Die deutsche KI-Aufsicht hat jetzt eine Adresse. Mit dem Ja des Bundesrats am 10. Juli 2026 hat das Gesetz zur Durchführung der KI-Verordnung, offiziell das KI-Marktüberwachungs- und Innovationsförderungsgesetz, seine letzte parlamentarische Hürde genommen. Damit ist die Frage beantwortet, die seit dem Inkrafttreten der europäischen Verordnung (EU) 2024/1689 offen war: Wer setzt die Regeln in Deutschland durch, und wer beaufsichtigt wen.
Im Zentrum steht die Bundesnetzagentur. Das Gesetz macht die Behörde aus Bonn zur zentralen Marktüberwachungsbehörde, überall dort, wo keine spezialisierte Fachbehörde zuständig ist. Bei ihr entsteht ein Koordinierungs- und Kompetenzzentrum für die KI-Verordnung, kurz KoKIVO, das die übrigen Behörden bei ihren neuen Aufgaben unterstützen und eine einheitliche Rechtsauslegung bei horizontalen Fragen sicherstellen soll. Die Bundesnetzagentur wird außerdem zentrale Anlaufstelle und Beschwerdestelle für Bürgerinnen und Bürger, die mögliche Verstöße melden wollen, und sie soll mindestens ein KI-Reallabor betreiben, in dem neue Anwendungen unter Aufsicht erprobt werden können.
Zentral heißt aber nicht allzuständig. Der Gesetzgeber hat sich bewusst gegen eine neue Superbehörde und für ein hybrides Modell entschieden. Die bestehenden Fachaufsichten behalten ihre Bereiche. Für den Finanzsektor bleibt die BaFin die maßgebliche Aufsichtsinstanz, auch wenn Kreditinstitute und Versicherer künstliche Intelligenz einsetzen. Die Bundesnetzagentur koordiniert und übernimmt die Lücken, sie beaufsichtigt nicht jeden Sektor selbst. Das Bundesministerium für Digitales und Staatsmodernisierung hat dieses Konstrukt als schlanke Aufsicht beworben: Sie nutzt vorhandene Strukturen der Marktüberwachung und der Finanzaufsicht, statt einen neuen Apparat aufzubauen.
Was Marktüberwachung praktisch bedeutet, lohnt sich zu buchstabieren, denn hier liegt der eigentliche Hebel. Die KI-Verordnung übernimmt das Modell der europäischen Produktsicherheit: Die zuständige Behörde kann Unterlagen und technische Dokumentation anfordern, Systeme prüfen, Auskünfte verlangen und, wenn ein System die Anforderungen verletzt, Korrekturmaßnahmen anordnen, den Vertrieb beschränken oder ein Produkt vom Markt nehmen. Genau diese Befugnisse liegen künftig gebündelt bei der Bundesnetzagentur, soweit keine Fachbehörde vorgeht, und bei der BaFin für den Finanzsektor. Der Taktstock ist also kein Bild: Es sind konkrete Eingriffsrechte, die das Gesetz einer klar benannten Stelle zuordnet, statt sie in einer Grauzone zwischen Bund und Ländern zu belassen.
Neben der Aufsicht regelt das Gesetz eine zweite, technisch anspruchsvollere Achse: die Konformitätsbewertung von Hochrisiko-Systemen. Anbieter solcher Systeme müssen ihre Produkte prüfen lassen, in bestimmten Fällen durch eine unabhängige notifizierte Stelle. Wer eine solche Stelle benennen darf und auf welcher Grundlage, war in Deutschland bis zuletzt ungeklärt. Das Durchführungsgesetz weist die Rolle der notifizierenden Behörde ebenfalls der Bundesnetzagentur zu. Die eigentliche fachliche Begutachtung übernimmt die Deutsche Akkreditierungsstelle, die DAkkS. Sie akkreditiert die Konformitätsbewertungsstellen auf Basis der Verordnung (EG) 765/2008 und des Akkreditierungsstellengesetzes. Nach Artikel 29 der KI-Verordnung kann die Notifizierung auf einer solchen Akkreditierung aufbauen. Die DAkkS selbst hatte zuvor öffentlich darauf hingewiesen, dass genau diese Zuständigkeit erst über ein nationales Gesetz geklärt werden müsse. Genau das ist nun geschehen.
Damit steht die Architektur, und sie folgt einem erkennbaren Muster: eine koordinierende Zentrale, darunter die sektoralen Aufseher, daneben das getrennte Prüf- und Akkreditierungssystem. Die Bundesnetzagentur hält den Taktstock, BaFin und die anderen Fachbehörden führen ihre Instrumente, die DAkkS sorgt dafür, dass die Prüfer selbst geprüft sind.
Der Weg dorthin war lang. Das Kabinett hatte den Regierungsentwurf am 11. Februar 2026 beschlossen, der Bundestag stimmte am 11. Juni 2026 in der vom Digitalausschuss geänderten Fassung zu, der Bundesrat billigte das Gesetz am 10. Juli 2026. Es kann nun ausgefertigt und verkündet werden und tritt am Tag nach der Verkündung in Kraft. Die zeitliche Nähe ist kein Zufall: Die nächste Anwendungsstufe der KI-Verordnung greift im Sommer 2026, und die nationale Zuständigkeitsordnung sollte bis dahin stehen.
Für Unternehmen verschiebt sich damit die praktische Frage. Sie lautet nicht mehr, ob die Verordnung Zähne bekommt, sondern an welche Tür sie klopfen müssen. Die Antwort ist zweischneidig. Einerseits gibt es mit der Bundesnetzagentur eine sichtbare, zentrale Anlaufstelle und mit dem KoKIVO ein Versprechen auf einheitliche Auslegung. Andererseits bleibt die Zuständigkeit sektoral geteilt: Ein Finanzdienstleister hat es weiter mit der BaFin zu tun, ein Hersteller von Medizin- oder Industrietechnik mit seiner jeweiligen Marktüberwachung. Das Koordinierungszentrum muss die Klammer bilden, die diese verteilte Aufsicht zusammenhält, sonst droht das, was der hybride Ansatz vermeiden wollte: uneinheitliche Auslegung entlang der Behördengrenzen.
Offen bleiben zwei Punkte, die über den Erfolg des Modells entscheiden. Erstens die Ausstattung. Eine Behörde, die zugleich koordiniert, überwacht, notifiziert, berät und ein Reallabor betreibt, braucht Personal mit technischem und juristischem KI-Wissen, das derzeit knapp ist. Zweitens die Reibung im Alltag. Ein hybrides System lebt davon, dass die Fachbehörden dieselbe Sprache sprechen. Genau dafür ist das KoKIVO gedacht, doch seine Durchschlagskraft muss sich erst zeigen.
Die politische Botschaft ist dennoch klar. Deutschland setzt nicht auf einen neuen Aufsichtsmoloch, sondern auf eine dünne, koordinierende Schicht über bewährten Strukturen. Ob dieser schlanke Zuschnitt hält, hängt weniger am Gesetzestext als an der Praxis: daran, ob die Bundesnetzagentur die Rolle der Dirigentin ausfüllen kann und ob BaFin, DAkkS und die übrigen Behörden im gleichen Takt spielen. Die Zuständigkeiten sind verteilt. Jetzt beginnt die eigentliche Arbeit, sie mit Leben zu füllen.
Discussion
Sign in to join the discussion.
No comments yet. Be the first to share your thoughts.