Marktüberwachungsbehörde für KI – Wer in Deutschland prüft und was Sie erwartet

Können Sie auf Anfrage Ihre komplette technische Dokumentation, Ihre Trainingsdatensätze und auf begründete Anfrage sogar Ihren Quellcode vorlegen? Genau das kann eine deutsche Marktüberwachungsbehörde für KI bei Hochrisiko-Systemen von Ihnen verlangen – für Systeme nach Anhang III ab dem 2. Dezember 2027. Schon seit dem 2. August 2026 können die Behörden die Verbote (Art. 5), die Transparenzpflichten (Art. 50) und die KI-Kompetenz (Art. 4) durchsetzen. Die Bußgelder reichen bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken. Wer diese Behörde ist, was sie darf und wie eine Prüfung konkret abläuft, klären wir in diesem Artikel.

Was ist eine Marktüberwachungsbehörde für KI nach dem AI Act?

Die Marktüberwachungsbehörde ist das zentrale Durchsetzungsorgan des EU AI Act. Nach Art. 70 AI Act muss jeder Mitgliedstaat mindestens eine solche Behörde benennen. Sie kontrolliert, ob KI-Systeme – insbesondere Hochrisiko-KI – die Anforderungen der Verordnung tatsächlich einhalten. Sie ist damit die Instanz, die nach dem Inverkehrbringen prüft, ob ein KI-System konform ist und am Markt bleiben darf.

Rechtlich knüpft der AI Act an das bestehende EU-Produktsicherheitsrecht an. Die Marktüberwachungsbehörden handeln nach der Marktüberwachungsverordnung (EU) 2019/1020, ergänzt um die speziellen Regelungen der Art. 70 bis 84 AI Act. Damit ist KI keine Sonderwelt, sondern folgt dem etablierten Prinzip der Produktüberwachung.

Abgrenzung: drei Behördentypen, die oft verwechselt werden

Der AI Act kennt mehrere Rollen, die im Alltag ständig durcheinandergeraten:

Rolle	Aufgabe	Rechtsgrundlage
Marktüberwachungsbehörde	Kontrolliert Konformität nach dem Marktzugang, ordnet Korrekturen und Rückrufe an	Art. 70, 74 ff.
Notifizierende Behörde	Benennt und beaufsichtigt die benannten Stellen	Art. 28
Benannte Stelle (Notified Body)	Führt vor dem Marktzugang die Konformitätsbewertung durch	Art. 29 ff.

Kurz gesagt: Die benannte Stelle ist ein unabhängiges Prüforgan, das Sie vor dem Marktzugang durchlaufen (dazu vertieft: AI Act benannte Stelle / Notified Body). Die notifizierende Behörde überwacht diese Stellen. Und die Marktüberwachungsbehörde ist der staatliche Vollzug danach – sie kann jederzeit einschreiten, auch wenn Sie bereits eine CE-Kennzeichnung tragen.

EU-weites Zusammenspiel

National agieren die Marktüberwachungsbehörden nicht isoliert. Auf EU-Ebene koordinieren das AI Office (bei der Europäischen Kommission angesiedelt) und das Europäische KI-Gremium (AI Board) die Aufsicht. Das AI Office ist zudem allein zuständig für die Durchsetzung der Pflichten von General-Purpose-AI-Modellen (GPAI). Bei grenzüberschreitenden Systemen sorgen Amtshilfe und gemeinsame Untersuchungen (Art. 74 und 75 AI Act) dafür, dass ein in Frankreich beanstandetes System auch in Deutschland vom Markt genommen werden kann.

KI-Aufsicht in Deutschland: Wer prüft?

Bundesnetzagentur als zentrale Marktüberwachungsbehörde für KI

Seit dem 29. Juli 2026 ist das geklärt: Das KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG) macht die Bundesnetzagentur (BNetzA) zur zuständigen Marktüberwachungsbehörde für den AI Act, soweit nichts anderes bestimmt ist (§ 2 Abs. 1 KI-MIG). Zusätzlich ist die BNetzA:

zentrale Anlaufstelle im Sinne von Art. 70 Abs. 2 AI Act (§ 6) – Kontaktpunkt für das europäische KI-Büro, die Öffentlichkeit und andere Stellen,
zentrale Beschwerdestelle (§ 8) – sie nimmt Beschwerden entgegen und leitet sie an die zuständige Behörde weiter,
Sitz des Koordinierungs- und Kompetenzzentrums (§ 5), das die Behörden bei komplexen Entscheidungen unterstützt und für eine einheitliche Rechtsanwendung sorgt.

