Rolle der Bundesnetzagentur im KI-Gesetz, Analyse für Deutschland

Der nützliche Moment in der KI-Regulierung ist selten die Rede. Es ist der Tag, an dem ein Unternehmen auf eine Behörde zeigen und, mit etwas Widerwillen, sagen kann: Dorthin gehört die Akte. Am 29. Juli 2026 hat Deutschland laut Bundesnetzagentur genau diesen Schritt gemacht, indem es die Behörde im Rahmen des KI-MIG ins Zentrum der nationalen Umsetzung des AI Act gestellt hat.

Was sich am 29. Juli geändert hat

Die Bundesnetzagentur erklärte in ihrer Pressemitteilung vom 29. Juli 2026, dass ihre neuen Befugnisse sofort wirksam werden, weil das deutsche Gesetz zur Marktüberwachung und Innovationsunterstützung von künstlicher Intelligenz, KI-MIG, an diesem Tag in Kraft tritt. Nach diesem Gesetz wird die Behörde laut derselben Mitteilung Deutschlands Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle für den EU AI Act. Das ist der praktische Satz, auf den Entwickler gewartet haben: nicht weil er jede Compliance-Frage beantwortet, sondern weil er die richtige Eingangstür benennt.

Der Weg dorthin kam nicht plötzlich, was in der Compliance meistens ein Segen ist. DLA Pipers Technology’s Legal Edge weist darauf hin, dass einem offiziellen Regierungsentwurf, der am 10. Februar 2026 verabschiedet wurde, ein Referentenentwurf vom 11. September 2025 vorausging. Die Mitteilung der Bundesnetzagentur liefert dann den operativen Endpunkt: KI-MIG in Kraft und die Behörde für Marktüberwachung, Kontakt und Beschwerden benannt.

Was das für Entwickler in Deutschland bedeutet

Regulations.ai fasst KI-MIG als Deutschlands Umsetzung der Verordnung (EU) 2024/1689 zusammen, mit der Bundesnetzagentur als zuständiger Aufsicht und mit Zielen, die an verantwortungsvolle KI-Innovation und den Schutz von Grundrechten anknüpfen. Einfach gesagt: Der EU AI Act liefert weiterhin das inhaltliche Regelwerk, während KI-MIG die deutsche Aufsichts-Infrastruktur bereitstellt. Wenn Sie KI-Systeme in Deutschland anbieten oder einsetzen, braucht Ihr Compliance-Betriebsmodell jetzt eine verantwortliche Person für Interaktionen mit der Bundesnetzagentur, nicht nur eine Folie mit dem Hinweis, dass der AI Act beobachtet wird.

Für kleine und mittlere Unternehmen macht Ovidiu Sucius KMU-orientierte Erklärung die wichtige Unterscheidung deutlich: Der EU AI Act gilt unmittelbar in der gesamten Europäischen Union, aber jeder Mitgliedstaat muss weiterhin die nationale Aufsicht, Durchsetzung und Innovationsunterstützung organisieren. Deutschland hat diese Organisation nun so vorgenommen, dass Unternehmen auf eine benannte Behörde verwiesen werden. In der Praxis bedeutet das: Eskalationswege für Vorfälle, Beschwerdebearbeitung, Governance für technische Dokumentation und Anbieteraufsicht sollten dem deutschen Marktüberwachungskanal zugeordnet werden, wenn Deutschland der relevante Markt ist.

Was sich nicht geändert hat

Die Mitteilung der Bundesnetzagentur macht nicht aus jeder KI-Funktion ein Hochrisikosystem, auch wenn genau das auf Konferenzpodien fast sicher behauptet werden wird. Ovidiu Suciu merkt an, dass der AI Act in der Europäischen Union, einschließlich Deutschland, bereits teilweise in Kraft ist, und sagt außerdem, dass eine Digital-Omnibus-Vereinbarung vom 7. Mai 2026 die Frist für die Durchsetzung von Hochrisiko-Anforderungen von August 2026 auf Dezember 2027 verschoben hat. Dieser Zeitplan ist wichtig, aber er ist kein Urlaub von Inventarisierung, Klassifizierung oder Beweissammlung.

Simmons and Simmons beschrieb den früheren Referentenentwurf als auf die deutsche Aufsichts- und Meldearchitektur ausgerichtet, die der AI Act verlangt, einschließlich der Benennung zuständiger Behörden, Marktüberwachung, Verfahren und Bußgelder. Diese Einordnung bleibt die nüchterne. Bei Deutschlands Schritt geht es darum, wer beaufsichtigt und wie der Prozess geleitet wird, nicht um eine Neufassung der Risikokategorien des EU AI Act.

Das Betriebsmodell hat jetzt eine deutsche Adresse

Die nächste nützliche Aufgabe ist banal, und genau so wird Regulierung meistens real. Produkt-, Rechts- und Compliance-Teams sollten ihre KI-Governance-Register aktualisieren, um festzuhalten, ob ein System in Deutschland angeboten wird, wer die Korrespondenz mit der Bundesnetzagentur verantwortet und wo Beschwerden oder Anfragen der Marktüberwachung protokolliert werden. Wenn das administrativ klingt: Glückwunsch, Sie haben den Teil gefunden, den Regulierungsbehörden tatsächlich prüfen können.

Beobachten Sie die nächsten Leitlinien, Beschwerdeverfahren und die Marktüberwachungspraxis der Bundesnetzagentur, denn dort wird die Umsetzung aufhören, ein Organigramm zu sein, und anfangen, Papierarbeit zu werden. Das Gesetz hat jetzt eine deutsche Aufsichtskarte; die verbleibende Frage ist, wie schnell Entwickler sie in Aufzeichnungen, Verantwortlichkeiten und Produktprüfungs-Gates übersetzen. Wer immer noch sagt, er warte auf Sicherheit, sollte angeben, welches Postfach er nicht öffnen will.