KI-MIG: Die Bundesnetzagentur wird ab August 2026 zur deutschen KI-Aufsicht
Der Bundestag hat am 11. Juni 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) beschlossen – passgenau zum EU-Stichtag 2. August 2026. Damit steht fest, welche Behörde deutsche Unternehmen kontrolliert und welche Bußgelder nach deutschem Recht drohen.
Der Bundestag beschloss am 11. Juni 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) – passgenau zum EU-Stichtag 2. August 2026. Zuständige deutsche KI-Aufsicht wird die Bundesnetzagentur.
Ab diesem Datum gibt es erstmals eine konkrete Behörde mit konkreten Eingriffsrechten. Dokumentationslücken, die bislang niemanden interessierten, werden damit real prüfbar.
Lange war die Frage offen, wer in Deutschland eigentlich die EU-KI-Verordnung (EU AI Act) durchsetzt. Brüssel schreibt die Regeln – aber wer klingelt beim Mittelständler, verlangt technische Dokumentation und verhängt im Zweifel ein Bußgeld? Mit dem KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, hat der Bundestag am 11. Juni 2026 die Antwort geliefert. Sie lautet: die Bundesnetzagentur.
Für Unternehmen ist das kein abstrakter Verwaltungsakt. Ab dem 2. August 2026 existiert erstmals eine konkrete Behörde mit konkreten Eingriffsrechten – und Dokumentationslücken, die bislang niemanden interessierten, werden zum ersten Mal real prüfbar. Dieser Artikel ordnet ein, was das KI-MIG regelt, wer künftig kontrolliert, welche Bußgelder gelten und wie sich vor allem KMU jetzt konkret vorbereiten.
Das Wichtigste in vier Punkten: Der Bundestag beschloss das KI-MIG am 11. Juni 2026 (Kabinettsentwurf: 10. Februar 2026). Zentrale Aufsicht wird die Bundesnetzagentur, unterstützt durch das Koordinierungs- und Kompetenzzentrum KoKIVO sowie die Sektorbehörden BaFin, BSI, BfArM und BfDI. Ab dem 2. August 2026 dürfen diese Behörden Unterlagen anfordern, Systeme testen und Abhilfe verlangen. Der Bußgeldrahmen stammt überwiegend aus der EU-Verordnung (bis 35 Mio. € bzw. 7 % Jahresumsatz), ergänzt um nationale Zusatztatbestände im KI-MIG.
Warum Deutschland das KI-MIG jetzt durchzieht
Die EU-KI-Verordnung ist bereits seit August 2024 in Kraft und entfaltet ihre Pflichten gestaffelt. Ein zentraler Baustein: Jeder Mitgliedstaat musste bis zum 2. August 2025 mindestens eine nationale Marktüberwachungsbehörde benennen, die die Verordnung im eigenen Land durchsetzt. Ohne eine solche Behörde bleibt selbst die schärfste Verordnung ein Papiertiger – niemand prüft, niemand sanktioniert.
Deutschland hat diese Frist verpasst. Während andere Mitgliedstaaten ihre Zuständigkeiten früh regelten, zog sich in Berlin die Ressortabstimmung – Digitalministerium, Wirtschaft, Finanzen und Innen mussten sich einigen, welche bestehende Behörde die Rolle übernimmt oder ob eine neue geschaffen wird. Das KI-MIG holt diese Benennung nun nach und regelt zugleich die Durchführung im Detail.
Der Zeitplan im Überblick
| Datum | Ereignis |
|---|---|
| 2. August 2025 | EU-Frist zur Benennung nationaler Behörden – von Deutschland verpasst |
| 10. Februar 2026 | Kabinettsbeschluss zum Entwurf des KI-MIG |
| 20. März 2026 | Erste Lesung im Bundestag |
| 11. Juni 2026 | Bundestag beschließt das KI-MIG |
| 2. August 2026 | Aufsicht aktiv – Behörden können prüfen und sanktionieren |
Der Termin des Inkrafttretens ist kein Zufall: Zum 2. August 2026 werden die materiellen Vorgaben der KI-Verordnung für Hochrisiko-KI und Transparenz (Art. 6 bis 27) verbindlich anwendbar. Das KI-MIG tritt also passgenau zum EU-Enforcement-Stichtag in Kraft – gerade noch rechtzeitig, um handlungsfähige Behörden bereitzustellen.
Wer künftig kontrolliert
Statt einer einzigen Superbehörde setzt das KI-MIG auf ein gestaffeltes Modell: eine zentrale Aufsicht, gebündelte Kompetenz und mehrere sektorale Fachbehörden. Das klingt komplizierter, als es für die meisten Unternehmen ist – für den typischen Mittelständler ist die Bundesnetzagentur der erste Ansprechpartner.
