Auskunftsersuchen Bundesnetzagentur KI: So reagieren Sie richtig

Handlungsleitfaden für Unternehmen: Fristen, Mitwirkungspflichten, Geschäftsgeheimnisse und interne Abstimmung

Ein Schreiben der Bundesnetzagentur mit Fragen zu den eigenen KI-Systemen ist für viele Unternehmen Neuland. Seit dem 2. August 2026 überwacht die Behörde die Einhaltung der KI-Verordnung und kann dafür Informationen und Unterlagen anfordern. Wer ein Auskunftsersuchen der Bundesnetzagentur zur KI erhält, steht vor einer Weichenstellung: Eine abgestimmte, vollständige Antwort kann ein Verfahren früh beenden. Eine vorschnelle oder unvollständige Antwort kann neue Fragen aufwerfen und selbst ein Bußgeldrisiko begründen. Dieser Leitfaden zeigt, wie Unternehmen strukturiert reagieren.

Rechtsgrundlage: Warum die Bundesnetzagentur Auskünfte zur KI-Verordnung verlangt

Mit dem KI-MIG, das am 29. Juli 2026 in Kraft getreten ist, wurde die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde für die KI-Verordnung bestimmt, soweit keine andere Stelle zuständig ist. Nach Art. 74 KI-VO stehen den Marktüberwachungsbehörden die Befugnisse der europäischen Marktüberwachungsverordnung (EU) 2019/1020 zu. Dazu gehört insbesondere das Recht, von Wirtschaftsakteuren relevante Dokumente, technische Spezifikationen, Daten und Informationen zur Lieferkette zu verlangen.

Anlass eines Auskunftsersuchens kann eine Beschwerde sein, die nach Art. 85 KI-VO jede natürliche oder juristische Person einlegen kann. Ebenso möglich sind Hinweise anderer Behörden, Presseberichte, eigene Marktbeobachtungen oder Stichproben. Nicht jedes Ersuchen bedeutet also, dass die Behörde bereits von einem Verstoß ausgeht. Häufig will sie zunächst verstehen, welche Systeme ein Unternehmen einsetzt und in welcher Rolle.

Zu beachten ist, dass nicht immer die Bundesnetzagentur zuständig ist. Für KI in regulierten Produkten, im Finanzsektor, bei öffentlichen Stellen der Länder und bei Mediendiensteanbietern gelten Sonderzuständigkeiten. Einen vollständigen Überblick über Zuständigkeiten, Befugnisse und Verfahrensablauf gibt unser Beitrag zur KI-Aufsicht der Bundesnetzagentur.

Lassen Sie bei jedem Schreiben zunächst prüfen, ob die handelnde Behörde zuständig ist und auf welche Rechtsgrundlage sie ihr Ersuchen stützt.

Erste Schritte nach Eingang eines Auskunftsersuchens

Die ersten Tage nach Eingang entscheiden oft über den weiteren Verlauf. Folgende Schritte sollten unmittelbar erfolgen:

• Eingang dokumentieren: Datum des Zugangs, Übermittlungsweg und Empfänger festhalten und das Schreiben an eine zentrale verantwortliche Stelle weiterleiten.
• Frist notieren: gesetzte Antwortfrist sofort in die Fristenkontrolle aufnehmen; sie ist oft knapp bemessen.
• Art des Schreibens klären: unterscheiden, ob es sich um eine informelle Anfrage oder um eine förmliche Anordnung mit Rechtsbehelfsbelehrung handelt.
• Gegenstand eingrenzen: feststellen, welche Systeme, Zeiträume und Pflichten das Ersuchen betrifft und ob ein Anlass erkennbar ist.
• Keine vorschnelle Antwort: Fachabteilungen anweisen, nicht eigenständig mit der Behörde zu kommunizieren oder Unterlagen herauszugeben.
• Unterlagen sichern: relevante Dokumente, Protokolle und Konfigurationen vor Löschung schützen und keine nachträglichen Änderungen vornehmen.
• Anwaltliche Prüfung einleiten: Umfang, Rechtsgrundlage, Frist und Risiken bewerten lassen, bevor inhaltlich geantwortet wird.

