Am 28. Juli 2026 hat Deutschland das Gesetz zur Durchführung der Verordnung (EU) 2024/1689 verkündet, das KI-Durchführungsgesetz oder KI-MIG, veröffentlicht als BGBl. 2026 I Nr. 223. Das Bundesgesetz, vom Bundestag am 11. Juni 2026 beschlossen und am 22. Juli 2026 ausgefertigt, errichtet die nationale Aufsichtsarchitektur, die die EU-KI-Verordnung (Verordnung (EU) 2024/1689) in Deutschland vollzieht. Es tritt wenige Tage vor dem allgemeinen Anwendungsdatum der KI-Verordnung am 2. August 2026 in Kraft und schließt eine Lücke, die dazu geführt hatte, dass Deutschland die EU-Frist vom 2. August 2025 zur Benennung seiner Marktaufsichtsbehörde nach Artikel 70(2) verpasst hatte.
Das KI-MIG macht die Bundesnetzagentur (BNetzA) zur zentralen Marktüberwachungs- und Notifizierungsbehörde für KI, behält aber sektorale Aufsichtsbehörden für Finanzdienstleistungen, Medizinprodukte, Kraftfahrzeuge und den Arbeitsschutz bei. Für deutsche Anbieter und Betreiber hochrisikobehafteter KI-Systeme klärt das Gesetz, wer sie beaufsichtigt, wie Beschwerden behandelt werden und welche Bußgelder bei Verstößen gegen die KI-Verordnung drohen.
Wer beaufsichtigt KI in Deutschland nach dem KI-MIG?
Die BNetzA ist gemäß § 2 Abs. 1 KI-MIG die zentrale KI-Marktüberwachungsbehörde. Sie beherbergt das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO, § 5), ist nationale Single Point of Contact gegenüber dem EU-KI-Büro (§ 6), betreibt die zentrale Beschwerdestelle (§ 8) und führt mindestens ein KI-Reallabor durch (§ 13).
Sektorale Marktüberwachungsbehörden bleiben gemäß § 2 Abs. 2 KI-MIG erhalten: BaFin für Finanzdienstleistungen (§ 2 Abs. 3), BfArM für Medizinprodukte nach MDR und IVDR, BAuA für den Arbeitsschutz- und Beschäftigungskontext, KBA für Kraftfahrzeuge neben den Verordnungen (EU) 2018/858 und 2019/2144 sowie BVL für Pflanzenschutzmittel. Das BSI nimmt Cybersicherheitsaufgaben übergangsweise nach § 10 Abs. 4 wahr, bis die CRA-Designierung greift. Eine materiell neue Einrichtung ist die Unabhängige KI-Marktüberwachungs-Kammer (UKIM, § 2 Abs. 5 und § 4), eine organisatorisch unabhängige Kammer bei der BNetzA, die sensible biometrische Hochrisiko-KI in Strafverfolgung, Grenzkontrolle und Justiz beaufsichtigt. Behörden der Länder wie Landespolizei und Landgerichte unterliegen weiterhin den per Landesrecht designierten Behörden (§ 2 Abs. 6), nicht der BNetzA.
Was ändert sich für BaFin-aufsichtliche Banken und Versicherer?
Die BaFin erhält gemäß § 2 Abs. 3 KI-MIG eine ausdrückliche KI-Aufsichtskompetenz für KI in Finanzdienstleistungen und wird damit zur sektoralen Marktüberwachungsbehörde für Banken, Versicherer und weitere beaufsichtigte Institute. Eine BaFin-Pressemitteilung vom 29. Juli 2026 bestätigte das erweiterte Mandat, ein BaFin-Fachartikel derselben Woche präzisierte die Aufsichtserwartungen.
Für BaFin-aufsichtliche Institute bedeutet dies in der Praxis: KI-Systeme im Credit Scoring, der Betrugserkennung, dem algorithmischen Handel oder kundenseitigen Chatbots unterliegen nun einer namentlich benannten sektoralen Aufsicht mit direkten Eingriffsbefugnissen statt einer unbestimmten nationalen Behörde. Compliance-Teams sollten ihren KI-Bestand früh der zuständigen Behörde zuordnen, da das KI-MIG die Kompetenz nach Funktion und Sektor des Systems zuweist, nicht nach der Rechtsform des Anbieters.
Welche Bußgelder gelten, und wie hoch können sie ausfallen?
Die Sanktionen richten sich nach § 15 KI-MIG i. V. m. § 30 OWiG für juristische Personen, wobei die Höchststrafen aus Artikel 99 KI-Verordnung national gelten. Die oberste Stufe reicht bis zu 35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes bei Verstößen gegen die Verbote des Artikels 5.
| Verstoß gegen die KI-Verordnung | Höchstbuße nach Artikel 99 |
|---|---|
| Artikel 5 verbotene Praktiken | 35 Millionen EUR oder 7 % des weltweiten Umsatzes |
| Pflichten der Akteure außerhalb von Artikel 5 | 15 Millionen EUR oder 3 % des weltweiten Umsatzes |
| Angabe falscher oder irreführender Informationen | 7,5 Millionen EUR oder 1 % des Umsatzes |
§ 15 KI-MIG macht diese EU-Vorgaben im deutschen Bußgeldverfahren vollziehbar, sodass die Sanktionen nicht mehr theoretisch sind: Ein Aufsichtsbescheid der BaFin, des BfArM oder der BNetzA kann sie direkt auslösen.
Was sollten betroffene Organisationen jetzt tun?
Deutsche Anbieter und Betreiber von KI sowie BaFin-aufsichtliche Finanzinstitute, BfArM-regulierte Medizinproduktehersteller und KBA-Kfz-Typgenehmigungsinhaber sollten ermitteln, welche Behörde ihre KI-Systeme nun beaufsichtigt, und ihre Konformitäts- und Dokumentationsprozesse an deren Erwartungen anpassen. Zwar hat der Digital Omnibus, seit dem 27. Juli 2026 in Kraft, die Hochrisikoproduktregeln des Anhangs III auf den 2. Dezember 2027 verschoben, doch mit dem allgemeinen Anwendungsdatum der KI-Verordnung am 2. August 2026 sind Transparenz- und weitere Pflichten in Kraft getreten, und die Aufsichtsarchitektur des KI-MIG gilt sofort.
Kontinuierliches, jurisdiktionenscharfes Monitoring macht solche nationalen Umsetzungen in dem Moment sichtbar, in dem sie im amtlichen Gesetzblatt veröffentlicht werden.
Nutzen Sie diese Echtzeit-Überwachung
Nächste Schritte: Prüfen Sie, ob Ihre KI-Systeme unter die BNetzA oder eine sektorale Behörde fallen, bewerten Sie die Bußgeldexposition nach § 15 für Verstöße im Umfeld von Artikel 5, und informieren Sie Ihre Compliance-, Datenschutz- und Produktteams frühzeitig über die KoKIVO-Leitlinien, sobald sie erscheinen. Obsidian verfolgt die Durchführungsverordnungen zum KI-MIG und die weiteren Meilensteine der EU-KI-Verordnung, sobald sie entstehen.
