Bundesnetzagentur: Was die KI-Aufsicht darf

Seit dem Sommer steht in vielen Newslettern derselbe Satz: Die Bundesnetzagentur kontrolliert jetzt KI. Bei kleinen Unternehmen löst das zwei Reaktionen aus. Die einen fragen sich, ob demnächst Post aus Bonn kommt und ob sie ChatGPT irgendwo anmelden müssen. Die anderen haben den Satz gelesen und wieder vergessen. Beides trifft es nicht. Die Aufsicht ist da, sie hat echte Befugnisse, und sie beginnt gerade erst. Hier ist der Stand im Oktober 2026, mit allem, was du als Unternehmen wissen musst.

Das Wichtigste in Kürze

• Seit dem 29. Juli 2026 regelt das KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG), wer in Deutschland den EU AI Act durchsetzt. Im Regelfall ist das die Bundesnetzagentur.
• Heute prüfen kann sie vor allem zwei Dinge: verbotene KI-Praktiken und die Transparenzpflichten, etwa Chatbot-Hinweis und Deepfake-Kennzeichnung. Die Hochrisiko-Pflichten gelten erst ab Dezember 2027.
• Anmelden musst du nichts. Eine allgemeine Registrierungspflicht für KI-Tools gibt es nicht.
• Für fehlende KI-Schulungen gibt es kein Bußgeld. Die Pflicht aus Art. 4 besteht, ist aber nicht bußgeldbewehrt.
• Bußgelder sind für kleine Unternehmen gedeckelt: Es gilt jeweils der niedrigere Betrag aus Festbetrag und Umsatzanteil. Ob überhaupt ein Bußgeld verhängt wird, hängt vom Einzelfall ab.
• Bisher sind keine Verfahren bekannt. Die Bundesnetzagentur hat seit Juli keine Prüfungen oder Bußgelder öffentlich gemacht (Stand 14. Oktober 2026).

Was ist passiert?

Der EU AI Act verpflichtete jeden Mitgliedstaat, bis zum 2. August 2025 eine Marktüberwachungsbehörde zu benennen. Deutschland hat das knapp ein Jahr später erledigt: Das KI-MIG ist Teil des Gesetzes zur Durchführung der Verordnung über künstliche Intelligenz vom 22. Juli 2026, verkündet im Bundesgesetzblatt 2026 I Nr. 223 und in Kraft seit dem 29. Juli 2026. Wenige Tage später, am 2. August 2026, wurden auch die Transparenzpflichten des AI Act anwendbar.

Wichtig für die Einordnung: Das KI-MIG schafft im Wesentlichen keine neuen Pflichten für Unternehmen. Die Bundesregierung schreibt in ihrem Gesetzentwurf ausdrücklich, dass für die Wirtschaft keine neuen Verpflichtungen entstehen. Was du tun musst, steht weiterhin im AI Act selbst. Das KI-MIG regelt nur, wer kontrolliert und wie.

Wer in Deutschland zuständig ist

Die Bundesnetzagentur ist die zuständige Behörde, „soweit in diesem Gesetz nichts anderes bestimmt ist“ (§ 2 Abs. 1 KI-MIG). Sie ist also die Auffangbehörde für alles, was nicht ausdrücklich bei jemand anderem liegt. Für ein typisches kleines Unternehmen, das ChatGPT, Copilot oder einen Website-Chatbot einsetzt, heißt das: Die Bundesnetzagentur ist zuständig.

Zwei Zeilen verdienen eine Erklärung. Das AI Office der EU-Kommission beaufsichtigt die großen KI-Modelle und, seit dem Digital Omnibus, auch KI-Systeme, die der Modellanbieter selbst anbietet. Das betrifft aber nur den Anbieter. Nutzt dein Unternehmen ein solches Tool, bleibt für deine Pflichten als Nutzer die nationale Behörde zuständig. Die Datenschutzaufsicht verliert nichts: Sobald personenbezogene Daten im Spiel sind, prüft sie weiter nach der DSGVO, und die Bundesnetzagentur muss sie einbeziehen (§ 9 Abs. 4 KI-MIG). Du hast es also mit zwei Aufsichten zu tun, die zwei verschiedene Gesetze anwenden.

