Grünes Licht für das Durchführungsgesetz zum EU AI Act: Deutschland schafft den nationalen Rechtsrahmen
Der Weg ist frei: Am 10. Juli 2026 hat der Bundesrat dem deutschen Durchführungsgesetz zur europäischen KI-Verordnung zugestimmt. Nach dem Kabinettsbeschluss im Februar und der Verabschiedung im Bundestag am 11. Juni ist damit die letzte parlamentarische Hürde genommen. Das Gesetz kann nun ausgefertigt und verkündet werden und tritt am Tag nach der Verkündung in Kraft. Für die Einführung des EU AI Act in Deutschland ist das ein weiterer wichtiger Schritt, denn erst mit dem nationalen Rechtsrahmen wird die europäische Verordnung hierzulande vollständig durchsetzbar.
Worum geht es?
Die KI-Verordnung (Verordnung (EU) 2024/1689) gilt als europäische Verordnung unmittelbar. Sie überlässt es aber den Mitgliedstaaten, die zuständigen Behörden zu benennen und die Aufsichts- und Verfahrensstrukturen festzulegen. Genau das leistet das nun beschlossene Durchführungsgesetz. Sein Kernstück ist das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG. Es regelt die nationale Governance, also Zuständigkeiten, Kooperationspflichten der Behörden und das Bußgeldverfahren.
Die wichtigsten Inhalte im Überblick
Bundesnetzagentur als zentrale Aufsichtsbehörde
Im Zentrum der neuen Aufsichtsarchitektur steht die Bundesnetzagentur. Sie übernimmt die Rolle der zentralen Marktüberwachungsbehörde, soweit nicht bestehende Fachbehörden zuständig bleiben, und fungiert zugleich als zentrale Anlauf- und Beschwerdestelle. Bewährte sektorspezifische Aufsichtsstrukturen, etwa im Finanz- oder Medizinproduktebereich, bleiben erhalten.
Koordinierungs- und Kompetenzzentrum
Innerhalb der Bundesnetzagentur wird ein Koordinierungs- und Kompetenzzentrum eingerichtet. Es soll die Zusammenarbeit der beteiligten Behörden auf Bundes- und Landesebene unterstützen, Fachwissen bündeln und so für eine möglichst einheitliche Aufsichtspraxis sorgen.
KI-Reallabore für Innovation
Der Name ist Programm: Neben der Marktüberwachung setzt das KI-MIG auch auf Innovationsförderung. Die Bundesnetzagentur betreibt sogenannte KI-Reallabore, in denen Unternehmen innovative KI-Anwendungen in einem geschützten Rahmen und unter behördlicher Begleitung erproben können.
Was bedeutet das für Unternehmen?
Für Unternehmen ändert das Durchführungsgesetz nichts an den bekannten Kernfragen: Ist mein System ein KI-System im Sinne der Verordnung? Fällt mein Anwendungsfall unter eine verbotene Praxis, in die Hochrisiko-Kategorie oder unter Transparenzpflichten? Und welche Rolle nehme ich ein, etwa als Anbieter oder Betreiber? Neu ist, dass jetzt Klarheit über Ansprechpartner, Verfahrenswege und Aufsicht besteht. Das schafft Rechtssicherheit, bedeutet aber auch: Die Marktüberwachung wird handlungsfähig, und Verstöße können mit empfindlichen Bußgeldern geahndet werden, bei verbotenen KI-Praktiken bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, wie in Art. 99 der KI-Verordnung gerereglt.
Der Zeitpunkt ist kein Zufall: Bereits am 2. August 2026 erreicht die KI-Verordnung ihre nächste Anwendungsstufe. Anders als ursprünglich vorgesehen werden zu diesem Stichtag allerdings nicht die umfassenden Hochrisiko-Pflichten scharf gestellt, sondern zunächst die Transparenzpflichten nach Artikel 50. Chatbots und andere KI-Systeme, die direkt mit Menschen interagieren, müssen sich dann als KI zu erkennen geben, und Deepfakes sind eindeutig als solche auszuweisen.
Der Zeitplan nach dem Digital Omnibus
Hintergrund ist der sogenannte Digital Omnibus der EU, der im Juni 2026 final bestätigt wurde und zentrale Fristen der KI-Verordnung neu ordnet. Für die Planung ergibt sich damit folgendes Bild:
- Bereits anwendbar: die verbotenen KI-Praktiken (seit Februar 2025) sowie die Pflicht zur KI-Kompetenz der Mitarbeitenden und die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (seit August 2025).
- 2. August 2026: Transparenzpflichten nach Artikel 50, also insbesondere die Kennzeichnung von Chatbot-Interaktionen und Deepfakes.
- 2. Dezember 2026: maschinenlesbare Kennzeichnung KI-generierter Inhalte (Wasserzeichen).
- 2. Dezember 2027: vollständige Compliance für eigenständige Hochrisiko-KI-Systeme nach Anhang III, etwa im Personalwesen oder beim Kreditscoring.
- 2. August 2028: Pflichten für Hochrisiko-KI, die in regulierte Produkte wie Medizinprodukte oder Maschinen eingebettet ist (Anhang I).
Die Verschiebung der Hochrisiko-Fristen verschafft Unternehmen spürbar mehr Vorbereitungszeit. Sie ist aber ausdrücklich kein Moratorium: Die inhaltlichen Anforderungen bleiben unverändert, nur der Durchsetzungszeitpunkt verschiebt sich. Wer die gewonnene Zeit nutzt, um KI-Inventar, Risikoklassifizierung, Governance und technische Dokumentation systematisch aufzubauen, verschafft sich einen strukturellen Vorsprung statt später unter Zeitdruck nachzurüsten.
Unser Fazit
Mit der Zustimmung des Bundesrats ist ein weiterer wichtiger Schritt in der Einführung des EU AI Act getan. Deutschland verfügt nun über eine klare Aufsichtsstruktur, und aus einem abstrakten europäischen Regelwerk wird gelebte Aufsichtspraxis. Für Unternehmen heißt das: Die kurzfristig relevanten Transparenzpflichten stehen unmittelbar bevor, und für die Hochrisiko-Anforderungen läuft die Vorbereitungszeit. Wer seine KI-Systeme noch nicht klassifiziert, seine Rollen im Sinne der Verordnung noch nicht geklärt oder seine Governance-Prozesse noch nicht aufgesetzt hat, sollte dies jetzt priorisieren.
Sie möchten wissen, was das konkret für Ihre KI-Systeme bedeutet? Sprechen Sie uns an. Wir unterstützen Sie von der Risikoidentifikation über die Ableitung von Systemanforderungen bis zur prüffesten Dokumentation.