Das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, ist am 29. Juli 2026 in Kraft getreten. Deutschland hat damit eine offizielle KI-Aufsichtsbehörde: die Bundesnetzagentur. Sie führt seit dem 2. August die Marktüberwachung, nimmt Beschwerden entgegen und betreibt einen kostenlosen Service-Desk für Unternehmen.
Das Reichstagsgebäude in Berlin: Hier wurde am 11. Juni 2026 das KI-MIG verabschiedet. Foto: Paul Scheelen auf Pexels
Was ist das KI-MIG und warum kommt es jetzt?
Der EU AI Act gilt seit August 2024 direkt in allen Mitgliedstaaten. Er legt die inhaltlichen Anforderungen fest: Welche KI-Systeme sind verboten, welche gelten als Hochrisiko, welche Dokumentationspflichten bestehen. Was er nicht lieferte: ein deutsches Behörden- und Vollzugsgerüst.
Genau diese Lücke schließt das KI-MIG. Deutschland benennt die Bundesnetzagentur offiziell als zentrale Marktüberwachungsbehörde und ist damit der letzte große EU-Mitgliedstaat, der seine nationale Umsetzung abschließt. Die ursprüngliche Frist war August 2025, das Gesetz kam erst nach der Regierungsbildung. Der Bundestag hat es am 11. Juni beschlossen, der Bundesrat hat es am 10. Juli passieren lassen, in Kraft ist es seit dem 29. Juli 2026, drei Tage vor dem großen AI-Act-Stichtag.
Für Unternehmen heißt das praktisch: Es gibt jetzt einen klaren Ansprechpartner, eine zuständige Stelle für Beschwerden und eine Behörde mit echten Durchsetzungsbefugnissen, bis hin zur Quellcode-Einsicht bei konkretem Verdacht. Wer bei einem Bußgeldbescheid vor Gericht ziehen will, landet allerdings erstinstanzlich beim Amtsgericht, was Juristen als ungewöhnliche Wahl für eine derart technische Materie kritisieren. Das KI-MIG selbst wird nach 18 Monaten evaluiert.
Bundesnetzagentur übernimmt, KoKIVO ist neu
Die Bundesnetzagentur kennen die meisten aus dem Telekommunikations- oder Energierecht. Seit dem 2. August kommt KI dazu. Behördenpräsident Klaus Müller nennt die KI-Verordnung “ein Meilenstein für den verantwortungsvollen Einsatz von Künstlicher Intelligenz in Europa”, und die Behörde hat für ihre neue Rolle bereits Strukturen in Betrieb.
Sie ist zentrale Anlaufstelle für alle KI-Compliance-Fragen außerhalb regulierter Sektoren. Wer keine Bank ist, kein Medizinprodukt verkauft und keinen Versicherungskonzern betreibt, landet bei der Bundesnetzagentur.
Die sektoralen Fachbehörden behalten ihre Zuständigkeiten: Die BaFin beaufsichtigt KI im Finanzsektor, das BfArM KI in Medizinprodukten, der BfDI Datenschutz und biometrische Systeme, das BSI die IT-Sicherheit. Die Bundesnetzagentur koordiniert und füllt die Lücken.
Neu eingerichtet ist das KoKIVO, das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung. Es bündelt das KI-Wissen des Bundes an einer Stelle, unterstützt andere Behörden bei komplizierten Einstufungen und betreibt den KI-Service-Desk. Dazu kommen KI-Reallabore, in denen Unternehmen neue Anwendungen “in einer kontrollierten Umgebung” entwickeln, trainieren, testen und validieren können, sowie eine Beschwerdestelle, die Hinweise auf Verstöße gegen die KI-Verordnung annimmt, bearbeitet und an die zuständige Behörde weiterreicht.
”Deutschland beschließt mit dem KI-MIG eine harmonisierte, schlanke und nutzerorientierte Durchsetzungsstruktur”, sagt der BDI. Die DIHK urteilt nüchterner: “Der Fokus liegt auf der Verwaltung, nicht auf der Förderung von Innovation.”
