KI-Aufsicht der Bundesnetzagentur: Befugnisse und Rechte

Zuständigkeiten, Prüfbefugnisse, Verfahrensablauf und Rechtsschutz für Unternehmen nach dem KI-MIG

Seit dem 2. August 2026 hat die KI-Verordnung in Deutschland eine Aufsichtsbehörde mit echten Durchsetzungsbefugnissen. Die KI-Aufsicht der Bundesnetzagentur kann Unterlagen anfordern, Systeme prüfen, Maßnahmen anordnen und Bußgelder verhängen. Für Unternehmen stellen sich damit ganz praktische Fragen: Welche Behörde ist für das eigene KI-System zuständig, wie weit reichen die Befugnisse, und welche Rechte bestehen im Verfahren? Dieser Beitrag gibt einen Überblick über das KI-MIG aus Sicht betroffener Unternehmen.

KI-MIG: Die Bundesnetzagentur als zentrale KI-Aufsichtsbehörde

Die KI-Verordnung gilt als EU-Verordnung unmittelbar, braucht für ihren Vollzug aber nationale Behörden. Diese Aufgabe regelt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG). Es wurde am 28. Juli 2026 im Bundesgesetzblatt verkündet und ist am 29. Juli 2026 in Kraft getreten, wenige Tage vor dem allgemeinen Geltungsbeginn der KI-Verordnung. Deutschland hatte die unionsrechtliche Frist zur Benennung der Behörden, die bereits im August 2025 ablief, zuvor verstreichen lassen.

Die Bundesnetzagentur übernimmt nach dem KI-MIG mehrere Rollen zugleich. Sie ist Marktüberwachungsbehörde, soweit das Gesetz keine andere Stelle bestimmt, zentrale Anlaufstelle für Fragen zur KI-Verordnung und Beschwerdestelle für Hinweise auf Verstöße. Zudem ist sie notifizierende Behörde und trägt ein Koordinierungs- und Kompetenzzentrum, das die Zusammenarbeit der beteiligten Behörden bündeln soll.

Inhaltlich regelt das KI-MIG drei Bereiche: die Marktaufsicht, das Bußgeldverfahren und die Innovationsförderung. Die materiellen Pflichten selbst folgen weiterhin aus der KI-Verordnung. Welche das derzeit sind und was der Digital Omnibus verschoben hat, zeigt unser Beitrag zu den Pflichten der KI-Verordnung nach dem Digital Omnibus.

Lassen Sie klären, welche Pflichten der KI-Verordnung Ihre Systeme heute schon auslösen, denn genau daran setzt jede Prüfung der Bundesnetzagentur an.

Zuständigkeiten: Bundesnetzagentur, Sektorbehörden und KI-Marktüberwachungskammer

Die Bundesnetzagentur ist nicht für jedes KI-System allein zuständig. Das KI-MIG kombiniert eine zentrale Auffangzuständigkeit mit sektoralen und föderalen Sonderregeln. Die richtige Behörde zu bestimmen, ist deshalb die erste Frage in jedem Verfahren.

• Bundesnetzagentur: grundsätzlich zuständig, insbesondere für die Bereiche des Anhangs III der KI-Verordnung wie Personalmanagement, Bildung und kritische Infrastruktur sowie für verbotene Praktiken und Transparenzpflichten.
• Bestehende Produktaufsicht: Für KI-Systeme in bereits regulierten Produkten, etwa Medizinprodukten oder Spielzeug, bleiben die bisherigen Marktüberwachungsbehörden zuständig.
• BaFin: zuständig für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit beaufsichtigter Unternehmen stehen.
• Landesbehörden: zuständig für KI-Systeme öffentlicher Stellen der Länder; die Aufsicht über Mediendiensteanbieter verbleibt bei den staatsfernen Landesmedienbehörden.

Eine Besonderheit ist die unabhängige KI-Marktüberwachungskammer nach § 4 KI-MIG. Sie ist bei der Bundesnetzagentur angesiedelt, handelt weisungsfrei und überwacht besonders grundrechtssensible Hochrisiko-Systeme, etwa in Strafverfolgung, Migration, Grenzkontrolle und Rechtspflege. Besetzt ist sie mit dem Präsidenten und den beiden Vizepräsidenten der Behörde. Ob diese Personalunion den unionsrechtlichen Anforderungen an die Unabhängigkeit genügt, wird in der Fachliteratur bezweifelt.

