Aufsicht und Bußgelder: KI-Marktüberwachungsgesetz

Mit der KI-Verordnung ist ein mehrstufiges Aufsichtssystem entstanden: Auf EU-Ebene überwacht das AI Office die Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, in Deutschland ist seit dem 29. Juli 2026 die Bundesnetzagentur zentrale Marktüberwachungsbehörde nach dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG). Diese Seite zeigt, welche Behörde wofür zuständig ist, welche Befugnisse und Bußgelder bestehen und wie Sie sich bei einer Behördenanfrage richtig verhalten.

Aufsicht auf EU-Ebene

Das AI Office

Das Büro für Künstliche Intelligenz (AI Office) ist Teil der Europäischen Kommission (Art. 3 Nr. 47, Art. 64 KI-VO). Es ist ausschließlich zuständig für die Aufsicht über Anbieter von GPAI-Modellen (Art. 88 KI-VO), bewertet Modelle, fordert Dokumentation an und kann seit dem 2. August 2026 Geldbußen nach Art. 101 verhängen. Durch den Digital Omnibus on AI (VO (EU) 2026/1744) wurde seine Zuständigkeit auf KI-Systeme erweitert, die auf GPAI-Modellen beruhen und in große Plattformen und Suchmaschinen eingebunden sind. Außerdem koordiniert das AI Office die Verhaltenskodizes, etwa den GPAI-Verhaltenskodex und den Kodex zur Kennzeichnung KI-generierter Inhalte.

Das KI-Gremium und weitere Gremien

Das Europäische Gremium für Künstliche Intelligenz (KI-Gremium, Art. 65 f.) besteht aus je einem Vertreter pro Mitgliedstaat. Es berät die Kommission, fördert die einheitliche Anwendung der Verordnung und gibt Stellungnahmen zu Leitlinien ab. Ein Beratungsforum mit Vertretern aus Wirtschaft, Zivilgesellschaft und Wissenschaft (Art. 67) und ein wissenschaftliches Gremium unabhängiger Sachverständiger (Art. 68) ergänzen die Struktur. Das wissenschaftliche Gremium kann insbesondere qualifizierte Warnungen zu systemischen Risiken von GPAI-Modellen an das AI Office richten.

Aufsicht in Deutschland nach dem KI-MIG

Das KI-MIG (Gesetz vom 22. Juli 2026, BGBl. 2026 I Nr. 223) ist seit dem 29. Juli 2026 in Kraft und führt die KI-Verordnung in Deutschland durch. Es folgt dem Grundsatz einer zentralen Behörde mit sektoralen Ausnahmen.

Behörde	Zuständigkeit
Bundesnetzagentur	Zentrale Marktüberwachungsbehörde und Anlaufstelle; Aufsicht insbesondere über Anhang-III-Systeme etwa in Personalmanagement, Bildung und kritischer Infrastruktur, über verbotene Praktiken und Transparenzpflichten in ihrem Zuständigkeitsbereich; Beschwerdestelle; KI-Reallabor
KoKIVO bei der Bundesnetzagentur	Koordinierungs- und Kompetenzzentrum: unterstützt Marktüberwachungs- und notifizierende Behörden, koordiniert deren Zusammenarbeit, bindet Wirtschaft, Wissenschaft und Zivilgesellschaft ein
BaFin	Aufsicht über KI-Systeme im Finanzsektor, etwa bei Kreditinstituten und Versicherungen
Sektorale Fachbehörden	In vollharmonisierten Produktbereichen (z. B. Medizinprodukte, Maschinen) bleiben die bestehenden Marktüberwachungsbehörden zuständig; im Medienbereich die Landesmedienanstalten
Datenschutzaufsichtsbehörden	Weiterhin zuständig für die Verarbeitung personenbezogener Daten durch KI nach DSGVO und BDSG; zudem sieht Art. 74 Abs. 8 KI-VO für bestimmte Hochrisiko-Systeme in Strafverfolgung, Grenzkontrolle und Justiz eine Aufsicht durch Datenschutzbehörden vor

Für Unternehmen bedeutet das: Ein und dasselbe KI-System kann mehrere Aufsichtsbehörden beschäftigen, etwa die Bundesnetzagentur wegen der KI-Verordnung und die Landesdatenschutzbehörde wegen der Datenverarbeitung. Die Bundesnetzagentur stellt über ihren KI-Service-Desk bereits Informationen und ein Online-Werkzeug zur ersten Einschätzung der Risikoklasse bereit.