— BDI und DIHK, Stellungnahmen zum KI-MIG, Juni 2026
Was seit dem 2. August gilt
Der 2. August 2026 war die härteste Frist, die aus dem EU AI Act auf Mittelständler zukam. Sie ist da. Unabhängig vom KI-MIG gilt seit diesem Tag Folgendes:
KI-Chatbots kennzeichnen. Wer einen KI-gestützten Chat auf der Website oder im Kundensupport betreibt, muss Nutzer bei der ersten Interaktion klar darüber informieren, dass sie mit einer KI kommunizieren. Der Hinweis “Powered by KI” reicht nicht aus. Gemäß EU-Leitlinien genügt auch der “offensichtliche Kontext” nicht als Begründung, ihn wegzulassen.
Emotionserkennung und biometrische Kategorisierung offenlegen. Solche Systeme, etwa in der Personalauswahl oder Kundenkommunikation, müssen gegenüber den Betroffenen transparent gemacht werden.
Deepfakes und KI-generierte Inhalte kennzeichnen. KI-generierte Texte, Bilder oder Videos in öffentlicher Kommunikation, Werbung oder politischen Kontexten brauchen einen erkennbaren Hinweis.
Eine Schonfrist gibt es nur an einer Stelle, und sie hilft Betreibern kaum: Anbieter generativer Systeme, die vor dem 2. August 2026 schon auf dem Markt waren, haben für die maschinenlesbare Markierung nach Artikel 50 Absatz 2 bis zum 2. Dezember 2026 Zeit. Die sichtbare Offenlegungspflicht, die euch als Betreiber trifft, gilt sofort. Wie das im Marketing-Alltag aussieht, steht ausführlich in unserem Überblick zu den AI-Act-Fristen und der Kennzeichnungspflicht.
Zusätzlich zur Transparenzpflicht lohnt ein KI-Inventar: Welche KI-Systeme sind im Einsatz, selbst entwickelt oder eingekauft? Welche Risikokategorie haben sie nach dem AI-Act-Schema? Wer ist intern verantwortlich?
Das ist kein Luxus für Großkonzerne. Laut einer Bitkom-Studie setzen 46 Prozent der deutschen Mittelständler bereits KI-Tools ein, oft ohne systematische Inventur. Seit August ist das ein Haftungsrisiko mit Adresse.
Der Service-Desk ist offen, und er ist kostenlos
Das praktisch nützlichste Stück am KI-MIG kostet euch nichts und verpflichtet euch zu nichts. Der KI-Service-Desk der Bundesnetzagentur ist bereits erreichbar und richtet sich ausdrücklich an KMU und Start-ups.
Im Zentrum steht der KI-Compliance-Kompass, ein Online-Tool zur ersten Einschätzung der Risikoklasse. Es beantwortet die Frage, die in den meisten Mittelstandsbüros am Anfang steht: Betrifft uns diese Verordnung überhaupt, und in welchem Umfang? Dazu kommen ein FAQ-Bereich, Factsheets zum Download und ein Kontaktformular für alles, was dort nicht steht.
Für ein Unternehmen ohne eigene Rechtsabteilung ist das ein realer Unterschied. Die Einstufung eines Systems als Hochrisiko oder eben nicht war bisher eine Frage an eine Kanzlei mit vierstelligem Stundensatz. Jetzt gibt es eine Behördenauskunft dazu, und die Behörde, die sie gibt, ist dieselbe, die später prüft.
Was als Hochrisiko gilt und wen es trifft
Hier hat sich seit Juni die Rechtslage verschoben, und zwar zugunsten der Unternehmen. Die Digital-Omnibus-Verordnung (EU) 2026/1744 wurde am 24. Juli im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten, fünf Tage vor dem Stichtag. Sie verlegt die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027. Für KI als Sicherheitskomponente in regulierten Produkten nach Anhang I gilt jetzt der 2. August 2028.
Volle technische Dokumentation, Konformitätsbewertung und CE-Kennzeichnung rücken damit um mehr als ein Jahr nach hinten. Der Grund dafür war handfest: Die technischen Normen, an denen sich eine Konformitätsbewertung überhaupt hätte ausrichten können, lagen zum Stichtag nicht vor.