Auf europäischer Ebene überwacht zusätzlich das KI-Büro der Kommission insbesondere KI-Modelle mit allgemeinem Verwendungszweck. Seit dem Digital Omnibus ist es auch für KI-Systeme zuständig, die auf solchen Modellen desselben Anbieters beruhen.

Lassen Sie bei jedem behördlichen Schreiben zunächst prüfen, ob die handelnde Stelle für Ihr System überhaupt zuständig ist, denn davon hängen Verfahren und Rechtsweg ab.

Befugnisse der Bundesnetzagentur bei der KI-Aufsicht

Die Marktüberwachungsbehörden erhalten über Art. 74 KI-VO und das KI-MIG die Befugnisse aus der europäischen Marktüberwachungsverordnung (EU) 2019/1020. Die Behörde kann auf eine Beschwerde hin, aus eigener Initiative oder im Rahmen von Stichproben tätig werden.

Auskunftsersuchen und Anforderung von Unterlagen

Die Bundesnetzagentur kann Informationen und Dokumente verlangen, insbesondere die technische Dokumentation, Konformitätsnachweise, Protokolle und Angaben zu Lieferketten. Bei Hochrisiko-Systemen kann sie auch Zugang zu Trainings-, Validierungs- und Testdatensätzen fordern. Wer im Prüfungsfall keine geordnete Dokumentation vorlegen kann, gerät schnell in die Defensive. Eine tragfähige Nachweisstruktur beschreibt unsere Seite zur KI-Dokumentationspflicht.

Prüfungen vor Ort und eigene Tests

Die Behörde darf Geschäftsräume betreten, unangekündigte Kontrollen durchführen und KI-Systeme selbst testen, auch über verdeckte Testkäufe. Das KI-MIG erlaubt unter bestimmten Voraussetzungen sogar eine Nachschau außerhalb der Geschäftszeiten und schränkt dafür ausdrücklich das Grundrecht der Unverletzlichkeit der Wohnung ein.

Zugang zum Quellcode als letztes Mittel

Den Zugang zum Quellcode eines Hochrisiko-Systems kann die Behörde nach Art. 74 Abs. 13 KI-VO nur verlangen, wenn dies zur Bewertung der Konformität erforderlich ist und andere Prüf- und Überprüfungsmöglichkeiten ausgeschöpft oder unzureichend sind. Diese Voraussetzungen sollten Unternehmen im Einzelfall genau prüfen lassen.

Anordnungen bis zum Marktrückruf

Stellt die Behörde Verstöße fest, kann sie Korrekturmaßnahmen verlangen, die Bereitstellung eines Systems einschränken oder untersagen, die Rücknahme vom Markt oder einen Rückruf anordnen. Parallel kann sie ein Bußgeldverfahren einleiten.

Lassen Sie jedes Auskunftsersuchen vor der Beantwortung auf Umfang, Frist und Rechtsgrundlage prüfen, denn falsche oder unvollständige Angaben sind selbst bußgeldbewehrt.

Ablauf eines Aufsichtsverfahrens: Von der Beschwerde bis zur Maßnahme

Ein Verfahren beginnt häufig nicht mit einer Stichprobe, sondern mit einem Hinweis. Nach Art. 85 KI-VO kann jede natürliche oder juristische Person, die einen Verstoß vermutet, Beschwerde einlegen. Das KI-MIG verpflichtet die Bundesnetzagentur, das Beschwerdesystem barrierefrei und niedrigschwellig auszugestalten. Hinweise können also von Kunden, Bewerbern, Wettbewerbern oder ehemaligen Mitarbeitenden stammen. Zudem sind Verstöße gegen die KI-Verordnung nun ausdrücklich in den Anwendungsbereich des Hinweisgeberschutzgesetzes einbezogen.

