Wer überwacht die KI-Verordnung in Deutschland?

Bei der DSGVO ist die Antwort auf die Frage "wer prüft das eigentlich" seit 2018 klar: die zuständige Landesdatenschutzbehörde oder der BfDI. Bei der KI-Verordnung war diese Antwort lange offen, und seit Juli 2026 ist sie zwar formal geklärt, aber für viele Unternehmen noch neu und ungewohnt: Es ist eben nicht dieselbe Behörde, die schon Ihre Datenschutz-Anfragen bearbeitet hat. Wer wissen will, an wen er sich im Ernstfall wenden müsste, oder wer einfach verstehen will, wie die Aufsicht in Deutschland organisiert ist, braucht eine klare Übersicht, keine Vermutungen.

Das KI-MIG: Deutschlands Antwort auf Artikel 70

Artikel 70 der KI-Verordnung verpflichtete jeden Mitgliedstaat, bis zum 2. August 2025 mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde zu benennen. Der Text schreibt nicht vor, welche Behörde das sein muss, nur dass es eine geben muss. Deutschland hat diese Entscheidung mit dem Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) getroffen, das im Juli 2026 in Kraft getreten ist, mit spürbarer Verzögerung gegenüber der EU-weiten Frist. Das Gesetz bestimmt die Bundesnetzagentur als zentrale Marktüberwachungsbehörde für die KI-Verordnung, insbesondere als Auffangzuständigkeit für die in Anhang III gelisteten Hochrisikobereiche, die keiner spezialisierten Fachaufsicht zugeordnet sind.

Diese Entscheidung war nicht die einzig denkbare. Die Datenschutzkonferenz, das Gremium der deutschen Datenschutzaufsichtsbehörden, hatte bereits in einem Positionspapier vom Mai 2024 dafür plädiert, die KI-Verordnung ebenfalls den Datenschutzbehörden zuzuweisen, mit dem Argument, dass die meisten KI-Systeme ohnehin personenbezogene Daten verarbeiten und damit inhaltlich näher an der DSGVO liegen als an klassischer Marktüberwachung. Der Gesetzgeber hat sich anders entschieden. Das zeigt: Selbst innerhalb Deutschlands war die aktuelle Aufteilung eine Wahl zwischen echten Alternativen, keine zwangsläufige Konsequenz des EU-Texts.

Drei Behörden, drei unterschiedliche Zuständigkeiten

Für die Praxis bedeutet das KI-MIG, dass ein Unternehmen mit mehreren Behörden gleichzeitig zu tun haben kann, je nachdem, welche Frage gerade im Raum steht:

• Bundesnetzagentur: zentrale Marktüberwachungsbehörde für die KI-Verordnung, zuständig für die Konformität von KI-Systemen nach Anhang III, soweit keine andere Behörde vorrangig zuständig ist.
• BfDI und Landesdatenschutzbehörden: weiterhin zuständig für die DSGVO, unabhängig davon, ob ein KI-System betroffen ist oder nicht — die Zuständigkeit für die Rechtsgrundlage der Datenverarbeitung bleibt bei ihnen.
• BaFin: bleibt zuständig für KI-Systeme in bereits regulierten Finanzprodukten, etwa Kreditscoring oder algorithmisches Underwriting, statt an die Bundesnetzagentur abzugeben.
• AI Office der Europäischen Kommission: zuständig für KI-Modelle mit allgemeinem Verwendungszweck und systemischem Risiko, unabhängig vom Sitzland des Anbieters innerhalb der EU.

Dieselbe Anwendung, zwei Prüfungen mit unterschiedlicher Logik

Für ein Unternehmen heißt das praktisch: Dieselbe KI-Anwendung, etwa ein Bewerber-Screening-Tool oder ein Chatbot im Kundenservice, kann von der zuständigen Datenschutzbehörde wegen der Rechtsgrundlage der Datenverarbeitung geprüft werden und unabhängig davon von der Bundesnetzagentur wegen der KI-Act-Konformität — mit unterschiedlichen Ansprechstellen, Verfahren und Fristen, ohne Garantie, dass beide Behörden dieselbe Situation gleich einordnen. Das ist keine hypothetische Doppelarbeit, sondern die unmittelbare Folge davon, dass zwei unterschiedliche Rechtsrahmen von zwei unterschiedlichen Behörden mit unterschiedlichem Blickwinkel durchgesetzt werden.

Was das für Ihr Unternehmen praktisch bedeutet

Für die meisten kleinen und mittleren Unternehmen ändert diese Aufteilung im Alltag zunächst wenig: Ihre bestehende DSGVO-Dokumentation bleibt relevant und wird weiterhin von der zuständigen Datenschutzbehörde geprüft. Neu ist, dass für dieselbe KI-Anwendung zusätzlich die Bundesnetzagentur ins Bild kommen kann, mit eigenen Anforderungen an Konformitätsnachweise nach der KI-Verordnung. Wer beide Dokumentationsstränge von Anfang an als ein zusammenhängendes Paket aufbaut, statt sie getrennt und reaktiv zu pflegen, spart sich im Zweifel doppelte Arbeit, wenn eine der beiden Behörden tatsächlich nachfragt.

Eine Checkliste für den eigenen Überblick

Fünf Fragen helfen, die eigene Position schon vor einer möglichen Anfrage zu klären:

• Verarbeitet Ihr KI-System personenbezogene Daten? Dann bleibt Ihre Landesdatenschutzbehörde oder der BfDI ein relevanter Ansprechpartner, unabhängig von der KI-Verordnung.
• Fällt Ihr KI-System unter eine der Hochrisikokategorien aus Anhang III (z. B. Personalauswahl, Bonitätsprüfung, Zugang zu wesentlichen Dienstleistungen)? Dann ist grundsätzlich die Bundesnetzagentur zuständig.
• Nutzen Sie KI-Systeme in einem bereits regulierten Finanzprodukt? Dann bleibt BaFin die naheliegende Anlaufstelle für diesen spezifischen Anwendungsfall.
• Setzen Sie ein KI-Modell mit allgemeinem Verwendungszweck ein oder bieten es an? Dann kann zusätzlich das europäische AI Office relevant werden.
• Könnten Sie heute, ohne Vorbereitungszeit, sowohl eine DSGVO-Dokumentation als auch einen KI-Act-Konformitätsnachweis für Ihr wichtigstes KI-System vorlegen?

Allgemeine Information, keine Rechtsberatung: Die Zuständigkeiten rund um die KI-Verordnung in Deutschland haben sich mit dem KI-MIG erst kürzlich konkretisiert, und einzelne Details der praktischen Abstimmung zwischen Bundesnetzagentur, BaFin und den Datenschutzbehörden entwickeln sich weiter. Wenn Komplya Inhalte wie diesen veröffentlicht, kennzeichnen wir klar, was bereits rechtlich geprüft wurde und was noch als Arbeitsdokument gilt.

Der schnellste Weg herauszufinden, welche Behörde für Ihre konkreten KI-Anwendungen relevant wäre, ist der Blick auf Ihre tatsächlichen Anwendungsfälle statt auf eine allgemeine Liste. Beantworten Sie einen kurzen Fragebogen zu Ihrer KI-Nutzung und erhalten Sie eine verständliche Einordnung, welche Pflichten und welche Behörden für Ihr Unternehmen konkret relevant sind.