Das Gesetz hinter dem AI Act tritt in Kraft: Streit um Mil­li­ar­den­buß­gelder künftig vor dem Amts­ge­richt

Der Artificial Intelligence (AI) Act ist am 1. August 2024 in Kraft getreten und als europäische Verordnung auch ohne Umsetzungsakt in Deutschland unmittelbar anwendbares Recht. Die Vorschriften gelten schrittweise in einer Übergangsphase. Allerdings kommt der AI Act ganz ohne nationales Recht nicht aus: Wer künftig KI-Systeme überwacht, wie Verstöße sanktioniert und Innovationen gefördert werden, regelt das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG). Es ist also das deutsche (Umsetzungs-)Gesetz hinter dem AI Act. 

Dabei war der deutsche Gesetzgeber spät dran. Denn bereits seit August 2025 sind die Mitgliedstaaten verpflichtet, mindestens eine notifizierende Behörde sowie eine als zentrale Anlaufstelle fungierende Marktüberwachungsbehörde zu benennen oder einzurichten. Diese Frist hatte Deutschland verstreichen lassen. Das erklärt den hohen Takt, in dem das KI-MIG schließlich auf den Weg gebracht wurde: Erst im Februar 2026 vom Kabinett beschlossen, passierte es am 11. Juni den Bundestag; am 10. Juli hat nun auch der Bundesrat davon abgesehen, den Vermittlungsausschuss anzurufen.  

Damit kann das Gesetz noch rechtzeitig vor dem 2. August 2026 in Kraft treten. Dem Tag, ab dem die allermeisten Regeln des AI Act gelten. Etwas Luft verschafft immerhin der soeben auf EU-Ebene beschlossene "Digital Omnibus", der die Pflichten für Hochrisiko-KI-Systeme auf Ende 2027 verschiebt; der deutsche Gesetzgeber hat diese Änderungen im parlamentarischen Verfahren bereits in das KI-MIG eingearbeitet. Für die Unternehmen verbleibt gleichwohl wenig Zeit, sich auf die neuen Strukturen einzustellen.

Inhaltlich regelt das KI-MIG insbesondere drei Bereiche: die Marktaufsicht für KI-Systeme, die Ausgestaltung des Bußgeldverfahrens und Maßnahmen der Innovationsförderung. 

Regelung der Marktaufsicht: Geflecht verschiedenster Akteure 

Der europäische Gesetzgeber hat den Mitgliedstaaten bei der Ausgestaltung der Marktüberwachung für KI-Systeme viel Spielraum gelassen. Während Spanien mit der AESIA eine eigenständige KI-Aufsichtsbehörde geschaffen hat und Polen die Errichtung einer zentralen KI-Kommission plant, setzt Deutschland auf bestehende Behördenstrukturen und sektorale Zuständigkeiten.  

Eine zentrale Rolle wird dabei die Bundesnetzagentur einnehmen, die sich zunehmend zur zentralen Aufsichtsbehörde der digitalen Wirtschaft entwickelt. Ihr kommen zugleich Aufgaben als Marktüberwachungsbehörde, notifizierende Behörde sowie zentraler Anlaufstelle zu. Neben der Bundesnetzagentur, die immer dann zuständig ist, sofern im KI-MIG nichts anderes bestimmt ist, wird es eine ganze Reihe weiterer KI-Marktaufsichtsbehörden geben. So verbleibt die Zuständigkeit für KI-Systeme, die Bestandteil regulierter Produkte (wie etwa Kinderspielzeug oder Medizinprodukte) sind, bei den jeweils einschlägigen Marktüberwachungsbehörden, was eine durchaus beträchtliche Anzahl an Regulierungsfeldern betrifft.  

Für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen, ist die Marktüberwachung grundsätzlich der BaFin zugeordnet. Um der föderalen Kompetenzverteilung gerecht zu werden, ist die Marktaufsicht für KI-Systeme, die durch öffentliche Stellen der Länder betrieben werden, den nach Landesrecht zuständigen Behörden zugeschrieben. Namentlich in den typischerweise in den Ländern liegenden Zuständigkeiten wie der Bildung, dem Polizei- und Ordnungsrecht, der Justizverwaltung oder der sozialrechtlichen Leistungsgewährung, verlagert sich die Vollzugsverantwortung nunmehr auf die Länder. Es bleibt abzuwarten, wie diese hiermit umgehen werden.  

Insgesamt ist zu konstatieren, dass sich die Marktaufsicht für KI-Systeme in Deutschland neben der grundsätzlich zuständigen Bundesnetzagentur auf ein nicht ganz leicht zu durchschauendes Geflecht verschiedenster Akteure verteilt. Das mag man begrüßen, da hierdurch gerade für die Hersteller bereits regulierter Produkte Doppelstrukturen vermieden werden. Allerdings birgt diese Zerfaserung durchaus die Gefahr uneinheitlicher Maßstäbe bzw. erheblichen Koordinierungsaufwands. Um diesen Koordinierungsaufwand zu bewältigen, soll ebenfalls bei der Bundesnetzagentur ein Koordinierungs- und Kompetenzzentrum mit dem schönen Namen KoKIVO errichtet werden. 

Unabhängig, unparteiisch und unvoreingenommen 

Inhaltlich haben die Marktüberwachungsbehörden ihre Befugnisse unabhängig, unparteiisch und unvoreingenommen auszuüben. Für besonders grundrechtssensible Bereiche wie Strafverfolgung, Grenzmanagement oder Justiz und Demokratie verschärft die KI-VO die Anforderungen an die Unabhängigkeit der Marktaufsicht nochmals.  

