KI-MIG: Was die Bundesnetzagentur jetzt prüft

Seit dem 29. Juli 2026 hat die europäische KI-Verordnung in Deutschland eine zentrale Aufsicht: die Bundesnetzagentur. KI-Fragen landen dort in drei Rollen, als Marktüberwachungsbehörde, als zentrale Anlaufstelle und als Beschwerdestelle. Bestimmte KI-Systeme in besonders sensiblen Bereichen wie Personalmanagement, kritischer Infrastruktur oder Bildung überwacht sie grundsätzlich selbst. Grundlage ist das KI-MIG, das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz. Wir haben den Gesetzestext und die Seiten der Behörde gelesen und für dich sortiert: was das Gesetz regelt, wer wofür zuständig ist, was die Bundesnetzagentur seit August anbietet, welche Bußgelder tatsächlich im Gesetz stehen und was du jetzt tun solltest.

TL;DR

• Das KI-MIG gilt seit dem 29. Juli 2026. Die Bundesnetzagentur ist zuständige Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt. Die BaFin und die bestehenden Produktbehörden behalten ihre Bereiche.
• Seit August nimmt die Bundesnetzagentur Beschwerden über ein Online-Formular an. Der KI-Service Desk mit dem KI-Compliance Kompass hilft bei der ersten Einordnung, ein KI-Reallabor ist gesetzlich vorgesehen und im Aufbau.
• Für Art. 4 (KI-Kompetenz) nennen weder Art. 99 AI Act noch das KI-MIG einen eigenen Bußgeldrahmen. Sinnvoll ist jetzt: KI-Einsatz erfassen, Transparenzpflichten prüfen, Kompetenzmaßnahmen dokumentieren.

Was das KI-MIG regelt

Das KI-MIG führt die EU-Verordnung 2024/1689, den AI Act, in Deutschland durch. Die Pflichten für Anbieter und Betreiber stehen weiter in der EU-Verordnung. Das deutsche Gesetz regelt laut § 1 ergänzend drei Dinge: die zuständigen Behörden, Maßnahmen zur Innovationsförderung und Bußgelder.

Die Eckdaten:

• Der Bundestag hat das zugehörige Durchführungsgesetz am 11. Juni 2026 beschlossen.
• Ausgefertigt wurde es am 22. Juli 2026 und verkündet im Bundesgesetzblatt (BGBl. 2026 I Nr. 223). Das KI-MIG ist Artikel 1 dieses Gesetzes.
• In Kraft ist es seit dem 29. Juli 2026.

So ist das Gesetz aufgebaut:

Drei Regeln betreffen Unternehmen direkt, auch wenn sie selten in Schlagzeilen auftauchen:

• Tests unter Realbedingungen (§ 14): Vor Tests unter Realbedingungen außerhalb von KI-Reallaboren müssen Anbieter oder zukünftige Anbieter von Hochrisiko-KI-Systemen nach Anhang I Abschnitt A und Anhang III den Testplan bei der zuständigen Marktüberwachungsbehörde vorlegen. Kommt binnen 30 Tagen keine Antwort, gilt die Genehmigung als erteilt.
• Register (§ 20): Für Hochrisiko-KI-Systeme nach Anhang III Nummer 2 (kritische Infrastruktur) führt die Bundesnetzagentur ein nicht öffentliches Register. Anbieter oder deren Bevollmächtigte müssen sich und das System vor dem Inverkehrbringen oder der Inbetriebnahme dort registrieren; öffentliche Stellen der Länder sind davon ausgenommen.
• Evaluierung (§ 19): Spätestens 18 Monate nach Inkrafttreten prüft die Bundesregierung die Behördenstruktur zum ersten Mal, spätestens nach drei Jahren ihre Wirksamkeit.

Wer zuständig ist: Bundesnetzagentur, BaFin und Produktbehörden

Die Bundesnetzagentur nennt das Modell einen hybriden Ansatz: Die Aufsicht richtet sich nach Sachnähe. In vollharmonisierten Produktbereichen und etwa im Finanzsektor bleiben die bekannten Behörden zuständig. Der Grundsatz steht in § 2 Abs. 1 KI-MIG: Die Bundesnetzagentur ist die zuständige Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt.

