KI-MIG: Die Bundesnetzagentur ist jetzt Deutschlands KI-Aufsicht — was CIOs ab sofort beachten müssen

Kurzantwort: Wer beaufsichtigt KI in Deutschland?

Das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) vom 22. Juli 2026 ist nach seinem Artikel 5 am 29. Juli 2026 in Kraft getreten. Nach § 2 Absatz 1 KI-MIG ist die Bundesnetzagentur die für die Einhaltung der Verordnung (EU) 2024/1689 zuständige Marktüberwachungsbehörde. § 5 richtet dort ein zentrales Koordinierungs- und Kompetenzzentrum ein, § 15 sieht nationale Geldbußen bis zu 50.000 Euro vor (siehe https://www.gesetze-im-internet.de/ki-mig/BJNR0DF0B0026.html).

Das KI-MIG in fünf Sätzen: Ausfertigung, Inkrafttreten, Regelungszweck

Das Gesetz trägt das Ausfertigungsdatum 22. Juli 2026 und ist im Bundesgesetzblatt 2026 Teil I Nummer 223 verkündet worden; Artikel 5 setzt das Inkrafttreten auf den 29. Juli 2026 (siehe https://www.gesetze-im-internet.de/ki-mig/BJNR0DF0B0026.html). Der Name ist bereits die Zusammenfassung des Regelungszwecks: Marktüberwachung auf der einen, Innovationsförderung auf der anderen Seite. Beides sind Aufgaben, die die Verordnung (EU) 2024/1689 den Mitgliedstaaten zuweist, ohne sie selbst auszufüllen. Das Bundesministerium für Digitales und Staatsmodernisierung hat das Inkrafttreten mit der Pressemitteilung 47/2026 vom 29. Juli 2026 bekanntgegeben (siehe https://bmds.bund.de/aktuelles/pressemitteilungen/detail/neues-ki-gesetz-tritt-in-kraft).

Der Grund für ein eigenes nationales Gesetz liegt in der Konstruktion des AI Act selbst. Die Verordnung gilt unmittelbar in allen Mitgliedstaaten und schafft den materiellen Pflichtenkatalog vollständig auf europäischer Ebene (siehe https://eur-lex.europa.eu/eli/reg/2024/1689/oj). Sie überlässt den Mitgliedstaaten jedoch drei Fragen: welche Behörde diesen Katalog durchsetzt, wo Unternehmen ein Reallabor für die Erprobung von KI-Systemen finden, und welche nationalen Sanktionen neben den europäischen greifen. Genau diese drei Lücken schließt das KI-MIG — nicht mehr und nicht weniger.

Für die Delivery-Praxis ist die Abgrenzung entscheidend: Das KI-MIG ändert nicht, was Ihr Unternehmen tun muss. Es ändert, wer Sie danach fragt, an wen Dritte sich wenden können und mit welcher zusätzlichen Sanktionsschiene Sie im nationalen Recht rechnen müssen. Der Pflichtenkatalog bleibt europäisch, die Durchsetzung wird deutsch. Wer seine Pflichtenlage bereits entlang der Verordnung aufgebaut hat — Rollenklärung zwischen Anbieter und Betreiber, Risikoklassifizierung je System, Transparenzkennzeichnung —, muss diese Arbeit nicht wiederholen. Wer sie noch vor sich hat, findet den strukturierten Einstieg in unserem EU AI Act Compliance-Guide.

Was sich mit einer benannten Marktüberwachungsbehörde in jeder Produktregulierung ändert, ist die Verbindlichkeit des Zeitplans. Solange keine Behörde benannt ist, existiert die Pflichtenlage auf dem Papier, aber ohne Gegenüber. Ab dem Moment der Benennung gibt es eine Stelle, die Auskunft verlangen kann, und einen Kanal, über den Wettbewerber, Beschäftigte und Kunden Hinweise geben. Genau deshalb ist der 29. Juli 2026 für die interne Priorisierung wichtiger, als seine geringe mediale Aufmerksamkeit vermuten lässt.

Was die Bundesnetzagentur jetzt darf: § 2 und § 5 KI-MIG

Der Kern des Gesetzes steht in § 2 Absatz 1: Die Bundesnetzagentur ist die für die Einhaltung der Verordnung (EU) 2024/1689 zuständige Marktüberwachungsbehörde (siehe https://www.gesetze-im-internet.de/ki-mig/BJNR0DF0B0026.html). Das ist eine Grundsatzentscheidung mit Signalwirkung. Der Gesetzgeber hätte die Aufsicht auch auf mehrere Fachbehörden verteilen können — das Ergebnis wäre eine Zuständigkeitslandkarte gewesen, die Unternehmen erst hätten entziffern müssen. Stattdessen gibt es einen Hauptadressaten.

