Marktüberwachungsbehörde für KI – Wer in Deutschland prüft und was Sie erwartet

Können Sie in 72 Stunden Ihre komplette technische Dokumentation, Ihre Trainingsdatensätze und auf begründete Anfrage sogar Ihren Quellcode vorlegen? Genau das kann eine deutsche Marktüberwachungsbehörde für KI ab dem 2. August 2026 von Ihnen verlangen – und wer dann nicht liefert, riskiert Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Wer diese Behörde ist, was sie darf und wie eine Prüfung konkret abläuft, klären wir in diesem Artikel.

Was ist eine Marktüberwachungsbehörde für KI nach dem AI Act?

Die Marktüberwachungsbehörde ist das zentrale Durchsetzungsorgan des EU AI Act. Nach Art. 70 AI Act muss jeder Mitgliedstaat mindestens eine solche Behörde benennen. Sie kontrolliert, ob KI-Systeme – insbesondere Hochrisiko-KI – die Anforderungen der Verordnung tatsächlich einhalten. Sie ist damit die Instanz, die nach dem Inverkehrbringen prüft, ob ein KI-System konform ist und am Markt bleiben darf.

Rechtlich knüpft der AI Act an das bestehende EU-Produktsicherheitsrecht an. Die Marktüberwachungsbehörden handeln nach der Marktüberwachungsverordnung (EU) 2019/1020, ergänzt um die speziellen Regelungen der Art. 70 bis 84 AI Act. Damit ist KI keine Sonderwelt, sondern folgt dem etablierten Prinzip der Produktüberwachung.

Abgrenzung: drei Behördentypen, die oft verwechselt werden

Der AI Act kennt mehrere Rollen, die im Alltag ständig durcheinandergeraten:

Rolle	Aufgabe	Rechtsgrundlage
Marktüberwachungsbehörde	Kontrolliert Konformität nach dem Marktzugang, ordnet Korrekturen und Rückrufe an	Art. 70, 74 ff.
Notifizierende Behörde	Benennt und beaufsichtigt die benannten Stellen	Art. 28
Benannte Stelle (Notified Body)	Führt vor dem Marktzugang die Konformitätsbewertung durch	Art. 29 ff.

Kurz gesagt: Die benannte Stelle ist ein unabhängiges Prüforgan, das Sie vor dem Marktzugang durchlaufen (dazu vertieft: AI Act benannte Stelle / Notified Body). Die notifizierende Behörde überwacht diese Stellen. Und die Marktüberwachungsbehörde ist der staatliche Vollzug danach – sie kann jederzeit einschreiten, auch wenn Sie bereits eine CE-Kennzeichnung tragen.

EU-weites Zusammenspiel

National agieren die Marktüberwachungsbehörden nicht isoliert. Auf EU-Ebene koordinieren das AI Office (bei der Europäischen Kommission angesiedelt) und das Europäische KI-Gremium (AI Board) die Aufsicht. Das AI Office ist zudem allein zuständig für die Durchsetzung der Pflichten von General-Purpose-AI-Modellen (GPAI). Bei grenzüberschreitenden Systemen sorgen Amtshilfe und gemeinsame Untersuchungen (Art. 74 und 75 AI Act) dafür, dass ein in Frankreich beanstandetes System auch in Deutschland vom Markt genommen werden kann.

KI-Aufsicht in Deutschland: Wer prüft?

Bundesnetzagentur als zentrale Marktüberwachungsbehörde für KI

In Deutschland übernimmt die Bundesnetzagentur (BNetzA) die Rolle der zentralen Marktüberwachungs- und Koordinierungsbehörde. Dafür wurde bei der BNetzA eine KI-Servicestelle eingerichtet. Sie fungiert als zentrale Anlaufstelle (Single Point of Contact im Sinne von Art. 70 Abs. 2 AI Act), bündelt die Aufsicht, koordiniert die sektorspezifischen Stellen und ist Kontaktpunkt für Unternehmen, Behörden und die EU-Ebene.