Sektorspezifische Zuständigkeiten

Nicht alles läuft über die BNetzA. Das KI-MIG sieht diese Ausnahmen vor:

BaFin (§ 2 Abs. 3) – für KI-Systeme in direktem Zusammenhang mit regulierter Finanztätigkeit der von ihr beaufsichtigten Unternehmen, etwa Banken, Versicherer, Zahlungs- und E-Geld-Institute oder Wertpapierinstitute (z. B. Kreditwürdigkeitsprüfung).
Bestehende Produkt-Marktüberwachungsbehörden (§ 2 Abs. 2) – für KI in Produkten nach Anhang I Abschnitt A AI Act, etwa Medizinprodukte, Spielzeug oder Funkanlagen.
KI-Marktüberwachungskammer bei der BNetzA (§ 2 Abs. 5) – eine unabhängige Kammer für biometrische Systeme bei Strafverfolgung, Grenzmanagement, Justiz und Demokratie sowie für Hochrisiko-KI nach Anhang III Nr. 6, 7 und 8.
Landesbehörden – für KI bei öffentlichen Stellen der Länder (§ 2 Abs. 6) und bei Mediendiensten für journalistische Zwecke oder Werbung (§ 2 Abs. 8).

Die Datenschutzbehörden und das Bundeskartellamt sind keine KI-Marktüberwachungsbehörden, werden aber einbezogen, wenn ihre Zuständigkeit berührt ist (§ 9 Abs. 4 KI-MIG).

Für Sie bedeutet das: Ihre zuständige Behörde hängt vom Einsatzfeld Ihres KI-Systems ab. Ein Hochrisiko-System im HR-Bereich fällt unter die BNetzA; ein KI-gestütztes Scoring-Modell einer Bank landet bei der BaFin.

Stand der nationalen Umsetzung

Der AI Act verlangte die Benennung der Marktüberwachungsbehörden bereits bis zum 2. August 2025. Deutschland hat diese Frist verpasst und mit dem KI-MIG nachgezogen: Das Gesetz vom 22. Juli 2026 (BGBl. 2026 I Nr. 223) wurde am 28. Juli 2026 verkündet und ist seit dem 29. Juli 2026 in Kraft. Es regelt die Zuständigkeiten, das Bußgeldverfahren und die Zusammenarbeit von BNetzA und Fachbehörden verbindlich. Die Behördenstruktur steht damit fest.

Welche Befugnisse hat die Marktüberwachungsbehörde für KI?

Die Eingriffsrechte sind erheblich. Sie ergeben sich aus Art. 74 AI Act in Verbindung mit der Marktüberwachungsverordnung (EU) 2019/1020.

Zugang zu Dokumentation, Daten und Quellcode

Die Behörde kann verlangen:

Vollständige technische Dokumentation nach Art. 11 und Anhang IV – das Herzstück jeder Prüfung (mehr dazu: technische Dokumentation nach dem AI Act).
Zugang zu Trainings-, Validierungs- und Testdaten, um etwa Verzerrungen (Bias) und Datenqualität zu bewerten.
Zugang zum Quellcode – nach Art. 74 Abs. 13 AI Act allerdings nur auf begründete Anfrage und nur, wenn Dokumentation und Daten zur Konformitätsbewertung nicht ausreichen. Dieser Zugang ist also die Ultima Ratio, nicht der Regelfall.

Nach Art. 21 AI Act sind Anbieter zudem verpflichtet, mit den Behörden zu kooperieren und Informationen in einer Amtssprache des betreffenden Mitgliedstaats bereitzustellen.

Korrekturmaßnahmen, Rückruf und Marktrücknahme

Stellt die Behörde ein Risiko oder eine Nichtkonformität fest, greift das Verfahren nach Art. 79 AI Act. Die Eskalationsstufen:

Aufforderung zur Nachbesserung – Sie erhalten eine Frist, das System in Einklang zu bringen.
Anordnung von Korrekturmaßnahmen – etwa Anpassung des Risikomanagements oder der Dokumentation.
Rückruf (Recall) – das System muss bei den Nutzern zurückgeholt werden.
Marktrücknahme (Withdrawal) – das System darf nicht länger auf dem Markt sein.

Bei formaler Nichtkonformität – etwa fehlender CE-Kennzeichnung oder fehlender EU-Konformitätserklärung – greift zusätzlich Art. 83 AI Act.