Als Hochrisiko nach Anhang III gelten unter anderem: KI-gestützte Bewerbersichtung und Personalentscheidungen, automatisierte Bonitätsprüfungen, KI in der Qualitätskontrolle mit sicherheitsrelevantem Einfluss sowie prädiktive Wartungssysteme in kritischen Produktionsprozessen. Wer im Recruiting mit KI arbeitet, findet die verschobenen Fristen und ihre Folgen im Detail in unserem Artikel zu KI im Recruiting und den Pflichten bei Stellenausschreibungen.
Dagegen fallen einfache Chatbots ohne Entscheidungskompetenz, Spam-Filter, Übersetzungstools und typische Empfehlungssysteme nicht unter Hochrisiko. Für sie bleibt Artikel 4 der Bezugspunkt, den der Digital Omnibus zugleich entschärft hat: Aus der Pflicht, ein ausreichendes KI-Kompetenzniveau sicherzustellen, ist die Pflicht geworden, Maßnahmen zur Kompetenzförderung zu ergreifen. Ein bestimmtes Niveau einzelner Personen muss niemand mehr garantieren. Schulung bleibt trotzdem sinnvoll, weil eure Leute die Kennzeichnungspflicht nur einhalten können, wenn sie wissen, was überhaupt kennzeichnungspflichtig ist.
Mehr zur Einordnung, welche KI-Systeme wie zu behandeln sind, findet sich in unserem Überblick über KI-Agenten im Mittelstand und ihren realen Einsatz heute.
Was das KI-MIG KMU konkret erleichtert
Das Gesetz enthält ein paar Entlastungen für kleinere Unternehmen, die es wert sind, sie zu kennen.
Der KoKIVO-Service-Desk ist kostenlos und für alle zugänglich. Compliance-Fragen, die früher nur mit teurer Rechtsberatung zu beantworten waren, lassen sich dort direkt stellen.
Bei den Reallaboren haben KMU Vorrang bei der Zulassung. Relevant ist das für Unternehmen, die eigene KI-Lösungen entwickeln und regulatorischen Rat suchen, bevor sie live gehen.
Und bei Bußgeldern gilt für kleine und mittlere Unternehmen immer der niedrigere Betrag aus dem jeweiligen Rahmen. Bei einem Mittelständler mit 20 Millionen Euro Umsatz kostet ein Artikel-50-Verstoß dadurch maximal 600.000 Euro statt 15 Millionen. Empfindlich bleibt es trotzdem.
Der Bundesrat, der im Juni noch als Unsicherheitsfaktor galt, hat die Sache am 10. Juli erledigt: Die Länder haben trotz Einwänden zu Zuständigkeitsfragen darauf verzichtet, den Vermittlungsausschuss anzurufen. Damit war der Weg frei, und das Gesetz kam mit drei Tagen Vorsprung vor dem 2. August durch.
Wer wissen will, welche konkreten KI-Assistenten für welchen Unternehmensbereich sinnvoll sind, bevor er sie ins KI-Inventar aufnimmt: der Vergleich Copilot, Gemini und ChatGPT im Mittelstand-Alltag hilft weiter. Wie wir selbst mit KI in der Redaktion umgehen und was wir kennzeichnen, steht in unserer KI-Policy.
Häufige Fragen
Ist das KI-MIG in Kraft und seit wann?
Ja. Der Bundestag hat das KI-Marktüberwachungs- und Innovationsförderungsgesetz am 11. Juni 2026 verabschiedet, der Bundesrat hat am 10. Juli 2026 darauf verzichtet, den Vermittlungsausschuss anzurufen. Nach der Verkündung ist das Gesetz am 29. Juli 2026 in Kraft getreten. Die Bundesnetzagentur hat am selben Tag mitgeteilt, dass sie ihre Rolle als nationaler Koordinator der KI-Verordnung übernimmt, und führt seit dem 2. August 2026 die Marktüberwachung.
Was ist der Unterschied zwischen dem EU AI Act und dem KI-MIG?
Der EU AI Act ist die europäische Verordnung 2024/1689. Sie gilt direkt in allen Mitgliedstaaten und regelt die Inhalte: Verbote, Risikoklassen, Transparenz- und Dokumentationspflichten. Das KI-MIG ist das deutsche Durchführungsgesetz. Es benennt die zuständigen Behörden, regelt den Vollzug, richtet das KoKIVO bei der Bundesnetzagentur ein und schafft die Grundlage für Reallabore und Beschwerdestelle. Inhaltlich neue Pflichten für Unternehmen bringt es nicht mit, es macht die bestehenden vollstreckbar.
