Wer die Übersicht der EU-Kommission zur nationalen KI-Aufsicht am 18. September 2026 abruft, sieht eine Karte in Bewegung: Elf Mitgliedstaaten stehen ohne Sternchen in der Liste, zehn Einträge gelten als vorläufig und bei sechs Staaten fehlen Behördenangaben vollständig. Im für den ursprünglichen Entwurf erfassten Stand vom 7. September lautete die Verteilung noch neun, zwölf und sechs. Portugal und Slowenien werden nun ohne Vorbehalt geführt.
Die Korrektur belegt, dass die Kommission ihre Übersicht fortschreibt. Sie löst das Grundproblem aber nicht. Ein Abgleich mit nationalen Gesetzen, Kabinettsbeschlüssen und Behördenmitteilungen zeigt, dass Brüssel fehlende Rechtsgrundlagen, befristete Zuständigkeiten und Meldeverzug in derselben Darstellung vermischt. Unternehmen sollen über diese Kontaktstellen Beschwerden, Auskunftsersuchen und Vollzugsfragen klären. Wer aus Sternchen und Leerstellen ein Ranking der Rechtsreife ableitet, kann deshalb bei der falschen Behörde landen oder eine vorhandene Zuständigkeit übersehen.
Die Frist ist seit mehr als einem Jahr abgelaufen
Artikel 70 der KI-Verordnung verpflichtete jeden Mitgliedstaat, bis zum 2. August 2025 mindestens eine Marktüberwachungsbehörde und eine notifizierende Behörde zu benennen. Zudem war eine zentrale Kontaktstelle zu bestimmen und der Kommission zu melden. Die Kommission nennt auf ihrer Karte ein Vertragsverletzungsverfahren als mögliche Reaktion auf einen Verstoß, weist dort aber weder förmliche Mahnschreiben noch laufende Verfahren gegen einzelne Staaten aus.
Die aktuelle Zählung lautet: Italien, Lettland, Litauen, Malta, Dänemark, Polen, Portugal, Finnland, Slowenien, Griechenland und Irland stehen ohne Vorbehalt in der Liste. Zehn Staaten tragen ein Sternchen, sechs Felder sind leer. Die Kommission erklärt nur, bei einem Sternchen stehe die endgültige Annahme des nationalen Benennungsbeschlusses noch aus. Ob ein Gesetz fehlt, eine Übergangslösung gilt oder lediglich die förmliche Mitteilung noch nicht verarbeitet wurde, ist nicht erkennbar.
Ungarn widerlegt die einfache Lesart
Am deutlichsten wird die Schwäche bei Ungarn. Die Kommissionskarte lässt das Land leer. Im ungarischen Rechtsinformationssystem stehen jedoch bereits das Gesetz LXXV von 2025 zur Durchführung der KI-Verordnung und die Regierungsverordnung 344/2025. Ein leeres Feld beweist dort also nicht, dass nationales Recht fehlt.
Slowenien zeigt, wie schnell sich das Verzeichnis ändern kann. Die Regierung erklärt, das Durchführungsgesetz ZIUDHPUI habe AKOS, den Datenschutzbeauftragten, die Versicherungsaufsicht, die Zentralbank und die Marktinspektion als zuständige Marktaufseher festgelegt; AKOS sei die zentrale Kontaktstelle. Die slowenische Übersichtsseite wurde zuletzt am 14. Juli 2026 aktualisiert. Die deutsche Kommissionsseite führt Slowenien jetzt ohne Sternchen und bildet diesen nationalen Stand damit besser ab als noch am 7. September.
Schweden zeigt eine andere Kategorie. Dort fehlt das endgültige Ergänzungsgesetz noch, doch die Regierung hat PTS, die Datenschutzbehörde IMY, die Finanzaufsicht und weitere Fachaufseher befristet bis Ende 2026 beauftragt. PTS fungiert nach eigener Darstellung als Marktüberwacher und zentrale Kontaktstelle. Das Sternchen bezeichnet hier eine rechtswirksame Übergangsordnung, nicht die Abwesenheit von Aufsicht.
Zypern meldete bereits im Januar 2025 einen Kabinettsbeschluss: Der Kommunikationskommissar sollte notifizierende Behörde, Marktaufseher und zentrale Kontaktstelle werden, der Datenschutzkommissar bestimmte Hochrisikobereiche überwachen. Das spätere Durchführungsgesetz war 2026 noch in der Konsultation. In den Niederlanden plante die Regierung im April 2026 die Datenschutzbehörde AP und die Digitalaufsicht RDI als koordinierende Stellen, legte den Gesetzentwurf aber zunächst nur zur Internetkonsultation vor. Beide Länder tragen ein Sternchen, obwohl ihre Rechtslagen deutlich verschieden sind.