Befugnisse der Marktüberwachung

Die Marktüberwachungsbehörden haben die Befugnisse aus der Marktüberwachungsverordnung (EU) 2019/1020 und zusätzliche Rechte aus Art. 74 KI-VO. Sie können insbesondere:

Dokumentation, Informationen und Nachweise anfordern, einschließlich der technischen Dokumentation und der Konformitätserklärung
Zugang zu Trainings-, Validierungs- und Testdatensätzen verlangen, gegebenenfalls über Programmierschnittstellen
unter engen Voraussetzungen Zugang zum Quellcode eines Hochrisiko-Systems verlangen, wenn andere Prüfungen nicht ausreichen (Art. 74 Abs. 13)
Prüfungen und Tests durchführen sowie Betriebsräume betreten
Korrekturmaßnahmen anordnen, das Bereitstellen auf dem Markt einschränken oder untersagen, Rücknahme oder Rückruf verlangen (Art. 79)
Systeme überprüfen, die ein Anbieter nach Art. 6 Abs. 3 als nicht hochriskant eingestuft hat, und bei Fehleinstufung Maßnahmen und Bußgelder veranlassen (Art. 80)

Beschwerden

Jede natürliche oder juristische Person, die Grund zur Annahme hat, dass gegen die KI-Verordnung verstoßen wurde, kann bei der zuständigen Marktüberwachungsbehörde Beschwerde einreichen (Art. 85 KI-VO). In Deutschland nimmt die Bundesnetzagentur als Beschwerdestelle Beschwerden entgegen und leitet sie bei Bedarf an die zuständige Behörde weiter. Beschwerdeführer können Wettbewerber, Beschäftigte, Kunden oder Verbände sein. Zusätzlich haben Personen, die von einer Entscheidung auf Grundlage eines Anhang-III-Systems betroffen sind, nach Art. 86 ein Recht auf Erläuterung. Hinweisgeber, die Verstöße melden, sind nach dem Hinweisgeberschutzgesetz und der Whistleblower-Richtlinie geschützt (Art. 87 KI-VO).

Bußgeldrahmen

Die KI-Verordnung gibt Höchstbeträge vor. Maßgeblich ist bei Unternehmen der jeweils höhere Betrag, bei kleinen und mittleren Unternehmen einschließlich Start-ups der jeweils niedrigere (Art. 99 Abs. 6).

Verstoß	Norm	Höchstbetrag
Verbotene KI-Praktiken (Art. 5)	Art. 99 Abs. 3	35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes
Sonstige Pflichten von Anbietern, Bevollmächtigten, Einführern, Händlern, Betreibern und notifizierten Stellen, Transparenzpflichten nach Art. 50	Art. 99 Abs. 4	15 Mio. Euro oder 3 %
Falsche, unvollständige oder irreführende Angaben gegenüber Behörden oder notifizierten Stellen	Art. 99 Abs. 5	7,5 Mio. Euro oder 1 %
Anbieter von GPAI-Modellen (durch die Kommission)	Art. 101	15 Mio. Euro oder 3 %

Bei der Bemessung berücksichtigen die Behörden nach Art. 99 Abs. 7 unter anderem Art, Schwere und Dauer des Verstoßes, die Zahl der Betroffenen, Vorsatz oder Fahrlässigkeit, Maßnahmen zur Schadensminderung, frühere Verstöße, die Zusammenarbeit mit der Behörde sowie Größe und Marktanteil des Unternehmens. Hier liegt der praktische Hebel: Ein dokumentiertes Compliance-System und kooperatives Verhalten wirken sich unmittelbar auf die Höhe aus.

Wichtig: Bußgelder sind nicht das einzige Risiko. Untersagungs- und Rückrufanordnungen, wettbewerbsrechtliche Abmahnungen, Schadensersatzforderungen und Ausschluss aus Ausschreibungen wiegen für viele Unternehmen schwerer.

