KI-Aufsicht Deutschland: Wer Ihre KI jetzt kontrolliert

Seit dem 2. August 2026 gelten die meisten Regeln des EU AI Act. Was bislang fehlte: eine Behörde, die sie auch durchsetzt. Mit dem KI-MIG ist die KI-Aufsicht in Deutschland nun geregelt. Damit steht fest, wer Ihre KI-Systeme künftig kontrolliert – und wer im Zweifel das Bußgeld verhängt.

KI-MIG: Das Gesetz hinter dem AI Act

Das „Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz“ (KI-MIG) regelt die deutsche Umsetzung. Der Bundestag verabschiedete es am 11. Juni 2026, am 10. Juli 2026 ließ der Bundesrat den Vermittlungs­ausschuss verstreichen. Damit trat es rechtzeitig vor dem Stichtag in Kraft.

Der AI Act selbst gilt als EU-Verordnung unmittelbar. Das KI-MIG regelt drei Dinge national: Wer beaufsichtigt, wie Bußgeldverfahren ablaufen und wie Innovation gefördert wird.

KI-Aufsicht in Deutschland: Die Bundesnetzagentur übernimmt

Anders als Spanien hat Deutschland keine eigene KI-Behörde geschaffen, sondern setzt auf bestehende Strukturen. Zentrale Rolle: die Bundesnetzagentur. Sie ist Markt­überwachungs­behörde, notifizierende Behörde und zentrale Anlaufstelle zugleich – immer dann, wenn keine andere Zuständigkeit greift.

Bei ihr entsteht das Koordinierungs- und Kompetenzzentrum KoKIVO. Für KMU besonders interessant: KoKIVO betreibt einen KI-Service-Desk. Dort können Unternehmen Fragen zur Einstufung ihrer Systeme und zu Dokumentations­pflichten stellen – niedrigschwellig und ohne teure Rechtsberatung.

Wer sonst noch zuständig ist

Die eigentliche Aufsicht bleibt verteilt. Für KI in regulierten Produkten bleiben die bisherigen Markt­überwachungs­behörden zuständig, im Finanzsektor die BaFin, bei Medizinprodukten das BfArM, bei IT-Sicherheit das BSI. Datenschutzfragen bleiben beim BfDI und den Landes­datenschutz­behörden.

Für Sie heißt das: Ihre bestehende Aufsichtsbeziehung bleibt der Ausgangspunkt. Ein Unternehmen kann aber für dasselbe System mit mehreren Behörden zu tun haben.

Bußgelder bis 35 Millionen Euro – für KMU gilt der niedrigere Wert

Der Bußgeldrahmen übertrifft sogar den der DSGVO. Bei verbotenen Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Bei Verstößen gegen sonstige Pflichten – etwa die Transparenzpflichten – sind es bis zu 15 Millionen Euro oder 3 Prozent. Falsche Auskünfte an Behörden kosten bis zu 7,5 Millionen Euro oder 1 Prozent.

Wichtig: Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge. Das begrenzt das Risiko spürbar, beseitigt es aber nicht.

Achtung: Doppelte Verfolgung möglich

KI-Verordnung und DSGVO knüpfen häufig an denselben Sachverhalt an – etwa bei KI-gestützter Analyse von Beschäftigtendaten. Eine gesetzliche Regelung, die parallele Bußgeldverfahren koordiniert, fehlt bisher. Ihre Datenschutz-Dokumentation und Ihre KI-Governance sollten deshalb zusammenpassen.

Aufschub bei Hochrisiko-KI – aber keine Entwarnung

Eine Entlastung gibt es: Der auf EU-Ebene beschlossene „Digital Omnibus“ verschiebt die Pflichten für Hochrisiko-KI-Systeme nach Anhang III auf Dezember 2027, für KI in regulierten Produkten auf August 2028. Grund sind fehlende harmonisierte Normen.

Was nicht verschoben wurde: die Verbote, die Transparenz- und Kennzeichnungs­pflichten sowie die gesamte Aufsichts- und Sanktionsstruktur. Die gilt ab sofort.

Was KMU jetzt konkret tun sollten

• KI-Inventar erstellen: Welche Systeme mit KI-Funktion sind im Einsatz – auch in HR-Tools, CRM oder Buchhaltung? Oft ist mehr KI im Haus als gedacht. Der TSMONDO KI Manager führt Sie strukturiert durch diese Bestandsaufnahme und legt daraus ein Verzeichnis Ihrer KI-Systeme an.
• Zuständige Behörde klären: Fällt Ihr System unter eine sektorale Aufsicht oder unter die Bundesnetzagentur?
• Rollen festlegen: Sind Sie Anbieter oder Betreiber? Davon hängen die Pflichten ab.
• Schatten-KI eindämmen: Inoffiziell genutzte KI-Tools sind das größte unerkannte Risiko.
• Auskunftsfähig werden: Behörden können ab sofort Unterlagen anfordern. Eine aktuelle Übersicht Ihrer Systeme spart im Prüfungsfall Zeit und Nerven.

Wer bereits ein Verarbeitungs­verzeichnis und eine funktionierende Datenschutz-Organisation hat, muss keine Parallelwelt aufbauen. Es genügt in der Regel, die bestehenden Strukturen zu erweitern. Einen ersten Überblick über Ihren Stand liefert unsere DSGVO-Checkliste.

KI-Pflichten softwaregestützt umsetzen

Wer die Anforderungen der KI-Verordnung nicht in verstreuten Excel-Listen verwalten möchte, findet im TSMONDO KI Manager ein Werkzeug, das genau die oben genannten Schritte abbildet:

• KI-Risiko-Triage: geführte Einstufung je Anwendungsfall – verbotene Praktiken nach Art. 5, Hochrisiko nach Anhang III, die Ausnahme nach Art. 6(3) sowie GPAI-Pflichten.
• Verzeichnis der KI-Systeme: das Inventar, das Sie im Prüfungsfall vorlegen können.
• KI-Risikomanagement: Bewertung von Datenqualität, Bias, Robustheit und menschlicher Aufsicht – inklusive Maßnahmen, Verantwortlichen und Restrisiko.
• AIMS nach ISO/IEC 42001: KI-Politik, Ziele, Rollen und Annex-A-Controls in einer Struktur.
• Konformitätsberichte auf Knopfdruck – als Nachweis für Geschäftsführung und Prüfung.

Die Software läuft vollständig lokal auf Ihrem Rechner: kein Cloud-Konto, kein Auftrags­verarbeitungs­vertrag, kein Drittland-Transfer. Ihre Angaben zu Systemen, Lieferanten und Risiken verlassen das Unternehmen nicht – bei einem Thema, bei dem Sie gegenüber der Aufsicht auskunftsfähig sein müssen, ein handfester Vorteil. Die Triage unterstützt dabei eine strukturierte Selbsteinschätzung; eine Rechtsberatung im Einzelfall ersetzt sie nicht.

Sie können die portable Version 21 Tage kostenlos testen. Danach kostet die Lizenz 49 € im Monat oder 499 € im Jahr – als ein Abo je Unternehmen statt pro Kopf. Preise netto, zzgl. gesetzlicher USt.; das Angebot richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB.

Für Unternehmen, die parallel bereits an NIS-2 arbeiten, lässt sich der NIS-2-Manager aus derselben Produktfamilie kombinieren – beide folgen dem gleichen Bedienkonzept.

Sie benötigen Unterstützung beim Datenschutz? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.