Deutschlands Sternchen überlebt das Gesetz
Deutschland ist inzwischen ein besonders klarer Fall für den Nachlauf der Karte. Der Bundestag verabschiedete das KI-Marktüberwachungs- und Innovationsförderungsgesetz am 11. Juni 2026. Der Bundesrat verzeichnete am 10. Juli keinen Antrag auf Einberufung des Vermittlungsausschusses. Das DIP führt den Vorgang inzwischen als verkündet. Das Gesetz vom 22. Juli wurde am 28. Juli im Bundesgesetzblatt 2026 I Nr. 223 veröffentlicht und gilt seit dem 29. Juli.
Die Bundesnetzagentur ist damit grundsätzlich Marktüberwachungsbehörde und zentrale Kontaktstelle. Sektorale Zuständigkeiten bleiben erhalten; für KI-Systeme im direkten Zusammenhang mit regulierten Finanzgeschäften ist insbesondere die BaFin zuständig. Trotzdem versieht die Kommission Deutschlands Eintrag weiterhin mit einem Sternchen. Der Vorbehalt kann daher nicht mehr mit fehlender Verkündung oder fehlendem Inkrafttreten erklärt werden.
Andere Einträge bilden echte Umsetzungslücken ab. Österreich hatte beim Redaktionsschluss des Tätigkeitsberichts 2025 der Datenschutzbehörde noch keinen Entwurf des Durchführungsgesetzes vorgelegt, das die Marktaufseher benennen soll. Belgiens Wirtschaftsministerium beschreibt den nationalen Governance-Rahmen weiterhin als in Arbeit. Bulgarien plante sein Durchführungsgesetz im Juli erst für den Herbst. Die Slowakei meldete im August lediglich den Übergang ihres KI-Gesetzes in die nächste Verfahrensphase.
Befugnisse gelten schon, Hochrisikofristen später
Die Zuständigkeitsfrage ist akut, obwohl wichtige Produktpflichten später greifen. Nach der Vollzugsübersicht der Kommission gelten die Aufsichtsbefugnisse seit dem 2. August 2026 für verbotene Praktiken, Transparenzpflichten und Modelle mit allgemeinem Verwendungszweck. Die Pflichten für Hochrisikosysteme des Anhangs III sollen dagegen am 2. Dezember 2027, produktbezogene Hochrisikopflichten am 2. August 2028 wirksam werden.
Marktaufseher dürfen nicht nur Formulare abfragen. Artikel 74 eröffnet ihnen Zugang zu Dokumentation sowie Trainings-, Validierungs- und Testdatensätzen. Quellcode dürfen sie auf begründetes Verlangen anfordern, wenn andere Prüfwege ausgeschöpft und weitere Voraussetzungen erfüllt sind. Nach Artikel 85 können natürliche und juristische Personen Beschwerden einreichen. Bei Verstößen reichen die Maßnahmen nach Artikel 79 von Korrekturen bis zur Beschränkung, Untersagung, Rücknahme oder zum Rückruf eines Systems. Geldbußen setzen hingegen eine nationale Vollzugsstruktur voraus, die Zuständigkeiten und Verfahren praktisch trägt.
Für deutsche Unternehmen folgt daraus eine nüchterne Arbeitsregel: Die Kommissionskarte ist ein Einstieg, kein Zuständigkeitsbescheid. Banken müssen neben der Bundesnetzagentur vor allem die Rolle der BaFin prüfen, Medizinprodukteanbieter ihre Fachaufsicht, grenzüberschreitend tätige Anbieter die Rechtsgrundlage jedes Ziellandes. Ein Sternchen ist kein Freibrief, ein leeres Feld kein Beweis für ein rechtsfreies Gebiet.
Die Kommission könnte die Unsicherheit mit wenigen zusätzlichen Feldern beseitigen: Rechtsgrundlage, Datum des Inkrafttretens, Dauer einer Übergangsbestellung und Stand der formellen Notifizierung. Bis dahin dokumentiert ihre Karte auch ein Transparenzdefizit. Sie weist inzwischen elf Einträge ohne Vorbehalt aus, erklärt aber weiterhin nicht, warum ein geltendes deutsches Aufsichtsgesetz nur mit Sternchen erscheint.
Discussion
Sign in to join the discussion.
No comments yet. Be the first to share your thoughts.