Top-Themen in der KI-Compliance:
Mit dem KI-MIG erhält Deutschland eine klare Aufsichtsstruktur für – mit weitreichenden Befugnissen und empfindlichen Bußgeldern für Unternehmen.
Das Bundeskabinett hat den Gesetzentwurf am 11. Februar 2026 beschlossen (BT-Drs. 21/4594). Am 23. März 2026 fand eine öffentliche Sachverständigenanhörung im Digitalausschuss statt, in der unter anderem die Zuständigkeitsverteilung, die Unabhängigkeit der Aufsicht und die Ressourcenausstattung der Bundesnetzagentur diskutiert wurden. Der Bundesrat hat im April 2026 eine Stellungnahme mit Änderungsvorschlägen vorgelegt (BT-Drs. 21/5143).
Am 11. Juni 2026 hat der Bundestag das Gesetz in der vom Digitalausschuss geänderten Fassung (BT-Drs. 21/6407) beschlossen. Die Koalitionsfraktionen CDU/CSU und SPD stimmten dafür; die Oppositionsfraktionen AfD, Bündnis 90/Die Grünen und Die Linke stimmten dagegen.
Der Bundesrat verzichtete am 10. Juli 2026 auf den Vermittlungsausschuss. Nach der Verkündung am 28. Juli 2026 trat das Gesetz am 29. Juli 2026 in Kraft. Es galt damit rechtzeitig vor dem allgemeinen Anwendungsbeginn der KI-VO am 2. August 2026.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenAls Beratungsunternehmen für Datenschutz und Informationssicherheit begleiten wir seit Jahren KMU beim Aufbau belastbarer Compliance-Strukturen – als externe Datenschutzbeauftragte, als externe Informationssicherheitsbeauftragte und bei der Einführung von Managementsystemen nach ISO 27001 oder TISAX. Doch mit der zunehmenden Digitalisierung und dem Einzug von KI in betriebliche Abläufe lässt sich keines dieser Themen mehr isoliert betrachten. Datenschutz, Informationssicherheit und KI-Compliance greifen immer stärker ineinander – und genau das zeigt sich auch an der neuen Aufsichtsstruktur.
Für die Durchsetzung der DSGVO gibt es die Datenschutzbehörden. Für die europäische KI-Verordnung wird es künftig die Bundesnetzagentur sein. Das Gesetz, das diese Zuständigkeit regelt, heißt KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) – und es steht kurz vor dem Abschluss.
Hintergrund: Die europäische KI-Verordnung (Verordnung (EU) 2024/1689) ist seit August 2024 in Kraft und wird ab dem 2. August 2026 in weiten Teilen unmittelbar anwendbar. Die inhaltlichen Anforderungen – Verbote, Hochrisiko-Einstufung, Transparenzpflichten – stehen damit fest. Was bislang fehlte, war die nationale Durchführung: Welche Behörde beaufsichtigt, wer koordiniert, wer sanktioniert? Genau das regelt das KI-MIG.
Das KI-MIG schafft keine neuen materiellen Pflichten für Unternehmen. Sämtliche inhaltlichen Anforderungen – Verbote, Hochrisiko-Einstufung, Transparenzpflichten, Risikomanagement – ergeben sich unmittelbar aus der KI-VO selbst. Das KI-MIG regelt stattdessen die organisatorische Seite: Wer beaufsichtigt, wer koordiniert, wer sanktioniert.
Kernstück des KI-MIG ist die Bestimmung der Bundesnetzagentur (BNetzA) als zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle für KI-Systeme in Deutschland. Bei der BNetzA wird das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) eingerichtet. Es bündelt KI-Expertise, unterstützt andere Behörden bei komplexen Entscheidungen und stellt einen KI-Service-Desk als erste Anlaufstelle für Unternehmen bereit.
Bei der Risikobewertung ist eine Unterscheidung wichtig, die häufig übersehen wird: Die KI-VO und das KI-MIG regeln ausschließlich behördliche Bußgelder. Daneben besteht das allgemeine Haftungsrecht unverändert fort. Trifft ein KI-System eine fehlerhafte Entscheidung – etwa eine unberechtigte Kreditablehnung, eine diskriminierende Vorauswahl im Recruiting oder ein fehlerhaftes Diagnose-Ergebnis –, können Betroffene zivilrechtliche Ansprüche geltend machen. Die Grundlage dafür liefern das nationale Delikts- und Produkthaftungsrecht, nicht die KI-VO.
