschäftsführung schnell einen Überblick, den es oft nicht gibt. Eine externe Rechtsabteilung kennt Ihren KI-Einsatz und begleitet Anfragen von Aufsicht und Kunden laufend. Externe Rechtsabteilung: laufende KI-Compliance

Sie wollen wissen, welche Behörde für Ihre KI-Systeme zuständig ist und wie Sie auf Anfragen und Beschwerden vorbereitet sind? In einem 60-minütigen Strategiegespräch ordnen wir Ihre Lage ein.