§ 5 ergänzt die Behördenstruktur um ein zentrales Koordinierungs- und Kompetenzzentrum bei der Bundesnetzagentur für die Verordnung (EU) 2024/1689. Diese Konstruktion ist für Konzerne mit verteilter KI-Landschaft die praktisch wichtigere Norm: Sie sorgt dafür, dass die Durchführung nicht in so viele Auslegungen zerfällt, wie es beteiligte Stellen gibt. Für die eigene Governance heißt das, dass Auslegungsfragen künftig eine erkennbare Anlaufstelle haben — und dass eine dort dokumentierte Auffassung im Zweifel mehr Gewicht hat als eine hausinterne Interpretation.

heise online fasst die neue Rollenverteilung so zusammen, dass die Bundesnetzagentur drei Funktionen zugleich übernimmt: zentrale Marktüberwachungsbehörde, nationale Anlaufstelle und offizielle Beschwerdestelle für Verstöße gegen die EU-KI-Verordnung (siehe https://www.heise.de/news/Neue-Befugnisse-Bundesnetzagentur-uebernimmt-KI-Aufsicht-in-Deutschland-11383935.html). Die dritte Rolle wird in Risikoanalysen regelmäßig unterschätzt. Eine offizielle Beschwerdestelle bedeutet, dass der erste Kontakt mit der Aufsicht in der Regel nicht von einer eigenen Meldung ausgeht, sondern von einem Hinweis Dritter.

Operativ folgt daraus eine unspektakuläre, aber wirksame Vorbereitung: eine benannte, vertretungsgeregelte Ansprechperson gegenüber der Bundesnetzagentur, ein definierter interner Eskalationsweg für behördliche Schreiben und ein Ablageort, an dem die produktbezogene Dokumentation je KI-System auffindbar ist. Wer diese drei Punkte vor dem ersten Auskunftsersuchen klärt, verwandelt eine potenzielle Feuerwehrübung in einen Vorgang.

• Zentrale Marktüberwachungsbehörde für die Verordnung (EU) 2024/1689 — Rechtsgrundlage § 2 Absatz 1 KI-MIG
• Zentrales Koordinierungs- und Kompetenzzentrum für die Verordnung — Rechtsgrundlage § 5 KI-MIG
• Nationale Anlaufstelle für Unternehmen und offizielle Beschwerdestelle für Verstöße — so die Einordnung bei heise online
• Betrieb mindestens eines KI-Reallabors — Rechtsgrundlage § 13 KI-MIG
• Verfolgung nationaler Ordnungswidrigkeiten mit Geldbußen bis 50.000 Euro — Rechtsgrundlage § 15 KI-MIG

Wer trotzdem zuständig bleibt: BaFin, Landesmedienanstalten und der sektorale Rest

Ein zentraler Adressat ist nicht dasselbe wie ein exklusiver Adressat. heise online weist ausdrücklich darauf hin, dass die BaFin und die Landesmedienanstalten neben der Bundesnetzagentur ihre sektoralen Zuständigkeiten behalten (siehe https://www.heise.de/news/Neue-Befugnisse-Bundesnetzagentur-uebernimmt-KI-Aufsicht-in-Deutschland-11383935.html). Wer daraus schließt, es gebe ab sofort nur noch einen Gesprächspartner, plant an der Realität vorbei — insbesondere in Finanzdienstleistungen und in allem, was mediale Verbreitung berührt.

Für die Governance ergibt sich daraus eine zweiachsige Zuordnung. Achse eins ist die KI-rechtliche Einstufung des Systems nach der Verordnung (EU) 2024/1689: Verbotene Praxis, Hochrisiko-System, Transparenzfall oder unkritisch. Achse zwei ist die sektorale Einordnung des Anwendungsfalls: Finanzsektor, Medien, sonstige Wirtschaft. Erst die Kombination beider Achsen beantwortet die Frage, wer im Ernstfall schreibt — und wer zusätzlich mitliest. Ein KI-gestütztes Scoring-Modell in einem beaufsichtigten Institut ist etwas anderes als dasselbe Modell in einem Industrieunternehmen, obwohl der AI Act für beide identische Anforderungen formuliert.

