AI-Act-Durchführungsgesetz in Deutschland – Was das nationale Umsetzungsgesetz für Sie ändert

Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes – so hoch kann das Bußgeld nach dem EU AI Act ausfallen. Doch wer verhängt es? Welche Behörde prüft Ihr KI-System, und wo reichen Sie eine Beschwerde oder einen Testplan ein? Diese Fragen beantwortet nicht Brüssel, sondern Berlin. Seit dem 29. Juli 2026 gibt es darauf eine verbindliche Antwort: das KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG) – das deutsche Durchführungsgesetz zum AI Act. Was es regelt, wer zuständig ist und was das für Sie konkret bedeutet, lesen Sie hier.

Warum es ein nationales Gesetz zu einer EU-Verordnung braucht

Der EU AI Act ist eine Verordnung – keine Richtlinie. Eine EU-Verordnung gilt nach Art. 288 AEUV unmittelbar in jedem Mitgliedstaat, ohne Umsetzung in nationales Recht. Die materiellen Pflichten – Verbote, KI-Kompetenz, Transparenzpflichten und ab dem 2. Dezember 2027 die Anforderungen an Hochrisiko-KI – ergeben sich also direkt aus dem AI Act.

Die Verordnung lässt aber bewusst offen, wie sie vor Ort vollzogen wird. Jeder Mitgliedstaat muss selbst festlegen:

welche Behörden zuständig sind,
welche Sanktionen und welches Bußgeldverfahren gelten,
wie Innovationsförderung – etwa Reallabore – organisiert wird.

Genau das erledigt das KI-MIG. Den Gesamtzusammenhang von Verordnung, Pflichten und Fristen finden Sie in unserem Leitfaden zum AI Act.

Was Brüssel regelt, was Berlin regelt

Ebene	Regelt
Brüssel (EU AI Act)	Risikoklassen, Pflichten für Anbieter und Betreiber, Verbote, Transparenzanforderungen, Bußgeld-Höchstgrenzen, Konformitätsbewertung
Berlin (KI-MIG)	Zuständige Behörden, Koordinierung, Beschwerdestelle, Bußgeldverfahren, ergänzende nationale Bußgelder, Reallabore, Tests unter Realbedingungen

Vereinfacht: Brüssel schreibt vor, was verboten und was verpflichtend ist. Berlin bestimmt, wer das kontrolliert und wie durchgesetzt wird.

Das KI-MIG auf einen Blick

Das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) ist Artikel 1 des Gesetzes zur Durchführung der Verordnung (EU) 2024/1689 vom 22. Juli 2026 (BGBl. 2026 I Nr. 223). Es wurde am 28. Juli 2026 verkündet und ist seit dem 29. Juli 2026 in Kraft. Es ist kein Entwurf mehr, sondern geltendes Recht.

Inhaltlich deckt es laut § 1 drei Bereiche ab: die zuständigen Behörden, Maßnahmen zur Innovationsförderung und Bußgelder.

Zur Einordnung: Deutschland hat die EU-Frist zur Benennung der Behörden (2. August 2025) damit knapp ein Jahr verpasst. Für Sie ist das inzwischen nur noch Vorgeschichte – entscheidend ist der jetzt geltende Rahmen.

Wer zuständig ist: die Behördenstruktur nach § 2 KI-MIG

Bundesnetzagentur als Grundzuständigkeit

Nach § 2 Abs. 1 KI-MIG ist die Bundesnetzagentur (BNetzA) die zuständige Marktüberwachungsbehörde für den AI Act – immer dann, wenn das Gesetz nichts anderes bestimmt. Für die meisten Unternehmen außerhalb regulierter Sektoren, etwa mit KI im Personalwesen, im Kundenservice oder im Marketing, ist die BNetzA damit der Ansprechpartner.

