Ein Unternehmen setzt ein KI-System zur Vorauswahl von Bewerbungen ein und fragt sich, wer im Ernstfall genau hinschaut: das Bundesamt für Sicherheit in der Informationstechnik, die Datenschutzbehörde oder eine ganz andere Stelle? Seit dem 29. Juli 2026 gibt es darauf eine klare Antwort. Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, hat Deutschland festgelegt, wer die EU-KI-Verordnung im Land durchsetzt, und diese Zuständigkeit ist seitdem kein Entwurf mehr, sondern geltendes Recht.
Kurzfassung
Mit dem KI-MIG, in Kraft seit 29. Juli 2026, wird die Bundesnetzagentur zentrale Anlauf-, Beschwerde- und Koordinierungsstelle für die KI-Verordnung in Deutschland und betreibt dafür die KoKIVO. Für einzelne Sektoren bleiben bestehende Aufsichtsbehörden zuständig: BaFin für Finanzdienstleistungen, BfArM für KI in Medizinprodukten, die BfDI für Datenschutz und Biometrie, das BSI übergangsweise für die IT-Sicherheit von Hochrisiko-KI, die Landesmedienanstalten für den Mediensektor. Wer nicht weiß, unter welche Zuständigkeit die eigenen KI-Systeme fallen, sollte das jetzt klären, nicht erst im Prüfungsfall.
Was das KI-MIG ist und seit wann es gilt
Das Bundeskabinett hat das KI-MIG im Februar 2026 beschlossen. Es folgten die erste Lesung im Bundestag im März, eine Anhörung im federführenden Digitalausschuss und die abschließende zweite und dritte Lesung im Juni. Am 29. Juli 2026 ist das Gesetz in Kraft getreten, nur wenige Tage bevor am 2. August 2026 die Hochrisiko-Pflichten der EU-KI-Verordnung selbst wirksam wurden. Der Zeitpunkt war kein Zufall: Ohne ein nationales Durchführungsgesetz hätte es zum Start der Hochrisiko-Pflichten keine handlungsfähige deutsche Aufsichtsstruktur gegeben, die Anfragen, Beschwerden oder Prüfungen überhaupt hätte bearbeiten können.
Die Bundesregierung beschreibt das KI-MIG als bewusst innovationsfreundlich und schlank gehalten, mit einer zentralen Koordinierung statt eines Flickenteppichs neuer Behörden. In der Praxis bedeutet das: Bestehende Aufsichtsstrukturen werden dort genutzt, wo sie bereits funktionieren, etwa in der Finanzaufsicht, und nur dort neu aufgebaut, wo bislang keine Zuständigkeit existierte.
Die Bundesnetzagentur wird zur zentralen KI-Aufsichtsbehörde
Die Bundesnetzagentur übernimmt mit dem KI-MIG mehrere Rollen gleichzeitig. Sie ist zentrale Marktüberwachungsbehörde für alle Bereiche, in denen es bislang keine passende sektorale Aufsicht gab, darunter KI-Systeme im Personalmanagement, in kritischer Infrastruktur und im Bildungsbereich. Sie ist zugleich zentrale Anlauf- und Beschwerdestelle für die gesamte KI-Verordnung, notifizierende Behörde für Konformitätsbewertungsstellen und betreibt mindestens ein KI-Reallabor, in dem Unternehmen neue KI-Anwendungen unter behördlicher Begleitung testen können.
Um diese Aufgaben zu bündeln, hat die Bundesnetzagentur ein zentrales Koordinierungs- und Kompetenzzentrum eingerichtet, die KoKIVO. Sie soll die Zusammenarbeit zwischen den beteiligten Behörden organisieren und Unternehmen als erste Orientierung dienen, etwa bei der Frage, welche Behörde für ein konkretes KI-System zuständig ist.
Dass ausgerechnet die Bundesnetzagentur diese Rolle bekommt, ist keine völlig neue Aufgabe für sie. Als Aufsichtsbehörde für Telekommunikation, Energie und Funkanlagen betreibt sie bereits heute Marktüberwachung für technische Produkte, inklusive Prüfrechten, Auskunftsverlangen und der Möglichkeit, Produkte vom Markt zu nehmen. Das KI-Reallabor greift dieses Prinzip auf und überträgt es auf KI-Systeme: Unternehmen können darin neue Anwendungen unter kontrollierten Bedingungen und mit direkter behördlicher Begleitung erproben, bevor sie in den regulären Marktbetrieb gehen, mit dem Ziel, Unsicherheiten bei der Einordnung frühzeitig auszuräumen statt sie erst im Streitfall zu klären.