Was "prüfen" konkret heißt, beschreibt die Behörde selbst: Marktüberwachung bedeutet Stichprobenprüfungen von KI-Produkten auf dem Markt, die Prüfung technischer Unterlagen wie Konformitätserklärungen und Maßnahmen bei festgestellten Verstößen. In ihren Zuständigkeitsbereichen überwacht die Bundesnetzagentur außerdem die Transparenzpflichten und die verbotenen KI-Praktiken. Für die Befugnisse verweist § 11 auf die EU-Marktüberwachungsverordnung (EU) 2019/1020. Bestimmte Befugnisse dürfen die Behörden auch über Programmierschnittstellen oder andere Mittel des Fernzugriffs ausüben (§ 11 Abs. 2).

Dazu kommen Querschnittsrollen. Das Koordinierungs- und Kompetenzzentrum (KoKIVO, § 5) unterstützt die anderen Behörden auf Anfrage bei komplexen Entscheidungen und soll dafür sorgen, dass horizontale Rechtsfragen einheitlich beantwortet werden. Die zentrale Anlaufstelle (§ 6) ist der Kontakt für das KI-Büro der EU und die anderen Mitgliedstaaten. Und die Datenschutzaufsicht bleibt im Spiel: § 9 Abs. 4 verpflichtet die Marktüberwachungsbehörden, die Datenschutzaufsichtsbehörden von Bund und Ländern sowie das Bundeskartellamt einzubeziehen, soweit deren Bereich berührt ist.

Was die Bundesnetzagentur seit August anbietet

Seit dem 2. August 2026 setzen das KI-Büro der EU-Kommission und die nationalen Behörden den AI Act durch. Für Unternehmen sind bei der Bundesnetzagentur drei Angebote wichtig, und sie sind unterschiedlich weit.

KI-Service Desk und KI-Compliance Kompass

Der KI-Service Desk gibt laut Bundesnetzagentur schon jetzt Organisationen, insbesondere KMU und Start-ups, niederschwellige Informationen zur Umsetzung der KI-Verordnung. Dazu gehören:

• ein Online-Tool zur ersten Einschätzung der Risikoklasse, der KI-Compliance Kompass,
• aktuelle Informationen zu europäischen Leitlinien und Praxisleitfäden,
• Hinweise zum Aufbau von KI-Kompetenz,
• ein Kontaktformular für Fragen, die die FAQ nicht beantworten.

Zwei Einschränkungen solltest du kennen. Die Bundesnetzagentur weist selbst darauf hin, dass ihre Informationen der Orientierung dienen und unverbindlich sind. Verbindlich auslegen können die KI-Verordnung nur die nationalen Gerichte und der Gerichtshof der EU. Und eine Beratung zur Einstufung eines konkreten Systems im Einzelfall sieht § 12 KI-MIG nur für öffentliche Stellen vor. Unternehmen bekommen allgemeine Informationen und Anleitungen, die sich laut § 12 Nr. 1 insbesondere an kleine und mittlere Unternehmen und Start-ups richten.

Zentrale Beschwerdestelle

Wer einen Verstoß gegen die KI-Verordnung vermutet, kann sich nach Art. 85 AI Act bei der Marktüberwachung beschweren. In Deutschland ist die Bundesnetzagentur dafür die zentrale Beschwerdestelle (§ 8 KI-MIG). Die wichtigsten Punkte von ihrer Seite:

• Beschwerden gehen nur über das Online-Formular, das seit dem 2. August bereitsteht, nicht per E-Mail.
• Es gibt keine Frist- oder Formerfordernisse, die Einreichung ist kostenfrei.
• Beschweren können sich Betroffene, aber auch Anbieter, nachgelagerte Anbieter, Betreiber, Bevollmächtigte, Einführer und Händler.
• Die Bundesnetzagentur bearbeitet die Beschwerde selbst oder leitet sie an die zuständige Behörde weiter und informiert darüber.
• Für KI-Systeme auf Basis eines GPAI-Modells, wenn System- und Modellanbieter identisch sind oder zum selben Unternehmen gehören, und für KI-Systeme, die sehr große Online-Plattformen oder Suchmaschinen darstellen oder darin integriert sind, ist der AI Act Service Desk der EU-Kommission der richtige Weg. Bei Plattforminhalten ist der Digital Services Coordinator zuständig.

Für Unternehmen wichtig: Die Behörde kann laut eigener Darstellung auch von sich aus tätig werden. Eine Beschwerde ist also nicht der einzige Weg, auf dem ein KI-System auf ihren Tisch kommt.

