KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG)

Ein Unternehmen nutzt eine Software, um Bewerbungen vorzusortieren, und setzt gleichzeitig einen KI-Chatbot im Kundenservice ein. Für beide Anwendungen können Vorgaben der europäischen KI-Verordnung gelten. Damit stellt sich jedoch eine weitere Frage. Welche Behörde kontrolliert in Deutschland die Einhaltung dieser Anforderungen, wohin können sich Betroffene mit Beschwerden wenden und wer darf bei Verstößen Sanktionen verhängen?

Neue Behörde für das KI-MIG

Seit dem 29. Juli 2026 schafft das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, hierfür den nationalen Rahmen. Das Gesetz führt grundsätzlich keine eigenständigen materiellen Pflichten für den Einsatz von KI ein. Stattdessen regelt es, welche Behörden in Deutschland für die Marktüberwachung zuständig sind, welche Befugnisse ihnen bei Kontrollen zur Verfügung stehen und wie Verstöße gegen die Vorgaben der KI-Verordnung verfolgt werden können.

Die praktische Bedeutung des KI-MIG wächst mit der zunehmenden Nutzung von Künstlicher Intelligenz in Unternehmen. Nach dem Bitkom-Studienbericht „Künstliche Intelligenz in Deutschland“ vom Februar 2026 setzten bereits 36 Prozent der Unternehmen mit mindestens 20 Beschäftigten KI ein. Damit hatte sich der Anteil gegenüber dem Vorjahr verdoppelt. Gleichzeitig bezeichneten 53 Prozent der befragten Unternehmen rechtliche Unklarheiten als größtes Hindernis beim KI-Einsatz. Nur etwa ein Viertel konnte sich selbst einer konkreten Rolle nach der KI-Verordnung zuordnen.

Auch die Zahlen des Statistischen Bundesamtes zeigen einen deutlichen Anstieg. Der Anteil der Unternehmen mit mindestens zehn Beschäftigten, die KI-Technologien einsetzen, stieg von 20 Prozent im Jahr 2024 auf 26 Prozent im Jahr 2025. Mit der wachsenden Verbreitung von KI gewinnt daher nicht nur die Frage an Bedeutung, welche Pflichten Unternehmen erfüllen müssen, sondern auch, welche Behörde deren Einhaltung kontrolliert.

Begriff und Bedeutung des KI-MIG

Das KI-Marktüberwachungs- und Innovationsförderungsgesetz ist Artikel 1 des „Gesetzes zur Durchführung der Verordnung über künstliche Intelligenz“. Es wurde am 28. Juli 2026 im Bundesgesetzblatt verkündet und ist seit dem 29. Juli 2026 in Kraft. Das KI-MIG umfasst 20 Paragrafen und ergänzt die europäische KI-Verordnung um nationale Regelungen zur Behördenzuständigkeit, zur Innovationsförderung und zur Ahndung von Verstößen. Nach § 1 KI-MIG bestimmt das Gesetz insbesondere die zuständigen Behörden nach Art. 70 Abs. 1 KI-VO und schafft den Rahmen für Bußgelder nach Art. 99 Abs. 1 KI-VO.

Das Durchführungsgesetz wirkt sich zugleich auf weitere Rechtsbereiche aus. Es werden Verstöße gegen die KI-Verordnung in den Anwendungsbereich des Hinweisgeberschutzgesetzes aufgenommen. Daneben werden das Erste Buch Sozialgesetzbuch sowie das Finanzdienstleistungsaufsichtsgesetz angepasst. Letzteres regelt unter anderem die Kostentragung für die KI-Marktüberwachung durch die BaFin.

Eigene Definitionen für Begriffe wie KI-System, Anbieter oder Betreiber enthält das KI-MIG nicht. Maßgeblich bleiben die Begriffsbestimmungen aus Art. 3 KI-VO. Auch die materiellen Anforderungen an Unternehmen ergeben sich grundsätzlich unmittelbar aus der KI-Verordnung. Das KI-MIG organisiert vor allem deren Durchsetzung in Deutschland und soll daher nach der Gesetzesbegründung keinen zusätzlichen Erfüllungsaufwand allein durch neue materielle Pflichten verursachen.