Bundesnetzagentur als zentrale Aufsicht
Die Bundesnetzagentur (BNetzA) übernimmt die Rolle der zentralen Aufsichts- und Marktüberwachungsbehörde. Sie hat Erfahrung mit technischer Regulierung – von der Telekommunikation über Energie bis zur Post – und damit einen Apparat, der Konformitätsprüfungen und Marktüberwachung strukturell beherrscht. Für die KI-Aufsicht baut sie neue Fachkompetenz auf.
KoKIVO: Kompetenz und Service-Desk
Bei der BNetzA entsteht das KoKIVO – das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung. Es bündelt die fachliche Expertise, koordiniert die beteiligten Behörden und betreibt einen KI-Service-Desk als Anlaufstelle für Unternehmen. Gerade für KMU ist das relevant: Wer unsicher ist, ob und wie das eigene System reguliert ist, soll hier eine erste Orientierung bekommen.
BaFin und die Sektorbehörden
Nicht alles landet bei der BNetzA. Für Finanzdienstleister – etwa bei der Bewertung von Kreditwürdigkeit, der Kalkulation von Versicherungsprämien oder der Betrugserkennung – bleibt die BaFin zuständig. Weitere sektorale Behörden teilen sich die Aufsicht nach Fachgebiet auf:
- BaFin – KI im Finanz- und Versicherungswesen
- BSI – IT-Sicherheit von Hochrisiko-KI-Systemen
- BfArM – Medizinprodukte mit KI-Komponenten
- BfDI – Datenschutz und biometrische Systeme
Für das einzelne Unternehmen bedeutet das: Zuerst prüfen, in welchen Sektor das eigene KI-System fällt. Ein Versicherungs-Tarifrechner mit KI unterliegt der BaFin, ein KI-gestütztes Diagnosegerät dem BfArM. Für die große Mehrheit der branchenneutralen Anwendungen ist die Bundesnetzagentur die richtige Adresse.
Welche Befugnisse die BNetzA erhält
Der eigentliche Wendepunkt liegt nicht in der Benennung einer Behörde, sondern in ihren Eingriffsrechten. Ab dem 2. August 2026 kann die BNetzA – wie jede Marktüberwachungsbehörde – aktiv werden, sei es auf Beschwerde hin, aus eigener Initiative oder im Rahmen von Stichproben. Die Befugnisse orientieren sich am europäischen Marktüberwachungsrecht:
- Marktüberwachungsmaßnahmen einleiten: Die Behörde kann ein KI-System gezielt ins Visier nehmen und ein Prüfverfahren eröffnen.
- Unterlagen anfordern: Anbieter und Betreiber müssen die technische Dokumentation, Konformitätsnachweise und Logs vorlegen. Wer nichts vorweisen kann, hat ein Problem.
- Systeme testen: Die Behörde darf das KI-System selbst prüfen – bis hin zu eigenen Tests, um zu verifizieren, ob die dokumentierten Eigenschaften stimmen.
- Abhilfe verlangen: Werden Mängel festgestellt, kann die Behörde Nachbesserung, Rücknahme vom Markt oder ein Vertriebsverbot anordnen.
Das Entscheidende: Diese Kontroll- und Schutzmechanismen greifen nicht mehr nur auf dem Papier. Wo ein Unternehmen bisher argumentieren konnte, es habe „schon alles im Griff", verlangt die Behörde ab August 2026 den Nachweis in Form von Dokumentation, die einer Prüfung standhält.
Beispiel: Was ein Auskunftsersuchen konkret bedeutet
Ein mittelständischer Personaldienstleister setzt ein KI-System zur Vorsortierung von Bewerbungen ein – ein klassischer Hochrisiko-Anwendungsfall nach Anhang III der KI-Verordnung. Geht bei der BNetzA eine Beschwerde über mögliche Diskriminierung ein, kann die Behörde die technische Dokumentation, die Model Card des eingesetzten Modells, die Risikobewertung und die Betriebsprotokolle anfordern. Das Unternehmen hat dann eine Frist, um vollständig und wahrheitsgemäß zu liefern. Fehlen zentrale Nachweise oder sind Angaben irreführend, drohen Bußgelder – unabhängig davon, ob die ursprüngliche Diskriminierungsbeschwerde berechtigt war.
Der Bußgeldrahmen nach deutschem Recht
Hier lohnt eine klare Trennung, denn in der öffentlichen Debatte werden EU-Recht und nationales Recht oft vermischt. Der Löwenanteil des Bußgeldrahmens stammt direkt aus der EU-KI-Verordnung (Art. 99) und gilt unmittelbar – das KI-MIG regelt vor allem, wer diese Bußgelder verhängt, und ergänzt eigene nationale Tatbestände.