Was die Bundesnetzagentur heute prüfen kann

Die Aufsicht ist da, aber nicht jede Pflicht des AI Act gilt schon. Ein Überblick, Stand Oktober 2026:

Für kleine und mittlere Unternehmen gilt bei jedem dieser Höchstbeträge der niedrigere Wert (Art. 99 Abs. 6). Was das konkret heißt, steht weiter unten.

Die meisten kleinen Unternehmen berührt heute vor allem Art. 50: Ein Chatbot im Kundenkontakt muss erkennen lassen, dass er eine KI ist (diese Pflicht trifft zuerst den Anbieter des Chatbots), und Deepfakes, also KI-Bilder, Videos oder Stimmen, die echte Personen, Orte oder Ereignisse täuschend echt zeigen, brauchen einen Hinweis. Was genau zu kennzeichnen ist, erklärt unser Artikel zur KI-Kennzeichnungspflicht.

Was die Behörde darf

Die Befugnisse der Bundesnetzagentur stammen aus dem europäischen Marktüberwachungsrecht (§ 11 KI-MIG in Verbindung mit Art. 14 der Verordnung (EU) 2019/1020). Sie sind weitreichend:

• Unterlagen und Informationen verlangen, etwa Dokumentation, technische Angaben und Daten. Du musst sie unentgeltlich zur Verfügung stellen (§ 11 Abs. 4 KI-MIG in Verbindung mit § 7 Abs. 2 Marktüberwachungsgesetz).
• Aus der Ferne prüfen, auch über eine Schnittstelle zum KI-System.
• Unangekündigt prüfen und Geschäftsräume betreten, allerdings nur zu den üblichen Geschäftszeiten, außer bei dringender Gefahr.
• Testkäufe durchführen, auch unter falscher Identität.
• Abhilfe verlangen und, wenn nichts passiert, Anordnungen treffen bis hin zum Verbot oder zur Rücknahme eines KI-Systems.
• Bußgelder verhängen. Die Bundesnetzagentur ist für ihren Bereich selbst Bußgeldbehörde (§ 17 KI-MIG).

Wichtig ist auch, was sie nicht tut: Eine verbindliche Einstufung im Einzelfall gibt es bei der Behörde nicht. Selbst eine individuelle Beratung, ob ein System als KI-System oder als Hochrisiko gilt, sieht das Gesetz nur für öffentliche Stellen vor (§ 12 Satz 2 Nr. 2 KI-MIG).

Wenn Post von der Bundesnetzagentur kommt

Wie die Behörde in der Praxis vorgeht, hat sie bisher nicht veröffentlicht. Aus dem Aufbau des Marktüberwachungsrechts lässt sich aber ableiten, dass am Anfang meist eine Anfrage steht, nicht ein Bußgeldbescheid. So gehst du vor:

1. Frist notieren und Ruhe bewahren. Eine Anfrage ist noch kein Vorwurf und nach dem Aufbau des Marktüberwachungsrechts typischerweise der erste Schritt.
2. Klären, worum es geht: Welches KI-System ist gemeint, und bist du dafür Anbieter oder Betreiber? Davon hängt ab, welche Pflichten überhaupt dich treffen.
3. Unterlagen zusammenstellen: dein KI-Inventar mit Zweck je Tool, die KI-Richtlinie, Nachweise zu Schulungen und Belege für Kennzeichnungen, etwa Screenshots vom Chatbot-Hinweis.
4. Vollständig und wahrheitsgemäß antworten. Falsche oder irreführende Auskünfte sind selbst bußgeldbewehrt, auch wenn der ursprüngliche Vorwurf unbegründet war. Ist das Schreiben dagegen eine Anhörung in einem Bußgeldverfahren, hole vor jeder Antwort rechtlichen Rat ein.
5. Bei Unklarheit früh rechtlichen Rat holen, besonders wenn es um verbotene Praktiken oder eine mögliche Anordnung geht.