In der Praxis kann das KI-MIG insbesondere folgende Akteure betreffen:

• Anbieter von KI-Systemen, die Systeme entwickeln, unter eigenem Namen auf den Markt bringen oder wesentlich verändern
• Betreiber von KI-Systemen, die eingekaufte Systeme in eigener Verantwortung einsetzen
• Betreiber von Chatbots, Voicebots und generativen KI-Systemen, für die Transparenz- oder Kennzeichnungspflichten nach Art. 50 KI-VO gelten können
• Anbieter und Betreiber von Hochrisiko-KI-Systemen, etwa in der Personalauswahl, Bonitätsbewertung oder Bildung
• Konformitätsbewertungsstellen und Prüforganisationen
• Öffentliche Stellen des Bundes und der Länder, soweit sie KI-Systeme einsetzen

Ob das KI-MIG für ein Unternehmen praktisch relevant wird, lässt sich nicht allein daran festmachen, ob eine Anwendung als „KI“ bezeichnet wird. Wesentlicher ist vielmehr, ob das konkrete System unter den Begriff des KI-Systems nach der KI-Verordnung fällt, welche Rolle das Unternehmen einnimmt und welcher Risikokategorie die jeweilige Anwendung zugeordnet wird. Erst aus dieser Einordnung ergibt sich, welche Pflichten greifen und welche Behörde für die Überwachung zuständig ist.

Vom Referentenentwurf zum Inkrafttreten

Die KI-Verordnung verpflichtete die Mitgliedstaaten, ihre zuständigen Behörden bis zum 2. August 2025 zu benennen. Deutschland überschritt diese Frist um knapp ein Jahr. Der Entwurf wurde dem Bundesrat später als besonders eilbedürftige Vorlage nach Art. 76 Abs. 2 Satz 4 GG zugeleitet.

Im parlamentarischen Verfahren wurde der Regierungsentwurf noch an mehreren Stellen ergänzt. Hinzu kamen insbesondere eine Evaluierungsklausel in § 19 KI-MIG und ein nicht öffentliches Register über bestimmte Hochrisiko-KI-Systeme bei der Bundesnetzagentur nach § 20 KI-MIG. Die erste Evaluation soll nach 18 Monaten erfolgen, eine weitere nach drei Jahren.

Zudem erhielt das Koordinierungszentrum zusätzliche Aufgaben im Bereich Schulung und Sensibilisierung. Ergänzend sieht das Gesetz einen Bund-Länder-Ausschuss Künstliche Intelligenz vor. Damit regelt das KI-MIG nicht nur Zuständigkeiten und Aufsicht, sondern schafft auch Strukturen für die Abstimmung und Weiterentwicklung der KI-Regulierung in Deutschland.

Neue Stellen und Befugnisse bei der Bundesnetzagentur

Das Gesetz schafft innerhalb der Behörde mehrere besondere Stellen mit unterschiedlichen Aufgaben. Dazu gehört zunächst die unabhängige KI-Marktüberwachungskammer nach § 4 KI-MIG. Sie besteht aus drei Mitgliedern und wird von der Präsidentin oder dem Präsidenten der Bundesnetzagentur geleitet. Die beiden weiteren Mitglieder sind die Vizepräsidentinnen oder Vizepräsidenten. Die Kammer handelt unabhängig und ist nicht an Weisungen gebunden. Einmal jährlich berichtet sie dem Bundestag über ihre Tätigkeit. Ihre Aufgabe bleibt dabei auf die Überprüfung des jeweiligen KI-Systems beschränkt. Ob eine Behörde oder öffentliche Stelle dieses System im Einzelfall einsetzen durfte, kontrolliert sie dagegen nicht.