Auf eine Beschwerde oder eigene Erkenntnisse folgt regelmäßig ein Auskunftsersuchen. In dieser Phase entscheidet sich viel: Eine sachliche, vollständige und abgestimmte Antwort kann ein Verfahren früh beenden. Eine unüberlegte Antwort kann dagegen neue Fragen aufwerfen oder Verstöße erst sichtbar machen.

Hält die Behörde einen Verstoß für wahrscheinlich, wird sie weitere Prüfungen durchführen und vor belastenden Anordnungen grundsätzlich eine Anhörung nach § 28 VwVfG gewähren. Erst danach ergeht eine Verfügung oder, getrennt davon, ein Bußgeldbescheid. Weil Aufsichts- und Bußgeldverfahren nebeneinander laufen können, sollten Aussagen im Aufsichtsverfahren immer auch mit Blick auf ein mögliches Bußgeld bewertet werden.

Lassen Sie die Kommunikation mit der Behörde von Beginn an zentral steuern, damit Fachabteilungen keine widersprüchlichen oder vorschnellen Aussagen machen.

Rechte von Unternehmen gegenüber der KI-Aufsicht

Die weitreichenden Befugnisse der Bundesnetzagentur stehen Rechten der betroffenen Unternehmen gegenüber. Sie zu kennen und frühzeitig geltend zu machen, ist der Kern jeder Verteidigungsstrategie.

Schutz von Geschäftsgeheimnissen

Nach Art. 78 KI-VO müssen die Behörden die Vertraulichkeit der erlangten Informationen wahren, insbesondere Geschäftsgeheimnisse, Rechte des geistigen Eigentums und den Quellcode. Unternehmen sollten sensible Unterlagen bei der Übermittlung ausdrücklich als vertraulich kennzeichnen und die Weitergabe auf das Erforderliche beschränken.

Rechtsschutz gegen Verfügungen

Gegen Anordnungen der Marktüberwachungsbehörde stehen die verwaltungsrechtlichen Rechtsbehelfe offen, also Widerspruch und Klage. In bestimmten Bereichen, etwa bei Funkanlagen, Medizinprodukten und im Zuständigkeitsbereich der BaFin, haben diese nach dem KI-MIG keine aufschiebende Wirkung. Dort muss vorläufiger Rechtsschutz nach § 80 Abs. 5 VwGO gesondert beantragt werden.

Verteidigung im Bußgeldverfahren

Für das Bußgeldverfahren gilt das Ordnungswidrigkeitengesetz entsprechend, allerdings mit Modifikationen: Die Bußgeldrahmen folgen aus Art. 99 KI-VO, nicht aus dem OWiG. Gegen einen Bußgeldbescheid ist innerhalb von zwei Wochen Einspruch einzulegen. Zuständig ist dann in erster Instanz das Amtsgericht. Die Staatsanwaltschaft kann das Verfahren im Zwischenverfahren nur mit Zustimmung der Behörde einstellen. Neben den Rahmen des Art. 99 KI-VO schafft das KI-MIG eigene Ordnungswidrigkeiten, etwa für Verstöße gegen bestimmte Informations- und Dokumentationspflichten, mit Geldbußen bis zu 50.000 Euro.

Beratung und Reallabor

Die Bundesnetzagentur ist nicht nur Kontrollinstanz. Sie betreibt einen KI-Service-Desk für Fragen von Unternehmen und muss mindestens ein KI-Reallabor einrichten, in dem innovative Systeme unter behördlicher Begleitung getestet werden können. Wie der Zugang zum Reallabor ausgestaltet wird, ist bislang nicht abschließend geregelt.

Lassen Sie Fristen nach Zustellung einer Verfügung oder eines Bußgeldbescheids sofort notieren und prüfen, denn eine versäumte Einspruchsfrist macht den Bescheid bestandskräftig.