In einem solchen Verfahren wird die Frage, ob das Unternehmen seine Sorgfaltspflichten erfüllt hat, zum zentralen Prüfpunkt. Eine lückenlose KI-Compliance-Dokumentation – Risikobewertungen, Konformitätsnachweise, Schulungsnachweise – ist dann das wichtigste Beweismittel. Wer ordentlich dokumentiert, schützt sich nicht nur vor Bußgeldern, sondern auch vor Schadensersatzansprüchen.
Verstoß | Bußgeldrahmen | Zuständige Behörde (DE) | Hinweis |
|---|---|---|---|
Verstöße gegen die Transparenz- und Kennzeichnungspflichten nach Art. 50 KI-VO | Bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes | Bundesnetzagentur | Je nachdem, was höher ist |
Kein klarer Hinweis darauf, dass eine Person mit einem KI-System interagiert | Bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes | Bundesnetzagentur | Gilt z. B. für Chatbots |
Nicht gekennzeichnete synthetische oder manipulierte Inhalte | Bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes | Bundesnetzagentur | Etwa bei Deepfakes oder KI-generierten Medien |
Nicht gekennzeichnete KI-Inhalte zu Themen von öffentlichem Interesse | Bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes | Bundesnetzagentur | Formulierung enger am Normzweck |
Das KI-MIG verfolgt einen sogenannten hybriden Ansatz. Das bedeutet: Wo bereits sektorale Aufsichtsstrukturen bestehen, bleiben diese erhalten. Die BaFin bleibt für KI im Finanzsektor zuständig, die Landesmedienanstalten für KI im Medienbereich, das BfArM für Medizinprodukte. Nur dort, wo bisher keine spezifische KI-Aufsicht existiert – etwa bei Hochrisiko-KI nach Anhang III der KI-VO im Bereich HR, Bildung oder allgemeine Verwaltung –, übernimmt die Bundesnetzagentur selbst die Marktüberwachung.
Für Unternehmen bedeutet das: Der bekannte Ansprechpartner bleibt meist erhalten. Ausnahme: Für KI-Systeme auf Basis generativer KI-Modelle desselben Anbieters ist allein das KI-Büro der EU-Kommission zuständig. Die BNetzA koordiniert behördenübergreifend.
Wichtig zu wissen: Ein und dasselbe KI-System kann je nach Einsatzbereich von unterschiedlichen Behörden beaufsichtigt werden. Wer etwa eine KI-Lösung sowohl für die interne Personalauswahl als auch für die Kreditprüfung einsetzt, hat es im Zweifel mit der Bundesnetzagentur und der BaFin zu tun. Eine klare interne Zuordnung ist daher unverzichtbar.
Durch das KI-MIG in Verbindung mit der KI-VO erhalten die Marktüberwachungsbehörden weitreichende Befugnisse. Sie können unter anderem:
Besonders relevant für den Mittelstand: Betreiber von Hochrisiko-KI-Systemen, die eine Entscheidung über eine natürliche Person treffen (etwa im Bereich Personalwesen oder Kreditvergabe), müssen diese Entscheidung auf Antrag nachvollziehbar erläutern. Ein Verstoß gegen diese Erläuterungspflicht kann mit bis zu 50.000 Euro geahndet werden (§ 15 Abs. 2 KI-MIG).
Das KI-MIG passt auch das Hinweisgeberschutzgesetz (HinSchG) an: Verstöße gegen die KI-VO werden künftig ausdrücklich in den sachlichen Anwendungsbereich des HinSchG aufgenommen. Mitarbeitende, die Verstöße gegen KI-Vorschriften melden, genießen damit denselben Schutz wie bei Meldungen zu Datenschutz- oder Geldwäscheverstößen.
Für Unternehmen, die bereits eine interne Meldestelle nach dem HinSchG betreiben, bedeutet das: Die bestehenden Prozesse müssen um KI-spezifische Meldetatbestände erweitert werden. Schulen Sie die Personen, die Ihre Meldestelle betreuen, entsprechend. Wer über eine externe Meldestelle (eMSB) verfügt, sollte prüfen, ob der Dienstleister diese Erweiterung abbildet.
Hinweis: Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist seit dem 27. Juli 2026 in Kraft. Sie verschiebt die Hochrisiko-Pflichten nach Anhang III der KI-VO verbindlich auf den 2. Dezember 2027. Für KI-Komponenten in Produkten nach Anhang I gilt der 2. August 2028 als feste Frist. Diese Fristen sind beschlossen und gehören in jede Compliance-Planung. Die Transparenzpflichten nach Art. 50 KI-VO gelten dagegen seit dem 2. August 2026.
