KI-MIG: die Bundesnetzagentur als KI-Aufsicht

Am 29. Juli 2026 ist das KI-MIG in Kraft getreten, das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz vom 22. Juli 2026 (BGBl. 2026 I Nr. 223). Es macht die Bundesnetzagentur zur zentralen Aufsicht über die KI-Verordnung in Deutschland. Hier lesen Sie, welche Behörde für welchen KI-Einsatz zuständig ist, welche Befugnisse und Bußgelder das Gesetz vorsieht und was Unternehmen mit KI-Agenten jetzt vorbereiten sollten.

Was regelt das KI-MIG?

Die KI-Verordnung (EU) 2024/1689 gilt unmittelbar, überlässt aber den Mitgliedstaaten, wer sie kontrolliert und wie Verstöße verfolgt werden. Diese Lücke schließt das KI-MIG. Nach § 1 regelt es die zuständigen Behörden nach Artikel 70 der KI-Verordnung, Maßnahmen zur Innovationsförderung und Bußgelder nach Artikel 99.

Das Gesetz hat 20 Paragrafen in acht Teilen: Behörden und Zusammenarbeit, Befugnisse, Innovationsförderung, Bußgelder, Aufbewahrung, Evaluierung und ein Register. Neue Pflichten für Unternehmen schafft es kaum. Die Pflichten selbst stehen weiter in der KI-Verordnung, deren Inhalt und Fristen der Leitfaden zur KI-Verordnung für Unternehmen mit KI-Agenten erklärt.

Die Bundesnetzagentur als KI-Aufsicht

Nach § 2 Absatz 1 KI-MIG ist die Bundesnetzagentur die zuständige Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt. Sie ist außerdem zentrale Anlaufstelle nach § 6 und zentrale Beschwerdestelle nach § 8. Als Anlaufstelle nimmt sie Eingaben des Büros für Künstliche Intelligenz, der Öffentlichkeit und anderer Stellen entgegen und leitet sie an die zuständige Behörde weiter.

Laut Pressemitteilung vom 29. Juli 2026 überwacht die Bundesnetzagentur unter anderem KI-Systeme in sensiblen Bereichen wie Personalmanagement, kritischer Infrastruktur und Bildung. In ihrer Zuständigkeit kontrolliert sie auch die Transparenzpflichten und die verbotenen Praktiken. Damit landet ein Großteil der Fälle, die Unternehmen mit KI-Agenten betreffen, bei ihr: der Kundenservice-Agent, der sich nach Artikel 50 als KI zu erkennen geben muss, ebenso wie der Agent in der Bewerbervorauswahl.

Beschwerden kann jede Person bei der Bundesnetzagentur einreichen. Sie leitet sie nach § 8 an die zuständige Behörde weiter und informiert die Beschwerdeführenden. Wer einen Agenten mit Außenkontakt betreibt, muss also damit rechnen, dass Kunden oder Bewerber einen fehlenden KI-Hinweis direkt melden. Was dieser Hinweis enthalten muss, steht auf der Seite zur KI-Kennzeichnungspflicht.

Wer ist zuständig? Die Ausnahmen nach § 2 KI-MIG

Das KI-MIG folgt einem gemischten Ansatz. Wo es bereits eine Fachaufsicht gibt, bleibt sie zuständig. Die Bundesnetzagentur übernimmt alle übrigen Fälle.

Vereinfachte Prüfreihenfolge nach § 2 KI-MIG und Artikel 75 KI-Verordnung. Im Zweifel nimmt die Bundesnetzagentur als Anlaufstelle jede Eingabe entgegen.

Die KI-Marktüberwachungskammer hat drei Mitglieder aus der Leitung der Bundesnetzagentur und handelt nach § 4 völlig unabhängig. Die Zuständigkeit des Büros für Künstliche Intelligenz hat der Digital-Omnibus, die Verordnung (EU) 2026/1744, neu gefasst. Für ein Unternehmen, das einen Agenten auf einem fremden Sprachmodell baut, bleibt in der Regel die nationale Aufsicht zuständig.