Vorbereitung auf die KI-Aufsicht der Bundesnetzagentur

Unternehmen, die sich vorbereiten, bevor die erste Anfrage eingeht, reagieren schneller und sicherer. Folgende Maßnahmen haben sich bewährt:

• KI-Inventar und Rollen: alle Systeme mit Zweck, Anbieter, Risikoklasse und Rolle als Anbieter oder Betreiber erfassen.
• Zuständige Behörde bestimmen: für jedes System festhalten, ob die Bundesnetzagentur, eine Sektorbehörde oder eine Landesbehörde zuständig ist.
• Dokumentation griffbereit halten: Nachweise zu Kennzeichnung, Kompetenzmaßnahmen und Risikoeinstufung so ablegen, dass sie kurzfristig vorgelegt werden können.
• Ablauf für Behördenkontakt festlegen: Eingangskanal, verantwortliche Person, Fristenkontrolle und anwaltliche Einbindung definieren, gegebenenfalls über einen externen KI-Beauftragten.
• Geschäftsgeheimnisse markieren: vertrauliche Unterlagen vorab identifizieren und Kennzeichnungsregeln für die Übermittlung festlegen.
• Mitarbeitende sensibilisieren: Beschäftigte über den Umgang mit Behördenanfragen und Vor-Ort-Prüfungen informieren, etwa im Rahmen von KI-Schulungen für Unternehmen.
• Verträge prüfen: sicherstellen, dass Anbieter Informationen und Unterstützung liefern müssen, die im Aufsichtsverfahren benötigt werden, zum Beispiel über eine KI-Vertragsprüfung.

Neben der Behörde können auch Wettbewerber vorgehen. Wer eine Abmahnung wegen eines Verstoßes gegen die KI-Verordnung erhält, sollte bedenken, dass derselbe Sachverhalt parallel an die Bundesnetzagentur gemeldet werden kann. Wie sich Sicherheitsvorfälle mit KI-Systemen auf Meldepflichten und Haftung auswirken, zeigt unser Beitrag zum KI-Hackerangriff.

Wann lohnt sich anwaltliche Beratung bei der KI-Aufsicht?

Anwaltliche Unterstützung ist spätestens dann geboten, wenn ein Schreiben der Bundesnetzagentur oder einer anderen Marktüberwachungsbehörde eingeht. Ob Auskunftsersuchen, Ankündigung einer Prüfung, Anhörung oder Bußgeldbescheid: In jeder dieser Situationen laufen Fristen, und frühe Aussagen prägen den weiteren Verlauf. Sinnvoll ist Beratung auch vorher, wenn Zuständigkeiten, Rollen oder die Einstufung eines Systems unklar sind.

Rogert & Ulbrich verbindet die Compliance-Beratung zur KI-Verordnung mit der Vertretung im Aufsichts- und Bußgeldverfahren. Die Kanzlei prüft Auskunftsersuchen, begleitet Vor-Ort-Prüfungen, schützt Geschäftsgeheimnisse, führt Rechtsbehelfe und verteidigt gegen Bußgeldbescheide bis vor Gericht. Vom Sitz in Düsseldorf aus berät die Kanzlei bundesweit auf Deutsch, Englisch und Niederländisch, was bei internationalen Anbietern und Konzernstrukturen die Abstimmung erleichtert.

Lassen Sie ein behördliches Schreiben prüfen, bevor Sie antworten oder Unterlagen herausgeben, und vereinbaren Sie dafür eine Ersteinschätzung.

Fazit: Die KI-Aufsicht der Bundesnetzagentur ist Realität

Mit dem KI-MIG ist die Aufsicht über die KI-Verordnung in Deutschland handlungsfähig. Die Bundesnetzagentur bündelt Marktüberwachung, Anlaufstelle und Beschwerdestelle, während Sektorbehörden, Länder und das KI-Büro der Kommission eigene Zuständigkeiten behalten. Die Befugnisse reichen von Auskunftsersuchen über Prüfungen vor Ort bis zu Anordnungen und Bußgeldern.

Unternehmen sind dem nicht schutzlos ausgesetzt. Vertraulichkeitsschutz, Anhörung, verwaltungsrechtlicher Rechtsschutz und die Verteidigung im Bußgeldverfahren eröffnen wirksame Handlungsspielräume. Entscheidend ist, sie früh zu nutzen: mit geordneter Dokumentation, klaren internen Abläufen und einer abgestimmten Kommunikation ab dem ersten Behördenkontakt.

Rechtsstand: 15. September 2026. Berücksichtigt sind die Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 sowie das KI-MIG.

FAQs: Häufig gestellte Fragen zur KI-Aufsicht der Bundesnetzagentur