„Wer klopft eigentlich an, wenn wir KI einsetzen?” Diese Frage kam in Gesprächen zwei Jahre lang ohne belastbare Antwort. Die KI-Verordnung gilt als EU-Verordnung unmittelbar, sie sagt aber nicht, welche Behörde in Deutschland zuständig ist. Seit dem 29. Juli 2026 steht es fest.

Die kurze Antwort

Zuständig ist die Bundesnetzagentur. Das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI-MIG, vom 22. Juli 2026 und in Kraft seit dem 29. Juli 2026, macht sie zur zuständigen Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt, und daneben zur zentralen Anlaufstelle und zur zentralen Beschwerdestelle.

Für einen eng umrissenen Ausschnitt entscheidet nicht das Haus insgesamt, sondern eine unabhängige KI-Marktüberwachungskammer mit drei Mitgliedern. Sie ist zuständig für Hochrisiko-Systeme in der Strafverfolgung, bei Migration und Grenzkontrolle sowie in Rechtspflege und demokratischen Prozessen, dazu für biometrische Systeme, soweit sie in genau diesen Feldern eingesetzt werden. Für alles Übrige gilt sie nicht. Die Kammer handelt weisungsfrei und legt dem Bundestag jährlich einen Tätigkeitsbericht vor, erstmals für das Jahr 2026.

Daneben bleiben sektorale Zuständigkeiten bestehen. Die BaFin übernimmt KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen und von den im Gesetz aufgezählten beaufsichtigten Unternehmen eingesetzt werden. Wer für ein Produkt schon bisher eine Marktüberwachungsbehörde hatte, bekommt für die darin steckende KI dieselbe; je nach Produkt und Sektor können deshalb weitere Bundes- oder Landesbehörden beteiligt sein. Für die Cybersicherheit nimmt das BSI übergangsweise Aufgaben wahr, bis die Behörde nach dem Cyber Resilience Act benannt ist. Und die Datenschutzaufsicht bleibt ohnehin zuständig, sobald personenbezogene Daten im Spiel sind. Ein einzelnes System kann also mehrere Aufsichtsstränge zugleich berühren.

Bemerkenswert am Rande: Damit liegt die zentrale Zuständigkeit für Data Act und KI-Verordnung in Deutschland beim selben Haus. Für Governance-Fragen aus einer Hand ist das ein Vorteil, den man beim Aufbau interner Zuständigkeiten mitdenken kann.

Was die Behörde darf

Die KI-Verordnung wird gestuft anwendbar: die Verbote seit Februar 2025, die Sanktionsvorschriften seit August 2025, der allgemeine Anwendungsbeginn am 2. August 2026, die restlichen Vorschriften ab August 2027. Für Deutschland war praktisch aber etwas anderes entscheidend: Bis Ende Juli fehlte die gesetzlich festgelegte Zuständigkeit für die Marktüberwachung nach der KI-Verordnung. Seit dem KI-MIG können die zuständigen Behörden Marktüberwachungsmaßnahmen einleiten, soweit die jeweilige Vorschrift bereits anwendbar ist. Dazu gehört das Anfordern von Unterlagen, das Betreten von Betriebsräumen zu üblichen Geschäftszeiten und das Prüfen von Systemen.

Zwei dieser Befugnisse dürfen aus der Ferne über Programmierschnittstellen ausgeübt werden: die unangekündigte Prüfung und der Erwerb von Proben zur Analyse, letzterer ausdrücklich auch unter falscher Identität. Das kam in der Berichterstattung kaum vor und bedeutet praktisch, dass Teile einer Prüfung ohne Vor-Ort-Termin stattfinden können.

Zum Bußgeldregime gehören zwei Ebenen. Die Rahmen der KI-Verordnung gelten unmittelbar, gestaffelt bis 35 Millionen Euro oder sieben Prozent bei verbotenen Praktiken und bis 15 Millionen Euro oder drei Prozent bei den meisten übrigen Pflichten; für kleine und mittlere Unternehmen jeweils der niedrigere Wert. Daneben schafft das Gesetz eigene nationale Ordnungswidrigkeitentatbestände mit einem Rahmen bis 50.000 Euro. Sie erfassen Auskunfts-, Zugangs- und Dokumentationspflichten, dazu Fehler bei der Grundrechte-Folgenabschätzung und die unterlassene Erläuterung einer Entscheidung gegenüber Betroffenen. Gegen Behörden und öffentliche Stellen werden keine Geldbußen verhängt.

Was Sie dort nicht bekommen

Hier liegt der Punkt, an dem sich viele täuschen. Die Bundesnetzagentur stellt allgemeine Informationen und Anleitungen bereit, ausdrücklich auch für kleine und mittlere Unternehmen und Start-ups. Das ist die gesetzliche Grundlage dessen, was politisch als Service Desk angekündigt wurde.