Die Ausnahmen

Bereich	Zuständig	Rechtsgrundlage
KI in Produkten nach Anhang I Abschnitt A AI Act (z. B. Medizinprodukte, Spielzeug, Funkanlagen)	die bereits bestehenden Marktüberwachungsbehörden des jeweiligen Produktbereichs (Bund oder Länder)	§ 2 Abs. 2
KI im direkten Zusammenhang mit regulierter Finanztätigkeit von BaFin-beaufsichtigten Unternehmen (Banken, Versicherer, Zahlungs- und E-Geld-Institute, Wertpapierinstitute, Kapitalverwaltungsgesellschaften, Kryptodienstleister u. a.)	BaFin	§ 2 Abs. 3
Biometrie für Strafverfolgung, Grenzmanagement, Justiz und Demokratie sowie Hochrisiko-KI nach Anhang III Nr. 6, 7 und 8	unabhängige KI-Marktüberwachungskammer bei der BNetzA	§ 2 Abs. 5, § 4
KI bei öffentlichen Stellen der Länder	die nach Landesrecht zuständigen Behörden	§ 2 Abs. 6
KI bei Mediendiensten für journalistische Zwecke oder Werbung	die nach Landesrecht zuständigen Behörden (Medienaufsicht)	§ 2 Abs. 8

Die KI-Marktüberwachungskammer hat drei Mitglieder – die Präsidentin oder den Präsidenten der BNetzA und die Vizepräsidenten – und handelt völlig unabhängig und weisungsfrei.

Notifizierung und Akkreditierung (§ 3)

Für KI in Anhang-I-A-Produkten bleiben die Behörden zuständig, die schon heute die benannten Stellen dieser Produktbereiche notifizieren. Für biometrische Hochrisiko-Systeme (Anhang III Nr. 1) ist die nach dem Cyber Resilience Act zu benennende Marktüberwachungsbehörde zuständig – bis zu deren Benennung das BSI. Die Begutachtung der Prüfstellen für diese Systeme übernimmt die Deutsche Akkreditierungsstelle (DAkkS).

Und die Datenschutzbehörden?

Die Datenschutzaufsichtsbehörden von Bund und Ländern sind keine allgemeinen KI-Marktüberwachungsbehörden. Die Marktüberwachungsbehörden müssen sie aber einbeziehen, wenn deren Zuständigkeit berührt ist – ebenso das Bundeskartellamt (§ 9 Abs. 4). Die DSGVO-Aufsicht über Ihre Datenverarbeitung bleibt davon unberührt. Wie sich AI Act und DSGVO überschneiden, erklären wir im Beitrag zu den Unterschieden zwischen AI Act und DSGVO.

Mehr zu Befugnissen und Prüfabläufen lesen Sie im Beitrag zur Marktüberwachungsbehörde in Deutschland.

Koordinierung, Anlaufstelle und Beschwerden

Damit die verteilten Zuständigkeiten nicht zum Flickenteppich werden, bündelt das KI-MIG mehrere Funktionen bei der BNetzA:

Koordinierungs- und Kompetenzzentrum (§ 5): unterstützt die Behörden bei komplexen Entscheidungen, koordiniert die Zusammenarbeit, sorgt für einheitliche Antworten auf Querschnittsfragen und stellt Schulungsangebote, Informationen und Prüfempfehlungen bereit.
Zentrale Anlaufstelle (§ 6): Kontaktpunkt im Sinne von Art. 70 Abs. 2 AI Act für das europäische KI-Büro, die Öffentlichkeit und andere Stellen. Sie veröffentlicht die Kontaktadressen aller zuständigen Behörden auf der Website der BNetzA.
Zentrale Beschwerdestelle (§ 8): Beschwerden über Verstöße gegen den AI Act können bei der BNetzA eingereicht werden. Sie leitet sie an die jeweils zuständige Behörde weiter und informiert den Beschwerdeführer darüber.

Für Sie bedeutet das: Eine Beschwerde über Ihr KI-System landet zuverlässig bei der richtigen Stelle – egal, wo sie eingereicht wurde.

Innovationsförderung: Reallabore und Tests unter Realbedingungen

KI-Reallabor (§ 13)

Die BNetzA muss mindestens ein KI-Reallabor nach Art. 57 und 58 AI Act errichten und betreiben. Andere Behörden dürfen zusätzliche Reallabore einrichten. Forschungseinrichtungen, Hochschulen und deren Ausgründungen erhalten vorrangigen Zugang, wenn sie die EU-Auswahlkriterien erfüllen. Einzelheiten kann das Bundesministerium für Digitales und Staatsmodernisierung per Rechtsverordnung regeln. Nach dem AI Act muss jeder Mitgliedstaat bis zum 2. August 2027 mindestens ein Reallabor in Betrieb haben. Was ein Reallabor für Ihr Projekt leisten kann, lesen Sie im Beitrag zur regulatorischen Sandbox.