Die EU-Bußgelder (Art. 99 KI-VO)
| Verstoß | Rahmen |
|---|---|
| Verbotene Praktiken (Art. 5) | bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes |
| Sonstige materielle Verstöße (u. a. Hochrisiko-Betreiberpflichten) | bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes |
| Falsche / unvollständige Angaben gegenüber Behörden | bis 7,5 Mio. € oder 1 % des weltweiten Jahresumsatzes |
Der nationale Zusatztatbestand im KI-MIG
Über die EU-Bußgelder hinaus führt das KI-MIG eine eigene nationale Geldbuße ein: bis zu 50.000 Euro für die Verletzung der Erläuterungs- und Auskunftspflicht (§ 15 Abs. 2 KI-MIG). Diese Grenze bezieht sich – anders als oft verkürzt dargestellt – konkret auf die Erläuterungspflicht gegenüber Betroffenen, also etwa die Pflicht, einer Person eine nachvollziehbare Erkläuterung zu einer sie betreffenden Entscheidung eines Hochrisiko-KI-Systems zu geben. Es ist kein pauschaler Deckel für alle Betreiberpflichten.
Merksatz zur Einordnung: Die großen Zahlen (35 / 15 / 7,5 Mio. €) sind EU-Recht und gelten unmittelbar. Die 50.000 € sind der genuin deutsche Zusatz aus dem KI-MIG für die Erläuterungspflicht. Beide Ebenen greifen ab dem 2. August 2026 nebeneinander.
Der praktische Effekt ist unabhängig von der genauen Höhe: Dokumentationslücken werden erstmals real prüfbar und real sanktionierbar. Wer bisher darauf setzte, dass ohnehin niemand kontrolliert, verliert diese Wette zum August 2026.
Was KMU jetzt vorbereiten müssen
Die gute Nachricht für den Mittelstand: Der Weg zur Auskunftsfähigkeit ist strukturiert abarbeitbar. Es geht nicht darum, Jura zu studieren, sondern Ordnung zu schaffen – bevor eine Behörde sie einfordert. Vier Schritte bilden das Fundament.
1. KI-Inventar erstellen
Der erste Schritt ist die ehrliche Bestandsaufnahme: Welche KI-Systeme sind überhaupt im Einsatz? Dazu zählen nicht nur offensichtliche Chatbots oder große Sprachmodelle (LLM), sondern auch eingebettete Funktionen in Standardsoftware – vom KI-Modul im CRM bis zum automatisierten Scoring in der Buchhaltung. Viele Unternehmen unterschätzen, wie viele KI-Komponenten sie bereits nutzen.
2. Risikoklassifizierung nach AI Act
Jedes System wird in die Risikologik der Verordnung eingeordnet: verboten, hochriskant, Transparenzpflicht oder minimales Risiko. Nur ein kleiner Teil der Systeme fällt in die Hochrisiko-Kategorie – aber genau dort konzentrieren sich die Pflichten. Diese Klassifizierung entscheidet über den gesamten weiteren Aufwand und sollte dokumentiert und begründet werden.
3. Technische Dokumentation und Logs bereithalten
Für Hochrisiko-Systeme verlangt die Verordnung eine umfassende technische Dokumentation, inklusive der automatisch erzeugten Betriebsprotokolle. Diese Nachweise müssen nicht erst bei einem Auskunftsersuchen zusammengesucht werden – sie sollten strukturiert vorliegen. Wer Model Cards und Datenherkunft sauber pflegt, kann einer Prüfung gelassen entgegensehen.
4. Meldeprozesse für Fehlfunktionen definieren
Die Verordnung verlangt, schwerwiegende Vorfälle zu melden. Dafür braucht es einen internen Prozess: Wer erkennt eine Fehlfunktion, wer bewertet sie, wer meldet an die Behörde und in welcher Frist? Dieser Prozess sollte einmal sauber definiert und den Verantwortlichen bekannt sein – nicht erst im Ernstfall improvisiert werden.
Praxistipp: Wer eine strukturierte Vorbereitung sucht, findet in unserer EU-AI-Act-Checkliste eine abarbeitbare Schritt-für-Schritt-Liste – vom KI-Inventar bis zur Dokumentationsstruktur. Das nimmt der Frist vom 2. August 2026 den Schrecken.
Warum On-Premise die Prüfbarkeit vereinfacht
Ein oft übersehener Aspekt: Die Architektur, in der ein KI-System betrieben wird, entscheidet maßgeblich darüber, wie leicht ein Unternehmen auskunftsfähig ist. Genau hier spielt On-Premise-KI ihre Stärke aus – nicht als ideologische Frage, sondern als praktischer Vorteil bei der Marktüberwachung.
