KI-Aufsicht in Deutschland

Die KI-Verordnung gilt unmittelbar in allen Mitgliedstaaten – ein nationales Umsetzungsgesetz braucht es dafür nicht. Was die Mitgliedstaaten sehr wohl regeln müssen, ist die Durchsetzung: welche Behörde zuständig ist, welche Befugnisse sie hat und wie Sanktionen verhängt werden. Die KI-Aufsicht in Deutschland ist genau dieser Teil.

Was die Verordnung den Mitgliedstaaten aufgibt

Drei Rollen sind zu besetzen:

Die Marktüberwachungsbehörden überwachen, ob die auf dem Markt befindlichen KI-Systeme den Anforderungen entsprechen. Sie können Unterlagen anfordern, Prüfungen durchführen und Systeme vom Markt nehmen.

Die notifizierenden Behörden benennen und überwachen die Stellen, die Konformitätsbewertungen durchführen – siehe Art. 28.

Die zentrale Anlaufstelle dient als Ansprechpartner nach außen, gegenüber der Kommission und den anderen Mitgliedstaaten – siehe Art. 70.

Hinzu kommt, dass die Mitgliedstaaten die Sanktionen festlegen müssen. Den Rahmen gibt Art. 99 vor; die Ausgestaltung des Verfahrens ist nationale Aufgabe.

Die vorgesehene Struktur

Für Deutschland ist ein eigenes Gesetz auf den Weg gebracht worden, das diese Rollen zuweist – das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG. Vorgesehen ist danach eine zentrale Rolle der Bundesnetzagentur: als Marktüberwachungsbehörde und als koordinierende Stelle, die die Zusammenarbeit mit den fachlich zuständigen Behörden organisiert.

Der Grund für dieses Modell liegt in der Breite des Anwendungsbereichs. KI-Systeme kommen in Medizinprodukten vor, in Fahrzeugen, in Finanzdienstleistungen, im Personalwesen. Für jeden dieser Bereiche gibt es bereits eine Fachaufsicht. Eine einzige neue Behörde für alles wäre weder fachlich sinnvoll noch durchsetzbar – deshalb koordinierende Zuständigkeit statt Alleinzuständigkeit.

Nicht berührt bleiben die Datenschutzaufsichtsbehörden. Sie bleiben zuständig, soweit personenbezogene Daten verarbeitet werden – siehe Datenschutz-Aufsichtsbehörde. Für Sie bedeutet das: Beim Einsatz eines KI-Systems mit Personenbezug können zwei Aufsichten zuständig sein, jede für ihren Teil.

Zum Stand des Gesetzgebungsverfahrens: Prüfen Sie den aktuellen Stand, bevor Sie sich auf Fristen oder Zuständigkeiten verlassen. Wir nennen hier bewusst keine Daten, die überholt sein könnten.

Was für Sie daraus folgt

Die praktisch wichtigste Erkenntnis ist eine beruhigende: Für Ihre Pflichten ändert das nationale Gesetz wenig. Was Sie tun müssen, steht in der Verordnung und gilt bereits. Das Umsetzungsgesetz regelt, wer kontrolliert – nicht, was kontrolliert wird.

Die Aufgabenliste bleibt damit dieselbe:

  • Bestandsaufnahme. Welche KI-Systeme laufen im Haus, in welcher Rolle setzen Sie sie ein? Einstieg: KI-Risikoanalyse.
  • Einstufung. Verbotene Praktik, Hochrisiko, Transparenzpflicht oder unkritisch – siehe KI-Glossar.
  • KI-Kompetenz. Die Pflicht aus Art. 4 trifft jeden, der KI einsetzt; erfüllbar über die KI-Grundschulung.
  • Regelung. Eine KI-Richtlinie, die im Alltag hält.
  • Dokumentation. Inventar, Rollen, Bewertungen, Freigaben – geführt in der KI-Governance-Software.

Der Zeitpunkt

Die Verordnung tritt gestaffelt in Kraft; die Verbote und die Pflicht zur KI-Kompetenz greifen früher als die Anforderungen an Hochrisiko-Systeme. Der Geltungsbeginn im Einzelnen steht in Art. 113.

Wer wartet, bis die Aufsichtsstruktur steht, hat den falschen Auslöser gewählt. Die Pflichten hängen nicht daran, ob eine Behörde benannt ist – sie hängen am Geltungsbeginn.

Kontakt

Sie wollen wissen, welche Ihrer Systeme unter die Verordnung fallen? Das ist die Frage, mit der jede Umsetzung beginnt.