KI-MIG Bundesnetzagentur: Was die KI-Aufsicht ab August 2026 prüft

Das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) ist am 29. Juli 2026 in Kraft getreten und bestimmt die Bundesnetzagentur zur zentralen KI-Marktüberwachungsbehörde in Deutschland. Unternehmen, die KI-Systeme betreiben, drohen bei Verstößen gegen die EU-KI-Verordnung Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Eine vorherige Verwarnung ist im Gesetz nicht vorgesehen. Die aktiven Prüfungen durch die Behörden beginnen im August 2026, was den sofortigen technischen Nachweis von menschlicher Aufsicht und Risikomanagement in produktiven Systemen zwingend macht.

Welche Rolle das KI-MIG der Bundesnetzagentur zuweist

Die Bundesnetzagentur fungiert als zentrale Anlauf- und Beschwerdestelle für KI-Systeme und beheimatet das neue Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO). Deutschland hat die unionsrechtliche Frist zur Benennung der zuständigen Behörden, die am 2. August 2025 ablief, verstreichen lassen und schließt die nationale Umsetzung als letzter großer EU-Mitgliedstaat ab. Das Bundeskabinett beschloss den Gesetzentwurf am 11. Februar 2026 – auch wenn in einzelnen Publikationen abweichend der 10. Februar genannt wird. Nach der Verabschiedung durch den Bundestag am 11. Juni 2026 und dem Verzicht des Bundesrates auf den Vermittlungsausschuss am 10. Juli 2026, trat das Gesetz einen Tag nach seiner Verkündung in Kraft. Der oft im Umlauf befindliche Begriff "KI-Marktdurchführungsgesetz" ist dabei eine Falschbezeichnung; der amtliche Titel lautet Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz.

Warum die Sektorenaufsicht die Zuständigkeiten aufteilt

Die Bußgeldkompetenz liegt grundsätzlich bei der jeweils sachlich zuständigen Aufsichtsbehörde, nicht exklusiv bei der Bundesnetzagentur. Das KI-MIG etabliert eine geteilte Behördenstruktur. Während die Bundesnetzagentur alle Konstellationen übernimmt, die keiner spezifischen sektoralen Zuständigkeit zuzuordnen sind, greifen in regulierten Märkten die Fachbehörden ein. Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) verhängt Bußgelder im Finanzsektor, das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) ist für Medizinprodukte zuständig, und die Datenschutzaufsichten ahnden datenschutzrechtliche Verstöße.

Eine Sonderregel gilt für Bundesfinanzbehörden: Sieht die Bundesnetzagentur hier einen Verstoß gegen die Verordnung (EU) 2024/1689, darf sie ihre Durchsetzungsbefugnisse nur im Einvernehmen mit dem Bundesministerium der Finanzen ausüben. Kommt dieses Einvernehmen nicht zustande, geht die Zuständigkeit für die Marktüberwachung in diesem Fall auf das Finanzministerium über. Für KI-Systeme im Landesvollzug obliegt die Überwachung den nach Landesrecht zuständigen Behörden, die einheitliche Ansprechpartner für das KoKIVO benennen können.

Wie die Sanktionen und Bußgelder im KI-MIG geregelt sind

Das Gesetz sieht bei Verstößen gegen die KI-Verordnung Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Da das Gesetz keine verpflichtende Verwarnung vor der Verhängung eines Bußgeldes vorschreibt, müssen Betreiber ab August 2026 jederzeit prüffähig sein. Die Beweislast liegt in der Praxis beim Unternehmen: Wer auf eine Behördenanfrage nicht sofort mit einer lückenlosen Verfahrensdokumentation und dem Nachweis der Risikoklassifizierung antworten kann, steht im Risiko. Ein nachträgliches Erstellen von Protokollen oder das nachträgliche Einziehen von Freigabeprozessen schützt nicht vor Sanktionen für den bis dahin erfolgten Betrieb.

Wie der technische Nachweis der menschlichen Aufsicht gelingt

Der rechtssichere Betrieb von KI-Systemen erfordert eine technische Governance-Schicht, die Transparenz und menschliche Aufsicht (Human Oversight) in jeder Systementscheidung nachweist. Governance ist kein Anhängsel, das auf dem Papier existiert, sondern muss in jedes Werkzeug eingebaut sein. Die Vorgaben des EU AI Act zu Risikoklassen und Transparenz werden technisch über fest angelegte Freigabestufen (L0 bis L4) abgebildet. Das bedeutet, dass ein System nicht blind agiert, sondern gestufte Autonomie besitzt. In einer Content- und Kommunikations-Engine beispielsweise erfolgen Freigaben strikt nach Risiko; das System lernt aus der Annahmequote der menschlichen Kontrolleure und der Live-Performance.

Ein zentrales Prinzip für die Prüffähigkeit ist der "Approval-First"-Ansatz. In einem Analyse-Center, das Daten aus Marktplätzen, Shops und ERP-Systemen zusammenzieht, generiert die KI konkrete Empfehlungen für Preise, Nachbestellungen oder Kampagnen – immer mit Begründung. Nichts feuert ohne menschliche Freigabe. Jede Aktion bleibt über einen Audit-Trail nachvollziehbar. Ein integrierter Drift-Detektor meldet sich automatisch, wenn Parameter kippen. Diese lückenlose Nachvollziehbarkeit ist exakt das, was die Bundesnetzagentur oder die Sektorenaufsicht bei einer Prüfung verlangt.

Was Unternehmen für die GoBD- und Daten-Compliance sicherstellen müssen

Die Datenhoheit und die Nachvollziehbarkeit bis zur Quelle sind die Grundpfeiler, um Bußgelder zu vermeiden und die Anforderungen der Aufsichtsbehörden zu erfüllen. Sensible Daten müssen im definierten Rahmen bleiben, was den Einsatz von Modellen über EU-Endpunkte (wie Vertex AI oder Azure) erfordert. Wenn ein Doku- und Buchhaltungssystem Belege per OCR und KI-Vision liest und Buchungsvorschläge generiert, entscheidet ein Orchestrator dreistufig: automatisch, zur Prüfung oder manuell. Nichts wird blind durchgewunken. Jede Kennzahl, sei es in der Liquiditätsrechnung oder im Business-Monitoring, muss bis zur Quelle rückverfolgbar sein – vom Quellfeld über das Mapping bis zur Formel. Das System muss auditierbar sein, statt als Blackbox zu operieren. Die Belegverarbeitung erfolgt GoBD-konform mit Verfahrensdokumentation und ist revisionssicher bis zum Export. Nur wenn Antworten mit Quellenbezug, Feedback-Loops und Double-Checks technisch erzwungen werden, hält das System einer Prüfung durch die Marktüberwachungsbehörden stand.