Außerdem stellt die BNetzA nach § 12 allgemeine Informationen und Anleitungen bereit – ausdrücklich insbesondere für KMU und Start-ups – und bietet Schulungs- und Sensibilisierungsmaßnahmen an.

Tests außerhalb von Reallaboren (§ 14)

Wollen Sie ein Hochrisiko-System nach Anhang I Abschnitt A oder Anhang III vor dem Inverkehrbringen unter Realbedingungen testen, müssen Sie den Testplan vorab bei der zuständigen Marktüberwachungsbehörde vorlegen. Die Behörde genehmigt den Test, wenn die Vorgaben aus Art. 60 Abs. 4 AI Act eingehalten sind. Wichtig: Erhalten Sie binnen 30 Tagen keine Antwort, gilt die Genehmigung als erteilt.

Bußgelder: was national dazukommt

Die großen Bußgelder kommen weiter aus Art. 99 AI Act

Die Höchstgrenzen stehen im AI Act selbst: bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. Euro oder 3 Prozent bei Verstößen gegen andere Pflichten, bis zu 7,5 Mio. Euro oder 1 Prozent bei falschen Angaben gegenüber Behörden. Das KI-MIG regelt dazu das Verfahren: Es gilt das Gesetz über Ordnungswidrigkeiten (OWiG) entsprechend (§ 16), und Bußgeldbehörde ist jeweils die zuständige Marktüberwachungsbehörde (§ 17 Abs. 1). Details zur Bußgeldbemessung finden Sie im Beitrag zu Bußgeldern und Strafen.

Rechenbeispiel: Ein Anbieter mit 80 Mio. Euro weltweitem Jahresumsatz bringt ab Dezember 2027 ein Hochrisiko-System ohne die erforderliche Konformitätsbewertung in Verkehr. Die Obergrenze ist der höhere Wert aus 15 Mio. Euro und 3 Prozent des Umsatzes (2,4 Mio. Euro) – hier also 15 Mio. Euro. Wäre das Unternehmen ein KMU, gälte der niedrigere Wert (Art. 99 Abs. 6).

Nationale Ordnungswidrigkeiten nach § 15 KI-MIG

Zusätzlich hat Deutschland eigene Bußgeldtatbestände geschaffen. Mit bis zu 50.000 Euro kann geahndet werden, wer zum Beispiel:

einer Behörde angeforderte Informationen oder Dokumentation nicht oder nicht rechtzeitig übermittelt oder keinen Zugang gewährt (Art. 21 AI Act),
eine erforderliche Grundrechte-Folgenabschätzung nicht oder nicht korrekt durchführt oder die Behörde nicht über das Ergebnis informiert (Art. 27 AI Act),
als benannte Stelle Informationspflichten gegenüber der notifizierenden Behörde verletzt (Art. 45 AI Act),
als Betreiber eines Hochrisiko-Systems nach Anhang III Nr. 1, 3, 4 oder 5 – etwa Biometrie, Bildung, Beschäftigung, Kreditwürdigkeit – Betroffenen die nach Art. 86 AI Act geschuldete Erläuterung einer Entscheidung verweigert.

Die meisten dieser Tatbestände hängen an Hochrisiko-Pflichten und werden deshalb erst mit deren Geltung ab Dezember 2027 praktisch relevant.

Keine Bußgelder gegen Behörden (§ 17 Abs. 2)

Gegen Behörden und sonstige öffentliche Stellen werden weder nationale Bußgelder nach § 15 noch Bußgelder nach Art. 99 AI Act verhängt. Für Unternehmen gilt diese Ausnahme nicht – auch nicht, wenn sie für die öffentliche Hand arbeiten.