Daneben richtet § 5 KI-MIG ein Koordinierungs- und Kompetenzzentrum ein. Es unterstützt Marktüberwachungs- und notifizierende Behörden bei komplexen Fragen, koordiniert deren Zusammenarbeit und soll dazu beitragen, horizontale Rechtsfragen einheitlich zu beantworten. Außerdem fördert es freiwillige Verhaltenskodizes nach Art. 95 Abs. 2 KI-VO und bezieht dabei unter anderem Wirtschaft, Wissenschaft, Gewerkschaften, Zivilgesellschaft und Länder ein.

Nach § 6 KI-MIG übernimmt die Bundesnetzagentur außerdem die Funktion der zentralen Anlaufstelle nach Art. 70 Abs. 2 Satz 3 KI-VO. Sie bündelt die Kontaktdaten der beteiligten Behörden, veröffentlicht diese und übermittelt sie an die Europäische Kommission. Die jährliche Berichtspflicht gegenüber der Kommission erfüllt dagegen das Bundesministerium für Digitales und Staatsmodernisierung.

Auch Beschwerden laufen künftig gebündelt über die Bundesnetzagentur. Nach § 8 KI-MIG können Beschwerden nach Art. 85 KI-VO dort eingereicht werden. Die Bundesnetzagentur leitet sie anschließend an die zuständige Marktüberwachungsbehörde oder an eine Grundrechtsschutzbehörde nach Art. 77 Abs. 1 KI-VO weiter. Das Beschwerdemanagement muss barrierefrei ausgestaltet sein. Für KI-Modelle mit allgemeinem Verwendungszweck bleibt dagegen der AI Act Service Desk der Europäischen Kommission zuständig.

Ergänzend besteht der KI-Service-Desk der Bundesnetzagentur, der bereits seit dem 3. Juli 2025 arbeitet und nun in § 12 KI-MIG gesetzlich verankert ist. Das Angebot richtet sich insbesondere an kleine und mittlere Unternehmen, Start-ups und öffentliche Stellen. Es bietet Hinweise zur KI-Verordnung, einen interaktiven Kompass zur Einordnung eigener Anwendungen sowie Materialien zum Aufbau von KI-Kompetenz. Der KI-Service-Desk stellt insbesondere Unternehmen, KMU, Start-ups und öffentlichen Stellen allgemeine Informationen und Anwendungshinweise zur KI-Verordnung bereit. Eine weitergehende Besonderheit enthält § 12 Nr. 2 KI-MIG jedoch für öffentliche Stellen: Sie können die Bundesnetzagentur im konkreten Einzelfall zum rechtlichen Status eines maschinengestützten Systems als KI-System und zu dessen möglicher Einstufung als Hochrisiko-KI-System konsultieren.

Für die eigentliche Marktüberwachung stattet § 11 KI-MIG die zuständigen Behörden mit weitreichenden Befugnissen aus. Über die Verweisung auf Art. 14 Abs. 4 und 5 sowie Art. 16 der Marktüberwachungsverordnung (EU) 2019/1020 können sie Auskünfte verlangen, Unterlagen und Daten einsehen, Testmuster auch unter verdeckter Identität erwerben und Abhilfemaßnahmen anordnen. Je nach Verstoß kommen außerdem Rücknahme, Rückruf oder ein Verbot der weiteren Bereitstellung eines KI-Systems in Betracht.

Die Behörden dürfen dabei unter bestimmten Voraussetzungen auch Dritte als Verwaltungshelfer einsetzen und technische Zugriffe über Programmierschnittstellen oder andere Fernzugriffsmöglichkeiten nutzen. Betretensrechte bestehen grundsätzlich während der üblichen Betriebs- und Geschäftszeiten. § 11 KI-MIG weist ausdrücklich darauf hin, dass dadurch das Grundrecht auf Unverletzlichkeit der Wohnung aus Art. 13 GG eingeschränkt werden kann. Auf begründetes Ersuchen kann zudem das Steuergeheimnis durchbrochen werden. In bestimmten Fällen entfalten Widerspruch und Klage gegen behördliche Maßnahmen keine aufschiebende Wirkung.