Praktisch heißt das: Führen Sie im KI-Inventar eine eigene Spalte für die sektorale Aufsicht. Sie ist billig zu pflegen und beantwortet im Ernstfall binnen Minuten eine Frage, für die sonst Rückfragen an drei Fachbereiche nötig wären. Für Systeme, die KI-generierte oder manipulierte Inhalte erzeugen, kommt die medienrechtliche Perspektive hinzu — der inhaltliche Rahmen dazu steht in unserem Beitrag zu den Transparenzpflichten aus Artikel 50.

EU-Ebene und nationale Ebene im direkten Vergleich

Die häufigste Fehlvorstellung nach Inkrafttreten eines nationalen Durchführungsgesetzes lautet, das Gesetz habe die europäischen Vorgaben „umgesetzt" und damit ersetzt. Beim KI-MIG ist das Gegenteil der Fall. Der materielle Pflichtenkatalog steht unverändert in der Verordnung (EU) 2024/1689 (siehe https://eur-lex.europa.eu/eli/reg/2024/1689/oj); das KI-MIG regelt Zuständigkeit, Koordinierung, Reallabor und eine ergänzende nationale Sanktionsschiene. Die folgende Gegenüberstellung trennt beides sauber.

Besonders zu beachten ist die Sanktionslogik. § 15 KI-MIG sieht Geldbußen bis zu 50.000 Euro vor — diese nationale Ordnungswidrigkeiten-Schiene steht neben dem Sanktionsrahmen der Verordnung (EU) 2024/1689 und ersetzt ihn nicht (siehe https://www.gesetze-im-internet.de/ki-mig/BJNR0DF0B0026.html). Wer im Risikoregister nur die nationale Zahl führt, unterschätzt das Risiko strukturell; wer nur den europäischen Rahmen führt, übersieht eine zusätzliche, schneller greifende Schiene. Beide gehören ins Register, mit sauberer Angabe der Rechtsgrundlage je Zeile.

Der Termin-Widerspruch beim KI-Reallabor: 2026 oder 2027?

An einer Stelle widersprechen sich die Quellen offen, und dieser Widerspruch gehört in jede Vorlage, die das Thema anfasst. Artikel 57 des AI Act verlangt in der ursprünglich verabschiedeten Fassung, dass die Mitgliedstaaten bis zum 2. August 2026 mindestens ein KI-Reallabor auf nationaler Ebene eingerichtet haben, das zu diesem Zeitpunkt einsatzbereit ist (siehe https://artificialintelligenceact.eu/article/57/). Die Bundesnetzagentur nennt auf ihrer eigenen Informationsseite dagegen den 2. August 2027 als maßgebliches Datum und verweist Unternehmen bis dahin auf das EUSAiR-Pilotprojekt (siehe https://www.bundesnetzagentur.de/ki-reallabor).

Auflösen lässt sich das nur über den Änderungsmechanismus: Die Fristenlage des AI Act wird durch die Verordnung (EU) 2026/1744 verändert. Wer in einem Board-Dokument nur eines der beiden Daten zitiert, wird gegenüber der jeweils anderen Quelle unweigerlich falsch aussehen — und muss die Korrektur dann unter Zeitdruck vor Publikum leisten. Die belastbare Formulierung nennt beide Daten und den Mechanismus in einem Satz. Die Systematik der Fristenverschiebungen haben wir im Beitrag zum Digital Omnibus und den neuen AI-Act-Fristen aufgeschlüsselt.

Für die Planung hat dieser Widerspruch eine konkrete Konsequenz. Ein Reallabor ist kein Compliance-Nachweis, sondern eine Erprobungsumgebung — wer seine Produkt-Roadmap darauf stützt, dass ab einem bestimmten Datum ein voll ausgebautes nationales Angebot bereitsteht, baut auf einer Annahme, die zwei Quellen unterschiedlich datieren. Die sichere Planungsprämisse lautet deshalb: Der eigene Konformitätspfad muss ohne Reallabor tragen; das Reallabor beschleunigt ihn, wenn es verfügbar ist.

KI-Service-Desk und KI-Reallabor: die zwei konkreten Angebote für Unternehmen

Das KI-MIG ist nicht nur ein Aufsichtsgesetz. Das Bundesministerium für Digitales und Staatsmodernisierung benennt in seiner Pressemitteilung 47/2026 vom 29. Juli 2026 zum Inkrafttreten zwei konkrete Angebote an Unternehmen: einen KI-Service-Desk und Reallabore (siehe https://bmds.bund.de/aktuelles/pressemitteilungen/detail/neues-ki-gesetz-tritt-in-kraft). Beides ist als Unterstützungsleistung angelegt, nicht als weitere Pflicht — und beides wird in der Praxis genau dann relevant, wenn eine Auslegungsfrage sonst intern im Kreis läuft.