Register für kritische Infrastruktur (§ 20)

Für Hochrisiko-KI nach Anhang III Nr. 2 – Sicherheitsbauteile beim Betrieb kritischer digitaler Infrastruktur, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- und Stromversorgung – führt die BNetzA ein nicht-öffentliches Register nach Art. 49 Abs. 5 AI Act. Anbieter oder ihre Bevollmächtigten müssen sich und das System dort vor dem Inverkehrbringen oder der Inbetriebnahme registrieren – statt in der öffentlichen EU-Datenbank. Wie die Registrierung allgemein funktioniert, lesen Sie im Beitrag zur Registrierungspflicht in der EU-Datenbank.

Was das KI-MIG für Unternehmen bedeutet

Die Ansprechpartner stehen fest

Sie können jetzt verbindlich bestimmen, welche Behörde für Ihr KI-System zuständig ist. Prüfen Sie dafür drei Fragen:

Sind Sie ein von der BaFin beaufsichtigtes Finanzunternehmen und steht das System in direktem Zusammenhang mit Ihrer regulierten Tätigkeit? → BaFin.
Steckt die KI in einem Produkt nach Anhang I Abschnitt A (z. B. Medizinprodukt)? → die bisherige Marktüberwachung dieses Produktbereichs.
Alles andere → in der Regel die Bundesnetzagentur.

Die Hochrisiko-Pflichten gelten trotzdem erst ab Dezember 2027

Das KI-MIG regelt, wer kontrolliert – nicht, ab wann welche Pflicht gilt. Die Fristen kommen weiter aus dem AI Act in der Fassung des Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026):

Seit 2. August 2026: Behörden können Verbote (Art. 5), Transparenzpflichten (Art. 50) und KI-Kompetenz (Art. 4) durchsetzen.
2. Dezember 2026: Neue Verbote (u. a. Nudify-Apps); Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung bei bestehenden generativen Systemen.
2. August 2027: Mindestens ein KI-Reallabor je Mitgliedstaat.
2. Dezember 2027: Hochrisiko-Pflichten für Systeme nach Anhang III.
2. August 2028: Hochrisiko-Pflichten für Systeme nach Anhang I.

Alle Termine im Überblick finden Sie in unserer Fristenübersicht 2025–2027.

Meldewege werden konkret

Anbieter von Hochrisiko-KI müssen ab dem 2. Dezember 2027 schwerwiegende Vorfälle an die zuständige Marktüberwachungsbehörde melden. Mit dem KI-MIG wissen Sie jetzt, welche Behörde das ist. Was genau zu melden ist, lesen Sie im Beitrag zur Meldepflicht bei schwerwiegenden Vorfällen.

So bereiten Sie sich jetzt vor

KI-Inventar aufbauen: Erfassen Sie jedes System, das Sie entwickeln, einkaufen oder einsetzen, und ordnen Sie es einer Risikoklasse zu.
Zuständige Behörde je System festhalten: BNetzA, BaFin oder Produktaufsicht – das gehört ins Inventar.
Prozess für Behördenanfragen festlegen: Wer beantwortet Auskunftsersuchen nach Art. 21? Verzögerte oder unvollständige Antworten sind nach § 15 KI-MIG selbst bußgeldbewehrt.
Hochrisiko-Dokumentation vorbereiten: Technische Dokumentation, Risikomanagement und Daten-Governance brauchen Vorlauf – bis Dezember 2027 ist weniger Zeit, als es scheint.
Reallabor und Testverfahren prüfen: Wenn Sie ein Hochrisiko-System entwickeln, kann das BNetzA-Reallabor oder ein genehmigter Test unter Realbedingungen den Marktzugang erleichtern.

Fazit

Das deutsche Durchführungsgesetz zum AI Act steht: Das KI-MIG ist seit dem 29. Juli 2026 in Kraft. Die Bundesnetzagentur ist die zentrale KI-Marktüberwachungsbehörde, zugleich Anlaufstelle, Beschwerdestelle und Sitz des Koordinierungszentrums. Die BaFin übernimmt KI im regulierten Finanzsektor, die bestehenden Produktaufsichten die KI in Anhang-I-A-Produkten, eine unabhängige Kammer bei der BNetzA die besonders sensiblen Bereiche. Neben den Bußgeldern aus Art. 99 AI Act gibt es nationale Bußgelder bis 50.000 Euro, gegen Behörden dagegen keine. An Ihren materiellen Pflichten und Fristen ändert das Gesetz nichts – aber es macht klar, wer sie ab sofort kontrolliert.