Kurzfassung: Seit dem 2. August 2026 gelten weite Teile der KI-Verordnung. Deutschland hat dafür mit dem KI-MIG ein Durchführungsgesetz, das die Aufsicht bei der Bundesnetzagentur bündelt. Der Bußgeldrahmen liegt bei bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Und über solche Fälle entscheidet in erster Instanz das Amtsgericht.
Ich habe hier geschrieben, dass die Transparenzpflichten am 2. August greifen und dass viele das verschlafen haben. Der Tag ist jetzt da. Damit verschiebt sich die interessante Frage: nicht mehr, was gilt, sondern wer es durchsetzt und mit welchen Mitteln.
Das Gesetz, das kaum jemand kennt
Eine EU-Verordnung gilt unmittelbar, aber sie sagt nicht, welche deutsche Behörde zuständig ist. Genau dafür gibt es das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, kurz KI-MIG. Der Bundestag hat es am 11. Juni 2026 beschlossen, der Bundesrat am 10. Juli 2026, rechtzeitig vor dem 2. August.
Der Name ist verräterisch. „Innovationsförderung” steht gleichberechtigt neben „Marktüberwachung”, obwohl das Gesetz im Kern eine Zuständigkeitsregelung ist. Man wollte offenbar nicht als das Land dastehen, das nur kontrolliert.
Wer jetzt wofür zuständig ist
Die Aufsicht ist nicht bei einer Stelle gebündelt, sondern verteilt:
- Bundesnetzagentur: zentrale Marktüberwachungsbehörde, notifizierende Behörde und zentrale Anlaufstelle. Sie ist die Adresse für den Regelfall.
- UKIM: eine unabhängige Kammer für KI-Marktüberwachung innerhalb der Bundesnetzagentur, zuständig für die heiklen Bereiche, also unter anderem Strafverfolgung und Demokratie.
- BaFin: für KI-Systeme im regulierten Finanzbereich.
- Sektorbehörden: behalten die Aufsicht über KI in regulierten Produkten.
- Landesbehörden: für KI im öffentlichen Sektor, also Bildung, Polizei, Justiz und Soziales.
Für ein Unternehmen heißt das erst einmal: Die Bundesnetzagentur ist der Ansprechpartner. Für alle, die mit Behörden zu tun haben, heißt es: Es kommt darauf an.
Die Zahl, die Eindruck machen soll
Der Bußgeldrahmen der KI-Verordnung liegt bei bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Das liegt über dem Rahmen der Datenschutz-Grundverordnung, die bei 20 Millionen oder vier Prozent endet.
Auf dem Papier ist das eine Ansage. Ob sie trägt, entscheidet sich woanders.
Der Haken: Erste Instanz ist das Amtsgericht
Über Einsprüche gegen solche Bußgelder entscheidet in erster Instanz das Amtsgericht. Das Amtsgericht ist die unterste Ebene der ordentlichen Gerichtsbarkeit, zuständig sonst für Nachbarschaftsstreit, kleine Zivilsachen und Ordnungswidrigkeiten im Straßenverkehr.
Dort soll künftig verhandelt werden, ob ein Sprachmodell als Hochrisikosystem einzustufen ist, ob ein Trainingsdatensatz den Anforderungen genügt und ob sieben Prozent des Weltumsatzes angemessen sind. In der juristischen Diskussion wird diese Zuständigkeit als unglücklich bezeichnet, und das ist noch freundlich formuliert.
Wer schon einmal gesehen hat, wie sich Konzerne mit spezialisierten Kanzleien durch Instanzen arbeiten, kann sich ausrechnen, wie das ausgeht. Die hohe Zahl im Gesetz und die tatsächliche Durchsetzungskraft sind zwei verschiedene Dinge.
Zwei weitere offene Stellen
Die Unabhängigkeit der UKIM. Eine unabhängige Kammer innerhalb einer weisungsgebundenen Bundesbehörde ist eine Konstruktion, deren Unabhängigkeit von der Ausgestaltung abhängt. Ob sie im Konfliktfall trägt, ist ungeklärt.
Doppelverfolgung. Es fehlt ein Mechanismus, der verhindert, dass derselbe Sachverhalt einmal als KI-Verstoß und einmal als Datenschutzverstoß verfolgt wird. Für Unternehmen bedeutet das zwei Verfahren wegen einer Handlung, mit zwei Behörden und zwei Bußgeldern.
Was davon zu halten ist
Meine Haltung dazu ist nicht die, die man an dieser Stelle erwartet.
Ich halte den AI Act nicht für ein Bürokratiemonster. Regeln, die verlangen, dass ein Chatbot sich zu erkennen gibt und dass Hochrisikoanwendungen dokumentiert sind, sind das Mindeste. Wer sie für Innovationsfeindlichkeit hält, verwechselt Innovation mit Unbehelligtheit.
Was mich stört, ist etwas anderes: Diese Regeln treffen die Kleinen zuverlässig und die Großen nur vielleicht. Ein mittelständisches Unternehmen mit einem Chatbot auf der Website hat eine Bundesnetzagentur, die es findet, und keine Kanzlei, die drei Instanzen durchhält. Ein Konzern mit Sitz außerhalb der EU hat beides umgekehrt.
Genau deshalb ist die Zuständigkeit des Amtsgerichts kein Detail für Juristinnen und Juristen. Sie entscheidet darüber, ob dieses Gesetz gegenüber denen wirkt, gegen die es geschrieben wurde, oder nur gegenüber denen, die sich nicht wehren können. Ein Aufsichtsrecht, das nur nach unten durchgreift, ist kein Schutz. Es ist eine Umverteilung von Lasten.
Die Frage ist also nicht, ob Deutschland jetzt eine KI-Aufsicht hat. Die hat es seit dem 2. August. Die Frage ist, wen sie tatsächlich erreicht.
Was du konkret tun solltest
- Prüfen, ob du unter Artikel 50 fällst. Chatbot auf der Website, KI-generierte Texte oder Bilder, synthetische Stimmen: All das braucht eine Kennzeichnung.
- Die Bundesnetzagentur als zuständige Stelle notieren. Sie ist Anlaufstelle und Beschwerdestelle zugleich, auch für Beschwerden gegen dich.
- Dokumentieren, welche KI-Systeme im Einsatz sind. Nicht wegen der Behörde, sondern weil du sonst im Ernstfall nichts vorlegen kannst.
- Nicht auf die Hochrisiko-Verschiebung verlassen. Der Digital Omnibus hat die Fristen für Hochrisikosysteme auf Ende 2027 gestreckt. Die Transparenzpflichten sind davon ausdrücklich nicht erfasst.
Quellen
- Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), Beschluss Bundestag 11.06.2026, Bundesrat 10.07.2026
- Verordnung (EU) 2024/1689 über künstliche Intelligenz, Artikel 50 und Sanktionsrahmen
- LTO, Hintergrundbeitrag zur Aufsichtsstruktur, Bußgeldhöhe und Gerichtszuständigkeit
- Bundesnetzagentur, Rolle als Marktüberwachungsbehörde und zentrale Anlaufstelle ab 02.08.2026