KI-MIG: Wer beaufsichtigt künstliche Intelligenz in Deutschland?

Lange war Deutschland bei einer einfachen Frage ohne klare Antwort: Wer setzt die EU-KI-Verordnung hier eigentlich durch? Seit dem 29. Juli 2026 gibt es eine verbindliche: Das nationale Durchführungsgesetz ist in Kraft und bestimmt die Bundesnetzagentur zur zentralen KI-Aufsicht. Das Kernstück trägt das Kürzel KI-MIG.

Damit endet eine lange Hängepartie. Wir erklären, was das KI-MIG regelt, wer was beaufsichtigt, welche Fristen und Bußgelder gelten und was das für regulierte Unternehmen in Bau, Gesundheit, Recht und Finanzen heißt.

Was ist das KI-MIG?

Das KI-MIG ist das „KI-Marktüberwachungs- und Innovationsförderungsgesetz" – Artikel 1 des „Gesetzes zur Durchführung der Verordnung (EU) 2024/1689". Es setzt die EU-KI-Verordnung in deutsches Recht um und regelt vor allem, welche Behörden KI in Deutschland beaufsichtigen. Der Bundestag beschloss es am 11. Juni 2026, der Bundesrat billigte es am 10. Juli 2026; ausgefertigt am 22. Juli 2026, verkündet am 28. Juli 2026 im Bundesgesetzblatt (BGBl. 2026 I Nr. 223), in Kraft ist es seit dem 29. Juli 2026 (Gesetzestext).

Wichtig zur Einordnung: Das KI-MIG ist kein eigenständiges Gesetz, sondern der zentrale Artikel eines Mantelgesetzes. Die EU-KI-Verordnung gilt als Verordnung unmittelbar; die Mitgliedstaaten müssen aber die nationale Durchsetzung organisieren – Behörden benennen, Verfahren regeln, Sanktionen ausgestalten. Genau das leistet das KI-MIG. Es schafft also nicht die materiellen Pflichten neu, sondern die Infrastruktur, mit der diese Pflichten in Deutschland durchgesetzt werden.

Das unterscheidet diesen Beitrag bewusst von unserer Betreiber-Checkliste zu den Transparenzpflichten nach Artikel 50: Dort geht es um die EU-Ebene – welche Pflichten ab dem 2. August 2026 gelten. Hier geht es um die nationale Ebene – wer sie beaufsichtigt und durchsetzt.

Wer beaufsichtigt künstliche Intelligenz in Deutschland?

Zentrale Stelle wird die Bundesnetzagentur – als Marktüberwachungs- und notifizierende Behörde und als Koordinierungs- und Kompetenzzentrum (KoKIVO). „Zentral" heißt aber nicht „ausschließlich": Die eigentliche Marktüberwachung bleibt teils bei sektoralen Fachbehörden, soweit Aufgaben nicht anderen Fachbehörden zugewiesen sind. Für bestimmte grundrechtssensible Hochrisiko-Systeme entsteht zusätzlich eine unabhängige KI-Marktüberwachungskammer.

Das Bundestags-Textarchiv formuliert es nüchtern: Die Bundesnetzagentur werde „als Marktüberwachungsbehörde für die Einhaltung der KI-Verordnung benannt, soweit diese Aufgabe nicht anderen Fachbehörden zugewiesen" sei. Die zugespitzte Lesart „zentrale Marktüberwachungsbehörde", die durch viele Schlagzeilen ging – etwa bei heise online –, trifft die Stoßrichtung, verdeckt aber das hybride Modell: Produkt- und sektorspezifische Aufsicht bleibt dort, wo bereits Fachkompetenz sitzt.

Bild vergrößern

Das Koordinierungs- und Kompetenzzentrum (KoKIVO)

Innerhalb der BNetzA richtet das KI-MIG das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) ein. Es bündelt behördenübergreifend Expertise und koordiniert die Zusammenarbeit der zuständigen nationalen Marktüberwachungs- und notifizierenden Behörden – damit horizontale Rechtsfragen einheitlich beantwortet werden und nicht jede Fachbehörde eine eigene Linie fährt.