Besonders sensibel ist der mögliche Zugriff auf Trainingsdaten und Quellcode. Dieser ist nicht eigenständig im KI-MIG geregelt, sondern folgt unmittelbar aus Art. 74 Abs. 12 und 13 KI-VO. Danach kann die zuständige Marktüberwachungsbehörde auf begründetes Ersuchen Zugang zum Quellcode verlangen, wenn sich die Konformität eines KI-Systems auf andere Weise nicht ausreichend bewerten lässt.

Innovationsförderung mit Reallaboren und Praxistests

Das KI-MIG soll nicht nur kontrollieren, sondern auch Innovation möglich machen. Nach § 13 KI-MIG richtet die Bundesnetzagentur mindestens ein KI-Reallabor ein, in dem neue Systeme unter kontrollierten Bedingungen erprobt werden können. Forschungseinrichtungen, Hochschulen und deren Ausgründungen erhalten dabei vorrangigen Zugang. Die Frist für ein dauerhaftes nationales Reallabor läuft nach der Digital-Omnibus-Verordnung bis zum 2. August 2027.

Auch Tests unter realen Bedingungen sind vorgesehen. Anbieter oder zukünftige Anbieter, die ein von § 14 Abs. 2 KI-MIG erfasstes Hochrisiko-KI-System nach Anhang I Abschnitt A oder Anhang III KI-VO außerhalb eines KI-Reallabors unter Realbedingungen testen wollen, müssen der zuständigen Marktüberwachungsbehörde zuvor einen Testplan vorlegen. Erhalten sie innerhalb von 30 Tagen nach Eingang des Plans keine Antwort, gilt die Genehmigung unter den gesetzlichen Voraussetzungen als erteilt.

Sanktionen nach KI-MIG und KI-Verordnung

Bei Verstößen gegen die KI-Verordnung gilt ein zweistufiges Sanktionssystem. Die hohen Bußgeldrahmen ergeben sich unmittelbar aus Art. 99 KI-VO. Ergänzend schafft § 15 KI-MIG eigene Bußgeldtatbestände für Verstöße, die von Art. 99 KI-VO nicht erfasst werden.

Bei Unternehmen ist nach Art. 99 KI-VO grundsätzlich der jeweils höhere Betrag aus absolutem Höchstbetrag und umsatzbezogener Grenze maßgeblich. Für kleine und mittlere Unternehmen einschließlich Start-ups gilt nach Art. 99 Abs. 6 KI-VO dagegen der jeweils niedrigere Wert. Die Digital-Omnibus-Verordnung hat diese Begünstigung zusätzlich auf kleine Mid-Cap-Unternehmen erweitert.

Das Verfahren richtet sich nach § 16 KI-MIG nach dem Gesetz über Ordnungswidrigkeiten. Für Verstöße nach Art. 99 Abs. 3 bis 5 KI-VO gelten jedoch Besonderheiten. § 17 OWiG sowie § 30 Abs. 1 und 2 OWiG finden insoweit keine Anwendung. Hintergrund ist, dass die KI-Verordnung Unternehmen unmittelbar adressiert und die mögliche Geldbuße an den weltweiten Konzernumsatz anknüpft. Zuständig für die Verfolgung ist jeweils die fachlich zuständige Marktüberwachungsbehörde. Eine zentrale Bußgeldstelle für KI-Verstöße gibt es nicht.

Eine Sonderregelung enthält § 17 Abs. 2 KI-MIG für den öffentlichen Sektor. Gegen Behörden und sonstige öffentliche Stellen werden weder nach § 15 KI-MIG noch nach Art. 99 Abs. 3 bis 5 KI-VO Geldbußen verhängt. Deutschland nutzt damit die Öffnungsklausel des Art. 99 Abs. 8 KI-VO.

Für Rechtsbehelfe enthält das KI-MIG keine eigene Rechtswegzuweisung. Gegen Maßnahmen der Marktüberwachungsbehörden ist daher grundsätzlich der Verwaltungsrechtsweg nach § 40 Abs. 1 VwGO eröffnet. Gegen Bußgeldbescheide gelten die allgemeinen Vorschriften des Ordnungswidrigkeitenrechts.