Die BNetzA bringt Erfahrung aus der Produkt- und Netzüberwachung mit. Parallel baut sie technische Kompetenz für die Prüfung von KI-Systemen auf – von der Bewertung von Trainingsdaten bis zur Analyse von Risikomanagementsystemen.

Sektorspezifische Zuständigkeiten

Nicht alles läuft über die BNetzA. Für regulierte Sektoren bleiben die etablierten Fachaufsichten zuständig:

• BaFin – für KI-Systeme im Finanz- und Versicherungssektor (z. B. Kreditwürdigkeitsprüfung).
• Datenschutzbehörden (BfDI und Landesbehörden) – insbesondere für biometrische Systeme und KI im Bereich Strafverfolgung; sie sind nach Art. 77 AI Act auch als Behörden zum Schutz der Grundrechte relevant.
• Kraftfahrt-Bundesamt (KBA) – für KI in Fahrzeugen.
• Weitere Fachbehörden für Medizinprodukte, Luftfahrt oder Maschinen.

Für Sie bedeutet das: Ihre zuständige Behörde hängt vom Einsatzfeld Ihres KI-Systems ab. Ein Hochrisiko-System im HR-Bereich fällt unter die BNetzA-Koordinierung; ein KI-gestütztes Scoring-Modell einer Bank landet bei der BaFin.

Stand der nationalen Umsetzung 2026

Der AI Act verlangte die Benennung der Marktüberwachungsbehörden bereits bis zum 2. August 2025. Deutschland hat diese Frist – wie mehrere Mitgliedstaaten – nur teilweise gehalten und die vollständige gesetzliche Verankerung im nationalen KI-Durchführungsgesetz nachgezogen.

Stand Mitte 2026 befindet sich dieses Durchführungsgesetz in der finalen legislativen Phase. Es regelt die genauen Zuständigkeiten, die Bußgeldkompetenzen und das Zusammenspiel von BNetzA und Fachbehörden verbindlich. Für Unternehmen heißt das: Die Behördenstruktur steht funktional, die letzten Details der Kompetenzverteilung werden 2026 gesetzlich zementiert – warten Sie mit Ihrer Vorbereitung nicht auf das letzte Amtsblatt.

Welche Befugnisse hat die Marktüberwachungsbehörde für KI?

Die Eingriffsrechte sind erheblich. Sie ergeben sich aus Art. 74 AI Act in Verbindung mit der Marktüberwachungsverordnung (EU) 2019/1020.

Zugang zu Dokumentation, Daten und Quellcode

Die Behörde kann verlangen:

• Vollständige technische Dokumentation nach Art. 11 und Anhang IV – das Herzstück jeder Prüfung (mehr dazu: technische Dokumentation nach dem AI Act).
• Zugang zu Trainings-, Validierungs- und Testdaten, um etwa Verzerrungen (Bias) und Datenqualität zu bewerten.
• Zugang zum Quellcode – nach Art. 74 Abs. 13 AI Act allerdings nur auf begründete Anfrage und nur, wenn Dokumentation und Daten zur Konformitätsbewertung nicht ausreichen. Dieser Zugang ist also die Ultima Ratio, nicht der Regelfall.

Nach Art. 21 AI Act sind Anbieter zudem verpflichtet, mit den Behörden zu kooperieren und Informationen in einer Amtssprache des betreffenden Mitgliedstaats bereitzustellen.

Korrekturmaßnahmen, Rückruf und Marktrücknahme

Stellt die Behörde ein Risiko oder eine Nichtkonformität fest, greift das Verfahren nach Art. 79 AI Act. Die Eskalationsstufen:

1. Aufforderung zur Nachbesserung – Sie erhalten eine Frist, das System in Einklang zu bringen.
2. Anordnung von Korrekturmaßnahmen – etwa Anpassung des Risikomanagements oder der Dokumentation.
3. Rückruf (Recall) – das System muss bei den Nutzern zurückgeholt werden.
4. Marktrücknahme (Withdrawal) – das System darf nicht länger auf dem Markt sein.

Bei formaler Nichtkonformität – etwa fehlender CE-Kennzeichnung oder fehlender EU-Konformitätserklärung – greift zusätzlich Art. 83 AI Act.