Welche Behörde für welchen Bereich zuständig ist
Die Zuständigkeit hängt vom Sektor ab, in dem ein KI-System eingesetzt wird. Bestehende Fachaufsichten bleiben dabei bewusst erhalten, statt durch eine neue KI-Behörde ersetzt zu werden.
| Bereich | Zuständige Behörde | Beispiele |
|---|---|---|
| Finanzdienstleistungen | BaFin | Kreditwürdigkeitsbewertung, Versicherungsrisiko, Zahlungsdienste |
| Medizinprodukte mit KI-Komponente | BfArM | KI-gestützte Diagnosesoftware, Medizingeräte |
| Datenschutz und Biometrie | BfDI (und Landesdatenschutzbehörden) | Biometrische Identifikation, personenbezogene Datenverarbeitung |
| IT-Sicherheit von Hochrisiko-KI | BSI (Übergangszuständigkeit) | Cybersicherheitsanforderungen an Hochrisiko-Systeme |
| Medien | Landesmedienanstalten | KI in redaktionellen und journalistischen Angeboten |
| Alles Übrige, u. a. Personalmanagement, kritische Infrastruktur, Bildung | Bundesnetzagentur | Bewerber-Screening, Zugangssteuerung, Lern-KI |
Die Übergangszuständigkeit des BSI ist dabei ausdrücklich als Zwischenlösung gedacht: Perspektivisch soll eine Behörde nach der geplanten EU-Cyberresilienz-Verordnung diese Rolle übernehmen. Für Unternehmen ändert das an der aktuellen Zuständigkeit vorerst nichts, ist aber ein Hinweis darauf, dass sich die Struktur in den kommenden Jahren noch einmal verschieben kann.
Wer ein KI-System betreibt, das mehrere Bereiche berührt, etwa eine Kreditwürdigkeitsprüfung mit biometrischer Komponente, kann durchaus in die Zuständigkeit mehrerer Behörden gleichzeitig fallen. Genau für diese Fälle soll die KoKIVO als koordinierende Stelle zwischen den Behörden fungieren.
Was bei Verstößen droht
Der Bußgeldrahmen kommt aus der KI-Verordnung selbst und gilt EU-weit einheitlich, unabhängig davon, welche deutsche Behörde am Ende prüft. Er ist gestaffelt nach Schwere des Verstoßes: Verstöße gegen ausdrücklich verbotene KI-Praktiken, etwa Social Scoring oder bestimmte Formen biometrischer Echtzeitüberwachung, können mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden. Sonstige materielle Verstöße, etwa fehlende Dokumentation bei Hochrisiko-Systemen, liegen bei bis zu 15 Millionen Euro oder 3 Prozent. Falsche oder irreführende Auskünfte gegenüber einer der zuständigen Behörden können mit bis zu 7,5 Millionen Euro oder 1 Prozent geahndet werden. In jedem Fall gilt der jeweils höhere der beiden Beträge.
Diese Rahmen sind bewusst hoch angesetzt, damit sie auch international tätige Konzerne wirksam treffen. Für den Mittelstand ist relevanter, dass mit dem KI-MIG jetzt tatsächlich Behörden mit konkreten Prüf- und Auskunftsrechten am Start sind, nicht nur ein abstrakter Rechtsrahmen.
Wie sich das ins Gesamtbild der KI-Verordnung einordnet
Die KI-Verordnung selbst ist EU-Recht und gilt in jedem Mitgliedstaat inhaltlich gleich, welche Pflichten wann greifen, hängt vor allem vom Zeitplan der Verordnung und vom Digital-Omnibus ab, der einzelne Fristen verschoben hat. Was von Mitgliedstaat zu Mitgliedstaat unterschiedlich ist, ist die Durchsetzung: Jedes Land musste selbst festlegen, welche nationalen Behörden die Verordnung überwachen, mit welchen Befugnissen und in welcher Struktur. Das KI-MIG ist die deutsche Antwort auf genau diese Frage. Die materiellen Pflichten, etwa Risikoklassifizierung, Dokumentation oder die Kennzeichnung von KI-Inhalten nach Artikel 50, ändern sich dadurch nicht, wohl aber, wer sie kontrolliert und wo Unternehmen sich melden, wenn sie unsicher sind.