KI-Reallabor

§ 13 KI-MIG verpflichtet die Bundesnetzagentur, mindestens ein KI-Reallabor einzurichten und zu betreiben. Ein Reallabor ist eine kontrollierte Umgebung, in der innovative KI-Systeme vor dem Inverkehrbringen oder der Inbetriebnahme entwickelt, trainiert, getestet und validiert werden, mit regulatorischer Begleitung durch die Behörde und einem Abschlussbericht. Gedacht ist es also für Unternehmen, die selbst KI-Systeme entwickeln. Die Bundesnetzagentur nennt KMU ausdrücklich als Zielgruppe. § 13 Abs. 3 gibt zusätzlich Forschungseinrichtungen, Hochschulen und deren Ausgründungen vorrangigen Zugang, wenn sie ihren Sitz oder eine Zweigniederlassung in der EU haben, die EU-Kriterien erfüllen und dadurch der Marktzugang von KI-Systemen aus anwendungsnahen Forschungs- und Entwicklungsvorhaben erleichtert oder beschleunigt wird. Die Datenschutzaufsicht bewertet im Reallabor die datenschutzrechtlichen Vorgaben (§ 13 Abs. 2).

Für die Erwartungen wichtig: Laut Bundesnetzagentur muss jeder Mitgliedstaat bis zum 2. August 2027 sicherstellen, dass mindestens ein nationales KI-Reallabor einsatzbereit ist. Die Detailregeln der EU-Kommission in Form von Durchführungsrechtsakten sollen noch folgen. Erfahrung hat die Behörde bereits gesammelt: Mit dem hessischen Digitalministerium und der Bundesdatenschutzbeauftragten hat sie ab Mai 2025 ein Reallabor simuliert, der Abschlussbericht erschien im März 2026.

Bußgelder im KI-MIG und im AI Act

Bei den Bußgeldern lohnt der genaue Blick, weil zwei Ebenen zusammenkommen: der EU-Rahmen aus Art. 99 AI Act und ein eigener deutscher Rahmen in § 15 KI-MIG.

Der EU-Rahmen nach Art. 99 AI Act

Für Verstöße nach Art. 99 Abs. 3 bis 5 gilt in Deutschland das Ordnungswidrigkeitenrecht entsprechend (§ 16 KI-MIG). Bußgeldbehörden sind unter anderem die jeweils zuständigen Marktüberwachungsbehörden (§ 17 Abs. 1). Gegen Behörden und andere öffentliche Stellen werden keine Geldbußen verhängt (§ 17 Abs. 2).

Der deutsche Zusatz in § 15 KI-MIG

§ 15 KI-MIG regelt eigene Ordnungswidrigkeiten mit Geldbußen bis zu 50.000 Euro. Erfasst sind:

• Anbieter von Hochrisiko-KI-Systemen, die der Behörde angeforderte Informationen oder Dokumentation nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermitteln oder keinen Zugang gewähren (Art. 21 Abs. 1 und 2),
• Verstöße rund um die Grundrechte-Folgenabschätzung für Hochrisiko-KI-Systeme (Art. 27 Abs. 1 bis 3),
• Informationspflichten notifizierter Stellen (Art. 45),
• Betreiber von Hochrisiko-KI-Systemen nach Anhang III Nummer 1, 3, 4 oder 5, die nicht dafür sorgen, dass eine betroffene Person die Erläuterung nach Art. 86 Abs. 1 erhält. Nummer 4 umfasst zum Beispiel KI für Personalauswahl und Leistungsbewertung.

Und Art. 4?

Für Art. 4 (KI-Kompetenz) nennen weder Art. 99 AI Act noch das KI-MIG einen eigenen Bußgeldrahmen. Die Behörden können nach Angaben der EU-Kommission aber Sanktionen und andere Maßnahmen verhängen, nach einem verhältnismäßigen Ansatz. Beaufsichtigt wird Art. 4 von den nationalen Marktüberwachungsbehörden, seit dem 2. August 2026.

Ab wann gilt was?

Die nationalen Behörden und das KI-Büro setzen den AI Act seit dem 2. August 2026 durch. Seitdem gelten auch die Transparenzpflichten aus Art. 50: Chatbots und andere interaktive KI-Systeme müssen offenlegen, dass Nutzer mit einer KI sprechen, Deepfakes müssen gekennzeichnet werden, KI-erzeugte oder veränderte Inhalte brauchen maschinenlesbare Markierungen. Nur für die Markierungspflicht nach Art. 50 Abs. 2 gilt bei Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden, eine Übergangsfrist bis zum 2. Dezember 2026. Die Hochrisiko-Regeln für Anhang III gelten nach dem Digital-Omnibus ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028.