Zusammenhang mit Bußgeldern

Kommen Sie Anordnungen nicht nach oder verstoßen Sie substanziell gegen den AI Act, drohen die Sanktionen des Art. 99 AI Act:

bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken (Art. 5),
bis zu 15 Mio. € oder 3 % bei Verstößen gegen zentrale Pflichten (z. B. Hochrisiko-Anforderungen),
bis zu 7,5 Mio. € oder 1 % bei falschen Angaben gegenüber Behörden.

Bußgeldbehörde ist jeweils die zuständige Marktüberwachungsbehörde; das Verfahren richtet sich nach dem Ordnungswidrigkeitengesetz (§§ 16, 17 KI-MIG). Gegen Behörden und öffentliche Stellen werden keine Geldbußen verhängt (§ 17 Abs. 2 KI-MIG). Zusätzlich sieht § 15 KI-MIG nationale Bußgelder bis 50.000 € vor – etwa wenn Sie Informationen oder Dokumentation nach Art. 21 AI Act nicht oder nicht rechtzeitig übermitteln oder der Behörde keinen Zugang gewähren.

Für GPAI-Modelle regelt Art. 101 AI Act eigene Geldbußen von bis zu 15 Mio. € oder 3 %. Ein Rechenbeispiel: Ein Konzern mit 2 Mrd. € Jahresumsatz riskiert bei einem Verstoß gegen Hochrisiko-Pflichten nicht „nur“ 15 Mio. €, sondern die höhere Alternative von 3 % – also 60 Mio. €. Details dazu in unserem Beitrag zu Bußgeldern und Strafen im AI Act.

Wie läuft eine KI-Marktüberwachung praktisch ab?

Anlassbezogen vs. stichprobenartig

Die Behörde wird auf zwei Wegen tätig:

Stichprobenartig – im Rahmen eigener Kontrollpläne, auch ohne konkreten Verdacht.
Anlassbezogen – ausgelöst durch Beschwerden, Medienberichte, Hinweise anderer Behörden oder Meldungen schwerwiegender Vorfälle.

Der typische Ablauf

Erstkontakt / Aufforderung: Sie erhalten ein formelles Auskunftsersuchen mit Fristsetzung.
Dokumentenprüfung: Die Behörde sichtet technische Dokumentation, Konformitätserklärung, Risikomanagement und Logs.
Vertiefte Prüfung: Bei offenen Fragen folgen Nachforderungen, Zugang zu Daten oder – als letzte Stufe – zum Quellcode.
Vor-Ort-Kontrolle: Die Behörde kann Räumlichkeiten betreten und Systeme im Betrieb inspizieren.
Bewertung und Bescheid: Entweder Entwarnung oder eine Anordnung nach Art. 79 mit erneuter Frist zur Nachbesserung.

Wichtig: Ihnen stehen in jeder Phase Reaktionsmöglichkeiten zu – rechtliches Gehör, Stellungnahmen und Rechtsmittel gegen belastende Bescheide. Schweigen ist die schlechteste Strategie, denn fehlende Kooperation kann eigenständig sanktioniert werden.

Beschwerden und Meldepflichten als Auslöser

Ein häufig unterschätzter Auslöser ist die Meldepflicht bei schwerwiegenden Vorfällen nach Art. 73 AI Act. Wenn Ihr Hochrisiko-System einen ernsten Zwischenfall verursacht, müssen Sie diesen melden – und lösen damit potenziell eine Prüfung aus. Zudem können nach Art. 85 AI Act betroffene Personen Beschwerden einreichen – in Deutschland zentral bei der BNetzA, die sie an die zuständige Behörde weiterleitet (§ 8 KI-MIG). Wie Sie Vorfälle korrekt handhaben, lesen Sie in unserem Beitrag zur Meldepflicht bei schwerwiegenden Vorfällen.

Was Unternehmen erwartet – und wie Sie sich vorbereiten

Typische Dokumente, die Sie vorlegen müssen

Technische Dokumentation nach Anhang IV
EU-Konformitätserklärung und CE-Kennzeichnungsnachweis
Beschreibung des Risikomanagementsystems (Art. 9)
Daten-Governance-Nachweise (Art. 10)
Protokollierungs- und Aufzeichnungsdaten (Logs, Art. 12)
Gebrauchsanweisungen und Transparenzinformationen (Art. 13)
Nachweis menschlicher Aufsicht (Art. 14)
Eintrag in der EU-Datenbank für Hochrisiko-Systeme (Art. 71) – die Registrierung ist zugleich ein Einstiegspunkt für die Überwachung; siehe Registrierungspflicht in der EU-Datenbank.