Besonders wichtig ist die Sicherung von Unterlagen. Werden nach Eingang eines Ersuchens Dokumente gelöscht oder nachträglich angepasst, kann das die Glaubwürdigkeit des Unternehmens erheblich beschädigen und rechtliche Folgen haben. Umgekehrt ist es legitim, fehlende Dokumentation für die Zukunft aufzubauen, solange dies offen geschieht und nicht den Eindruck erweckt, sie habe schon früher bestanden.

Lassen Sie die Antwortfrist unmittelbar nach Eingang prüfen, denn eine rechtzeitig beantragte Fristverlängerung ist deutlich einfacher zu erreichen als eine nachträgliche Entschuldigung.

Mitwirkungspflichten und ihre Grenzen

Umfang der Auskunftspflicht

Wirtschaftsakteure sind grundsätzlich verpflichtet, mit den Marktüberwachungsbehörden zusammenzuarbeiten und angeforderte Informationen bereitzustellen. Für Anbieter von Hochrisiko-Systemen konkretisiert Art. 21 KI-VO diese Pflicht: Sie müssen auf begründete Anfrage die Informationen und Unterlagen vorlegen, die zum Nachweis der Konformität erforderlich sind. Diese Pflichten gelten nach dem Digital Omnibus ab dem 2. Dezember 2027. Das KI-MIG sieht für bestimmte Verstöße gegen Informations- und Dokumentationspflichten zusätzlich eigene Geldbußen bis zu 50.000 Euro vor.

Falsche oder unvollständige Angaben

Besonders heikel ist Art. 99 Abs. 5 KI-VO. Danach können falsche, unvollständige oder irreführende Angaben gegenüber Behörden mit Geldbußen bis zu 7,5 Millionen Euro oder 1 Prozent des weltweiten Jahresumsatzes geahndet werden, bei kleinen und mittleren Unternehmen gilt der jeweils niedrigere Betrag. Das bedeutet: Das Risiko liegt nicht nur im Schweigen, sondern auch in einer ungenauen Antwort. Aussagen sollten deshalb nur getroffen werden, wenn der Sachverhalt geklärt ist. Wo Informationen noch fehlen, ist es besser, dies offen zu benennen und eine Ergänzung anzukündigen.

Grenzen der Mitwirkung

Die Befugnisse der Behörde sind nicht grenzenlos. Das Ersuchen muss verhältnismäßig sein, also auf die für die Prüfung erforderlichen Informationen beschränkt bleiben. Pauschale Anforderungen sämtlicher Unterlagen oder sehr kurze Fristen für umfangreiche Unterlagen können angreifbar sein. Den Zugang zum Quellcode eines Hochrisiko-Systems darf die Behörde nach Art. 74 Abs. 13 KI-VO nur unter engen Voraussetzungen verlangen.

Stehen persönliche Vorwürfe gegen einzelne Mitarbeitende oder Organmitglieder im Raum, können Auskunftsverweigerungsrechte zum Schutz vor Selbstbelastung eine Rolle spielen. Deren Reichweite hängt vom Einzelfall ab und sollte vor einer Antwort geprüft werden. Handelt es sich um eine förmliche Anordnung, stehen zudem Widerspruch und Klage offen.

Lassen Sie den Umfang des Ersuchens prüfen, bevor Sie Unterlagen zusammenstellen, denn eine zu weitgehende Herausgabe lässt sich später nicht mehr rückgängig machen.

Geschäftsgeheimnisse im Auskunftsverfahren schützen

KI-Systeme enthalten regelmäßig besonders schutzwürdige Informationen: Modellarchitekturen, Trainingsdaten, Prompt-Strategien, Quellcode und Geschäftsprozesse. Art. 78 KI-VO verpflichtet die Behörden, die Vertraulichkeit der erlangten Informationen zu wahren, insbesondere Geschäftsgeheimnisse, Rechte des geistigen Eigentums und den Quellcode.

