Deutschlands KI-MIG hat den AI Act an die Bundesnetzagentur übergeben — das braucht Ihre Prüfakte, bevor sie fragt

Am 29. Juli 2026 — zwei Tage nach Beginn der Digital-Omnibus-Ära und vier Tage vor dem allgemeinen Anwendungsdatum des AI Act — ist Deutschlands KI-MIG in Kraft getreten.¹ Sein Eingangssatz ist verwaltungstechnisch und leicht zu überlesen: Das Gesetz dient der „Durchführung der Verordnung (EU) 2024/1689“ und regelt die zuständigen Behörden nach Artikel 70 Absatz 1 dieser Verordnung. Genau das ist das ganze Spiel. Artikel 70 Absatz 1 des AI Act verpflichtet jeden Mitgliedstaat, Marktüberwachungsbehörden zu benennen; Deutschland hat mit einer einzigen benannten Behörde und einer Liste von Ausnahmen geantwortet.² Wenn Sie Open-Weights-Modelle auf eigener Hardware in Deutschland betreiben, entscheidet dieses Gesetz, wer bei Ihnen klingeln kann, was diese Behörde sehen will und welches Dokument sie zuerst verlangt.

Das hier ist keine Rechtsmeldung — das Gesetz war vor der Sommerpause in Kraft. Es ist die operative Lesart: die Delegationskette mit Paragraphenzahlen, die Durchsetzungsbefugnisse samt Startdaten, die für September 2026 berichtete Prüfungswelle, die Prüfakte, die ein Selbsthoster daraus baut — und die ehrliche Monatsrechnung bis zur geschobenen Anhang-III-Frist.

1. Die Delegationskette: Artikel 70 Absatz 1 plus zehn Paragraphen

Die Kette ist kurz und gut lesbar:

1. AI-Act Art. 70 Abs. 1 — jeder Mitgliedstaat benennt die Marktüberwachungsbehörde(n) für den AI Act und stattet sie mit den Befugnissen nach der Verordnung (EU) 2019/1020 und nach Art. 74 aus.³
2. KI-MIG § 1 — das Gesetz setzt die Verordnung (EU) 2024/1689 um und regelt ergänzend die zuständigen Behörden nach Art. 70 Abs. 1 Satz 1, Maßnahmen zur Innovationsförderung sowie Bußgelder nach Art. 99 Abs. 1 Satz 1.¹
3. KI-MIG § 2 Abs. 1 — die Bundesnetzagentur ist die für die Einhaltung der Verordnung (EU) 2024/1689 zuständige Marktüberwachungsbehörde, „soweit in diesem Gesetz nichts anderes bestimmt ist".⁴
4. Die §§ 2 Abs. 2–8 bestimmen dann anderes, Sektor für Sektor. Die BNetzA ist der Default, nicht der Monopolist:⁴

Zwei strukturelle Folgen. Erstens: „BNetzA für alles" war nie das Design; die Presse der Behörde selbst nennt es einen hybriden Ansatz — Aufsicht durch die sachnächste Stelle, BNetzA für bisher ungeregelte Produktbereiche, und die Länder dürfen ihre Aufsicht per Organleihe an die BNetzA übertragen.⁵ Zweitens: Für private Selbsthoster ist genau ein Karve-out relevant — sitzt Ihr Einsatz in einem regulierten Finanzinstitut, ist Ihr Gegenüber die BaFin; ansonsten die BNetzA, ausdrücklich auch für KI-Systeme im Personalmanagement, in kritischer Infrastruktur und im Bildungssektor, wo sie zusätzlich die Transparenzpflichten und die verbotenen KI-Praktiken überwacht.⁵

2. Die Befugnisse: § 11 gibt der BNetzA das 2019/1020-Werkzeug

§ 11 Abs. 1 verleiht den Marktüberwachungsbehörden die Befugnisse nach Artikel 14 Absatz 4 und 5 und Artikel 16 der Verordnung (EU) 2019/1020 (Marktüberwachungsverordnung) plus die der KI-Verordnung selbst.⁶ Art. 14 Abs. 4 der 2019/1020 ist der Standardkatalog — Auskunft verlangen, Unterlagen anfordern (technische, Test-, Risiko- oder andere), Stichproben nehmen und mit richterlicher Autorisierung Betriebsgelände betreten. § 11 Abs. 2 gibt operativen Feinschliff: Behörden können Dritte als Verwaltungshelfer hinzuziehen und die Befugnisse nach Art. 14 Abs. 4 Buchstabe d und j über APIs oder andere technische Mittel des Fernzugriffs ausüben. Nach § 11 Abs. 7 haben Widerspruch und Klage gegen Maßnahmen der BaFin (§ 2 Abs. 3) — einschließlich Zwangsmittelandrohung und -festsetzung — keine aufschiebende Wirkung; für Entscheidungen der produktrechtlichen Behörden (§ 2 Abs. 2) nur, wenn § 36 Abs. 1 Funkanlagengesetz oder § 45 Abs. 5 MPDG anwendbar ist. So oder so: Die Anordnung bleibt während Ihres Rechtsmittels stehen.⁶

