KI-MIG: Deutschlands neues KI-Aufsichtsgesetz - Was Unternehmen drei Monate nach Inkrafttreten wissen müssen

Hintergrund: Deutschland hat sein nationales KI-Aufsichtsgesetz

Am 29. Juli 2026 trat das Gesetz zur Marktueberwachung und Innovationsfoerderung von kuenstlicher Intelligenz (KI-MIG) in Kraft - Deutschlands nationales Durchführungsgesetz zur europäischen KI-Verordnung (EU) 2024/1689. Das Gesetz wurde als Artikel 1 des Gesetzes vom 22. Juli 2026 im Bundesgesetzblatt (BGBl. 2026 I Nr. 223) verkuendet und schloss damit die nationale Umsetzung rechtzeitig vor dem Anwendungsbeginn der EU-KI-Verordnung am 2. August 2026 ab.

Für deutsche Unternehmen, die KI-Systeme entwickeln, vertreiben oder einsetzen, ist das KI-MIG von zentraler Bedeutung: Es definiert, welche Behörden zuständig sind, welche Befugnisse sie haben und wie Verstöße geahndet werden. Drei Monate nach Inkrafttreten lohnt sich eine Bestandsaufnahme.

Die neue Aufsichtsarchitektur: Wer kontrolliert was?

Das KI-MIG etabliert ein hybrides Aufsichtsmodell, das die Bundesnetzagentur als zentrale Anlaufstelle positioniert, gleichzeitig aber sektorspezifische Zuständigkeiten wahrt.

Bundesnetzagentur als Zentralbehoerde

Die Bundesnetzagentur übernimmt die Rolle der zentralen Marktueberwachungsbehoerde für KI in Deutschland. Sie betreibt:

• KoKIVO: Das Koordinierungs- und Kompetenzzentrum für die Durchfuehrung der KI-Verordnung
• KI-Service-Desk: Eine Anlaufstelle für Unternehmen mit Fragen zur KI-Compliance
• KI-Marktueberwachungskammer: Zustaendig für Hochrisiko-KI-Systeme in sensiblen Bereichen wie Strafverfolgung, Grenzmanagement, Justiz und Demokratie

Sektorale Aufsicht bleibt erhalten

Das KI-MIG verfolgt einen pragmatischen Ansatz: Spezialisierte Behörden behalten ihre Zuständigkeit, wenn KI-Systeme in ihrem regulierten Bereich eingesetzt werden. Konkret bedeutet das:

• BaFin: Zustaendig für KI-Systeme im Finanzsektor (Kreditvergabe, Versicherungen, Wertpapierhandel)
• Landesbehoerden: Zustaendig für KI-Systeme öffentlicher Stellen der Länder und Mediendienstanbieter
• Weitere Fachbehörden: Je nach Einsatzbereich können weitere Behörden zuständig sein

Diese Struktur vermeidet Doppelzustaendigkeiten und nutzt vorhandenes Sektorwissen, schafft aber auch Komplexität: Unternehmen, die KI in mehreren regulierten Bereichen einsetzen, müssen möglicherweise mit mehreren Behörden interagieren.

Weitreichende Befugnisse der Aufsichtsbehörden

Das KI-MIG stattet die Aufsichtsbehörden mit erheblichen Eingriffsbefugnissen aus. Unternehmen sollten sich bewusst sein, dass die Behörden berechtigt sind:

• Technische Dokumentation anzufordern: Vollständige Unterlagen zu KI-Systemen, einschließlich Trainingsdaten, Validierungsergebnissen und Risikobewertungen
• KI-Systeme zu testen: Aktive Prüfung der Systemleistung und Compliance
• Zugang zu Trainingsdaten und Quellcode zu verlangen: Bei begrundetem Verdacht auf Verstöße
• Abhilfemassnahmen anzuordnen: Bis hin zum vollständigen Marktverbot für nicht-konforme Systeme

Die Bussgelder richten sich nach den Vorgaben der EU-KI-Verordnung: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei schwerwiegenden Verstossen.