Datum | Meilenstein |
|---|---|
01.08.2024 | KI-Verordnung (EU) 2024/1689 tritt in Kraft |
02.02.2025 | Verbotene KI-Praktiken (Art. 5 KI-VO) und KI-Kompetenzpflicht (Art. 4 KI-VO) gelten |
02.08.2025 | Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) gelten |
11.02.2026 | Kabinettsbeschluss KI-MIG |
11.06.2026 | Bundestag beschließt das KI-MIG |
Ausstehend | Zustimmung des Bundesrates |
02.08.2026 | KI-VO wird allgemein anwendbar (Hochrisiko-KI, Transparenzpflichten) |
Spätestens 02.12.2027 | Hochrisiko-Pflichten (Anhang III) nach Digital Omnibus (falls verabschiedet) |
Während viele Unternehmen auf den August 2026 schauten, übersahen sie ein zentrales Risiko, das bereits bestand: Art. 4 KI-VO verlangt seit der Änderung durch den Digital Omnibus nur noch Maßnahmen zur Förderung der KI-Kompetenz. Unternehmen ohne solche Maßnahmen und ohne KI-Regeln erhöhen ihr Haftungsrisiko.
Das praktische Problem dahinter ist die sogenannte Schatten-KI: Mitarbeitende nutzen öffentlich zugängliche KI-Werkzeuge wie ChatGPT, Gemini oder Copilot für Arbeitsaufgaben, ohne dass das Unternehmen davon weiß oder Regeln dafür aufgestellt hat. In der Praxis führt das zu konkreten Problemen:
Die Kombination aus unmittelbar geltender KI-VO und dem KI-MIG als nationalem Durchführungsrahmen bedeutet: Die Aufsichtsbehörden werden handlungsfähig. Unternehmen sollten nicht abwarten, bis die erste Behördenanfrage eingeht, sondern sich proaktiv vorbereiten.
Neben der Aufsicht enthält das KI-MIG auch ein Innovationselement: Die Bundesnetzagentur betreibt KI-Reallabore (Regulatory Sandboxes), in denen Unternehmen neue KI-Anwendungen unter behördlicher Begleitung testen können. Der Zugang ist niedrigschwellig, besonders für KMU und Start-ups.
Besonders interessant ist die Genehmigungsfiktion nach § 14 Abs. 2: Reicht ein Unternehmen einen Testplan ein und erhält innerhalb von 30 Tagen keine gegenläufige Rückmeldung der Behörde, gilt der Test unter Realbedingungen als genehmigt. Das schafft Planungssicherheit und vermeidet lange Genehmigungsverfahren.
Gerade für KMU, die innovative KI-Anwendungen entwickeln, bieten die Reallabore eine Möglichkeit, frühzeitig Rechtssicherheit zu erlangen – noch bevor eine Konformitätsbewertung abgeschlossen ist. Gleichzeitig liefert das behördliche Feedback konkrete Hinweise, an welchen Stellen nachgebessert werden muss. Das reduziert das Risiko, am Markt vorbei zu entwickeln.
Das KI-MIG bringt keine neuen Pflichten, aber es bringt die Behörden in Stellung, die bestehende Pflichten durchsetzen. Die zentrale Rolle der Bundesnetzagentur, die klare Zuständigkeitsverteilung und die empfindlichen Bußgeldrahmen machen deutlich: Unternehmen, die KI einsetzen, brauchen eine belastbare Governance-Struktur.
Dabei geht es nicht nur um Bußgelder. Wer seine KI-Compliance nicht im Griff hat, riskiert auch zivilrechtliche Haftung, den Verlust von Geschäftsgeheimnissen durch unkontrollierte KI-Nutzung und Meldungen über das Hinweisgebersystem. Ein aktuelles KI-Inventar, dokumentierte Schulungen, eine betriebliche KI-Richtlinie und klare Verantwortlichkeiten sind keine Kür mehr – sie sind die Grundlage, um auf behördliche Anfragen, zivilrechtliche Ansprüche und interne Meldungen vorbereitet zu sein.
Hinweis: Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Stand der Informationen: Oktober 2026. Das KI-MIG ist seit dem 29. Juli 2026 in Kraft.
Profitieren Sie von der Expertise unserer KI-Experten, die Ihnen als externer KI-Beauftragter zur Seite stehen.
Wir begleiten Unternehmen dabei, Künstliche Intelligenz rechtssicher, transparent und verantwortungsvoll einzusetzen – digital, praxisnah und zu fixen Konditionen. Ob Risikobewertung nach EU AI-Act oder in der Schulung Ihrer Mitarbeitenden – Wir sorgen dafür, dass der Einsatz von KI-Systemen in Ihrem Unternehmen den regulatorischen Vorgaben entspricht und rechtliche Risiken minimiert werden.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen