Erst die Zuständigkeit, dann die Befugnisse prüfen
Die Behördenzuordnung hängt von Nutzung und Sektor ab; Befugnisse belegen keine konkrete Prüfung.
KI-gestützte Lernvisualisierung · schematische Erklärung zum Artikel
Dasselbe Modell kann unterschiedlichen Sektoren und Zwecken dienen. Selbsthosting allein bestimmt die Aufsichtsbehörde nicht.
Das deutsche KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG) trat am 29. Juli 2026 in Kraft. § 2 Abs. 1 bestimmt die Bundesnetzagentur (BNetzA) zur grundsätzlich zuständigen Marktüberwachungsbehörde für die EU-KI-Verordnung. § 2 Abs. 2–8 weist bestimmte Fälle anderen Behörden zu.12 Aus dem Selbsthosting eines Modells allein folgt weder die zuständige Behörde noch eine konkrete Pflicht nach der KI-Verordnung. Anwendungsfall, Rolle und regulierter Sektor sind entscheidend.
Welche Behörde ist zuständig?
| Fall | Zuständigkeit nach KI-MIG § 2 |
|---|---|
| Grundregel, soweit keine Ausnahme greift | BNetzA, Abs. 1 |
| KI im Zusammenhang mit Produkten nach den Harmonisierungsregeln in Anhang I Abschnitt A | Bestehende produktrechtliche Marktüberwachungsbehörden, Abs. 2 |
| Unmittelbar mit regulierter Finanztätigkeit erfasster Einrichtungen verbundene KI | BaFin oder eine andere nach Abs. 3–4 zuständige Finanzaufsicht |
| Bestimmte Anwendungen in Strafverfolgung, Migration, Grenzmanagement und Justiz | Unabhängige KI-Marktüberwachungskammer bei der BNetzA, Abs. 5 |
| KI-Systeme öffentlicher Stellen der Länder | Nach Landesrecht zuständige Behörden, Abs. 6 |
| Bestimmte Fälle der Bundesfinanzverwaltung | Durchsetzung durch die BNetzA nach dem Einvernehmensmechanismus in Abs. 7 |
| Bestimmte Nutzungen von Mediendiensten | Nach Landesrecht zuständige Behörden; Sonderregel für die Deutsche Welle, Abs. 8 |
Die Pressemitteilung der BNetzA nennt auch Personalmanagement, kritische Infrastruktur und Bildung als Aufgabenbereiche und beschreibt die Struktur als hybrides System. Die BNetzA ist damit nicht für jedes KI-System zuständig.
Was § 11 erlaubt
KI-MIG § 11 gibt den zuständigen Marktüberwachungsbehörden die Befugnisse nach Art. 14 Abs. 4–5 und Art. 16 der Verordnung (EU) 2019/1020 sowie nach der KI-Verordnung. Technische Unterstützung durch Dritte und die Ausübung bestimmter Befugnisse über APIs oder andere Fernzugriffsmittel sind möglich. Grenzen und Verfahrensregeln gelten weiter: § 11 Abs. 3 beschränkt beispielsweise den Zeitpunkt des Betretens nach Art. 14 Abs. 4 Buchst. e; Abs. 7 regelt, wann Rechtsbehelfe keine aufschiebende Wirkung haben.3 Eine Behörde darf einschlägige Informationen verlangen. Ein Auskunftsersuchen zieht eine verschobene Hochrisiko-Pflicht aber nicht zeitlich vor.
Der allgemeine Anwendungsbeginn der KI-Verordnung war der 2. August 2026. Die Verordnung (EU) 2026/1744 verschob Kapitel III, Abschnitte 1–3 für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 und für Systeme nach Anhang I auf den 2. August 2028.4 Für KI-Kompetenz nach Art. 4, Verbote nach Art. 5 und Transparenz nach Art. 50 gelten eigene Termine. Die Übersicht zum Digital Omnibus erläutert Rollen und Fristen.
Was dokumentiert werden sollte
Eine Arbeitsakte kann den vorgesehenen Einsatz, die eigene Rolle als Anbieter oder Betreiber, gegebenenfalls die Kategorie nach Anhang III oder I, die Erfüllung bereits geltender Art.-4-, Art.-5- und Art.-50-Pflichten und bei personenbezogenen Daten die DSGVO-Rechtsgrundlage festhalten. Für möglicherweise hochriskante Systeme sollten technische Dokumentation, Protokollierung, Aufsicht und Konformitätsarbeit bis zur einschlägigen Frist geplant werden. Das sind vorbereitende Unterlagen; damit wird nicht behauptet, sämtliche Pflichten aus Kapitel III seien schon durchsetzbar.
Art. 50 Abs. 1 adressiert Anbieter unmittelbar mit natürlichen Personen interagierender Systeme. Abs. 2 betrifft die maschinenlesbare Kennzeichnung synthetischer Ausgaben durch Anbieter. Abs. 4 betrifft die Offenlegung bestimmter Deepfakes und Texte über Angelegenheiten von öffentlichem Interesse durch Betreiber; Ausnahmen sind zu beachten.5 Ein Bewerbungsmodell im Hintergrund unterliegt nicht schon wegen der Bearbeitung von Bewerbungen einer unmittelbaren Interaktionspflicht nach Art. 50 Abs. 1. Die Informationspflicht am Arbeitsplatz nach Art. 26 Abs. 7 gehört bei betroffenen Hochrisiko-Systemen zum verschobenen Abschnitt 3 von Kapitel III; sie darf nicht als bereits im September 2026 anwendbare Pflicht nach der KI-Verordnung dargestellt werden.4
KI-MIG § 20 sieht ein nicht öffentliches nationales Register für Hochrisiko-Systeme nach Anhang III Nr. 2 (kritische Infrastruktur) vor. Der Gesetzestext verlangt von Anbietern Registrierung vor dem Inverkehrbringen oder der Inbetriebnahme und von erfassten öffentlichen Stellen des Bundes vor der Verwendung.6 Es ist kein allgemeines Register für selbstgehostete KI. Ob eine konkrete Registrierung schon fällig ist, erfordert die Prüfung der Systemklassifizierung und des Zusammenspiels mit den geänderten Anwendungsdaten der KI-Verordnung. Allein die Existenz des Registers klärt diese Frage nicht.
Was sich nicht belegen ließ
Die frühere Fassung beschrieb eine koordinierte Prüfungswelle im September 2026, nannte Behörden und behauptete eine Bestätigung des EU-KI-Büros am 10. September. Für diese Einzelheiten ließ sich keine amtliche Veröffentlichung finden. Sie wurden entfernt. Die gesetzlichen Befugnisse und die Juli-Mitteilung der BNetzA sind dokumentiert; sie belegen keine konkrete Liste laufender Prüfungen.
Rechtsstand geprüft am 29. September 2026. Dies ist eine allgemeine Information, keine individuelle Rechtsberatung.
Footnotes
-
KI-MIG im Volltext, einschließlich § 1 und Inkrafttreten. ↩
-
KI-MIG § 2, Abs. 1–8. ↩
-
KI-MIG § 11; Verordnung (EU) 2019/1020, Art. 14. ↩
-
Verordnung (EU) 2026/1744, Art. 1 Nr. 40 Buchst. b. ↩ ↩2
-
KI-Verordnung Art. 50, Abs. 1, 2 und 4. ↩
-
KI-MIG § 20, Abs. 1–3; KI-Verordnung Art. 49 Abs. 5. ↩