Zusammenhang mit Bußgeldern

Kommen Sie Anordnungen nicht nach oder verstoßen Sie substanziell gegen den AI Act, drohen die Sanktionen des Art. 99 AI Act:

• bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken (Art. 5),
• bis zu 15 Mio. € oder 3 % bei Verstößen gegen zentrale Pflichten (z. B. Hochrisiko-Anforderungen),
• bis zu 7,5 Mio. € oder 1 % bei falschen Angaben gegenüber Behörden.

Für GPAI-Modelle regelt Art. 101 AI Act eigene Geldbußen von bis zu 15 Mio. € oder 3 %. Ein Rechenbeispiel: Ein Konzern mit 2 Mrd. € Jahresumsatz riskiert bei einem Verstoß gegen Hochrisiko-Pflichten nicht „nur“ 15 Mio. €, sondern die höhere Alternative von 3 % – also 60 Mio. €. Details dazu in unserem Beitrag zu Bußgeldern und Strafen im AI Act.

Wie läuft eine KI-Marktüberwachung praktisch ab?

Anlassbezogen vs. stichprobenartig

Die Behörde wird auf zwei Wegen tätig:

• Stichprobenartig – im Rahmen eigener Kontrollpläne, auch ohne konkreten Verdacht.
• Anlassbezogen – ausgelöst durch Beschwerden, Medienberichte, Hinweise anderer Behörden oder Meldungen schwerwiegender Vorfälle.

Der typische Ablauf

1. Erstkontakt / Aufforderung: Sie erhalten ein formelles Auskunftsersuchen mit Fristsetzung (oft 15–30 Tage, je nach Umfang).
2. Dokumentenprüfung: Die Behörde sichtet technische Dokumentation, Konformitätserklärung, Risikomanagement und Logs.
3. Vertiefte Prüfung: Bei offenen Fragen folgen Nachforderungen, Zugang zu Daten oder – als letzte Stufe – zum Quellcode.
4. Vor-Ort-Kontrolle: Die Behörde kann Räumlichkeiten betreten und Systeme im Betrieb inspizieren.
5. Bewertung und Bescheid: Entweder Entwarnung oder eine Anordnung nach Art. 79 mit erneuter Frist zur Nachbesserung.

Wichtig: Ihnen stehen in jeder Phase Reaktionsmöglichkeiten zu – rechtliches Gehör, Stellungnahmen und Rechtsmittel gegen belastende Bescheide. Schweigen ist die schlechteste Strategie, denn fehlende Kooperation kann eigenständig sanktioniert werden.

Beschwerden und Meldepflichten als Auslöser

Ein häufig unterschätzter Auslöser ist die Meldepflicht bei schwerwiegenden Vorfällen nach Art. 73 AI Act. Wenn Ihr Hochrisiko-System einen ernsten Zwischenfall verursacht, müssen Sie diesen melden – und lösen damit potenziell eine Prüfung aus. Zudem können nach Art. 85 AI Act betroffene Personen Beschwerden einreichen. Wie Sie Vorfälle korrekt handhaben, lesen Sie in unserem Beitrag zur Meldepflicht bei schwerwiegenden Vorfällen.

Was Unternehmen erwartet – und wie Sie sich vorbereiten

Typische Dokumente, die Sie vorlegen müssen

• Technische Dokumentation nach Anhang IV
• EU-Konformitätserklärung und CE-Kennzeichnungsnachweis
• Beschreibung des Risikomanagementsystems (Art. 9)
• Daten-Governance-Nachweise (Art. 10)
• Protokollierungs- und Aufzeichnungsdaten (Logs, Art. 12)
• Gebrauchsanweisungen und Transparenzinformationen (Art. 13)
• Nachweis menschlicher Aufsicht (Art. 14)
• Eintrag in der EU-Datenbank für Hochrisiko-Systeme (Art. 71) – die Registrierung ist zugleich ein Einstiegspunkt für die Überwachung; siehe Registrierungspflicht in der EU-Datenbank.