Welche Bußgelder drohen und in welcher Höhe?
Die Beträge stehen in Artikel 99 der KI-Verordnung, nicht im KI-MIG. Für verbotene Praktiken nach Artikel 5 sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes möglich. Für die meisten anderen Verstöße, darunter die Transparenzpflichten aus Artikel 50, liegt der Rahmen bei bis zu 15 Millionen Euro oder 3 Prozent. Falsche oder unvollständige Auskünfte an die Behörde können bis zu 7,5 Millionen Euro oder 1 Prozent kosten. Für KMU und Start-ups gilt jeweils der niedrigere der beiden Werte. Bei 20 Millionen Euro Jahresumsatz bedeutet das für einen Artikel-50-Verstoß maximal 600.000 Euro.
Wann werden die Hochrisiko-Pflichten für mein Unternehmen relevant?
Später als ursprünglich geplant. Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist am 27. Juli 2026 in Kraft getreten und hat die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 verschoben. Für KI als Sicherheitskomponente in regulierten Produkten nach Anhang I gilt jetzt der 2. August 2028. Betroffen sind unter anderem KI-gestützte Bewerbersichtung und automatisierte Bonitätsprüfungen. Der Zeitgewinn ist real, die Vorbereitung braucht ihn auch.
Was ist der KI-Service-Desk der Bundesnetzagentur und wie nutze ich ihn?
Der KI-Service-Desk ist das kostenlose Beratungsangebot des KoKIVO bei der Bundesnetzagentur und richtet sich ausdrücklich an KMU und Start-ups. Er ist bereits erreichbar und bietet einen KI-Compliance-Kompass als Online-Tool zur ersten Einschätzung der Risikoklasse, einen FAQ-Bereich, Factsheets zum Download und ein Kontaktformular für Fragen, die dort nicht beantwortet sind. Eine eigene Beschwerdestelle nimmt Hinweise auf Verstöße gegen die KI-Verordnung entgegen und leitet sie an die zuständigen Behörden weiter.
Quellen & Referenzen
- Bundesministerium für Digitales und Staatsmodernisierung, 29. Juli 2026: Meldung zum Inkrafttreten des KI-Gesetzes samt Auftrag für Service-Desk und Reallabore. bmds.bund.de
- Bundesnetzagentur, Pressemitteilung vom 29. Juli 2026: Übernahme der zentralen Rolle bei der Umsetzung der KI-Verordnung, Zitat Klaus Müller, Beschwerdestelle und Reallabore. bundesnetzagentur.de
- Bundesnetzagentur: KI-Service Desk mit KI-Compliance-Kompass, FAQ, Factsheets und Kontaktformular. bundesnetzagentur.de
- Bundesnetzagentur: KoKIVO, Koordinierungs- und Kompetenzzentrum für die KI-Verordnung. bundesnetzagentur.de
- Bundestag, KW 24 2026: Verabschiedung des KI-MIG am 11. Juni 2026. bundestag.de
- LTO: Bundesratspassage am 10. Juli, Amtsgericht als erste Instanz und die 18-Monats-Evaluierung des Gesetzes. lto.de
- Pharma Deutschland: Verordnung (EU) 2026/1744 vom 8. Juli, Amtsblatt 24. Juli, in Kraft am 27. Juli 2026, mit den neuen Hochrisiko-Fristen. pharmadeutschland.de
- Gibson Dunn: Verschiebung der Anhang-III-Pflichten auf den 2. Dezember 2027 und der Anhang-I-Pflichten auf den 2. August 2028. gibsondunn.com
- Orrick: Karenzfrist bis 2. Dezember 2026 für die Markierungspflicht nach Artikel 50 Absatz 2 bei Bestandssystemen. orrick.com
- TÜV Consulting: Behördenaufteilung nach dem KI-MIG und die Bußgeldstufen aus Artikel 99. consulting.tuv.com
- Bundesregierung: Hintergrund zur nationalen Umsetzung der KI-Verordnung. bundesregierung.de