Was das praktisch für dein Unternehmen bedeutet
Vier Schritte lohnen sich unabhängig davon, wie weit die eigene KI-Compliance bereits fortgeschritten ist. Erstens: klären, in welchem Sektor die eigenen KI-Systeme laufen und welche Behörde daraus folgt, siehe Tabelle oben. Zweitens: die eigene technische Dokumentation und Konformitätsbewertung so aufbauen, dass sie im Zweifel schnell vorgelegt werden kann, dieselbe Grundlage, die auch für die Schulungspflicht aus Artikel 4 gebraucht wird. Drittens: die KoKIVO als erste Anlaufstelle nutzen, wenn die eigene Zuordnung unklar ist, statt zu raten. Viertens: KI-Governance nicht als einmaliges Projekt behandeln, sondern in bestehende Aufsichts- und Freigabeprozesse integrieren, wie im Beitrag KI-Governance im Unternehmen beschrieben.
Nicht jede Reaktion auf das KI-MIG ist unkritisch. AlgorithmWatch bemängelt am Gesetzentwurf unter anderem, dass ein nutzerfreundliches Beschwerdesystem noch nicht ausreichend konkretisiert sei, und fordert ein verbindliches nationales KI-Transparenzregister über die ohnehin verpflichtende EU-Datenbank hinaus. Die Bundesregierung selbst rahmt das Gesetz als bewusst innovationsfreundlich und wenig bürokratisch, unter anderem über die geplanten KI-Reallabore. Beide Perspektiven gehören zur ehrlichen Einordnung dazu: Die Struktur steht, wie streng und nutzerfreundlich sie in der Praxis wird, zeigt sich erst in den kommenden Monaten.
Für die eigene Priorisierung heißt das konkret: Ein KI-Inventar ist jetzt kein Nice-to-have mehr, sondern die Grundlage jeder weiteren Entscheidung. Ohne Überblick, welche KI-Systeme im Unternehmen überhaupt laufen, in welchem Sektor sie wirken und welche Daten sie verarbeiten, lässt sich weder die richtige Behörde bestimmen noch eine belastbare Dokumentation aufbauen. Viele Unternehmen unterschätzen dabei, wie viele KI-Anwendungen bereits im Einsatz sind, gerade wenn Fachbereiche eigenständig Tools eingeführt haben. Ein strukturierter Blick auf Schatten-KI im Unternehmen macht häufig sichtbar, wo genau dieser blinde Fleck liegt.
Für Unternehmen, die parallel prüfen, mit welchem Nachweisverfahren sie ihre KI-Systeme dokumentieren, lohnt auch ein Blick auf den BSI-Prüfkatalog A5 und den Vergleich von EU AI Act, BSI A5 und ISO 42001: Beide Wege docken an dieselbe Frage an, die das KI-MIG jetzt organisatorisch beantwortet, nämlich wer am Ende prüft und wonach.
Was jetzt zu tun ist
Die deutsche Aufsichtsstruktur für die KI-Verordnung ist seit Ende Juli 2026 kein theoretisches Konstrukt mehr, sondern eine Behördenlandschaft mit echten Ansprechpartnern, Prüfrechten und Bußgeldern. Wer noch nicht weiß, welche Behörde für die eigenen KI-Systeme zuständig ist, sollte das klären, bevor eine Anfrage oder Prüfung ins Haus flattert, nicht danach. Im KI-Prozess-Audit ordnen wir gemeinsam ein, welche KI-Systeme in deinem Unternehmen bereits im Einsatz sind, welcher Zuständigkeit sie zuzuordnen sind und wo Dokumentationslücken bestehen. Wer die Konsequenz daraus zieht und sensible Workflows aus öffentlichen Cloud-Modellen herauslösen will, findet den passenden Einstieg unter Eigene KI für Unternehmen.
Hinweis
Dieser Beitrag fasst die Behördenstruktur zusammen, wie sie zum Inkrafttreten des KI-MIG Ende Juli 2026 öffentlich kommuniziert wurde. Er ist keine Rechtsberatung. Ob und wie die Zuständigkeiten für deine konkreten KI-Systeme gelten, klärst du im Zweifel direkt mit der KoKIVO oder deiner Compliance-Abteilung.