Wer seine KI-Nutzung dokumentiert hat, kann eine solche Anfrage zügig beantworten. Wer bei null anfängt, braucht deutlich länger, und genau dann wird es unangenehm.

Beschwerden: Wer sich beschweren kann und was dann passiert

Jede Person und jedes Unternehmen kann sich über einen möglichen Verstoß beschweren (Art. 85 AI Act). Zentrale Beschwerdestelle ist die Bundesnetzagentur (§ 8 KI-MIG). Die Beschwerde läuft ausschließlich über ein Onlineformular, kostet nichts und ist an keine Frist gebunden. Die Behörde prüft, wer zuständig ist, bearbeitet die Beschwerde selbst oder gibt sie ab und informiert die beschwerdeführende Person darüber.

Für dich als Unternehmen heißt das: Eine Beschwerde löst kein automatisches Verfahren aus. Sie wird nach dem AI Act bei der Marktüberwachung „berücksichtigt“ (Art. 85 Satz 2), kann also Anlass für eine Anfrage sein. Zwei weitere Wege, auf denen Verstöße bekannt werden können:

• Mitbewerber und Verbände: Die Wettbewerbszentrale vertritt in ihrem Leitfaden zur KI-Kennzeichnung (Stand 29. Juli 2026) die Auffassung, dass Verstöße gegen die KI-Verordnung auch unlauterer Wettbewerb sein können, wenn der faire Wettbewerb berührt ist. Das würde Abmahnungen durch Mitbewerber und Verbände ermöglichen. Eine Gerichtsentscheidung dazu ist uns bisher nicht bekannt (Stand Oktober 2026).
• Hinweisgebende: Seit dem 29. Juli 2026 nennt das Hinweisgeberschutzgesetz Verstöße gegen die KI-Verordnung ausdrücklich (§ 2 Abs. 1 Nr. 10 HinSchG). Wer eine interne Meldestelle hat (Pflicht ab in der Regel 50 Beschäftigten, § 12 HinSchG), muss dort auch Hinweise auf KI-Verstöße annehmen und bearbeiten.

Bußgelder realistisch eingeordnet

Die Höchstbeträge des AI Act klingen nach Konzernen, und für Konzerne sind sie auch gemacht. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag aus Festbetrag und Umsatzanteil. Ein Betrieb mit 2 Millionen Euro Jahresumsatz, der gegen die Transparenzpflichten verstößt, läge damit bei höchstens 60.000 Euro, nicht bei 15 Millionen. Seit dem Digital Omnibus gilt diese Deckelung auch für kleine Midcaps, allerdings nicht bei verbotenen KI-Praktiken (Art. 99 Abs. 6a).

Dazu kommt: Der AI Act nennt ausdrücklich auch Verwarnungen und nichtmonetäre Maßnahmen als mögliche Sanktionen und verlangt, dass bei der Verhängung die Interessen kleiner und mittlerer Unternehmen und deren wirtschaftliches Überleben berücksichtigt werden (Art. 99 Abs. 1). Ob und in welcher Höhe ein Bußgeld verhängt wird, hängt unter anderem von der Zusammenarbeit mit der Behörde und der Schadensminderung ab (Art. 99 Abs. 7). Ein erstmaliger, schnell behobener Fehler endet deshalb voraussichtlich nicht mit dem Höchstbetrag.