Verhalten bei Behördenanfragen

Eine Anfrage der Bundesnetzagentur oder einer anderen Marktüberwachungsbehörde ist kein Grund zur Panik, sollte aber strukturiert bearbeitet werden. Typische Fehler sind vorschnelle, unvollständige Antworten, die Herausgabe von Geschäftsgeheimnissen ohne Kennzeichnung und widersprüchliche Angaben verschiedener Abteilungen. Falsche oder irreführende Angaben sind selbst bußgeldbewehrt.

Eingang dokumentieren, Frist notieren und eine verantwortliche Person benennen
Rechtsgrundlage und Umfang der Anfrage prüfen: Welche Behörde, welches System, welche Unterlagen
Interne Fakten klären: Rolle nach Art. 3 KI-VO, Einstufung, vorhandene Dokumentation
Antwort vollständig und konsistent formulieren; Geschäftsgeheimnisse kennzeichnen und Vertraulichkeit nach Art. 78 KI-VO geltend machen
Bei Lücken Korrekturmaßnahmen einleiten und dies offen darlegen, statt Mängel zu verschleiern
Gegebenenfalls Fristverlängerung beantragen, bevor die Frist abläuft
Den Vorgang nachbereiten und Prozesse anpassen

KI-Reallabor

Die KI-Verordnung verpflichtet die Mitgliedstaaten, nach der Änderung durch den Digital Omnibus bis zum 2. August 2027 mindestens ein KI-Reallabor einzurichten (Art. 57). Nach dem KI-MIG betreibt die Bundesnetzagentur das deutsche Reallabor. In dieser kontrollierten Umgebung können KI-Systeme unter behördlicher Begleitung entwickelt, trainiert, getestet und validiert werden; KMU und Start-ups erhalten vorrangigen Zugang. Ein dokumentiertes erfolgreiches Durchlaufen des Reallabors kann im Konformitätsbewertungsverfahren berücksichtigt werden. Für Tests unter Realbedingungen außerhalb des Reallabors gelten die Art. 60 f. KI-VO; der Testplan ist vorab bei der Marktüberwachungsbehörde einzureichen. Die Einzelheiten zur Teilnahme hängen noch von Durchführungsrechtsakten ab.

So unterstützen wir Sie

Klärung der zuständigen Aufsichtsbehörden für Ihre KI-Systeme
Vorbereitung auf Prüfungen: Dokumentation, Einstufungsbegründungen, Ansprechpartner
Begleitung und Vertretung bei Anfragen, Anhörungen und Prüfungen der Bundesnetzagentur, BaFin oder Datenschutzbehörden
Verteidigung in Bußgeldverfahren und Rechtsmittel gegen behördliche Anordnungen
Bewertung und Bearbeitung von Beschwerden und Hinweisgebermeldungen
Begleitung bei Bewerbung und Teilnahme am KI-Reallabor
Aufbau eines Compliance-Managements, das im Ernstfall bußgeldmindernd wirkt

Häufige Fragen

Welche Behörde ist für unser Recruiting-Tool zuständig?

Für Hochrisiko-Systeme im Personalbereich ist nach dem KI-MIG grundsätzlich die Bundesnetzagentur zuständig. Für die Verarbeitung der Bewerberdaten bleibt daneben die Datenschutzaufsichtsbehörde Ihres Landes zuständig.

Kann ein Wettbewerber uns bei der Bundesnetzagentur melden?

Ja. Nach Art. 85 KI-VO kann jede natürliche oder juristische Person Beschwerde einreichen. Die Behörde entscheidet nach eigenem Ermessen, ob sie Ermittlungen aufnimmt.

Wie hoch ist das Bußgeld für ein KMU?

Für KMU gilt der jeweils niedrigere der beiden Werte aus festem Betrag und Umsatzanteil. Bei einem Jahresumsatz von 10 Mio. Euro läge die Obergrenze für einen Verstoß nach Art. 99 Abs. 4 also bei 3 % dieses Umsatzes, nicht bei 15 Mio. Euro.

Müssen wir der Behörde unseren Quellcode herausgeben?

Nur unter den engen Voraussetzungen des Art. 74 Abs. 13 KI-VO, also bei Hochrisiko-Systemen, wenn der Zugang zur Bewertung der Konformität erforderlich ist und andere Prüfmittel ausgeschöpft oder unzureichend sind. Die Behörde ist zur Vertraulichkeit verpflichtet.