Kurzantwort: Seit dem 29. Juli 2026 ist die Bundesnetzagentur die zentrale Marktüberwachungs-, Anlaufs- und Beschwerdestelle für die KI-Verordnung in Deutschland. Für Fachbereiche wie Finanzen oder Medien bleiben die bekannten Behörden zuständig. Für KMU gibt es einen KI-Service Desk und ein Reallabor.
Zwei Jahre lang lautete die ehrliche Antwort auf die Frage „Wer kontrolliert das eigentlich?“: Wissen wir noch nicht. Das hat sich geändert. Mit dem Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI-MIG, gibt es seit Ende Juli 2026 klare Zuständigkeiten. Dieser Beitrag beantwortet nicht, welche Pflichten Sie haben – das steht im Beitrag EU AI Act: Pflichten für KMU. Er beantwortet die andere Frage: An wen wenden Sie sich, wer prüft Sie, und was können Sie dort tatsächlich holen.
Was sich am 29. Juli 2026 geändert hat
Die Bundesnetzagentur hat an diesem Tag drei Rollen übernommen, die vorher unbesetzt waren. Sie ist Marktüberwachungsbehörde, sie ist zentrale Anlaufstelle für Fragen zur KI-Verordnung, und sie ist zentrale Beschwerdestelle. Beschwerden über Verstöße gehen dort ein, werden bearbeitet und gegebenenfalls an die fachlich zuständige Stelle weitergeleitet. So beschreibt es die Behörde in ihrer Pressemitteilung vom 29. Juli 2026.
Wichtig für die Einordnung: Die zugrunde liegende Verordnung (EU) 2024/1689 gilt seit dem 1. August 2024 und wird stufenweise anwendbar. Das deutsche Gesetz schafft keine neuen Pflichten, sondern regelt, wer die bestehenden europäischen Vorgaben durchsetzt. Wer bisher nichts zu tun hatte, hat auch jetzt nichts zu tun. Wer Pflichten hatte, hat jetzt einen Ansprechpartner – und ein Gegenüber.
Wer für welchen Bereich zuständig ist
Deutschland hat sich für einen geteilten Ansatz entschieden: In Bereichen mit etablierter Fachaufsicht bleiben die bekannten Behörden zuständig, damit Unternehmen nicht plötzlich zwei Ansprechpartner haben. Die Bundesnetzagentur übernimmt die Koordinierung und die Aufsicht in bisher nicht regulierten Produktbereichen auf Bundesebene.
| Bereich | Zuständig | Praktische Bedeutung für KMU |
|---|---|---|
| Allgemeine KI-Systeme ohne Fachregulierung | Bundesnetzagentur | Erster Ansprechpartner für die meisten Betriebe |
| Finanzdienstleistungen | Bundesanstalt für Finanzdienstleistungsaufsicht | Bekannter Ansprechpartner bleibt bestehen |
| Medien | Landesmedienanstalten | Relevant bei Veröffentlichung und Verbreitung |
| Beschwerden aller Art | Bundesnetzagentur als zentrale Stelle | Eine Adresse, Weiterleitung erfolgt intern |
| Personenbezogene Daten | Datenschutzaufsicht der Länder | Unverändert, unabhängig von der KI-Aufsicht |
Die letzte Zeile wird regelmäßig übersehen. KI-Aufsicht und Datenschutzaufsicht sind zwei getrennte Systeme mit eigenen Zuständigkeiten und eigenen Verfahren. Ein Vorgang kann beide betreffen. Was das für den Alltag heißt, behandelt der Praxis-Leitfaden zum DSGVO-konformen Arbeiten mit KI.
Was Sie bei der Behörde tatsächlich holen können
Der interessanteste Teil des Gesetzes ist nicht die Aufsicht, sondern das, was daneben aufgebaut wurde. Die Bundesnetzagentur nennt in ihrer Mitteilung zwei Angebote, die sich ausdrücklich an kleine und mittlere Unternehmen richten.
Der KI-Service Desk. Er bietet nach Angaben der Behörde niederschwellige Informationen zur Umsetzung der KI-Verordnung, darunter ein Online-Werkzeug zur ersten Einschätzung der Risikoklasse eines KI-Systems, Hinweise zu europäischen Leitlinien und Praxisleitfäden sowie Hinweise zum Aufbau von KI-Kompetenz. Zu finden ist das Angebot auf den KI-Seiten der Bundesnetzagentur. Für einen Betrieb, der wissen will, ob sein Terminassistent überhaupt in eine relevante Kategorie fällt, ist das der schnellste erste Schritt – und er kostet nichts.
Das KI-Reallabor. Eine kontrollierte Umgebung für Entwicklung, Training, Test und Validierung innovativer KI-Systeme, laut Bundesnetzagentur insbesondere für kleine und mittlere Unternehmen. Der Nutzen liegt in der regulatorischen Begleitung: Anforderungen werden im konkreten Fall definiert, Risiken benannt, Abhilfemaßnahmen erarbeitet. Für Betriebe, die ein eigenes KI-Produkt entwickeln, ist das eine Möglichkeit, Rechtsunsicherheit vor der Markteinführung abzuräumen statt danach.
Rechenbeispiel: was eine Bestandsaufnahme kostet
Ein Maschinenbauer mit 40 Beschäftigten will wissen, welche KI-Systeme im Haus laufen und ob eines davon in einen regulierten Bereich fällt. Der Aufwand einer sauberen Bestandsaufnahme lässt sich gut schätzen.