Befugnisse und Bußgelder nach dem KI-MIG

Die Marktüberwachungsbehörden haben nach § 11 die Befugnisse aus Artikel 14 und 16 der Marktüberwachungsverordnung (EU) 2019/1020 und aus der KI-Verordnung. Sie dürfen Dritte als technische Helfer hinzuziehen und bestimmte Befugnisse aus der Ferne ausüben, ausdrücklich auch über Programmierschnittstellen. Für Unternehmen mit KI-Agenten heißt das: Dokumentation, Protokolle und Zugänge sollten so organisiert sein, dass Sie sie auf Anfrage geordnet bereitstellen können.

Die hohen Bußgelder kommen aus der KI-Verordnung selbst. Artikel 99 sieht bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken vor und bis zu 15 Millionen Euro oder 3 Prozent unter anderem für Verstöße gegen Artikel 26 und Artikel 50. Das KI-MIG regelt in § 16 das Verfahren dafür nach dem Ordnungswidrigkeitengesetz.

Zusätzlich schafft § 15 KI-MIG eigene Tatbestände mit Geldbußen bis zu 50.000 Euro. Erfasst sind unter anderem eine fehlende oder fehlerhafte Grundrechte-Folgenabschätzung nach Artikel 27 und Betreiber von Hochrisiko-Systemen nach Anhang III Nummer 1, 3, 4 oder 5, die Betroffenen die Erläuterung nach Artikel 86 nicht geben. Gegen Behörden und öffentliche Stellen werden nach § 17 Absatz 2 keine Geldbußen verhängt.

KI-Service Desk und KI-Reallabor

Das KI-MIG hat auch einen fördernden Teil. Nach § 12 stellt die Bundesnetzagentur Informationen und Anleitungen bereit und bietet Schulungen an. Ihr KI-Service Desk bietet laut Pressemitteilung ein Online-Werkzeug zur ersten Einschätzung der Risikoklasse, Informationen zu europäischen Leitlinien und Hinweise zum Aufbau von KI-Kompetenz, vor allem für KMU und Start-ups.

Nach § 13 errichtet und betreibt die Bundesnetzagentur mindestens ein KI-Reallabor nach Artikel 57 und 58 der KI-Verordnung. Dort können KI-Systeme unter Aufsicht entwickelt und getestet werden. Die zuständige Datenschutzaufsicht wird einbezogen und bewertet die datenschutzrechtlichen Vorgaben. Wer Hochrisiko-Systeme außerhalb eines Reallabors unter Realbedingungen testen will, legt nach § 14 vorher einen Testplan vor. Antwortet die Behörde nicht binnen 30 Tagen, gilt die Genehmigung als erteilt.

Auch sonst arbeitet die KI-Aufsicht nach § 9 Absatz 4 mit den Datenschutzbehörden zusammen, soweit deren Zuständigkeit berührt ist. Die DSGVO gilt neben der KI-Verordnung weiter, wie die Seite zu KI und Datenschutz beschreibt.

Was Unternehmen jetzt tun

Das KI-MIG ändert vor allem, an wen sich Unternehmen wenden und wer kontrolliert. Diese Punkte helfen, darauf vorbereitet zu sein:

• Zuständigkeit klären: für jeden KI-Agenten festhalten, ob BaFin, Landesbehörde, Fachaufsicht oder Bundesnetzagentur zuständig ist.
• Agenten mit Außenkontakt prüfen: KI-Hinweis nach Artikel 50 kontrollieren, denn Beschwerden laufen zentral ein.
• Nachweise ordnen: Inventar, Protokolle und Schulungsnachweise so ablegen, dass sie auf Anfrage abrufbar sind.
• Hochrisiko-Einsätze vorbereiten: Erläuterungen nach Artikel 86 für Agenten in Personal oder Kredit vorbereiten, ihr Fehlen ist nach § 15 bußgeldbewehrt.
• Angebote nutzen: den KI-Service Desk der Bundesnetzagentur für eine erste Einordnung der Risikoklasse verwenden.

Wie Sie Zuständigkeiten, Inventar und Freigaben im Unternehmen dauerhaft verankern, beschreibt die Seite zur KI-Governance. Die Bundesregierung evaluiert das KI-MIG nach § 19 spätestens 18 Monate nach Inkrafttreten zum ersten Mal, Änderungen an der Behördenstruktur sind also möglich. Diese Zusammenfassung ist eine sachliche Einordnung und ersetzt keine Rechtsberatung.

Den Hintergrund erklärt der Leitfaden KI-Verordnung im Bereich Recht.