KI-MIG – Deutschland regelt die nationale Umsetzung der KI-Verordnung
Der Bundestag hat den Gesetzentwurf zur Durchführung der EU-KI-Verordnung (KI-MIG) am 11. Juni 2026 mit leichten Änderungen beschlossen, der Bundesrat hat am 10. Juli 2026 zugestimmt. Das Gesetz kann nun ausgefertigt und verkündet werden und tritt am Tag danach in Kraft. Damit ist das Verfahren, das im Frühjahr noch offen war, abgeschlossen.
Hintergrund zum KI-MIG
Die EU-KI-Verordnung – also die KI-VO oder auch AI-Act genannt – gilt unmittelbar in allen Mitgliedstaaten, benötigt aber nationale Regelungen zu Zuständigkeiten, Bußgeldverfahren und Innovationsförderung. Diese Aufgabe übernimmt in Deutschland das KI-MIG. Inhaltlich ändert es die Verordnung nicht, sondern ordnet die Aufsicht in die bestehende föderale und sektorale Struktur ein. Die Zuständigkeiten für die Aufsicht wurden in Deutschland lange diskutiert. Ausgeschrieben nennt sich das Gesetz übrigens „KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG)“.
Zuständigkeiten
Zentrale Koordinationsstelle wird die Bundesnetzagentur, bei der das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) angesiedelt ist – inklusive Service-Desk für Unternehmensanfragen. Sie ist grundsätzlich auch als Marktüberwachungsbehörde und notifizierende Behörde vorgesehen. Sie soll KI-Expertise zur Durchführung der EU-Verordnung bündeln – grundsätzlich also ein guter Ansatz, zumal die Behörde über entsprechende personale Kapazitäten verfügt.
Die eigentliche Marktüberwachung bleibt jedoch sektoral verteilt:
– BaFin – Finanzsektor (u. a. Kreditwürdigkeitsbewertung, Versicherungsrisiken, Betrugserkennung)
– BfArM – KI in Medizinprodukten (hier gilt statt 2.8.2026 die Frist 2.8.2027)
– BSI – IT- und Cybersicherheit von Hochrisiko-KI-Systemen
– BfDI und Landesdatenschutzbehörden – Datenschutz-Schnittstellen und biometrische Systeme
Für Unternehmen mit KI-Einsatz in regulierten Branchen bedeutet das also:
Es gibt in der Regel doch nicht nur eine, sondern mehrere zuständige Stellen parallel…
Bußgelder und Reallabore
Der Bußgeldrahmen ergibt sich unmittelbar aus Art. 99 der KI-Verordnung (bis zu 35 Mio. € / 7 % des weltweiten Jahresumsatzes bei Verstößen gegen Verbote nach Art. 5, gestaffelt niedriger für andere Pflichtverstöße). Das KI-MIG weist die Bußgeldkompetenz jeweils der sachlich zuständigen Behörde zu.
Daneben regelt das Gesetz die Einrichtung mindestens eines KI-Reallabors unter Koordination der Bundesnetzagentur (Art. 57–63 KI-VO), in dem Anbieter neue Systeme unter Aufsicht erproben können – mit erleichtertem Zugang für KMU und Start-ups.
Was ist eigentlich ein Hochrisiko-KI-System?
(ein kleiner Exkurs) Die KI-Verordnung stuft nur einen begrenzten Kreis von Systemen als Hochrisiko-KI ein – entscheidend ist der Verwendungszweck. Zwei Wege führen zu dieser Einstufung:
Anhang I: Das System ist selbst Teil eines regulierten Produkts oder ein Sicherheitsbauteil davon (z. B. in Medizinprodukten, Maschinen oder Funkanlagen) und erfordert nach dem jeweiligen Produktrecht eine Konformitätsbewertung durch Dritte.
Anhang III: Das System wird in einem von acht sensiblen Anwendungsbereichen eingesetzt – u. a. Biometrie, kritische Infrastruktur, Bildung, Beschäftigung/ Personalmanagement, Zugang zu wesentlichen Diensten, Strafverfolgung, Migration/Asyl sowie Rechtspflege und demokratische Prozesse. Kleiner Spoiler: Beschäftigung/Personalmanagement ist ein ziemlich verbreiteter Anwendungsbereich, der zur Bewertung als Hochrisiko-KI-System führt.
Für solche Systeme gelten die Pflichten aus Art. 8–15 KI-VO: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, Transparenzinformationen, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit. Ausnahmen gelten für rein unterstützende, eng umgrenzte Aufgaben – Profiling natürlicher Personen zählt aber immer als hochriskant.
Stichtag verschoben: Digital Omnibus ändert den Zeitplan
Ursprünglich sollten die Hochrisiko-Pflichten bereits ab dem 2. August 2026 gelten.
Mit dem Digital Omnibus on AI hat die EU diesen Zeitplan entzerrt: Nach politischer Einigung im Trilog (7. Mai 2026), Zustimmung des Europäischen Parlaments (16. Juni 2026) und finaler Annahme durch den Rat (29. Juni 2026) verschieben sich die Fristen wie folgt:
Anhang III (eigenständige Hochrisiko-Systeme): neu 2. Dezember 2027 (statt 2. August 2026)
Anhang I (in Produkte eingebettete KI): neu 2. August 2028 (statt 2. August 2027)
Die Veröffentlichung im Amtsblatt steht noch aus, wird aber vor dem 2. August 2026 erwartet, damit die neuen Fristen rechtzeitig gelten. Unverändert bleibt der 2. August 2026 als Stichtag für die Transparenzpflichten nach Art. 50 sowie für die im Zuge des Omnibus neu eingeführten Verbote nach Art. 5 (u. a. gegen KI-generierte intime Darstellungen und Missbrauchsabbildungen). Auch die bereits geltende KI-Kompetenzpflicht (Art. 4) und die GPAI-Pflichten bleiben unberührt.
Verschiebung heißt – die Zeit nutzen!
Die zusätzliche Zeit bis Ende 2027/2028 ist kein Grund, die eigene Vorbereitung aufzuschieben – die inhaltlichen Anforderungen ändern sich nicht, nur der Zeitpunkt der Durchsetzung. Die DSGVO gilt parallel weiter und wird durch die KI-Verordnung ergänzt (z. B. um technische Anforderungen an Datenqualität und Transparenz), nicht ersetzt. Unternehmen sollten frühzeitig klären, welche der genannten Behörden für ihre KI-Systeme zuständig ist, ihre Systeme sauber nach Anhang I/III klassifizieren und bestehende Compliance- und Datenschutzstrukturen um die neuen Dokumentations- und Meldepflichten erweitern, statt separate Parallelstrukturen aufzubauen.
–
Quellen:
Bundesnetzagentur – Hochrisiko-KI
Bundesregierung zur Umsetzung (https://www.bundesregierung.de/breg-de/aktuelles/umsetzung-ki-verordnung-2406638)
https://bmds.bund.de/aktuelles/pressemitteilungen/detail/kabinett-beschliesst-schlanke-ki-aufsicht-in-deutschland
.