Auswirkungen auf den Mittelstand

Innovationsfoerderung durch KI-Reallabore

Das KI-MIG enthält nicht nur Regulierung, sondern auch Foerderinstrumente. Besonders relevant für den Mittelstand: die Einrichtung von KI-Reallaboren (Regulatory Sandboxes). In diesen kontrollierten Umgebungen können Unternehmen innovative KI-Anwendungen testen, ohne sofort alle regulatorischen Anforderungen erfüllen zu müssen. Dies senkt die Einstiegshürde für KI-Experimente erheblich.

Klarheit durch definierte Zuständigkeiten

Vor dem KI-MIG herrschte Unsicherheit darüber, welche Behörde bei KI-Problemen zuständig ist. Diese Unklarheit ist nun beseitigt. Für die meisten mittelständischen Unternehmen ist die Bundesnetzagentur der erste Ansprechpartner - eine klare, zentrale Anlaufstelle, die auch einen KI-Service-Desk betreibt.

Herausforderung: Compliance-Aufwand

Die neuen Aufsichtsstrukturen erhöhen den Compliance-Aufwand. Unternehmen, die Hochrisiko-KI-Systeme einsetzen, müssen sicherstellen, dass ihre Dokumentation jederzeit pruefungsbereit ist. Dies erfordert systematische Prozesse und klare interne Verantwortlichkeiten.

Chancen und Risiken

Chancen

Das KI-MIG schafft Rechtssicherheit - einen Wert, den deutsche Unternehmen traditionell hoch schätzen. Klare Regeln und definierte Zuständigkeiten erleichtern die Planung von KI-Investitionen. Unternehmen, die frühzeitig in Compliance investieren, positionieren sich als vertrauenswürdige Partner für Kunden und Geschäftspartner, die ihrerseits auf konforme KI-Lieferketten angewiesen sind.

Die KI-Reallabore bieten zudem eine einmalige Chance: Unternehmen können innovative KI-Anwendungen in einem geschützten Rahmen erproben und dabei direkt mit Regulierungsbehörden interagieren. Dies kann die Marktreife neuer Produkte erheblich beschleunigen.

Risiken

Die hybride Aufsichtsstruktur birgt das Risiko von Zustaendigkeitskonflikten und inkonsistenter Rechtsanwendung. Unternehmen, die in mehreren regulierten Sektoren tätig sind, müssen möglicherweise unterschiedliche Anforderungen verschiedener Behörden erfullen. Zudem ist die Praxis der Behörden - wie intensiv wird tatsächlich kontrolliert, welche Dokumentation wird konkret angefordert - noch nicht vollständig absehbar.

Praktische Handlungsempfehlungen

1. Zustaendige Behörde identifizieren: Klären Sie, welche Behörde für Ihre spezifischen KI-Systeme zuständig ist. Der KI-Service-Desk der Bundesnetzagentur bietet kostenlose Erstberatung.

2. Dokumentation pruefungsbereit machen: Stellen Sie sicher, dass Sie auf Anfrage vollständige technische Dokumentation zu Ihren KI-Systemen vorlegen können. Dazu gehören Systembeschreibungen, Risikobewertungen, Testprotokolle und Monitoring-Berichte.

3. Interne Verantwortlichkeiten definieren: Benennen Sie einen KI-Compliance-Verantwortlichen, der als Ansprechpartner für Behörden fungiert und die interne Dokumentation koordiniert.

4. KI-Reallabore prüfen: Falls Sie innovative KI-Anwendungen entwickeln, informieren Sie sich über die Möglichkeit, an einem KI-Reallabor teilzunehmen. Die Bundesnetzagentur koordiniert die Zulassung.

5. Lieferkette prüfen: Wenn Sie KI-Systeme von Drittanbietern einsetzen, stellen Sie sicher, dass diese ebenfalls KI-MIG-konform sind. Als Betreiber tragen Sie Mitverantwortung für die Compliance der eingesetzten Systeme.

Das KI-MIG ist kein bürokratisches Hindernis, sondern ein Rahmen, der langfristig Vertrauen in KI-Systeme schafft. Unternehmen, die diesen Rahmen als Chance begreifen und frühzeitig in Compliance investieren, werden von einem Wettbewerbsvorteil profitieren, der mit zunehmender KI-Regulierung in Europa immer wertvoller wird.