Häufige Prüfschwerpunkte

Bei Hochrisiko-KI konzentrieren sich Behörden erfahrungsgemäß auf: Vollständigkeit und Aktualität der Dokumentation, Datenqualität und Bias, Robustheit und Genauigkeit sowie die tatsächliche Wirksamkeit der menschlichen Aufsicht.

Bei GPAI-Modellen stehen technische Dokumentation, Trainingsdaten-Transparenz (Urheberrecht, Zusammenfassung der Inhalte) und – bei Modellen mit systemischem Risiko – Modellevaluierungen und Cybersicherheit im Fokus.

Checkliste zur Prüfungsvorbereitung

Technische Dokumentation vollständig, aktuell und in deutscher Sprache verfügbar
Konformitätserklärung und CE-Nachweis griffbereit
Trainings- und Testdaten dokumentiert und zugriffsbereit
Logs und Aufzeichnungen lückenlos archiviert
Klarer interner Prozess für Behördenanfragen (Verantwortliche, Fristenmanagement)
Meldeprozess für schwerwiegende Vorfälle etabliert
Rollenklärung: Sind Sie Anbieter, Betreiber, Einführer oder Händler?

Eine detaillierte Schritt-für-Schritt-Anleitung finden Sie in unserem Leitfaden zur AI-Act-Audit-Vorbereitung.

Was eine Behörde von Ihnen sehen will, ergibt sich aus der Risikoklasse Ihrer Systeme. Welche Pflicht an welcher Klasse hängt, zeigt der AI-Act-Leitfaden.

Zeitplan der AI-Act-Durchsetzung: Ab wann wird geprüft?

Die zentralen Fristen

2. August 2025: Pflichten für GPAI-Modelle gelten; zugleich Frist zur Benennung der nationalen Marktüberwachungsbehörden (in Deutschland erst mit dem KI-MIG zum 29. Juli 2026 umgesetzt).
2. August 2026: Allgemeiner Geltungsbeginn. Seitdem können die Behörden national die Verbote, die Transparenzpflichten nach Art. 50 und die KI-Kompetenz nach Art. 4 durchsetzen; das AI Office die GPAI-Pflichten.
2. Dezember 2027: Die Kernpflichten für Hochrisiko-KI nach Anhang III greifen – erst ab diesem Datum sind sie prüfbar. Diesen festen Termin hat der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) gesetzt; ursprünglich war der 2. August 2026 vorgesehen. Mehr dazu im Überblick zu den Hochrisiko-Fristen.
2. August 2028: Hochrisiko-Systeme, die unter EU-Produktsicherheitsrecht (Anhang I) fallen, folgen.

Den vollständigen Überblick bietet unser Zeitplan zu den AI-Act-Fristen 2025–2027.

Übergangsregelungen und Behördenaufbau

Die GPAI-Aufsicht durch das AI Office läuft bereits. Die nationale Marktüberwachung baut ihre Prüfkapazitäten für Hochrisiko-KI bis zum Geltungsbeginn im Dezember 2027 auf. Realistisch ist, dass die Behörden zunächst risikoorientiert und anlassbezogen prüfen, bevor breitflächige Stichprobenkampagnen folgen.

Das ist jedoch kein Grund zur Entwarnung: Bei verbotenen Praktiken, fehlender Transparenz oder fehlenden Maßnahmen zur KI-Kompetenz kann eine Beschwerde schon heute eine Prüfung auslösen.

Was jetzt zu tun ist

Bestimmen Sie jetzt die für Sie zuständige Behörde (BNetzA, BaFin oder Produktaufsicht).
Vervollständigen Sie Ihre technische Dokumentation, bevor die Prüfung kommt – nicht danach.
Etablieren Sie einen belastbaren Prozess für Behördenanfragen mit klaren Fristen.

Fazit

Die Bundesnetzagentur ist seit Inkrafttreten des KI-MIG am 29. Juli 2026 Ihre zentrale Marktüberwachungsbehörde für KI in Deutschland – ergänzt um die BaFin für den Finanzsektor, die bestehenden Produktaufsichten und eine unabhängige Kammer für besonders sensible Bereiche. Ihre Befugnisse reichen von der Dokumenteneinsicht über den Zugriff auf Trainingsdaten und Quellcode bis zu Rückruf und Bußgeldern von bis zu 35 Mio. € oder 7 % des Jahresumsatzes. Wer die technische Dokumentation, Datennachweise und einen klaren Reaktionsprozess parat hat, geht einer Prüfung gelassen entgegen. Wer improvisiert, riskiert teure Anordnungen.