Das Wichtigste in 30 Sekunden
- Das deutsche KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz – KI-MIG gilt seit 29. Juli 2026.
- Die Bundesnetzagentur übernimmt eine zentrale Rolle bei Marktüberwachung, Koordination, Information und Beschwerden.
- Sie ist aber nicht für jeden KI-Sachverhalt allein zuständig. Das KI-MIG enthält mehrere sektorspezifische Zuständigkeiten.
- Bei der Bundesnetzagentur befindet sich die zentrale Anlaufstelle.
- Außerdem wird sie zentrale Beschwerdestelle für vermutete Verstöße gegen die KI-Verordnung.
- § 11 KI-MIG stattet Marktüberwachungsbehörden mit erheblichen Untersuchungs- und Eingriffsbefugnissen aus.
- Das Gesetz schafft außerdem einen deutschen Rahmen für KI-Reallabore und Tests unter Realbedingungen.
Die Bundesnetzagentur ist nach § 2 Abs. 1 KI-MIG grundsätzlich Marktüberwachungsbehörde, ausdrücklich aber nur, soweit das Gesetz keine andere Zuständigkeit bestimmt.
Warum Deutschland überhaupt ein KI-MIG braucht
Die europäische KI-Verordnung gilt unmittelbar in den Mitgliedstaaten.
Viele organisatorische Fragen muss aber trotzdem jeder Mitgliedstaat selbst beantworten:
Wer überwacht den Markt? Wer nimmt Beschwerden entgegen? Wer koordiniert die Behörden? Wer unterstützt Innovation? Und wie funktionieren KI-Reallabore in Deutschland?
Genau hier setzt das KI-MIG an.
Es wurde am 22. Juli 2026 ausgefertigt und ist seit 29. Juli 2026 in Kraft.
Für Unternehmen, Kanzleien und Legal-Tech-Anbieter wird damit vor allem eines konkreter:
Der AI Act ist nicht mehr nur europäisches Regelwerk – er hat eine nationale Aufsichtsstruktur.
Die Bundesnetzagentur wird zentral – aber nicht allein zuständig
Die Bundesnetzagentur ist nach § 2 KI-MIG grundsätzlich für die Marktüberwachung zuständig.
Das bedeutet aber nicht, dass es künftig nur eine einzige deutsche KI-Aufsichtsbehörde gibt.
Das KI-MIG arbeitet vielmehr mit einer zentralen Grundzuständigkeit plus sektorspezifischen Ausnahmen.
Für bestimmte Produktbereiche greifen beispielsweise bereits bestehende Marktüberwachungsstrukturen. Auch für regulierte Finanzunternehmen und weitere besondere Bereiche enthält § 2 spezielle Zuständigkeitsregelungen.
Deshalb ist die präzisere Aussage:
Die Bundesnetzagentur übernimmt die zentrale Rolle in der deutschen AI-Act-Aufsicht – innerhalb eines Systems mehrerer zuständiger Behörden.
Notifizierung und Akkreditierung: ebenfalls keine Alleinzuständigkeit der Bundesnetzagentur
Auch bei Konformitätsbewertungsstellen gibt es kein einfaches Modell „alles BNetzA“.
§ 3 KI-MIG knüpft teilweise an bereits bestehende notifizierende Behörden aus dem europäischen Produktsicherheitsrecht an.
Für bestimmte biometrische Hochrisiko-KI-Systeme nach Anhang III Nr. 1 gelten besondere Regelungen; bis zur dort vorgesehenen Benennung nimmt teilweise das Bundesamt für Sicherheit in der Informationstechnik entsprechende Aufgaben wahr. Bei der Bewertung und Überwachung bestimmter Konformitätsbewertungsstellen spielt wiederum die Deutsche Akkreditierungsstelle eine Rolle.
Für Legal-Tech-Anbieter ist deshalb entscheidend:
Welche Behörde zuständig ist, hängt auch davon ab, in welche regulatorische Kategorie das konkrete KI-System fällt.
Zentrale Anlaufstelle: eine Adresse für das deutsche KI-Aufsichtssystem
Nach § 6 KI-MIG ist die Bundesnetzagentur die zentrale Anlaufstelle im Sinne des AI Act.
Sie bündelt Kontaktinformationen, nimmt Eingaben unter anderem aus Öffentlichkeit und europäischer Ebene entgegen und leitet sie an die zuständigen nationalen Stellen weiter.
Für Kanzleien und Anbieter ist das praktisch hilfreich.
