Von Brüssel nach Bonn: Deutschland hat seine KI-Aufsicht gerade beschlossen

In Teil 1 unser neuen Serie „Der Aufschub, den kaum jemand verstanden hat" haben wir Dir gezeigt, dass der viel gefürchtete Stichtag 2. August 2026 doch nicht so hart trifft, wie es lange hieß. Die Europäische Union hat die aufwendigsten Pflichten rund um Hochrisiko-KI um ein bis zwei Jahre nach hinten verschoben. Zurückgeblieben sind die Regeln, die Deinen Alltag mit Chatbots, KI-generierten Bildern und automatisierten Antworten am direktesten berühren.

Was in dieser Debatte oft untergeht: Parallel zu Brüssel hat Deutschland an einem eigenen Umsetzungsgesetz gearbeitet, dem sogenannten KI-MIG. Es regelt, welche deutschen Behörden die europäischen Vorgaben in der Praxis überwachen, wer welche Rechte hat und was passiert, wenn diese Behörden bei Dir prüfen wollen. Am 11. Juni hat das Gesetz den Bundestag passiert, am 10. Juli den Bundesrat.

Der Aha-Effekt: Die EU macht die Regeln, Deutschland macht die Kontrolle

Die EU-Verordnung sagt, was gilt. Sie sagt aber nicht, wer bei Dir vorbeischaut, wenn etwas nicht passt. Genau diese Lücke schließt das KI-MIG. Es baut eine deutsche Aufsichtsstruktur auf, mit einer klaren zentralen Adresse und mit klaren Zuständigkeiten für die Bereiche, in denen bereits spezialisierte Behörden existieren. Für Dein Unternehmen heißt das: Wenn es um KI-Aufsicht geht, hat sie jetzt einen Namen und eine Postanschrift.

Drei Dinge, die Du über die neue KI-Aufsicht wissen solltest

Das Gesetz umfasst mehrere hundert Seiten. Für die Praxis lassen sich die wichtigsten Änderungen auf drei Punkte verdichten.

Die Bundesnetzagentur wird die zentrale Adresse: Bisher kannte man die Bundesnetzagentur vor allem als Regulierer für Telekommunikation, Energie und Post. Ab sofort ist sie zusätzlich die zentrale Marktüberwachungsbehörde für die KI-Verordnung. Bei ihr entsteht ein neues Koordinierungs- und Kompetenzzentrum, das sogenannte KoKIVO. Dieses Zentrum bündelt die deutsche Auslegung der KI-Regeln, ist Ansprechpartner für die EU-Kommission und stellt sicher, dass die sektoralen Aufsichtsbehörden im Land nicht in verschiedene Richtungen auslegen.

Der Hybrid-Ansatz: Zuständigkeiten bleiben, wo Erfahrung liegt: Deutschland hat sich bewusst gegen eine völlig neue KI-Superbehörde entschieden. Wo bereits spezialisierte Aufsicht besteht, bleibt sie dort. Die Finanzaufsicht BaFin überwacht weiterhin KI im Bankenumfeld, die zuständigen Medizinaufsichten übernehmen KI-basierte Medizinprodukte, andere Sektoren bleiben bei ihren jeweiligen Behörden. Die Bundesnetzagentur ist zentral zuständig für alles, was nicht in einen dieser Sektoren fällt, also für den ganz großen Rest, in den die meisten Mittelständler mit ihren alltäglichen KI-Anwendungen hineinfallen.

Nicht nur Kontrolle, auch Rückenwind für den Mittelstand: Das KI-MIG hat neben der Aufsicht einen zweiten Auftrag, der bislang weniger diskutiert wird: Innovationsförderung. Die Bundesnetzagentur soll dafür Informationsangebote und Beratung für Unternehmen bereitstellen und mindestens ein sogenanntes KI-Reallabor einrichten. In diesem Reallabor können neue KI-Anwendungen unter Aufsicht getestet werden, ausdrücklich mit dem Ziel, kleinen und mittleren Unternehmen den Zugang zu erleichtern. Ein Angebot, das man kennen sollte, bevor man Zeit und Geld in eigene Fehlversuche steckt.

Für die alltägliche Praxis in Deinem Betrieb heißt das: Wenn es Fragen zur KI-Verordnung gibt, führt der Weg künftig nach Bonn zur Bundesnetzagentur. Und dort wartet nicht nur eine Kontrollbehörde, sondern auch eine Anlaufstelle.

Was die Bundesnetzagentur nicht macht, macht der Datenschutz

Wichtig zu wissen: Die Bundesnetzagentur wird zwar zentrale KI-Aufsicht, sie ersetzt aber nicht die bestehenden Datenschutzbehörden der Länder. Wenn Deine KI-Anwendung mit personenbezogenen Daten arbeitet, bleibt die zuständige Landesdatenschutzbehörde weiterhin Dein Ansprechpartner in Datenschutzfragen. In der Praxis werden Prüfungen deshalb häufig zweigleisig ablaufen: Die Bundesnetzagentur schaut auf die KI-Verordnung, die Datenschutzaufsicht auf die DSGVO. Für Dich heißt das: Bei einem neuen KI-Projekt lohnt es sich weiterhin, beide Perspektiven von Anfang an zusammenzudenken, statt sie nacheinander abzuarbeiten.

Warum eine klare Anlaufstelle mehr wert ist als ein Aufschub

Ein Jahr lang war die KI-Aufsicht in Deutschland eine offene Baustelle. Niemand wusste genau, an wen man sich mit einer Frage wenden konnte, welche Behörde bei einer Beschwerde zuständig wäre oder wer im Ernstfall Bußgelder verhängt. Diese Unklarheit war für viele Unternehmen tatsächlich belastender als die Regeln selbst. Ab jetzt gibt es eine Antwort, und diese Antwort heißt Bundesnetzagentur mit KoKIVO. Das nimmt Druck aus dem System, wenn man die neue Struktur aktiv nutzt statt sie zu ignorieren. Wer sich jetzt einmal die neue Zuständigkeits-Landkarte anschaut und weiß, wer für welche Frage zuständig ist, spart sich später viele nervöse Telefonate.