Auf diesen Schutz sollten sich Unternehmen nicht passiv verlassen. Bewährt hat sich, vertrauliche Unterlagen bei der Übermittlung ausdrücklich als Geschäftsgeheimnis zu kennzeichnen und kurz zu begründen, warum die Informationen schutzwürdig sind. Wo möglich, sollten geschwärzte oder zusammenfassende Fassungen angeboten werden. Informationen, die das Ersuchen nicht erfasst, gehören nicht in die Antwort.

Besondere Aufmerksamkeit verdienen Informationen Dritter. Stammen Unterlagen vom KI-Anbieter, einem Zulieferer oder einem Kunden, können vertragliche Geheimhaltungspflichten bestehen. Diese entbinden zwar nicht von gesetzlichen Mitwirkungspflichten, sollten aber bei der Art der Übermittlung berücksichtigt werden. Ob Verträge den Umgang mit Behördenanfragen sachgerecht regeln, lässt sich im Rahmen einer KI-Vertragsprüfung klären.

Lassen Sie vor der Übermittlung festlegen, welche Unterlagen als Geschäftsgeheimnis gekennzeichnet werden und in welcher Form sie herausgegeben werden.

Interne Abstimmung und Antwortstrategie

Ein Team, eine Stimme

Ein Auskunftsersuchen berührt meist mehrere Bereiche gleichzeitig: IT, Fachabteilung, Datenschutz, Compliance, Einkauf und Geschäftsleitung. Sinnvoll ist ein kleines Kernteam unter klarer Leitung, das Informationen sammelt, bewertet und die Kommunikation mit der Behörde bündelt. Nur so lassen sich widersprüchliche Aussagen vermeiden.

Sachverhalt vollständig aufklären

Vor der Antwort muss feststehen, welche KI-Systeme betroffen sind, in welcher Rolle das Unternehmen handelt, welche Pflichten gelten und welche Maßnahmen bereits ergriffen wurden. Hilfreich sind ein aktuelles KI-Inventar, Nachweise zu Kennzeichnungen nach Art. 50 KI-VO und Unterlagen zu Kompetenzmaßnahmen nach Art. 4 KI-VO. Wie Schulungen rechtssicher dokumentiert werden, zeigt unser Beitrag zur KI-Schulungspflicht nach Art. 4 KI-VO. Wie sich eine prüffähige Nachweisstruktur aufbauen lässt, erläutert unsere Seite zur KI-Dokumentationspflicht.

Antwort formulieren

Die Antwort sollte sachlich, strukturiert und nachvollziehbar sein. Bewährt hat sich, jede Frage der Behörde einzeln zu beantworten, Anlagen eindeutig zu bezeichnen und Einschätzungen klar von Tatsachen zu trennen. Wird eine Frage als unklar oder zu weit empfunden, kann dies offen angesprochen und eine Präzisierung angeregt werden. Sind Lücken erkennbar, wirkt es in der Regel besser, bereits eingeleitete Verbesserungen darzustellen, als Mängel zu verschweigen.

Anbieter und Dienstleister einbinden

Betreiber sind häufig auf Informationen ihres KI-Anbieters angewiesen, etwa zur Funktionsweise, zu Trainingsdaten oder zur Markierung von Ausgaben. Diese Informationen sollten frühzeitig angefragt werden. Fehlen vertragliche Informationsrechte, verzögert sich die Antwort. Ein externer KI-Beauftragter kann die Koordination übernehmen und als ständiger Ansprechpartner dienen.

Lassen Sie die Antwort vor dem Versand rechtlich prüfen, denn jede Aussage kann später im Aufsichts- oder Bußgeldverfahren gegen das Unternehmen verwendet werden.

Nach der Antwort: Mögliche Verfahrensverläufe und typische Fehler

Nach Eingang der Antwort gibt es mehrere mögliche Verläufe. Im günstigsten Fall ist die Prüfung damit abgeschlossen. Häufig folgen jedoch Rückfragen, die Anforderung weiterer Unterlagen oder die Ankündigung einer Prüfung vor Ort. Hält die Behörde einen Verstoß für wahrscheinlich, wird sie in der Regel eine Anhörung durchführen, bevor sie Korrekturmaßnahmen anordnet. Parallel oder nachgelagert kann ein Bußgeldverfahren eingeleitet werden. Aussagen aus dem Aufsichtsverfahren sollten deshalb immer auch mit Blick auf ein mögliches Bußgeld bewertet werden.

