EU AI Act: Neue Regeln für Entwicklung und Einsatz von KI

Mitte Februar erfolgte nun der Kabinettsbeschluss zum Regierungsentwurf des KI-MIG, das die Umsetzung der KI-VO regeln soll. Ziel des KI-MIG ist es, die KI-Regelungen möglichst bürokratiearm und innovationsfreundlich umzusetzen. ^6-7

Der Kern ist die Einrichtung des sogenannten Koordinierungs- und Kompetenzzentrums für die KI-Verordnung (KoKIVO) innerhalb der Bundesnetzagentur (BNetzA). Hier soll KI-Expertise gebündelt und bei Bedarf an weitere branchen- und themenspezifische Bundes- und Landesbehörden weitergegeben werden, um eine einheitliche Auslegung der KI-VO zu gewährleisten. Zusätzlich werden innerhalb der BNetzA ein Service-Desk sowie ein KI-Reallabor eingerichtet. Das KI-Reallabor soll ab dem 2. August 2026 verfügbar sein und es ermöglichen, KI-Anwendungen rechtssicher zu testen. Auch Schulungen und Vernetzungsangebote rund um die Verordnung sollen durch die BNetzA bereitgestellt werden.

In Bezug auf Marktüberwachungsstrukturen wird durch das KI-MIG auf die Schaffung von Doppelstrukturen verzichtet, indem ein hybrider Ansatz verfolgt wird. Für Bereiche in denen bereits Aufsichtsstrukturen bestehen, wie beispielsweise dem Finanzdienstleistungsbereich, behalten bestehende Behörden ihre Expertise. Somit bleibt es für die Unternehmen bei ihren etablierten Ansprechpartnern, die dann zukünftig zusätzlich die KI-VO mit abdecken. Für alle übrigen Bereiche übernimmt die BNetzA die Rolle der zuständigen Marktüberwachungsbehörde. Eine Ausnahme bildet der Presse- und Rundfunkbereich. Hier greift die föderale Medienordnung, sodass die Verantwortung bei den jeweiligen Landesmedienanstalten verbleibt und nicht an die BNetzA übertragen wird.

Das KI-MIG fokussiert sich hingegen nicht auf die inhaltlichen Anforderungen an KI-Systeme. Diese werden direkt in der KI-VO geregelt. Sie enthält spezielle Übergangsregelungen für Hochrisiko-KI-Systeme, die bereits vor dem 2. August 2026 in Verkehr gebracht oder in Betrieb genommen wurden. Nach Artikel 111 Absatz 2 der Verordnung gelten die Anforderungen für solche Systeme grundsätzlich nur dann, wenn sie nach diesem Zeitpunkt wesentlich in ihrer Konzeption verändert werden. Damit müssen bereits bestehende Systeme nicht unmittelbar vollständig an die neuen Vorgaben angepasst werden. Eine Ausnahme besteht jedoch für Hochrisiko-KI-Systeme, die bestimmungsgemäß von Behörden verwendet werden sollen: Anbieter und Betreiber solcher Systeme sind verpflichtet, spätestens bis zum 2. August 2030 die Anforderungen und Pflichten der Verordnung vollständig umzusetzen.⁸

Das KI-MIG zeigt, dass die KI-Regulierung in Deutschland langsam konkreter wird. Spätestens jetzt wird es somit für Unternehmen Zeit, sich mit den Regelungen der KI-VO auseinanderzusetzen. Insbesondere der Aufbau der KI-Kompetenz innerhalb der Unternehmen sollte weiter vorangetrieben werden. Zusätzlich sollten sich Unternehmen auf die Regelungen für Hochrisiko-KI-Systeme vorbereiten, indem sie ihre KI-Systeme klassifizieren und ein zukunftsorientiertes Qualitätsmanagement und Risikomanagementsystem planen und aufbauen.⁴ Aber auch Anbieter und Betreiber von KI-Systemen mit geringerem Risiko, wie Chatbots, müssen sich mit den Anforderungen aus der KI-VO auseinandersetzen und insbesondere die Transparenzpflichten umsetzen.³

