KI-Marktüberwachung in Deutschland: Nach der versäumten Frist ist die Bundesnetzagentur zuständig

Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft. Deutschland hat eine zentrale Vorgabe jedoch nicht fristgerecht erfüllt: Bis zum 2. August 2025 hätten die Mitgliedstaaten ihre zuständigen Behörden für die Marktüberwachung benennen müssen (Art. 70 i. V. m. Art. 113 KI-VO). Diese Lücke ist inzwischen geschlossen: Seit dem 29. Juli 2026 ist nach dem KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) grundsätzlich die Bundesnetzagentur zuständig. Der folgende Beitrag beschreibt die Ausgangslage im Sommer 2025 und den heutigen Stand.

Aufgaben einer Marktüberwachungsbehörde nach der KI-VO

Nach Art. 70 Abs. 1 KI-VO muss jeder Mitgliedstaat mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde als zuständige nationale Behörden einrichten oder benennen; eine Marktüberwachungsbehörde ist zudem als zentrale Anlaufstelle zu bestimmen (Art. 70 Abs. 2 KI-VO). Die Behörden überwachen die Einhaltung der Verordnung, die dem Schutz von Gesundheit, Sicherheit und Grundrechten vor Risiken durch KI-Systeme dient. Sie können zudem insbesondere kleine und mittlere Unternehmen bei der Umsetzung beraten (Art. 70 Abs. 8 KI-VO). Da sich bewährte Vorgehensweisen noch im Aufbau befinden, ist ein solcher Ansprechpartner besonders wichtig. Verstöße können gravierende Konsequenzen haben: Bei verbotenen KI-Praktiken drohen Geldbußen von bis zu 35 Millionen Euro oder bis zu 7 Prozent des weltweiten Jahresumsatzes (Art. 99 Abs. 3 KI-VO), bei Verstößen gegen die meisten übrigen Pflichten bis zu 15 Millionen Euro oder 3 Prozent (Art. 99 Abs. 4 KI-VO).

Thomas Fuchs, Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit, kritisierte nach Ablauf der Frist im Juli 2025, dass Unternehmen und Behörden durch das Fehlen einer solchen Stelle ohne verbindlichen Ansprechpartner für Fragen zur KI-Verordnung dastünden. Dies sei auch ein Nachteil für den KI-Standort Deutschland.

Warum die Benennung zunächst ausblieb

Bereits 2025 galt als wahrscheinlich, dass die Bundesnetzagentur diese Rolle übernehmen würde. Voraussetzung dafür war ein Gesetz zur Durchführung der KI-Verordnung. Ein erster Gesetzentwurf lag unter der vorherigen Bundesregierung vor, wurde jedoch nicht mehr verabschiedet. Nach dem Regierungswechsel mussten die Abstimmungen neu geführt werden; das Bundesministerium für Digitales und Staatsmodernisierung hatte angekündigt, dass die Frist bis zum 2. August 2025 nicht eingehalten werden könne. Zudem war lange offen, welche Rolle die Datenschutzaufsichtsbehörden übernehmen sollten.

Der Stand im Oktober 2026

Mit dem KI-MIG, in Kraft seit dem 29. Juli 2026, ist die Bundesnetzagentur in Deutschland die für die KI-Verordnung zuständige Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt (§ 2 Abs. 1 KI-MIG). Ausnahmen gelten unter anderem für KI in Produkten nach Anhang I Abschnitt A KI-VO, für die die bestehenden Produkt-Marktüberwachungsbehörden zuständig bleiben, für KI-Systeme im direkten Zusammenhang mit regulierten Finanztätigkeiten (Bundesanstalt für Finanzdienstleistungsaufsicht) sowie für öffentliche Stellen der Länder und Mediendienste, bei denen die Länder zuständig sind (§ 2 Abs. 2, 3, 6 und 8 KI-MIG). Die Bundesnetzagentur hatte bereits 2025 einen „KI-Service Desk“ als Anlaufstelle eingerichtet. Unternehmen haben damit einen behördlichen Ansprechpartner für Fragen zur Einordnung ihrer KI-Systeme und zu ihren Pflichten.

Parallel hat sich der europäische Zeitplan verschoben: Durch die Verordnung (EU) 2026/1744 („Digital Omnibus on AI“), in Kraft seit dem 27. Juli 2026, gelten die Pflichten für Hochrisiko-KI-Systeme nach Anhang III erst ab dem 2. Dezember 2027, für KI in Produkten nach Anhang I ab dem 2. August 2028. Die Verbote (Art. 5) gelten seit dem 2. Februar 2025. Seit demselben Datum gilt Art. 4 zur KI-Kompetenz; er ist durch die Änderungsverordnung neu gefasst und verlangt seit dem 27. Juli 2026 Maßnahmen zur Förderung der KI-Kompetenz, ohne dass ein bestimmtes individuelles Kompetenzniveau garantiert werden muss. Die Transparenzpflichten nach Art. 50 gelten grundsätzlich seit dem 2. August 2026.

Für Unternehmen bedeutet das: Die Rechtsunsicherheit über die zuständige Aufsicht ist beseitigt. Wer KI-Systeme anbietet oder betreibt, sollte die verbleibende Zeit bis zu den Hochrisiko-Stichtagen nutzen, um seine Systeme einzuordnen und die Pflichten vorzubereiten.