KI-MIG: Die Bundesnetzagentur ist jetzt Ihre KI-Aufsicht. Was das Gesetz für den Mittelstand regelt
Seit 29. Juli gilt das deutsche Durchführungsgesetz zum EU AI Act. Es sagt, wer prüft, wer berät, wo Sie sich beschweren können und was ein Verstoß gegen nationale Pflichten kostet. Die zwanzig Paragrafen, auf fünf Punkte eingedampft.
Der EU AI Act sagt, was verboten und was erlaubt ist. Er sagt nicht, welche deutsche Behörde an Ihre Tür klopft. Das regelt seit 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG. Der Bundestag hat es in der Nacht zum 11. Juni beschlossen, der Bundesrat hat am 10. Juli zugestimmt, verkündet wurde es am 22. Juli im Bundesgesetzblatt (2026 I Nr. 223).
1. Wer zuständig ist
Die Bundesnetzagentur ist die zentrale Marktüberwachungsbehörde für KI-Systeme (§ 2). Ausnahmen gibt es dort, wo schon eine Fachaufsicht existiert: Finanzdienstleistungen bleiben bei der BaFin, Medien bei den Landesmedienanstalten, Datenschutzfragen bei den Datenschutzbehörden. Für den typischen Mittelständler mit Chatbot, Automatisierung und Bürosoftware heißt das: Bundesnetzagentur.
Für besonders sensible Hochrisiko-Systeme, etwa Biometrie, Strafverfolgung oder Migration, gibt es eine unabhängige KI-Marktüberwachungskammer mit drei Mitgliedern innerhalb der Behörde (§ 4). Sie berichtet jährlich an den Bundestag.
2. Wo Sie hin können
Drei Anlaufstellen, alle bei der Bundesnetzagentur:
- Zentrale Anlaufstelle (§ 6) für Fragen und Informationsaustausch.
- Zentrale Beschwerdestelle (§ 8). Wer glaubt, von einem KI-System rechtswidrig behandelt worden zu sein, kann sich dort melden. Das gilt auch für Ihre Kunden und Beschäftigten.
- Koordinierungs- und Kompetenzzentrum (§ 5), das für einheitliche Auslegung sorgen und andere Behörden unterstützen soll.
3. Was die Behörde für Sie tun soll
Das Gesetz heißt nicht ohne Grund auch Innovationsförderungsgesetz. § 12 verpflichtet die Bundesnetzagentur, Unternehmen mit Information, Beratung und Schulungsangeboten zu unterstützen. Konkret existiert schon der KI-Service-Desk mit einem Online-Werkzeug zur ersten Einschätzung der Risikoklasse. Dazu kommen nach § 13 mindestens ein KI-Reallabor, in dem Systeme unter Aufsicht getestet werden können, mit ausdrücklichem Fokus auf kleine und mittlere Unternehmen.
Unser Rat: Nutzen Sie das. Eine dokumentierte Anfrage beim Service-Desk, in der Sie Ihren Use-Case einordnen lassen, ist bei einer späteren Prüfung Gold wert.
4. Was ein Verstoß kostet
Zwei Ebenen. Die EU-Bußgelder nach Art. 99 AI Act (bis 35 Millionen Euro bei verbotenen Praktiken, bis 15 Millionen bei Transparenz- und Hochrisikopflichten, jeweils oder Prozent vom Umsatz) verhängt die Marktüberwachung in ihrem Zuständigkeitsbereich. Dazu kommen nationale Bußgelder bis 50.000 Euro (§ 15) für Verstöße gegen Mitwirkungspflichten: Dokumentation nicht vorgelegt, Zugang verweigert, Betroffene nicht informiert.
Wichtig: Behörden sind von Bußgeldern ausgenommen (§ 16, § 17). Unternehmen nicht.
5. Was Sie registrieren müssen
§ 20 richtet ein nicht-öffentliches Register für bestimmte Hochrisiko-Systeme ein. Anbieter und Betreiber müssen sich dort vor Inbetriebnahme eintragen. Durch den KI-Omnibus greift die Hochrisiko-Ebene erst ab Dezember 2027, die Registrierungspflicht also auch. Wer aber jetzt ein System einkauft, das dann darunterfällt, sollte den Eintrag heute schon mitdenken.
Was das praktisch ändert
Bis Juli war der AI Act in Deutschland ein Gesetz ohne Adresse. Beschwerden liefen ins Leere, Bußgelder konnte niemand verhängen. Das ist vorbei. Für einen Mittelständler ändert sich damit weniger die Pflicht als das Risiko: Ein unzufriedener Kunde oder ein Betriebsrat hat jetzt eine Stelle, an die er schreiben kann.
Die drei Dinge, die Sie daraus ableiten sollten:
- Ansprechpartner benennen. Eine Person im Haus, die KI-Systeme kennt und Anfragen der Behörde beantworten kann.
- Dokumentation greifbar halten. Use-Case-Liste, Risikoeinordnung, Schulungsnachweise, Anbieterverträge in einem Ordner. Das ist auch die Antwort auf die 50.000-Euro-Frage.
- Service-Desk nutzen, bevor Sie etwas Neues einführen, das in Richtung Hochrisiko geht.
Kurz gesagt: Das KI-MIG bringt keine neuen Pflichten, es bringt eine Behörde. Und eine Behörde, die Ihnen kostenlos die Risikoklasse einordnet, ist die günstigste Compliance-Beratung, die Sie bekommen werden. Wie Sie den Betriebsrat dabei mitnehmen, steht in Betriebsrat & KI.