Die Entscheidung für die BNetzA als zentrale Stelle stößt insbesondere von datenschutzrechtlicher Seite auf Kritik. So sprach die Berliner Datenschutzbeauftragte Meike Kamp von einer „massiven Schwächung [der] Grundrechte“.¹⁰ Kern dieser Kritik ist die Auslegung der KI-VO: Demnach soll auf der europäischen Ebene verhindert werden, dass beliebig neue Stellen eingerichtet und mit der Verantwortung betraut werden.¹⁰  
Es soll somit schon klare Vorgaben geben, die eine freie Entscheidung in Bezug auf die Marktüberwachungsbehörde, wie sie in Deutschland nun getroffen wurde, verhindern. 

Gegen die Verantwortungsübertragung an die Datenschutzbehörden sprach sich hingegen beispielsweise der Startup-Verband aus. Dieser argumentierte, dass die Bündelung der Verantwortung bei einer zentralen Stelle sinnvoller sei, da ansonsten ein erheblicher und komplizierter Abstimmungsbedarf zwischen mehreren Behörden entstehen würde. ¹⁰

Betrachtet man nun jedoch den Regierungsentwurf des KI-MIG, erscheint die Wahl der BNetzA gerade mit Blick auf dieses Argument schwer nachvollziehbar. Zwar liegt die zentrale Verantwortung formell bei einer zentralen Stelle, die praktische Aufsicht verbleibt jedoch in vielen Bereichen bei den branchen- und themenspezifischen Behörden. Man muss also davon ausgehen, dass auch bei diesem Ansatz ein umfangreicher Abstimmungsbedarf zwischen den verschiedenen Akteuren erforderlich ist. Zumindest in diesem Aspekt ist der Grund für die Entscheidung zugunsten der BNetzA nicht ganz einleuchtend. 

Auch die Ausgestaltung der Sanktionen lässt sich kritisch betrachten. Das KI-MIG ergänzt die Vorgaben der KI-VO zwar um klar benannte Ordnungswidrigkeitstatbestände, belässt es jedoch bei einem einheitlichen nationalen Bußgeldrahmen von bis zu 50.000 Euro. Für schwere Verstöße greifen die Bußgeldrahmen der KI-VO nach Artikel 99 Absätze 3 bis 5. Die KI-VO regelt bei der Missachtung des Verbots bestimmter KI-Praktiken von bis zu 35 000 000 Euro oder 7% des Vorjahresumsatzes, abhängig davon, welcher Betrag höher ist.⁷ Das Umsetzungsgesetz definiert hierfür vor allem Zuständigkeiten und Verfahren, jedoch nicht, wie Geldbußen im Einzelfall berechnet werden, insbesondere mit Blick auf die Umsatzbasis und die Behandlung von Konzernstrukturen. Nur in Bezug auf KMUs und Start-ups sollen niedrigere Beträge gelten, um ihre Interessen und ihr wirtschaftliches Unternehmen zu berücksichtigen.¹⁰ Somit bleiben teilweise zentrale Fragen der praktischen Sanktionsanwendung zunächst offen. 

Im Gegensatz zur Datenschutzgrundverordnung (DSGVO), in der die Sanktionen für Datenschutzverstöße klar definiert sind¹¹, fehlt diese Konkretisierung im KI-MIG. Das könnte dazu führen, dass insbesondere für umsatzstarke Unternehmen der Anreiz sinkt, die Vorgaben der KI-VO und des KI-MIG umzusetzen. 

Mangelnde Priorität? Verzögerung in der Umsetzung der KI-Verordnung 

Die Anforderungen an die Mitgliedstaaten, wie die Einrichtung einer notifizierenden Behörde und mindestens einer Marktüberwachungsbehörde, gelten bereits seit dem 2. August 2025. Dass das deutsche Umsetzungsgesetz auch sechs Monate später noch nicht verabschiedet ist, wirft die Frage auf, wie konsequent der politische Wille tatsächlich ist, die Regulierung von KI-Systemen innerhalb Deutschlands voranzutreiben. Dieser Eindruck wird insbesondere durch die vergleichsweisen knapp bemessenen personellen Ressourcen und die fehlende Konkretisierung von Sanktionen bei schweren Verstößen verstärkt.