Audit-Trails bleiben im eigenen Haus
Verlangt die Behörde Betriebsprotokolle, müssen diese vollständig und unverändert vorliegen. Wer sein KI-System selbst betreibt, hat direkten Zugriff auf sämtliche Logs und Audit-Trails – ohne erst einen US-Cloud-Anbieter um Exporte bitten zu müssen, die möglicherweise unvollständig sind oder nicht im geforderten Format vorliegen.
Auskunftsersuchen ohne Zwischenschicht
Bei Cloud-Diensten liegt entscheidendes Wissen oft beim Anbieter: Wie genau funktioniert das Modell, mit welchen Daten wurde es trainiert, welche Guardrails greifen? Ein Auskunftsersuchen der Behörde lässt sich dann nur so vollständig beantworten, wie der Anbieter Transparenz gewährt. Beim Eigenbetrieb entfällt diese Abhängigkeit – die technische Dokumentation ist direkt kontrollierbar.
| Prüf-Anforderung | On-Premise | US-Cloud |
|---|---|---|
| Vollständige Logs | Direkt im Haus | Von Anbieter-Export abhängig |
| Technische Dokumentation | Selbst kontrollierbar | Teils Anbieter-Blackbox |
| Auskunftsersuchen bedienen | Ohne Zwischenschicht | Über Anbieter-Prozess |
Das heißt nicht, dass Cloud-KI per se nicht regelkonform betrieben werden kann. Aber die Nachweislast liegt beim Unternehmen – und wer die volle Kontrolle über Modell, Daten und Protokolle behält, kann diese Last strukturell leichter tragen. Wer diese Vorteile für den eigenen Betrieb prüfen möchte, findet auf unserer Seite zu den EU-AI-Act-Lösungen 2026 weiterführende Ansätze.
Fazit und Zeitplan
Mit dem KI-MIG endet die Phase der Unverbindlichkeit. Ab dem 2. August 2026 ist die Aufsicht aktiv, die Bundesnetzagentur handlungsfähig und der Bußgeldrahmen scharf gestellt. Für Unternehmen bedeutet das drei klare Konsequenzen:
- Der Stichtag ist real. Ab dem 2. August 2026 können Behörden Unterlagen anfordern, Systeme testen und Abhilfe verlangen. Die Zeit des Abwartens ist vorbei.
- Governance-Lücken jetzt schließen. KI-Inventar, Risikoklassifizierung und technische Dokumentation gehören vor den Stichtag geordnet – nicht danach unter Zeitdruck.
- Architektur mitdenken. On-Premise-KI ist keine Pflicht, aber eine strukturell prüfbare Architektur, die Auskunftsfähigkeit erleichtert.
Die Nachricht ist also keine Drohung, sondern ein Weckruf mit klarem Zeitfenster. Wer die kommenden Wochen nutzt, um seine KI-Governance in Ordnung zu bringen, betrachtet den 2. August 2026 nicht als Risiko, sondern als erledigte Hausaufgabe. Bei der Einordnung der eigenen Systeme und der praktischen Umsetzung unterstützt Sie unsere Beratung – von der Risikoklassifizierung bis zur prüfsicheren Dokumentation.
Häufig gestellte Fragen zum KI-MIG
Welche Behörde kontrolliert mein Unternehmen ab August 2026?
Zentrale Aufsicht ist die Bundesnetzagentur, unterstützt durch die KI-Marktüberwachungskammer UKIM und das Kompetenzzentrum KoKIVO. Für Finanzdienstleister ist die BaFin zuständig.
Ab wann kann die Bundesnetzagentur prüfen?
Ab dem 2. August 2026 kann die BNetzA Marktüberwachungsmaßnahmen einleiten, Unterlagen anfordern, Systeme testen und bei Mängeln Abhilfe verlangen.
Welche Bußgelder drohen nach dem KI-MIG?
Verstöße gegen bestimmte Betreiberpflichten bei Hochrisiko-KI können bis 50.000 EUR kosten, falsche oder irreführende Angaben gegenüber Behörden bis zu 7,5 Mio. EUR oder 1 % des weltweiten Jahresumsatzes.
Was hat das KI-MIG mit dem EU AI Act zu tun?
Das KI-MIG ist das deutsche Durchführungsgesetz, das die Zuständigkeiten und Sanktionen für die Umsetzung des EU AI Act auf nationaler Ebene festlegt.
KI-Governance vor dem 2. August 2026 in Ordnung bringen
Wir bewerten Ihre KI-Systeme, klassifizieren das Risiko nach AI Act und machen Ihre Dokumentation prüfsicher – DSGVO-konform und On-Premise. Kostenlose Erstberatung.