Was Unternehmen jetzt tun sollten

Die folgenden Schritte stützen sich auf den AI Act, das KI-MIG und die Empfehlungen der Bundesnetzagentur. Sie ersetzen keine Rechtsberatung im Einzelfall, sind aber ein sinnvoller Startpunkt.

1. Erfassen, welche KI-Systeme ihr nutzt oder anbietet. Die Bundesnetzagentur beginnt ihre Hinweise zur KI-Kompetenz genau damit: Welche Personen entwickeln, betreiben oder nutzen KI-Systeme, welche Systeme sind das, zu welchem Zweck, mit welchen Risiken und Chancen? Diese Liste ist die Basis für alle weiteren Schritte.
2. Eine erste Einordnung mit dem KI-Compliance Kompass machen. Er zeigt, ob und in welchem Umfang die KI-Verordnung für euch relevant ist. Das Ergebnis ist Orientierung, keine verbindliche Auskunft. Kläre dabei auch eure Rolle als Anbieter oder Betreiber, denn der AI Act knüpft unterschiedliche Pflichten daran, etwa Art. 16 für Anbieter und Art. 26 für Betreiber.
3. Transparenzpflichten prüfen. Chatbot auf der Website, KI-generierte Bilder, Videos oder Audio in Marketing und Kommunikation: Hier gilt Art. 50 seit dem 2. August 2026, und die Bundesnetzagentur überwacht die Transparenzpflichten in ihren Bereichen. Die Details stehen in unserem Beitrag zu Art. 50.
4. KI-Kompetenz aufbauen und dokumentieren. Art. 4 verlangt Maßnahmen zum Aufbau von KI-Kompetenz, aber kein bestimmtes Niveau, keine verpflichtenden Schulungen und kein Zertifikat. Die Bundesnetzagentur empfiehlt, die Maßnahmen gut zu dokumentieren, etwa Art, inhaltlichen und zeitlichen Umfang und die teilnehmenden Personen. Was die neue Fassung von Art. 4 genau verlangt, erklärt unser Beitrag zu Art. 4 nach dem Digital-Omnibus. Wie eine KI-Richtlinie mit Regeln für Agenten aussehen kann, zeigt der Beitrag zur KI-Richtlinie.
5. Hochrisiko-Kandidaten markieren. KI, die für Stellenanzeigen, Bewerberauswahl, Entscheidungen über Beförderung oder Kündigung oder für Leistungsbewertung bestimmt ist, nennt Anhang III Nummer 4. KI zur Bewertung der Kreditwürdigkeit natürlicher Personen nennt Nummer 5 Buchstabe b. Für diese Systeme gelten die Hochrisiko-Regeln ab dem 2. Dezember 2027. Wer solche Systeme einsetzt, sollte wissen, dass § 15 KI-MIG Verstöße gegen die Erläuterungspflicht nach Art. 86 und rund um die Grundrechte-Folgenabschätzung nach Art. 27 mit bis zu 50.000 Euro belegt.
6. Datenschutz mitdenken. Geht es um personenbezogene Daten, ist laut Bundesnetzagentur in der Regel die Datenschutzaufsicht zuständig. Wie AI Act und DSGVO beim Einsatz von KI-Agenten zusammenspielen, steht in unserem Beitrag zu DSGVO und Agentic AI.
7. Ansprechpartner kennen. Für Fragen gibt es das Kontaktformular des KI-Service Desks, für Verstöße die Beschwerdestelle. Für GPAI-Modelle wie große Sprachmodelle ist das KI-Büro der EU zuständig.

Wo dein Unternehmen bei Art. 4 und den übrigen Pflichten steht, zeigt die AI-Act-Checkliste in 12 Fragen. Für die Dokumentation von Regeln und Kompetenzmaßnahmen gibt es unsere kostenlose Vorlage:

Wenn du die Einordnung lieber gemeinsam machst, sprich 30 Minuten mit uns: Termin buchen.

FAQ

Wer beaufsichtigt die KI-Verordnung in Deutschland?

In der Regel die Bundesnetzagentur: § 2 Abs. 1 KI-MIG macht sie zur zuständigen Marktüberwachungsbehörde, soweit nichts anderes bestimmt ist. Für KI in regulierten Finanztätigkeiten ist die BaFin zuständig, für KI in Produkten nach Anhang I Abschnitt A die dafür schon zuständigen Produktbehörden. Für GPAI-Modelle wie große Sprachmodelle ist das KI-Büro der EU-Kommission zuständig.

Was regelt das KI-MIG und ab wann gilt es?