Seit wann? Das KI-MIG trat am 29. Juli 2026 in Kraft; der AI Act gilt mit seinem allgemeinen Rahmen — und damit Marktüberwachung und Enforcement — seit dem 2. August 2026, gilt der AI Act mit seinem allgemeinen Rahmen — und damit Marktüberwachung und Enforcement — seit dem 2. August 2026 (Art. 113 der Verordnung).¹³ Das Bußgeldrisiko ist national kodifiziert: KI-MIG § 17 macht die § 2-Behörden zu den Verwaltungsbehörden im Sinne des § 36 OWiG — auch für die Geldbußen nach Art. 99 Abs. 3–5 der KI-Verordnung; gegen öffentliche Stellen werden keine Geldbußen verhängt (§ 17 Abs. 2).⁷ Die Strafobergrenzen des AI Act stehen unverändert: 35.000.000 EUR oder 7 % des weltweiten Umsatzes für Art.-5-Verstöße, 15.000.000 EUR oder 3 % für die zweite Stufe.³ Eine irreführende Auskunft ist selbst bußgeldbewehrt.

Eine landesspezifische Besonderheit rettet Sie nicht: § 2 Abs. 7 bedeutet nur, dass die BNetzA für KI der Bundesfinanzbehörden das Einvernehmen des Finanzministeriums braucht — auf den Privatsektor erstreckt sich dieser Schutz nicht im Geringsten.

3. September 2026: die berichtete Prüfungswelle

Berichtete Deckung — hier ausdrücklich als berichtete behandelt, weil keine konsolidierte offizielle Docket-Liste auf Kommissions- oder BNetzA-Seiten auffindbar war — schreibt ein Detail der offiziellen Ebene zu: Am 10. September 2026 bestätigte das EU AI Office, dass automatisierte Lebenslauf-Sortierung und HR-Entscheidungssysteme in der ersten Prüfungswelle enthalten sind, abgestimmt mit den nationalen Marktüberwachungsbehörden. Dieselbe Berichterstattung nennt algorithmische Kreditwürdigkeitsprüfung und KI-Triage im Gesundheitswesen sowie CNIL, BfDI und AESIA als führend bei den ersten Anfragen; der BfDI-Länder-Karve-out macht das BNetzA-BaFin-BfDI-Dreieck zur deutschen Variante der Aufteilung.⁸

Was primär ist, nicht berichtet: die am 2. August 2026 aktivierten Befugnisse, die KI-MIG-Behördenkarte und die Tatsache, dass eine deutsche Behörde mit § 11-Befugnissen heute eine Auskunftsanfrage zustellen kann. Die Zusammensetzung der Welle ist berichtet. Kategorien (Hiring, Kredit) als belastbar annehmen, einzelne Namen als unbestätigt.

Die Kategorie-Wahl zeigt die geschoben-und-trotzdem-logik: Lebenslauffilterung und Kreditwürdigkeit sind Anhang III Nr. 4 Buchstabe a und Nr. 5 Buchstabe b — Hochrisiko-Kategorien mit auf Dezember 2027 geschobenen Kapitel-III-Pflichten. Aber Art. 50 Transparenz, Art. 5 Verbote und die Auskunftsbefugnisse nach Kapitel IX gelten jetzt — und genau das ist es, was ein erster Brief liest.

4. Die Prüfakte des Selbsthosters: vom Artikel zum Artefakt

Setzen Sie den Fall, der BNetzA-Brief kommt unter § 11 + Art. 14 Abs. 4 der 2019/1020. Ordnen Sie die Prüfakte so, dass jede Anforderung auf ein Dokument zeigt, das Sie vorlegen können. Die Kapitel-III-Artefakte sind noch nicht durchsetzbar (geschoben) — aber 2026 bauen ist billiger als 2027, und die Einordnung ist heute über Art. 6 Abs. 3 testbar — die Ausnahme für Systeme ohne erhebliches Schadensrisiko.