Die unabhängige KI-Marktüberwachungskammer

Für bestimmte – besonders grundrechtssensible – Hochrisiko-KI-Systeme sieht das KI-MIG bei der BNetzA eine unabhängige, weisungsfreie KI-Marktüberwachungskammer vor. Sie hat drei Mitglieder unter Vorsitz des BNetzA-Präsidenten und überwacht unter anderem Biometrie in der Strafverfolgung, Grenz- und Migrationskontrolle sowie Justiz und Demokratie. Es geht ausdrücklich nur um bestimmte Hochrisiko-Systeme; die Masse bleibt bei den Fachbehörden. Die naheliegende Begründung – die Grundrechtssensibilität dieser Anwendungen – folgt der Logik der EU-Verordnung; als wörtliche Aussage des Bundestags ist sie nicht belegt.

KI-Service-Desk für Unternehmen

Daneben betreibt die Bundesnetzagentur einen KI-Service-Desk als Anlaufstelle für Unternehmen – gedacht vor allem für kleine und mittlere Unternehmen und Start-ups, die Fragen zur Einstufung, Dokumentation und Konformität ihrer KI-Systeme haben. Der Service-Desk ist eine Funktion der BNetzA insgesamt, nicht des KoKIVO.

Ab wann gilt was? Fristen und Übergangszeiten

Das KI-MIG ist seit dem 29. Juli 2026 in Kraft; die Governance-Schicht der KI-Verordnung – Behördenbenennung, Transparenzpflichten nach Art. 50, Sanktionen – gilt seit dem 2. August 2026. Die zuständigen Behörden stehen damit fest. Die materiellen Hochrisiko-Pflichten, die sie künftig überwachen, gelten dagegen erst ab dem 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I) – so hat es der weiter unten erläuterte Digital Omnibus festgelegt. Die EU-Frist zur Behördenbenennung – der 2. August 2025 nach Art. 70 der KI-Verordnung – war da längst verstrichen. Deutschland war also rund ein Jahr spät dran; der Regierungsentwurf wurde erst am 11. Februar 2026 im Kabinett beschlossen.

Konkret verlangt Art. 70 Abs. 2 der KI-Verordnung, dass die Mitgliedstaaten bis zum 2. August 2025 öffentlich machen, wie ihre zuständigen Behörden und zentralen Anlaufstellen elektronisch erreichbar sind. Diese Benennung – das, was das KI-MIG nun liefert – ist Teil der Governance-Schicht der Verordnung.

Der Digital Omnibus verschiebt die Hochrisiko-Pflichten – nicht den Aufsichtstermin

Eine häufige Verwechslung lohnt die Klarstellung: Der EU „Digital Omnibus on AI" verschiebt – politisch geeinigt am 7. Mai 2026, in Kraft als Verordnung (EU) 2026/1744 seit dem 27. Juli 2026 (Verordnung vom 8. Juli 2026, veröffentlicht am 24. Juli 2026) – die materiellen Hochrisiko-Pflichten – für eigenständige Systeme (Anhang III) auf den 2. Dezember 2027 und für in regulierte Produkte eingebettete Systeme (Anhang I) auf den 2. August 2028. Der Governance-Termin 2. August 2026 – Behördenbenennung, Transparenzpflichten nach Art. 50, Sanktionsbefugnisse bei KI mit allgemeinem Verwendungszweck – bleibt davon unberührt. Genau diese Behördenbenennung muss das KI-MIG liefern; sie wird vom Omnibus nicht entlastet.

Zum Verfahren: Das EU-Parlament hat den Text am 16. Juni 2026 angenommen (423 dafür, 57 dagegen, 174 Enthaltungen); nach der Annahme durch den Rat wurde er am 24. Juli 2026 im Amtsblatt veröffentlicht. Der Omnibus verschiebt vor allem Fristen und streicht keine Pflichten ersatzlos; er ergänzt zudem neue Verbote (KI-generierte intime Darstellungen ohne Einwilligung, Missbrauchsdarstellungen) und fasst Detailregeln neu, etwa zur KI-Kompetenz nach Art. 4.

Welche Bußgelder drohen – und wer setzt sie?

Das KI-MIG selbst legt national nur eine Buße fest: bis zu 50.000 Euro für bestimmte im KI-MIG geregelte Pflichtverstöße (§ 15) – darunter Mitwirkungs- und Auskunftspflichten sowie die Betreiberpflicht, betroffenen Personen die Erläuterung nach Art. 86 KI-VO zu ermöglichen. Die bekannten Höchstgrenzen – bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes, 15 Mio. / 3 %, 7,5 Mio. / 1 % – stammen direkt aus der EU-KI-Verordnung (Art. 99), nicht aus dem deutschen Gesetz. Die Verwechslung ist verbreitet, aber teuer in der Argumentation: „Deutschland verhängt Bußgelder bis 35 Mio. Euro" wäre schlicht falsch.