Gefordert wird hier ein gesteigertes institutionelles Unabhängigkeitsniveau. Das KI-MIG versucht dies einzulösen, indem es innerhalb der dem Geschäftsbereich des Bundesministeriums für Wirtschaft und Energie unterfallenden Bundesnetzagentur eine unabhängige KI-Marktüberwachungskammer (UKIM) vorsieht. Besetzt ist diese durch den Präsidenten und die beiden Vizepräsidenten der Bundesnetzagentur.  

Ob diese Konstruktion, die erkennbar von tiefem Misstrauen gegenüber den Datenschutzbehörden als naheliegender Aufsichtsoption geprägt ist, den strengen Anforderungen des EuGH an die Unabhängigkeit nationaler Behörden genügt, darf getrost bezweifelt werden. 

KI-VO und DSGVO: Mehrfachverfolgung droht

Neben der Etablierung einer Aufsichtsstruktur für KI-Systeme werden durch das KI-MIG auch Regelungen zur Ausgestaltung des Bußgeldverfahrens bei Verstößen gegen den AI Act getroffen. Das ist durchaus von Bedeutung, da die durch die KI-VO vorgesehene maximale Sanktion von 35.000.000 Euro oder sieben Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres sogar die hohen Bußgeldrahmen aus der Datenschutzgrundverordnung (DSGVO) übertrifft.  

Im Hinblick auf das Bußgeldverfahren ordnet das KI-MIG schlicht die entsprechende Anwendung des Ordnungswidrigkeitengesetzes an, was zu einer erstinstanzlichen Zuständigkeit der Amtsgerichte führt. In Anbetracht der erheblichen Höhe der potenziell in Rede stehenden Geldbußen und der Komplexität der Materie ist dies unglücklich. Näherliegend wäre zumindest eine landgerichtliche Zuständigkeit ab einer gewissen Bußgeldhöhe (wie im Datenschutzrecht) oder sogar eine generelle erstinstanzliche Zuständigkeit der Oberlandesgerichte (wie im Kartellrecht) gewesen. Es bleibt zu hoffen, dass der Gesetzgeber nach der erfreulich knapp bemessenen Evaluierungsfrist des KI-MIG von 18 Monaten hier nachbessert.  

Eine weitere Herausforderung dürfte in der Verzahnung von Bußgeldverfahren nach der KI-VO mit solchen nach der DSGVO liegen. Da beide Regelungsmaterien vielfach, man denke etwa an die KI gestützte Emotionserkennung am Arbeitsplatz, an identische Lebenssachverhalte anknüpfen, droht die Gefahr der Doppelverfolgung. Während der Gesetzgeber die Zusammenarbeit der Marktüberwachungsbehörden durch Koordinierungs- und Kompetenzzentrum, Bund-Länder-Ausschuss und weitere Kooperationsinstrumente erheblich ausgebaut hat, bleibt die Koordinierung paralleler Bußgeldverfahren vollständig ungeregelt. Gerade im Zusammenspiel von KI-VO und DSGVO fehlt es damit an spezialgesetzlichen Vorgaben zur Vermeidung oder jedenfalls Koordinierung einer ansonsten unionsrechtlich nicht unproblematischen Mehrfachverfolgung. 

KI-Reallabore geplant

Das KI-MIG beschränkt sich allerdings nicht darauf eine behördliche Aufsichtsstruktur zu implementieren und verfahrensrechtliche Vorgaben für Bußgeldverfahren zu machen, sondern tritt auch mit dem erklärten Ziel an, Innovationen zu fördern. 

Inhaltlich soll dies durch einzelne innovationsfördernde Maßnahmen wie etwa Schulungen durch die Bundesnetzagentur, vor allem aber durch die Schaffung sogenannter Reallabore geschehen. Das bereits in der KI-VO vorgezeichnete Instrument des KI-Reallabors soll es Start-ups und KMU ermöglichen, innovative KI-Systeme innerhalb eines geschützten regulatorischen Testraums zu entwickeln, bevor sie auf den Markt gebracht werden. Das KI-MIG sieht insofern vor, dass die Bundesnetzagentur mindestens ein KI-Reallabor errichtet und betreibt. Nähere Regelungen zu dessen Ausgestaltung und insbesondere zu der Frage nach dem Zugang zu diesem enthält das KI-MIG nicht.  

Bewährungsprobe 

Ob die Reallabore die ihnen zugedachte Rolle als Innovationsbooster tatsächlich ausfüllen können, wird auch maßgeblich davon abhängen, wie der Zugang zu ihnen ausgestaltet wird und ob sie den Teilnehmern, die sich gegenüber der Aufsichtsbehörde zunächst öffnen müssen, im Gegenzug handfeste regulatorische Erleichterungen verschaffen. 

Mit der Schaffung einer Aufsichtsstruktur, eines Sanktionsrahmens und Maßnahmen der Innovationsförderung zeichnet das nunmehr beschlossene KI-MIG die Konturen einer deutschen KI-Governance. 

Ob diese den Herausforderungen einer sich rasant entwickelnden Technologie gerecht wird, wird sich erst dann zeigen, wenn das KI-MIG als das Gesetz hinter dem AI Act nicht mehr nur Gesetzestext, sondern gelebte Verwaltungspraxis ist.

Prof. Dr. Karsten Löw lehrt KI-Recht an der Hochschule Schmalkalden und war zuvor als Richter und Staatsanwalt in der hessischen Justiz tätig.