Zwei Zeilen verdienen den mathe-first-Blick. Die Art.-26-Arbeitnehmerinformationspflicht (Art. 26 Abs. 7: Arbeitnehmervertretung vor erstem Einsatz am Arbeitsplatz informieren) ist nichts Exotisches — jedes HR-nahe Tool auf selbst gehosteter Infrastruktur trifft sie in einem deutschen Unternehmen. Und das KI-MIG-§-20-Register ist deutsches Recht, das der Dezember-2027-Konformitätsfrist vorausläuft: Es gilt für Anhang-III-Nr.-2-Systeme — kritische Infrastruktur, nicht die Hiring- und Kredit-Tools aus Prüfungswelle eins. Aber weil die BNetzA kritische Infrastruktur ausdrücklich zu ihren Remit-Beispielen zählt, sollte ein Selbsthoster mit infrastrukturnaher KI den §-20-Anwendungsbereich zuerst prüfen: Registrierungspflicht gilt vor dem Inverkehrbringen, nicht danach.

5. Die Zeitrechnung: 15 Kalendermonate minus die Burn-in

Von Ende September 2026 bis zur geschobenen Anhang-III-Frist am 2. Dezember 2027:¹⁰

• Kalendermonate: 15 (Oktober 2026 bis Dezember 2027 inklusiv — exakt die „15 Monate"-Schlagzeile).
• Realistische Arbeitsmonate: Zieht man die Weihnachtsmonate 2026 und 2027 und typische mittelständische Beschaffungszyklen ab, bleiben 12–13 Arbeitsmonate für alles, was externen Rat, Tooling oder Bewertungskapazität braucht.
• Pro Artefakt: Die Art.-11-Dokumentation allein ist für ein einzelnes Hochrisiko-System ein 2–3-Monats-Drafting-Aufwand für einen Mittelständler. Deferral-Kauf: 16 Kalendermonate zwischen ursprünglicher (2.8.2026) und neuer Frist (2.12.2027); von heute bleiben 15. Nicht Parallelarbeit, sondern die Sequenzierung entscheidet, ob Sie diese Bandbreite nutzen oder verlieren.

Für einen Selbsthoster mit Hiring- oder Kredit-Tools lautet die ehrliche Reihenfolge: Art.-50- und Art.-5-Screening jetzt (live, prüfbar), Einordnungs-Register jetzt, Art.-11-Dokumentation bis Mitte 2027, Registrierung und Konformitätsbewertung vor Dezember 2027.

6. Das Fazit

Deutschland hat ein nationales Gesetz verabschiedet, dessen gesamter Inhalt — Behörde benennen, die bestehenden 2019/1020-Befugnisse verleihen, Register und Beschwerdestelle ergänzen — für ein Regime in Kraft ging, dessen Hauptpflichten der Omnibus zwei Tage zuvor geschoben hatte. Die Ironie schreibt sich selbst: Die BNetzA kann heute wegen eines Anhang-III-Systems klingeln, dessen Konformitätsdossier Sie rechtlich erst im Dezember 2027 schulden. Aber die Teile, die sie heute durchsetzen kann — Art.-50-Hinweis, Art.-5-Verbote, Art.-4-Kompetenz, ihre §-11-Auskunftsbefugnisse, das §-20-Register — sind genau die Teile der Prüfakte, die Sie in einer Woche bauen und für immer pflegen können.

Gegenüber den Mitgliedstaaten, die die Benennung auf ein Dutzend Behörden zersplittert haben, ist Deutschlands BNetzA-Zentrierung ein echter operativer Vorteil: ein Gegenüber, ein Register, eine Beschwerdestelle, ein klarer RFI-Kanal. Deutschland hat keine einzige neue materielle Pflichten geschaffen. Was es stattdessen getan hat — hybride Behördenkarte, KI-Marktüberwachungskammer für Strafverfolgungs-KI, Register, §-12-Innovationsaufgaben — ist eines der seltensten Compliance-Artefakte: Papierkram, der meist auf Papierkram zeigt. Das Gegengewicht sind die Mittelstandskosten: Diese Struktur wird von jemandem bezahlt, und Berichtspflichten und Registerläufe kosten echte Stunden im 20-Personen-Betrieb — exakt der Betrieb, dem das Gesetz gleichzeitig über KI-Reallabor und Service Desk hilft. Bauen Sie die Prüfakte trotzdem: Sie ist billig, sie ist live, wo es zählt, und der 2. Dezember 2027 verschiebt sich nicht noch einmal.

Dieser Artikel gibt den Rechtsstand vom 24. September 2026 wieder und ist allgemeine Information, keine Rechtsberatung. Die verbindliche Einordnung Ihres konkreten Systems erfordert eine Einzelfallprüfung.