10. Juli 2026
Deutschland hat kein KI-Gesetz. Es hat das KI-MIG, ein Jahr nach Frist.
Ein eigenes KI-Gesetz Deutschland gibt es nicht. Die EU-KI-Verordnung gilt direkt. Das KI-MIG regelt nur die Aufsicht, mit der Bundesnetzagentur als Koordinierungsstelle.
Wer nach einem "KI-Gesetz Deutschland" sucht, sucht etwas, das es in dieser Form nicht gibt. Die EU-KI-Verordnung ist eine Verordnung, kein nationales Gesetz. Sie gilt unmittelbar in jedem Mitgliedstaat, ohne dass ein Parlament sie in nationales Recht übertragen muss. Was Deutschland stattdessen liefern musste, war etwas Kleineres und Konkreteres: die Behörden benennen, die Artikel 70 der Verordnung von jedem Mitgliedstaat verlangt. Frist dafür war der 2. August 2025.
Was die Verordnung schon direkt regelt
Ein Teil der Verordnung war nie von einer deutschen Umsetzung abhängig. Verbotene KI-Praktiken und die Pflicht zur KI-Kompetenz bei Anbietern und Betreibern gelten seit dem 2. Februar 2025. Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck greifen seit dem 2. August 2025. Der Großteil der übrigen Verordnung, einschließlich der Hochrisiko-Pflichten aus Anhang III, gilt ab dem 2. August 2026. Keines dieser Daten wartet auf ein deutsches Gesetz. Sie sind bereits Recht, unabhängig davon, ob die nationale Aufsichtsstruktur fertig ist.
Die Frist, die Deutschland verpasst hat
Artikel 70 der Verordnung verpflichtet jeden Mitgliedstaat, bis zum 2. August 2025 mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde einzurichten oder zu benennen. Deutschland hat diese Frist auf dem eigenen Gesetzgebungsweg nicht gehalten. Das Bundeskabinett hat den Entwurf zur Durchführung erst am 11. Februar 2026 beschlossen. Der Bundestag hat das Gesetz, das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, am 11. Juni 2026 mit kleineren Änderungen verabschiedet. Die Zustimmung des Bundesrats stand zum Zeitpunkt dieses Beitrags noch aus. Zwischen der EU-Frist und der deutschen Umsetzung liegt damit fast ein Jahr, in dem die materiellen Pflichten der Verordnung längst galten, während die Frage, welche deutsche Behörde im Streitfall zuständig ist, offen blieb.
Wo die Aufsicht am Ende liegt
Das KI-MIG bündelt die Koordinierung bei der Bundesnetzagentur. Dort entsteht ein Koordinierungs- und Kompetenzzentrum für die KI-Verordnung, kurz KoKIVO. Die Aufgabe von KoKIVO ist nicht, jede KI-Anwendung in Deutschland selbst zu beaufsichtigen. Die Aufgabe ist, die bestehenden Fachbehörden bei ihren jeweiligen Pflichten aus der Verordnung zu unterstützen und für eine einheitliche Auslegung bei horizontalen Rechtsfragen zu sorgen, also bei Fragen, die keiner einzelnen Branche zugeordnet sind. Für ein Finanzinstitut bleibt die BaFin die naheliegende Fachbehörde für sektorspezifische Fragen. Für ein Unternehmen ohne klare Fachaufsicht ist die Bundesnetzagentur über KoKIVO der erste Anlaufpunkt.
Was das für die eigene Einordnung bedeutet
Die verspätete deutsche Umsetzung ändert nichts an der eigenen Verpflichtung, KI-Systeme richtig einzuordnen. Ein Unternehmen, das ein System für Bewerberauswahl, Kreditwürdigkeitsprüfung oder andere in Anhang III genannte Zwecke einsetzt, muss die Hochrisiko-Pflichten unabhängig davon erfüllen, ob die zuständige deutsche Behörde bereits eine feste Adresse hat. Wer das noch nicht systematisch gemacht hat, sollte mit der Einordnung nach Anhang III beginnen, nicht mit der Frage, wer im Streitfall zuständig ist. Unsere Governance-Seite beschreibt, wie wir diese Einordnung im Rahmen eines Engagements aufsetzen, und die EU-AI-Act-Readiness-Bewertung prüft den eigenen Bestand konkret gegen Anhang III und Anhang IV.