Wer erstmals mit der deutschen AI-Act-Aufsichtsstruktur zu tun hat, muss also nicht zwingend selbst die gesamte Zuständigkeitsarchitektur kennen.
Allerdings sollte man die zentrale Anlaufstelle nicht mit einer verbindlichen Vorabgenehmigungs- oder Klassifizierungsstelle verwechseln.
Eine Anfrage an die Bundesnetzagentur ersetzt nicht die eigene rechtliche Einordnung eines KI-Systems.
Neu und praktisch relevant: die zentrale Beschwerdestelle
Besonders interessant für die Praxis ist § 8 KI-MIG.
Beschwerden wegen eines vermuteten Verstoßes gegen die KI-Verordnung können bei der Bundesnetzagentur als zentraler Beschwerdestelle eingereicht werden.
Ist eine andere Marktüberwachungsbehörde zuständig, wird die Beschwerde weitergeleitet. Das Gesetz verlangt dafür ein leicht zugängliches, barrierefreies und benutzerfreundliches Beschwerdemanagementsystem.
Für Kanzleien bedeutet das:
Auch ein Mandant, Bewerber oder Beschäftigter kann einen aus seiner Sicht bestehenden Verstoß gegen die KI-Verordnung über diesen Weg zur Prüfung stellen.
Das sollte nicht dramatisiert werden.
Es verändert aber die praktische Compliance-Situation.
Denn interne KI-Nutzung kann künftig leichter Gegenstand eines strukturierten Aufsichtsverfahrens werden.
Warum Dokumentation damit wichtiger wird
Gerade hier treffen KI-MIG und die praktische Art.-50-Checkliste aufeinander.
Wenn eine Kanzlei beispielsweise dokumentieren kann,
- welche KI-Systeme verwendet werden,
- für welche Zwecke sie eingesetzt werden,
- welche Anbieter- und Betreiberrollen bestehen,
- wie Transparenzhinweise umgesetzt sind,
- wer veröffentlichte KI-Inhalte fachlich überprüft hat,
- welche Maßnahmen zur KI-Kompetenz getroffen wurden,
- welche interne KI-Richtlinie gilt,
lässt sich ein beanstandeter Sachverhalt erheblich besser nachvollziehen.
Die Dokumentation und Verantwortlichkeit wird damit zum zentralen Punkt.
Wichtig bleibt die rechtliche Differenzierung:
Art. 4 schreibt nach dem Digital Omnibus keine bestimmte Schulung, kein externes Zertifikat und auch keinen gesetzlich benannten „AI Officer“ vor. Maßnahmen zur Förderung der KI-Kompetenz müssen aber getroffen werden. Eine angemessene Dokumentation dieser Maßnahmen ist deshalb als Compliance-Nachweis sinnvoll.
Die Behörden bekommen echte Ermittlungsbefugnisse
Das KI-MIG organisiert nicht lediglich Zuständigkeiten.
§ 11 gibt den Marktüberwachungsbehörden auch konkrete Untersuchungs- und Eingriffsbefugnisse.
Dazu gehören unter den gesetzlichen Voraussetzungen Befugnisse aus dem europäischen Marktüberwachungsrecht. Bestimmte Maßnahmen können auch über Programmierschnittstellen oder andere technische Mittel des Fernzugriffs durchgeführt werden.
Das Gesetz verweist außerdem auf Befugnisse, die den Zugang zu Betriebs- und Geschäftsräumen ermöglichen können, und benennt insoweit ausdrücklich eine Einschränkung des Grundrechts aus Art. 13 GG.
Für den normalen Kanzleialltag ist deshalb kein Behördenzugriff zu erwarten, nur weil ein generatives KI-Werkzeug verwendet wird.
Aber die Botschaft ist klar:
AI-Act-Compliance wird in Deutschland tatsächlich beaufsichtigt und kann durchgesetzt werden.
Innovationsförderung gehört ausdrücklich zum Gesetz
Das KI-MIG heißt nicht zufällig Marktüberwachungs- und Innovationsförderungsgesetz.
§ 13 verpflichtet die Bundesnetzagentur dazu, mindestens ein KI-Reallabor nach den Vorgaben des europäischen AI Act einzurichten und zu betreiben. Dabei sind unter anderem auch andere Behörden und insbesondere die Datenschutzaufsicht einzubeziehen, soweit deren Zuständigkeiten berührt sind.
Damit wird der bereits im AI Act angelegte europäische Reallabor-Rahmen national konkretisiert.