Häufige Prüfschwerpunkte

Bei Hochrisiko-KI konzentrieren sich Behörden erfahrungsgemäß auf: Vollständigkeit und Aktualität der Dokumentation, Datenqualität und Bias, Robustheit und Genauigkeit sowie die tatsächliche Wirksamkeit der menschlichen Aufsicht.

Bei GPAI-Modellen stehen technische Dokumentation, Trainingsdaten-Transparenz (Urheberrecht, Zusammenfassung der Inhalte) und – bei Modellen mit systemischem Risiko – Modellevaluierungen und Cybersicherheit im Fokus.

Checkliste zur Prüfungsvorbereitung

• Technische Dokumentation vollständig, aktuell und in deutscher Sprache verfügbar
• Konformitätserklärung und CE-Nachweis griffbereit
• Trainings- und Testdaten dokumentiert und zugriffsbereit
• Logs und Aufzeichnungen lückenlos archiviert
• Klarer interner Prozess für Behördenanfragen (Verantwortliche, Fristenmanagement)
• Meldeprozess für schwerwiegende Vorfälle etabliert
• Rollenklärung: Sind Sie Anbieter, Betreiber, Einführer oder Händler?

Eine detaillierte Schritt-für-Schritt-Anleitung finden Sie in unserem Leitfaden zur AI-Act-Audit-Vorbereitung.

Was eine Behörde von Ihnen sehen will, ergibt sich aus der Risikoklasse Ihrer Systeme. Welche Pflicht an welcher Klasse hängt, zeigt der AI-Act-Leitfaden.

Zeitplan der AI-Act-Durchsetzung: Ab wann wird geprüft?

Die zentralen Fristen

• 2. August 2025: Pflichten für GPAI-Modelle gelten; zugleich Frist zur Benennung der nationalen Marktüberwachungsbehörden.
• 2. August 2026: Die Kernpflichten für Hochrisiko-KI nach Anhang III greifen – ab diesem Datum sind sie vollumfänglich prüfbar. Was konkret gilt, erfahren Sie im Beitrag zur Frist August 2026 für Hochrisiko-KI.
• 2. August 2027: Hochrisiko-Systeme, die unter EU-Produktsicherheitsrecht (Anhang I) fallen, folgen.

Den vollständigen Überblick bietet unser Zeitplan zu den AI-Act-Fristen 2025–2027.

Übergangsregelungen und Behördenaufbau

Die GPAI-Aufsicht durch das AI Office läuft bereits. Die nationale Marktüberwachung für Hochrisiko-KI baut ihre Prüfkapazitäten 2026 parallel zum Inkrafttreten der Pflichten aus. Realistisch ist, dass die Behörden zunächst risikoorientiert und anlassbezogen prüfen, bevor breitflächige Stichprobenkampagnen folgen.

Das ist jedoch kein Grund zur Entwarnung: Eine Beschwerde oder ein gemeldeter Vorfall kann schon ab dem 2. August 2026 eine Prüfung auslösen.

Was jetzt zu tun ist

• Bestimmen Sie jetzt die für Sie zuständige Behörde (BNetzA oder Fachaufsicht).
• Vervollständigen Sie Ihre technische Dokumentation, bevor die Prüfung kommt – nicht danach.
• Etablieren Sie einen belastbaren Prozess für Behördenanfragen mit klaren Fristen.

Fazit

Die Bundesnetzagentur mit ihrer KI-Servicestelle ist ab 2026 Ihre zentrale Marktüberwachungsbehörde für KI in Deutschland – flankiert von Fachbehörden wie BaFin, KBA und den Datenschutzaufsichten. Ihre Befugnisse reichen von der Dokumenteneinsicht über den Zugriff auf Trainingsdaten und Quellcode bis zu Rückruf und Bußgeldern von bis zu 35 Mio. € oder 7 % des Jahresumsatzes. Wer die technische Dokumentation, Datennachweise und einen klaren Reaktionsprozess parat hat, geht einer Prüfung gelassen entgegen. Wer improvisiert, riskiert teure Anordnungen.