In der Praxis wiederholen sich bestimmte Fehler:

• Fristversäumnis: Das Schreiben bleibt in einer Fachabteilung liegen, die Frist läuft ab.
• Schnellschuss: Eine Fachabteilung antwortet spontan per E-Mail, ohne den Sachverhalt vollständig zu kennen.
• Überschießende Herausgabe: Es werden mehr Unterlagen übermittelt als angefordert, einschließlich interner Bewertungen und Geschäftsgeheimnisse.
• Widersprüche: Verschiedene Ansprechpartner machen abweichende Angaben.
• Nachträgliche Veränderung von Unterlagen: Dokumente werden ohne Kennzeichnung angepasst, was die Glaubwürdigkeit beschädigt.
• Beschönigung: Lücken werden verschwiegen und später von der Behörde selbst festgestellt.

Parallel zu behördlichen Verfahren können Mitbewerber tätig werden, wenn der Sachverhalt auch wettbewerbsrechtlich relevant ist. Wer zusätzlich eine Abmahnung wegen eines Verstoßes gegen die KI-Verordnung erhält, sollte beide Verfahren aufeinander abstimmen.

Wann lohnt sich anwaltliche Beratung bei einem Auskunftsersuchen?

Anwaltliche Unterstützung ist bei einem Auskunftsersuchen in aller Regel sinnvoll, und zwar möglichst vor der ersten inhaltlichen Antwort. Die rechtliche Prüfung klärt Zuständigkeit, Rechtsgrundlage und Umfang des Ersuchens, bewertet die Frist, identifiziert Grenzen der Mitwirkungspflicht und legt fest, wie Geschäftsgeheimnisse geschützt werden. Zudem lässt sich die Kommunikation mit der Behörde über den Anwalt bündeln, was widersprüchliche Aussagen vermeidet.

Rogert & Ulbrich vertritt Unternehmen im Aufsichts- und Bußgeldverfahren nach der KI-Verordnung. Die Kanzlei prüft Auskunftsersuchen, führt die Kommunikation mit der Behörde, begleitet Prüfungen vor Ort und verteidigt, wenn ein Bußgeldbescheid ergeht. Weil die Kanzlei zugleich zur KI-Compliance berät, lassen sich festgestellte Lücken im selben Zug schließen. Vom Sitz in Düsseldorf aus arbeitet die Kanzlei bundesweit auf Deutsch, Englisch und Niederländisch, was bei internationalen Anbietern und Konzernstrukturen die Abstimmung erleichtert.

Lassen Sie ein Auskunftsersuchen der Bundesnetzagentur prüfen, bevor Sie antworten, und vereinbaren Sie dafür eine Ersteinschätzung.

Fazit: Ein Auskunftsersuchen ist beherrschbar, wenn früh und strukturiert reagiert wird

Die Bundesnetzagentur hat seit dem 2. August 2026 weitreichende Befugnisse, Informationen zu KI-Systemen anzufordern. Unternehmen müssen mitwirken, dürfen aber auf Verhältnismäßigkeit, Vertraulichkeit und die Grenzen ihrer Pflichten achten. Das größte Risiko liegt oft nicht im Verstoß selbst, sondern in einer unüberlegten Antwort: Falsche oder unvollständige Angaben sind eigenständig bußgeldbewehrt.

Wer Frist und Umfang sofort prüft, Unterlagen sichert, ein zentrales Team bildet, Geschäftsgeheimnisse kennzeichnet und die Antwort rechtlich abstimmt, kann ein Auskunftsersuchen in vielen Fällen ohne weitere Maßnahmen abschließen. Die beste Vorbereitung bleibt eine geordnete KI-Dokumentation, die schon vor dem ersten Schreiben besteht.

Rechtsstand: 15. September 2026. Berücksichtigt sind die Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744, die Verordnung (EU) 2019/1020 sowie das KI-MIG.

FAQs: Häufig gestellte Fragen zum Auskunftsersuchen der Bundesnetzagentur