Die Einzelfallberatung zu der Frage, ob ein bestimmtes System ein KI-System oder ein Hochrisiko-System ist, steht nur öffentlichen Stellen offen, und auch das erst nach einer Verwaltungsvereinbarung mit dem zuständigen Ministerium, in der die Übernahme der Kosten und Stellen geregelt ist. Einen Anspruch auf eine verbindliche Einstufung des eigenen Systems gibt das Gesetz Unternehmen damit nicht. Wer etwas anderes verspricht, hat § 12 Satz 2 Nummer 2 nicht gelesen.

Praktisch heißt das: Ob Sie Anbieter, Betreiber, Einführer oder Händler sind und wie Ihre Systeme danach einzuordnen sind, müssen Sie selbst bestimmen, mit Ihrem Risiko. Sie können die Einordnung sauber begründen und dokumentieren, sich diese aber nicht über die Beratung nach § 12 KI-MIG verbindlich bestätigen lassen.

Zwei Regelungen, die die betriebliche Realität stärker verändern als der Bußgeldrahmen

Die erste steht in Artikel 2 des Gesetzes und wurde fast nirgends berichtet: Verstöße gegen die KI-Verordnung fallen jetzt unter das Hinweisgeberschutzgesetz. Meldungen aus dem beruflichen Umfeld über mögliche Verstöße können damit unter den Schutz des Gesetzes fallen, wenn der Meldeweg zulässig ist und der Meldende hinreichenden Grund zu der Annahme hat, dass die Information zutrifft.

Das verschiebt die Ausgangslage spürbar. Bisher lautete die stille Kalkulation vieler Häuser: Es wird schon niemand prüfen. Jetzt lautet die Frage: Weiß jemand im Haus etwas, das die Geschäftsführung nicht weiß, und kann er seit dem 29. Juli 2026 die Meldewege des Hinweisgeberschutzgesetzes nutzen, um es zu melden? Wer die eigene Systemlandschaft nicht kennt, kann diese Frage nicht beantworten.

Die zweite: Die Bundesnetzagentur muss ein Beschwerdemanagementsystem betreiben, das leicht zugänglich, barrierefrei und benutzerfreundlich ist. Beschwerden gehen dort ein und werden weitergeleitet, der Beschwerdeführer wird informiert. Ein solcher Weg senkt die Hürde für Beschwerden erheblich. Das ist keine Drohung, sondern eine Planungsgröße.

Was daneben angeboten wird

Das Gesetz enthält auch eine Förderseite, die in der Diskussion untergeht. Die Bundesnetzagentur muss mindestens ein KI-Reallabor errichten und betreiben, in dem sich Anwendungen unter behördlicher Begleitung erproben lassen; Forschungseinrichtungen, Hochschulen und deren Ausgründungen haben vorrangigen Zugang. Sofort verfügbar ist das nicht: Einsatzbereit sein muss mindestens ein nationales Reallabor bis zum 2. August 2027.

Davon zu unterscheiden sind Tests von Hochrisiko-Systemen unter Realbedingungen außerhalb eines Reallabors. Dafür reichen Anbieter vor dem Inverkehrbringen einen Testplan bei der zuständigen Marktüberwachungsbehörde ein. Erfüllt er die Voraussetzungen der KI-Verordnung und antwortet die Behörde nicht binnen dreißig Tagen nach Eingang, gilt die Genehmigung als erteilt.

Ein mittelständisches Unternehmen mit einer innovativen, regulatorisch heiklen Anwendung bekommt damit einen gesetzlich geregelten Weg, sie vor dem Inverkehrbringen unter Realbedingungen zu testen. Eine behördliche Bestätigung, dass das System konform ist, liegt darin nicht.

Was jetzt praktisch zu tun ist

Die neue Behördenstruktur allein verlangt noch kein umfassendes Compliance-Projekt. Sie erhöht aber den Druck, kurzfristig auskunftsfähig zu sein. Wenn eine Anfrage kommt, entscheidet sich die Lage in den ersten Tagen daran, ob jemand im Haus sagen kann, welche Systeme laufen, wer sie verantwortet und auf welcher Grundlage sie eingestuft wurden.

Drei Dinge tragen dabei: eine aktuelle Übersicht der eingesetzten und entwickelten Systeme, klar benannte Verantwortlichkeiten mit Zugriff auf IT, Fachbereiche und Personal, und eine dokumentierte Einordnung der eigenen Rolle und der regulatorischen Betroffenheit je System. Das ist wenig Aufwand, solange es niemand unter Zeitdruck nachholen muss.

Für die Betroffenheitsklärung gibt es den AI-Act-Check, für den laufenden Aufbau der Zuständigkeiten die Begleitung beim Aufbau der KI-Governance.

Und eine Frage, die ich in jedem Erstgespräch stelle: Angenommen, morgen kommt ein Schreiben der Bundesnetzagentur mit der Bitte um eine Übersicht Ihrer KI-Systeme. Wer im Haus öffnet es, und was passiert dann?

---

Rechtsstand: 31. Juli 2026. Wo sich die Rechtslage danach ändert, wird der Beitrag nachgeführt oder die Änderung gekennzeichnet.