Der Service-Desk ist das Instrument für die Fälle, in denen die Einstufung eines Systems strittig ist und die Kosten einer Fehleinstufung asymmetrisch verteilt sind: Eine zu niedrige Einstufung kostet im Aufsichtsfall, eine zu hohe kostet dauerhaft in der Entwicklung. Für solche Fragen ist eine behördliche Anlaufstelle die günstigste verfügbare Ressource. Legen Sie intern fest, wer den Kanal nutzen darf und wie die erhaltene Auskunft dokumentiert wird — eine mündlich erinnerte Auskunft ist im Nachhinein kein Beleg.

Das Reallabor hat seine Rechtsgrundlage in § 13 KI-MIG, der die Bundesnetzagentur verpflichtet, mindestens ein KI-Reallabor einzurichten und zu betreiben (siehe https://www.gesetze-im-internet.de/ki-mig/BJNR0DF0B0026.html). Es adressiert die Erprobung unter Aufsicht — also den Fall, in dem ein Anwendungsfall regulatorisch neu ist und die interne Rechtsabteilung mangels Präzedenz zur maximal konservativen Auslegung neigt. Bis das nationale Angebot in vollem Umfang bereitsteht, verweist die Bundesnetzagentur auf das EUSAiR-Pilotprojekt (siehe https://www.bundesnetzagentur.de/ki-reallabor).

Die realistische Erwartungshaltung: Beide Angebote ersetzen keine eigene Compliance-Arbeit. Sie senken die Kosten der Unsicherheit an den zwei Stellen, an denen Unsicherheit am teuersten ist — bei der Einstufung und bei der Erprobung. Die Grundlagenarbeit, also Inventar, Rollenklärung und Nachweisführung, bleibt in Ihrer Organisation. Für deren strukturierte Erhebung nutzen unsere Kunden die Assessment-Vorlagen, statt jedes Erhebungsraster neu zu erfinden.

• KI-Service-Desk — behördlicher Auskunftskanal für Einstufungs- und Auslegungsfragen; intern Nutzungsberechtigung und Dokumentationspflicht festlegen
• KI-Reallabor nach § 13 KI-MIG — Erprobung unter Aufsicht; Rechtspflicht der Bundesnetzagentur, mindestens eines einzurichten und zu betreiben
• EUSAiR-Pilotprojekt — Verweisangebot der Bundesnetzagentur für die Zeit bis zur vollen Verfügbarkeit des nationalen Reallabors

Was jetzt zu tun ist: acht Punkte mit benanntem Owner

Die folgende Liste ist bewusst nicht der vollständige Pflichtenkatalog des AI Act. Sie ist die Liste dessen, was sich durch das Inkrafttreten des KI-MIG in der Priorität verschoben hat — also das, was funktionieren muss, wenn die erste Anfrage der Bundesnetzagentur eingeht oder ein Dritter dort einen Hinweis platziert. Ordnen Sie jedem Punkt eine namentlich benannte Rolle zu, kein Team. Kollektive Zuständigkeit ist im Behördenkontakt der zuverlässigste Weg, eine Frist zu reißen.

Der wirksamste Test dieser Liste ist keine Dokumentenprüfung, sondern ein Durchspielen: Ein Schreiben der Bundesnetzagentur geht am Freitagnachmittag im allgemeinen Unternehmenspostfach ein und bezieht sich auf ein KI-System, das ein Fachbereich vor 18 Monaten eingeführt hat. Messen Sie, wie lange es dauert, bis eine entscheidungsbefugte Person davon erfährt, ob die Einstufung des Systems dokumentiert vorliegt und wer die Antwort zeichnet. Was in diesem Durchlauf hakt, hakt im Ernstfall genauso — nur mit Frist.