Für Legal-Tech-Anbieter und junge KI-Unternehmen kann das relevant werden, wenn neue Systeme kontrolliert unter regulatorischer Begleitung entwickelt oder erprobt werden sollen.
Dazu kommen die gesetzlichen Möglichkeiten von Tests unter Realbedingungen.
Die Aufsicht soll also nicht nur sanktionieren.
Sie soll auch Innovation unter kontrollierten Bedingungen ermöglichen.
Für Kanzleien: neue Behörde, aber nicht plötzlich ein völlig neues Pflichtenheft
Für eine Kanzlei, die vorhandene KI-Werkzeuge im normalen Kanzleibetrieb nutzt, schafft das KI-MIG im Regelfall nicht selbst ein neues umfassendes materielles Set von Nutzungspflichten.
Diese kommen vor allem aus der europäischen KI-Verordnung und daneben aus anderen Rechtsgebieten.
Bereits heute relevant sind beispielsweise:
Art. 4, Art. 5 und Art. 50 KI-VO, soweit ihre jeweiligen Voraussetzungen vorliegen,
sowie insbesondere:
§§ 43, 43a und 43e BRAO, § 203 StGB und die DSGVO.
Das KI-MIG beantwortet dagegen vor allem die Frage:
Wer kontrolliert die Einhaltung in Deutschland – und mit welchen Instrumenten?
Was Kanzleien jetzt daraus ableiten sollten
Für Kanzleiinhaberinnen und Kanzleiinhaber ergeben sich daraus fünf praktische Schritte:
- KI-Inventar aktuell halten.
Wissen, welche Systeme tatsächlich eingesetzt werden. - Risikoklassifizierung vornehmen.
Normaler generativer KI-Einsatz und Hochrisiko-Anwendung dürfen nicht verwechselt werden. - Art.-50-Compliance prüfen.
Vor allem Chatbots, öffentliche Texte sowie Bild-, Audio- und Videoinhalte. - Entscheidungen dokumentieren.
Zweckbestimmung, Rollen, menschliche Kontrolle, Verantwortlichkeit und Maßnahmen zur KI-Kompetenz nachvollziehbar festhalten. - Beschwerdefähigkeit mitdenken.
Nicht erst bei einer Behördenanfrage versuchen zu rekonstruieren, warum ein KI-System wie eingesetzt wurde.
Für Legal-Tech-Anbieter kommt zusätzlich die Frage hinzu, ob das eigene System nur gewöhnliche KI ist oder in einem bestimmten Anwendungskontext als Hochrisiko-System einzuordnen sein kann.
Was § 20 KI-MIG nicht bedeutet
Auch das neue Register sollte nicht überschätzt werden.
§ 20 schafft kein allgemeines deutsches Register für alle Hochrisiko-KI-Systeme.
Die Regelung betrifft ausdrücklich bestimmte Hochrisiko-Systeme nach Anhang III Nr. 2.
Für eine typische Kanzleisoftware folgt aus § 20 deshalb nicht automatisch eine Registrierungspflicht.
Fazit
Mit dem KI-MIG bekommt die europäische KI-Verordnung in Deutschland ein institutionelles Gesicht.
Die Bundesnetzagentur wird zentrale Anlauf- und Beschwerdestelle und grundsätzlich Marktüberwachungsbehörde. Daneben bleiben aber zahlreiche sektorspezifische Zuständigkeiten bestehen.
Für Kanzleien bedeutet das vor allem:
Der AI Act ist von der abstrakten Gesetzgebungsphase in die praktische Compliance- und Aufsichtsphase gewechselt.
Die Hochrisikopflichten mögen in weiten Teilen bis Dezember 2027 verschoben worden sein.
Art. 50, KI-Kompetenz, Berufsrecht und Datenschutz sind es nicht.
Quellen
Maßgeblich ist das seit 29. Juli 2026 geltende KI-MIG. KI-MIG – amtlicher Gesetzestext
Ergänzend gelten die Verordnung (EU) 2024/1689 sowie der Digital Omnibus. Digital Omnibus – EUR-Lex
Hinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information über die Rechtslage. Er berücksichtigt nicht die Besonderheiten eines konkreten KI-Systems, Einsatzszenarios oder Vertragsverhältnisses und ersetzt keine rechtliche Prüfung des Einzelfalls.
Autorin:
Dr. Geertje Tutschka ist Rechtsanwältin in Deutschland und Österreich und berät Kanzleien bei strategischer Kanzleientwicklung, Digitalisierung, Anwaltsmarke und dem Einsatz von KI. (www.Kanzlei-Tutschka.de und www.Consultingforlegals.com )