Nur die erste Zeile setzt das deutsche KI-MIG selbst; die Zeilen zwei bis vier setzt unmittelbar die EU-KI-Verordnung (Art. 99). Für die Praxis heißt das: Die national gestaltbare Stellschraube ist klein, das eigentliche Risiko liegt in der unmittelbar geltenden EU-Verordnung.

Ist das KI-MIG schon in Kraft?

Ja – seit dem 29. Juli 2026. Der Bundestag hat das Gesetz am 11. Juni 2026 beschlossen – in der vom Ausschuss für Digitales geänderten Fassung, mit den Stimmen von CDU/CSU und SPD, gegen die Stimmen von AfD, Bündnis 90/Die Grünen und Die Linke. Der Bundesrat hat am 10. Juli 2026 zugestimmt. Das Gesetz wurde am 28. Juli 2026 im Bundesgesetzblatt verkündet (BGBl. 2026 I Nr. 223) und ist laut Art. 5 am Tag nach der Verkündung, also am 29. Juli 2026, in Kraft getreten; die Bundesnetzagentur hat ihre Rolle als Marktüberwachungsbehörde, Anlauf- und Beschwerdestelle damit übernommen.

Deutschland hat also ein KI-Aufsichtsgesetz – knapp ein Jahr nach der EU-Frist, aber rechtzeitig vor dem Anwendungsbeginn der Transparenzpflichten am 2. August 2026. Wir halten das dateModified dieses Beitrags ehrlich und empfehlen, vor verbindlichen Entscheidungen den tagesaktuellen Stand zu prüfen.

Was bedeutet das KI-MIG für regulierte Unternehmen?

Für datensensible Branchen – Bau, Gesundheit, Recht, Finanzen – heißt das KI-MIG vor allem zweierlei: Es gibt klar adressierbare Aufsichts- und Anlaufstellen (Bundesnetzagentur, KoKIVO, KI-Service-Desk), und Hochrisiko-Pflichten verlangen Dokumentation, Nachvollziehbarkeit und Auditierbarkeit. Wer KI lokal und nachvollziehbar betreibt, kann genau diese Nachweise leichter erbringen.

Das ist kein Zufall, sondern Architektur. Eine grounded KI-Plattform auf eigener Hardware protokolliert, welche Daten in eine Antwort eingeflossen sind, hält Zugriffe berechtigungsbewusst und macht jede Nutzung im Audit-Trail nachvollziehbar – die technische Belegbasis, die eine Marktüberwachungsbehörde im Zweifel sehen will. Wer Datenflüsse zudem im Haus hält (siehe Sicherheit & Datenhoheit), reduziert die Angriffsfläche und die Zahl der Stellen, an denen Dokumentation überhaupt erst entstehen muss. Das gilt branchenübergreifend – vom Bauwesen bis zur Klinik, wo dieselbe Logik greift: sensible Daten, die das Haus nicht verlassen dürfen.

Zur Klarheit: Lokalaise ist Enabler, keine Rechts- oder Compliance-Beratung. Ob und wie Ihre KI-Systeme als Hochrisiko einzustufen sind und welche Pflichten daraus folgen, klären Sie mit Ihrer Rechtsabteilung und gegebenenfalls der zuständigen Aufsicht.

Ihre nächsten Schritte

Drei Fragen helfen, die eigene Position zum KI-MIG einzuordnen:

1. Einstufung: Wissen Sie, welche Ihrer KI-Systeme nach der EU-Verordnung als Hochrisiko (Anhang III) gelten könnten – und damit künftig der Marktüberwachung unterliegen?
2. Nachweis: Können Sie heute belegen, welche Daten in eine KI-Antwort eingeflossen sind, wer Zugriff hatte und wie das System konfiguriert ist?
3. Datenhoheit: Verlassen sensible Daten für die KI-Nutzung Ihr Haus – und wenn ja, ist das mit Ihren Dokumentations- und Vertraulichkeitspflichten vereinbar?

Wo Sie zögern, lohnt der genauere Blick. In einer kurzen Demo zeigen wir Ihnen, wie eine lokale, berechtigungsbewusste KI nachvollziehbare Antworten liefert – und die Nachweise, die eine künftige Aufsicht sehen will, von vornherein mitschreibt.