1. 1KI-Inventar vervollständigen: jedes eingesetzte oder angebotene KI-System mit Einstufung nach der Verordnung (EU) 2024/1689 und Angabe, ob Sie Anbieter oder Betreiber sind. Owner: IT-Leitung gemeinsam mit den Fachbereichsverantwortlichen.
2. 2Sektorale Aufsicht je System ergänzen: eigene Inventarspalte für BaFin- bzw. medienrechtliche Relevanz, damit im Ernstfall nicht erst recherchiert werden muss. Owner: Compliance.
3. 3Ansprechpartner gegenüber der Bundesnetzagentur benennen — mit Vertretung, Erreichbarkeit und Postfach-Routing für behördliche Schreiben. Owner: Geschäftsführung oder Chief Compliance Officer.
4. 4Kennzeichnung KI-generierter Inhalte prüfen: Die Transparenzpflichten für KI-generierte oder manipulierte Audio-, Bild-, Video- und Textinhalte gelten seit dem 2. August 2026, die Kennzeichnung erfolgt über Wasserzeichen oder Metadaten. Owner: Produktmanagement gemeinsam mit Marketing.
5. 5KI-Kompetenz nach Artikel 4 der Verordnung (EU) 2024/1689 nachweisbar machen: Schulungsnachweise je Rolle, nicht als Sammel-E-Mail, sondern als dokumentierter Nachweis pro Person. Owner: HR gemeinsam mit der Fachbereichsleitung.
6. 6Nachweisablage je System aufbauen: Einstufungsbegründung, technische Dokumentation, Testnachweise, Freigabeentscheidung — an einem Ort, auffindbar ohne Rückfrage beim Entwicklungsteam. Owner: Delivery-Leitung.
7. 7Risikoregister um beide Sanktionsschienen ergänzen: den Rahmen der Verordnung (EU) 2024/1689 und die nationalen Geldbußen bis 50.000 Euro nach § 15 KI-MIG, jeweils mit Rechtsgrundlage je Zeile. Owner: Risikomanagement.
8. 8Nutzung von KI-Service-Desk und Reallabor intern regeln: wer fragen darf, wie die Antwort dokumentiert wird und in welchen Fällen der Weg über das Reallabor der günstigere ist. Owner: Compliance gemeinsam mit der Architekturfunktion.

Abgrenzung zu NIS2, DORA und CRA: welche Aufsicht für welche Pflicht

Das KI-MIG kommt in ein Umfeld, in dem die meisten mittelständischen und großen Organisationen bereits mehrere parallele Aufsichtsverhältnisse pflegen. Die Versuchung, alles in ein gemeinsames „EU-Regulierung"-Arbeitspaket zu schieben, ist verständlich und im Ergebnis teuer. NIS2 adressiert die Cybersicherheit von Einrichtungen, DORA die digitale operationale Resilienz im Finanzsektor, der Cyber Resilience Act die Sicherheitseigenschaften von Produkten mit digitalen Elementen — und der AI Act die Eigenschaften und den Einsatz von KI-Systemen. Vier Regelungsgegenstände, vier Aufsichtslogiken, teils dieselben internen Rollen.

Praktisch entstehen Fehler weniger in der Sache als an den Schnittstellen: Ein KI-gestütztes Modul in einem ausgelieferten Produkt kann gleichzeitig CRA-relevant und AI-Act-relevant sein, ohne dass daraus derselbe Meldeweg oder derselbe Adressat folgt. Die belastbare Konstruktion ist ein gemeinsamer Erkennungs- und Bewertungsprozess mit mehreren Ausgabepfaden — eine Erkennung, eine Bewertungsentscheidung, danach die Verzweigung nach Rechtsgrundlage, Adressat und Frist. Wo sich die Rahmenwerke überschneiden und wo sie tatsächlich auseinanderlaufen, haben wir in der Regulierungs-Kollision 2026 im Detail aufgeschlüsselt.

Für die schnelle Standortbestimmung in den beiden Rahmenwerken mit den kürzesten Fristen sind unsere kostenlosen Selbsttests der günstigste Einstieg: der NIS2-Readiness-Check und der CRA-Melde-Readiness-Check liefern jeweils in wenigen Minuten eine Auswertung, die sich unmittelbar in ein Steering-Deck übernehmen lässt — ohne Login.

Wenn Sie die Zuordnung von Pflicht, Aufsicht und interner Verantwortung einmal sauber aufsetzen wollen, statt sie bei jedem neuen Rechtsakt erneut zu improvisieren, finden Sie Zuschnitt und Konditionen unserer Delivery-Governance-Mandate unter Leistungen und Preise; wer wir sind und wie wir arbeiten, steht hier. Der schnellste erste Schritt bleibt aber der eigene: das KI-Inventar, diese Woche, eine Zeile je System, mit Einstufung und benanntem Owner.