Aufsicht: wer zuständig ist und was erwartet wird

Die KI-Verordnung wird nicht von einer einzigen Behörde durchgesetzt. In Deutschland verteilt das KI-MIG die Aufgaben auf eine zentrale Behörde und die bestehenden Fachaufsichten. Für Modelle mit allgemeinem Verwendungszweck ist die Kommission selbst zuständig.

Deutschland

Bundesnetzagentur

Seit Inkrafttreten des KI-MIG am 29. Juli 2026 zentrale Marktüberwachungsbehörde, notifizierende Behörde, zentrale Anlaufstelle und Beschwerdestelle, soweit keine Fachbehörde zuständig ist. Bei ihr angesiedelt sind das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) und eine unabhängige KI-Marktüberwachungskammer für bestimmte grundrechtssensible Hochrisiko-Systeme. Für Unternehmen bietet sie einen KI-Service-Desk mit Informationen zur Einordnung und zur KI-Kompetenz. Sie betreibt auch das nationale KI-Reallabor.

BaFin

Marktüberwachungsbehörde für KI-Systeme in direktem Zusammenhang mit regulierter Finanztätigkeit, einschließlich Versicherern und Pensionsfonds (§ 2 KI-MIG). Wichtigste Veröffentlichung: die Orientierungshilfe zu IKT-Risiken beim Einsatz von KI-Systemen in Finanzunternehmen vom 18. Dezember 2025. Sie ordnet KI als IKT-System im Sinne von DORA ein und beschreibt Erwartungen an Governance, Lebenszyklus, Tests und Drittanbieter. Mehr unter Finanzsektor.

BSI

Fachbehörde für IT-Sicherheit, mit Veröffentlichungen zur Sicherheit von KI-Systemen und großen Sprachmodellen sowie dem Kriterienkatalog AIC4 für KI-Cloud-Dienste. Über die NIS2-Umsetzung Aufsicht über die Cybersicherheit wichtiger und besonders wichtiger Einrichtungen, einschließlich ihrer KI-Komponenten.

Datenschutzaufsicht

Die Datenschutzkonferenz hat im Mai 2024 eine Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz veröffentlicht, die Auswahl, Einführung und Nutzung von KI-Anwendungen aus Sicht der DSGVO behandelt. Für die Aufsicht über Unternehmen sind die Landesdatenschutzbehörden zuständig, für Bundesbehörden und Telekommunikation die BfDI. Bestimmte biometrische Hochrisiko-Systeme werden nach dem KI-MIG von der Datenschutzaufsicht mitbeaufsichtigt.

Produktrecht und Gesundheit

Für KI in Produkten nach Anhang I bleiben die Behörden des jeweiligen Produktrechts zuständig, für Medizinprodukte die Behörden der Länder und das BfArM.

Europäische Union

Kommission und KI-Büro

Ausschließliche Aufsicht über Modelle mit allgemeinem Verwendungszweck; nach der VO (EU) 2026/1744 auch über Systeme, die auf eigenen Modellen desselben Anbieters oder derselben Unternehmensgruppe beruhen, und über KI in sehr großen Online-Plattformen. Leitlinien, Vorlagen und Verhaltenskodizes:

• Leitlinien zur Definition eines KI-Systems (Februar 2025)
• Leitlinien zu verbotenen Praktiken (Februar 2025; Aktualisierung wegen der neuen Verbotsnorm zu erwarten)
• Verhaltenskodex für GPAI-Modelle und Leitlinien zu den GPAI-Pflichten (Juli 2025)
• Leitlinien zu Art. 50 und Verhaltenskodex zur Transparenz KI-generierter Inhalte (Juli 2026)
• Entwurf von Leitlinien zur Einstufung von Hochrisiko-Systemen (Mai 2026; endgültig bis August 2027)
• Lebendes Verzeichnis von Praxisbeispielen zur KI-Kompetenz

Europäische Finanzaufsichtsbehörden

• EBA: Abgleich der KI-Verordnung mit dem Banken- und Zahlungsverkehrsrecht (November 2025), Ergebnis: kein struktureller Widerspruch, ergänzende Anwendung.
• EIOPA: Stellungnahme zu KI-Governance und Risikomanagement für Versicherer (6. August 2025).
• ESMA: Hinweise zum Einsatz von KI in der Wertpapierdienstleistung, insbesondere zu Anlegerschutz und Verantwortung des Leitungsorgans (2024).

Was alle Behörden gemeinsam erwarten

Liest man die Veröffentlichungen nebeneinander, ergibt sich ein gemeinsamer Kern: ein vollständiges Inventar, eine dokumentierte Einstufung, klare Verantwortung bis ins Leitungsorgan, Kenntnisse bei denen, die KI einsetzen und beaufsichtigen, eine wirksame menschliche Kontrolle und eine Steuerung der Anbieter, die auch Modellwechsel und Datennutzung erfasst. Keine dieser Erwartungen ist neu. Neu ist, dass sie für KI ausdrücklich formuliert und prüfbar gemacht werden.

Stand der Angaben: 14. Oktober 2026. Die Aufsichtspraxis entwickelt sich; prüfen Sie vor Entscheidungen die aktuellen Veröffentlichungen der Behörden.