Was die Bundesnetzagentur dir anbietet

Die Behörde versteht sich ausdrücklich auch als Ansprechpartnerin, und einige Angebote sind für kleine Unternehmen nützlich:

• KI-Service-Desk: eine Informationsplattform mit FAQ, einem Hinweispapier zur KI-Kompetenz, Veranstaltungen und einem Kontaktformular für Fragen. Gestartet im Juli 2025.
• KI-Compliance Kompass: ein Online-Werkzeug, das eine erste Einschätzung gibt, ob der AI Act greift und welche Risikoklasse in Betracht kommt. Die Behörde betont selbst, dass das Orientierung ist und keine verbindliche Bewertung.
• KI-Reallabor: Die Bundesnetzagentur muss mindestens ein Reallabor betreiben, in dem Unternehmen neue KI-Systeme unter Aufsicht testen können. Für kleine und mittlere Unternehmen ist der Zugang grundsätzlich kostenlos. Einen Bewerbungsweg hatte die Bundesnetzagentur bis Mitte Oktober 2026 nicht veröffentlicht; die EU-Frist für den Start ist der 2. August 2027.

Ein Hinweis zur Vorsicht: Einige Seiten der Bundesnetzagentur waren im Oktober 2026 noch nicht auf dem Stand des Omnibus. Dort steht etwa, die Regelungen gälten „vollständig ab August 2027“. Tatsächlich gelten die Hochrisiko-Pflichten für KI in regulierten Produkten erst ab dem 2. August 2028. Den aktuellen Zeitplan findest du in unserer Übersicht EU AI Act: Welche Fristen jetzt wirklich gelten.

Was du jetzt tun solltest, und was nicht

• Nichts anmelden. Registrieren müssen sich nur Anbieter von Hochrisiko-KI-Systemen und Behörden, die solche Systeme einsetzen. Das betrifft kaum ein kleines Unternehmen.
• Verbote kurz prüfen. Für die meisten Büro-Anwendungen ist das in Minuten erledigt, aber es sollte einmal dokumentiert sein.
• Art. 50 umsetzen: Chatbot-Hinweis aktivieren, realistische KI-Medien kennzeichnen.
• Nachweise bereithalten: KI-Inventar, KI-Richtlinie, Schulungsnachweise. Mit diesen Unterlagen kannst du eine Anfrage schnell und belastbar beantworten.
• Keine Panikkäufe. Weder Zertifikate noch teure Gutachten sind Pflicht. Was du brauchst, ist eine saubere Dokumentation dessen, was du tatsächlich einsetzt.

Wie Klaus dich auf eine Anfrage vorbereitet

Bei einer Anfrage der Bundesnetzagentur zählt, was du belegen kannst. Klaus hilft dir, diese Grundlagen nebenbei aufzubauen. Im kostenlosen Onboarding-Chat erfasst Klaus mit 13 Fragen deine KI-Tools und legt für jedes einen Steckbrief mit Einstufung an: erlaubt, mit Auflagen oder verboten. Daraus entstehen dein KI-Inventar und eine KI-Richtlinie als PDF.

Das Schulungsmodul führt dein Team durch eine Schulung mit Verständnisfragen (im Free-Plan für eine Person, für Teams ab dem Basic-Plan) und hält die Teilnahme in einem Nachweisregister fest. Und für Systeme, die du genauer prüfen willst, etwa einen Chatbot auf der Website, gibt es ab dem Basic-Plan ein Prüfprojekt mit priorisierten Aufgaben und einem Compliance-Bericht als PDF. Hinter Klaus steht ein juristisches Team, das Gesetzesänderungen in die Prüflogik einarbeitet.

Fazit

Deutschland hat seit dem 29. Juli 2026 eine KI-Aufsicht, und im Regelfall ist es die Bundesnetzagentur. Sie darf Unterlagen verlangen, prüfen, anordnen und Bußgelder verhängen. Für kleine Unternehmen relevant sind heute vor allem die Verbote und die Transparenzpflichten; Hochrisiko-Pflichten kommen erst 2027 und 2028, und für fehlende KI-Schulungen gibt es kein Bußgeld. Öffentlich bekannte Verfahren der Bundesnetzagentur gibt es bisher keine (Stand Oktober 2026). Die beste Vorbereitung ist unspektakulär: wissen, welche KI im Unternehmen läuft, die Transparenzpflichten umsetzen und das Ganze dokumentieren. Dann lässt sich eine Anfrage aus Bonn gut beantworten.