Berührungspunkte mit anderen Regelwerken

Das KI-MIG und die KI-Verordnung stehen in der Unternehmenspraxis selten für sich. Je nach Einsatzbereich eines KI-Systems können gleichzeitig weitere gesetzliche Vorgaben gelten. Unternehmen sollten diese Anforderungen deshalb nicht getrennt voneinander betrachten.

• DSGVO
  Die KI-Verordnung ersetzt das Datenschutzrecht nicht. Werden personenbezogene Daten für das Training oder den Betrieb eines KI-Systems verarbeitet, gelten weiterhin die Anforderungen der DSGVO. Dazu gehören insbesondere eine geeignete Rechtsgrundlage, Zweckbindung, Transparenz sowie die Wahrung der Betroffenenrechte.
• Hinweisgeberschutzgesetz
  Verstöße gegen die KI-Verordnung können seit dem 29. Juli 2026 Gegenstand einer Meldung nach dem Hinweisgeberschutzgesetz sein. Unternehmen sollten deshalb bestehende Hinweisgebersysteme, Meldekataloge und interne Schulungen um entsprechende KI-bezogene Verstöße ergänzen.
• Cyber Resilience Act
  Bei bestimmten Hochrisiko-KI-Systemen nach Anhang III Nr. 1 KI-VO bestehen Überschneidungen mit der Verordnung (EU) 2024/2847. Die nach Art. 52 Abs. 2 des Cyber Resilience Act zu benennende Behörde übernimmt dabei zugleich Aufgaben als notifizierende Behörde. Bis zu einer entsprechenden Benennung nimmt das Bundesamt für Sicherheit in der Informationstechnik diese Funktion wahr.
• NIS-2 und BSI-Gesetz
  Besonders wichtige und wichtige Einrichtungen müssen ihre Anforderungen an Cybersicherheit und Vorfallmanagement auch beim Einsatz von KI berücksichtigen. Dazu können insbesondere vertragliche Vorgaben innerhalb der Lieferkette sowie Melde- und Sicherheitsprozesse gehören.
• Sektorspezifische Regelungen
  Für Medizinprodukte, Maschinen, Fahrzeuge oder Finanzdienstleistungen bleiben die jeweiligen spezialgesetzlichen Anforderungen bestehen. Die Vorgaben der KI-Verordnung treten zu bestehenden Konformitäts-, Sicherheits- und Aufsichtsregelungen hinzu.

Für Unternehmen empfiehlt sich daher eine gemeinsame Compliance-Struktur, in der die unterschiedlichen Anforderungen zusammengeführt werden. Ein zentrales Steuerungsdokument kann dabei helfen, Zuständigkeiten, Prüfprozesse und Meldefristen aufeinander abzustimmen. Gerade bei Vorfällen können voneinander abweichende Anforderungen aus Datenschutz-, Cybersecurity-, KI- und Sektorrecht sonst schnell zu Fehlern führen.

SBS LEGAL – Kanzlei für KI-Recht und IT-Recht

SBS LEGAL berät Unternehmen zu Fragen im Bereich KI-Recht und IT-Recht zum rechtssicheren Einsatz von KI-Agenten. Im Mittelpunkt stehen dabei insbesondere der AI Act, datenschutzrechtliche Anforderungen und die Gestaltung geeigneter Compliance-Strukturen.

KI-Agenten rechtssicher in Unternehmensprozesse integrieren

Der Einsatz autonom oder teilautonom arbeitender KI-Systeme sollte rechtlich und organisatorisch auf den jeweiligen Anwendungsfall abgestimmt werden. SBS LEGAL unterstützt Unternehmen dabei, ihre Rolle nach der KI-Verordnung einzuordnen, datenschutzrechtliche Anforderungen zu prüfen und Verantwortlichkeiten, Kontrollmechanismen sowie interne Vorgaben für den Einsatz von KI-Systemen zu entwickeln.

Der Erstkontakt zu SBS LEGAL ist kostenlos.