Das KI-MIG führt den AI Act in Deutschland durch. Es regelt die zuständigen Behörden, Maßnahmen zur Innovationsförderung wie KI-Reallabore und Bußgelder (§ 1). Es ist seit dem 29. Juli 2026 in Kraft.

Wo kann ich einen Verstoß gegen die KI-Verordnung melden?

Bei der Bundesnetzagentur als zentraler Beschwerdestelle (§ 8 KI-MIG), ausschließlich über ihr Online-Formular. Die Beschwerde ist kostenfrei und an keine Frist gebunden. Betrifft sie ein KI-System auf Basis eines GPAI-Modells (System- und Modellanbieter identisch oder im selben Unternehmen) oder ein KI-System, das eine sehr große Online-Plattform oder Suchmaschine darstellt oder darin integriert ist, ist der AI Act Service Desk der EU-Kommission zuständig. Bei Plattforminhalten ist der Digital Services Coordinator zuständig.

Ab wann drohen Bußgelder?

Die nationalen Behörden und das KI-Büro setzen den AI Act seit dem 2. August 2026 durch. Art. 99 AI Act nennt Höchstbeträge bis 35 Mio. Euro oder 7 % für verbotene Praktiken, § 15 KI-MIG ergänzt eigene Bußgelder bis zu 50.000 Euro. Für Art. 4 nennen weder Art. 99 noch das KI-MIG einen eigenen Bußgeldrahmen, Sanktionen und andere Maßnahmen bleiben laut EU-Kommission aber möglich.

Muss ich als kleines Unternehmen aktiv werden?

Ja, wenn ihr KI beruflich nutzt oder anbietet. Art. 4 gilt laut Bundesnetzagentur für Anbieter und Betreiber unabhängig von Wirtschaftszweig oder Organisationsgröße, nicht erfasst ist die rein private, nicht berufliche Nutzung durch natürliche Personen (Art. 2 Abs. 10 AI Act). Gleichzeitig muss die Bundesnetzagentur nach § 12 KI-MIG Informationen und Anleitungen insbesondere für KMU und Start-ups bereitstellen.

Sind die Datenschutzbehörden jetzt raus?

Nein. § 9 Abs. 4 KI-MIG verpflichtet die Marktüberwachungsbehörden, die Datenschutzaufsichtsbehörden von Bund und Ländern einzubeziehen, soweit deren Bereich berührt ist. Im KI-Reallabor bewertet die Datenschutzaufsicht die datenschutzrechtlichen Vorgaben (§ 13 Abs. 2). Und bei Fragen zu personenbezogenen Daten ist laut Bundesnetzagentur in der Regel weiter die Datenschutzaufsicht zuständig.

Quellen

• Bundesministerium der Justiz, KI-MIG (Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz), Volltext: gesetze-im-internet.de/ki-mig
• Deutscher Bundestag, Textarchiv zur Abstimmung vom 11. Juni 2026: bundestag.de
• Bundesnetzagentur, Pressemitteilung vom 29. Juli 2026: bundesnetzagentur.de
• Bundesnetzagentur, Übersicht KI-Verordnung und KI-Compliance Kompass: bundesnetzagentur.de/ki
• Bundesnetzagentur, Beschwerdestelle: bundesnetzagentur.de
• Bundesnetzagentur, KI-Reallabore: bundesnetzagentur.de
• Bundesnetzagentur, Marktüberwachung: bundesnetzagentur.de
• Bundesnetzagentur, Koordinierungs- und Kompetenzzentrum (KoKIVO): bundesnetzagentur.de
• Bundesnetzagentur, KI-Kompetenz: bundesnetzagentur.de
• Europäische Kommission, Durchsetzung ab 2. August 2026 (31. Juli 2026): digital-strategy.ec.europa.eu
• Europäische Kommission, AI omnibus enters into force (27. Juli 2026): digital-strategy.ec.europa.eu
• Europäische Kommission, AI Literacy Questions and Answers (Stand 27. Juli 2026): digital-strategy.ec.europa.eu
• Europäische Kommission, FAQ zu Art. 50 (Stand 24. Juli 2026): digital-strategy.ec.europa.eu
• AI Act, Art. 99 (Sanktionen): artificialintelligenceact.eu/article/99
• AI Act, Art. 21, 27, 45, 85 und 86: Art. 21, Art. 27, Art. 45, Art. 85, Art. 86
• AI Act, Art. 2 (Anwendungsbereich) und Anhang III: Art. 2, Anhang III