Erfahrungsgemäß finden sich in einem Betrieb dieser Größe zwischen 8 und 15 Systeme mit KI-Anteil – vom Übersetzungswerkzeug über den Terminassistenten bis zur Bilderkennung in der Qualitätsprüfung. Rechnen wir mit 12 Systemen und 45 Minuten je System für Erfassung, Einordnung und Dokumentation. Das sind 9 Stunden. Hinzu kommen 4 Stunden für Abstimmung und Zusammenschrift, ergibt 13 Stunden. Bei einem internen Vollkostensatz von 60 Euro entspricht das 780 Euro einmalig.
Dem steht eine Bestandsliste gegenüber, die bei jeder Anfrage – ob von einem Kunden, einem Auditor oder einer Behörde – innerhalb einer Stunde vorlegbar ist. Ohne diese Liste kostet dieselbe Anfrage erfahrungsgemäß zwei bis drei Tage Suchen im Haus. Der Betrag ist eine Annahme für dieses Beispiel; entscheidend ist das Verhältnis: eine gute Woche Arbeit, verteilt über zwei Personen, gegen einen dauerhaften Zustand der Auskunftsfähigkeit.
Drei Schritte, die jetzt sinnvoll sind
Erstens: Bestandsliste anlegen. Ein einziges Blatt mit Spalten für System, Anbieter, Zweck, verarbeitete Daten und verantwortliche Person. Nicht mehr. Diese Liste ist die Grundlage für alles Weitere und der einzige Schritt, den wirklich jeder Betrieb braucht.
Zweitens: Risikoklasse grob einschätzen. Nutzen Sie dafür das Werkzeug des KI-Service Desks. Für die allermeisten KMU-Anwendungen wird das Ergebnis lauten: geringes Risiko, keine besonderen Anforderungen über die Transparenz hinaus. Diese Bestätigung schriftlich zu haben, ist mehr wert als das Gefühl, dass es schon passen wird.
Drittens: eine interne Regelung schreiben. Wer darf welche Systeme womit füttern, wer prüft die Ergebnisse, wohin gehen Auffälligkeiten. Wie so ein Dokument aufgebaut ist, beschreibt der Beitrag KI-Richtlinie für Mitarbeiter.
Was sich ausdrücklich nicht ändert
Weil die Berichterstattung im Sommer teilweise nach Alarm klang, lohnt die Gegenprobe. Das deutsche Gesetz schafft keine zusätzlichen inhaltlichen Pflichten. Es verteilt Zuständigkeiten für Vorgaben, die europäisch längst feststehen.
Unverändert bleiben insbesondere: die Risikoeinstufung Ihrer Systeme, die europäischen Transparenzanforderungen, sämtliche Pflichten aus dem Datenschutzrecht sowie Ihre vertraglichen Zusagen gegenüber Kunden. Wer eine Bestandsliste, eine interne Regelung und einen benannten Verantwortlichen hat, ist von diesem Gesetz praktisch nicht betroffen.
Neu ist allein die Gewissheit, an wen Sie sich wenden können – und dass sich jemand anderes an dieselbe Stelle wenden kann, wenn er sich über Ihren Einsatz von KI beschwert. Diese zweite Hälfte wird in der Diskussion meist unterschlagen und ist der eigentliche Grund, die eigene Dokumentation jetzt in Ordnung zu bringen.
Häufige Fragen
Muss ich mich irgendwo registrieren?
Für den normalen Einsatz gekaufter KI-Werkzeuge in einem KMU besteht keine allgemeine Registrierungspflicht bei der Bundesnetzagentur. Registrierungs- und Meldepflichten knüpfen an bestimmte Rollen und Risikoklassen an, nicht an die bloße Nutzung.
Kann sich jemand über uns beschweren?
Ja. Die Bundesnetzagentur ist ausdrücklich als zentrale Beschwerdestelle eingerichtet und nimmt Beschwerden über Verstöße gegen die KI-Verordnung entgegen. Das ist ein guter Grund, Transparenzhinweise dort zu setzen, wo Kunden mit einem System sprechen.
Gilt das auch für uns, wenn wir KI nur einkaufen?
Die Verordnung unterscheidet zwischen Anbietern und Betreibern und knüpft daran unterschiedliche Pflichten. Wer ein System nur einsetzt, hat deutlich weniger zu tun als wer es entwickelt oder unter eigenem Namen anbietet. Die Grenze verschiebt sich allerdings, sobald Sie ein fremdes System wesentlich verändern.
Was kostet die Nutzung des Service Desks?
Die Bundesnetzagentur beschreibt das Angebot als niederschwellige Information und Orientierung, insbesondere für KMU und Start-ups. Es handelt sich um ein Informationsangebot der Behörde, nicht um eine Rechtsberatung im Einzelfall.
Ändert sich etwas an der Kennzeichnung von KI-Inhalten?
An den europäischen Transparenzanforderungen ändert das deutsche Gesetz nichts; es regelt, wer ihre Einhaltung überwacht. Was das konkret bedeutet, steht im Beitrag KI-Inhalte kennzeichnen.
Nächster Schritt
Wir erstellen mit Ihnen die Bestandsliste, ordnen jedes System grob ein und sagen Ihnen, wo tatsächlich Handlungsbedarf besteht – und wo nicht. Starten Sie mit dem KI-Check, sehen Sie sich unsere Leistungen rund um KI-Tools an oder schreiben Sie uns über das Kontaktformular.
