KI-Governance für deutsche Unternehmen, die Landschaft 2026

Deutschland steht im Zentrum der europäischen KI-Regulierung: Das Land ist sowohl die größte Volkswirtschaft unter den EU-Mitgliedstaaten als auch Standort bedeutender KI-Entwicklung in den Bereichen Automobil, Industrie und Finanzen. Der EU AI Act gilt unmittelbar, doch die deutsche nationale Umsetzung durch das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) sowie eine mehrschichtige Struktur bestehender Regulierungsbehörden, darunter BSI, BfDI, BNetzA und BaFin, schafft eine eigenständige deutsche Governance-Landschaft, die Unternehmen mit Geschäftstätigkeit in Deutschland verstehen müssen.

Der EU AI Act in Deutschland, geltender Zeitplan und Pflichten

Der EU AI Act gilt als EU-Verordnung unmittelbar für deutsche Unternehmen. Wichtige Termine:

2. Februar 2025: Die Pflicht zur KI-Kompetenz (Artikel 4) und die Verbote bestimmter KI-Praktiken (Artikel 5) traten in Kraft. Der im November 2025 vorgelegte Vorschlag zum EU Digital Omnibus würde die Verantwortung für die KI-Kompetenz von Anbietern und Betreibern auf die Kommission und die Mitgliedstaaten als politische Aufgabe übertragen, wurde jedoch bislang nicht förmlich verabschiedet.

2. August 2025: Die Pflichten und Governance-Regeln für KI-Modelle mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI) traten in Kraft.

2. August 2026: Die Transparenzpflichten nach Artikel 50 für KI mit begrenztem Risiko gelten ab diesem Datum (Offenlegungspflicht bei Chatbots, Kennzeichnung KI-generierter Inhalte). Die Hochrisikopflichten nach Anhang III sind NICHT Teil dieses Termins: Der Digital Omnibus zur KI, der am 7. Mai 2026 politisch vereinbart, am 29. Juni 2026 vom Rat förmlich angenommen und am 8. Juli 2026 unterzeichnet wurde (Veröffentlichung im Amtsblatt steht noch aus), verschiebt die eigenständigen Hochrisikopflichten auf den 2. Dezember 2027.

2. Dezember 2027: Gemäß dem verabschiedeten Digital Omnibus gelten die Hochrisikopflichten für eigenständige KI-Systeme (Beschäftigung, Kreditvergabe, Biometrie, Bildung, kritische Infrastrukturen nach Anhang III) ab diesem Datum.

2. August 2028: Hochrisikopflichten nach Anhang I für KI, die in regulierte Produkte eingebettet ist (Aufzüge, Spielzeug, Maschinen).

Die deutsche nationale Umsetzung, KI-MIG und BNetzA

Der deutsche Referentenentwurf zur Umsetzung, das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), wurde am 11. Februar 2026 vom Bundeskabinett gebilligt. Damit wird der EU AI Act in Deutschland umgesetzt, indem zuständige Behörden benannt, Innovationsmaßnahmen organisiert, das Sanktionsregime festgelegt und das deutsche Recht angepasst werden.

Die Bundesnetzagentur (BNetzA) wird als zentrale Marktüberwachungsbehörde Deutschlands für KI-Systeme benannt, die noch keiner spezialisierten sektoralen Aufsicht unterliegen. Die BNetzA betreibt einen KI-Service-Desk mit einem interaktiven Werkzeug namens „Compliance-Kompass", das praxisnahe Orientierung bietet, ob Unternehmen in den Anwendungsbereich des AI Act fallen und welche Pflichten gelten. Die BNetzA hat zudem innovationsfördernde Aufgaben, darunter den Betrieb eines KI-Labors.

Hybrides Aufsichtsmodell. Die BNetzA koordiniert zentral, ergänzt durch sektorale Behörden je nach Kontext des jeweiligen Systems:

- BfDI (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit): datenschutzrelevante Hochrisiko-KI-Systeme

- BaFin (Bundesanstalt für Finanzdienstleistungsaufsicht): KI im Einsatz bei Finanzdienstleistungen

- BSI (Bundesamt für Sicherheit in der Informationstechnik): Cybersicherheit und KRITIS-relevante KI

- Bundes- und Landesdatenschutzbehörden (Landesdatenschutzbeauftragte): Durchsetzung der DSGVO gegenüber KI-Systemen, die personenbezogene Daten verarbeiten

Zu den Befugnissen der Marktüberwachung zählen Bußgelder, Betriebsverbote und Rückrufanordnungen. Deutschland verpasste die Frist vom 2. August 2025 zur förmlichen Benennung der nationalen zuständigen Behörden nach Artikel 70 des EU AI Act, was 2025/2026 zu einiger Unsicherheit führte.

Wichtige deutsche Compliance-Ressourcen für KI

Das BSI-Rahmenwerk QUAIDAL, veröffentlicht vom Bundesamt für Sicherheit in der Informationstechnik, ist ein Qualitätsrahmen für KI-Trainingsdaten mit einem Katalog von 143 Metriken. Es soll Anbietern helfen, die Anforderungen des AI Act an Datenqualität, Transparenz, Fairness und Compliance zu erfüllen.

Der BSI AI Cloud Services Compliance Catalogue (AIC4) enthält Sicherheits- und Compliance-Kriterien für KI-Dienste, die über Cloud-Computing angeboten werden. Er wird zunehmend bei Beschaffungsverfahren herangezogen.

Die BSI-Leitlinien zu Risiken der generativen KI behandeln unter anderem KI-gestützte Cyberangriffe, Phishing und Schadsoftware. Das BSI betont defensive KI-Lösungen sowie die fortgesetzte Anwendung des bestehenden Strafrechts auf KI-gestützte Cyberkriminalität.

Der KI-Service-Desk und der Compliance-Kompass der BNetzA sind interaktive Werkzeuge unter bundesnetzagentur.de für unternehmensspezifische Orientierung zur Anwendbarkeit des AI Act und den geltenden Pflichten.

DSGVO-Durchsetzung gegenüber KI in Deutschland

Die deutschen Datenschutzbehörden setzen die DSGVO gegenüber KI-Systemen aktiv durch. Die DSK (Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder) hat mehrere Leitfäden zu KI und DSGVO veröffentlicht. Schwerpunkte sind unter anderem: das Training von KI mit personenbezogenen Daten ohne Rechtsgrundlage, biometrische KI, Emotionserkennung und KI im Personalwesen. Das Bußgeld der Berliner Datenschutzbehörde in Höhe von 300.000 Euro gegen eine Bank wegen Verstößen gegen Artikel 22 bei automatisierten Kreditentscheidungen (angeführt im DLA-Piper-Bericht zur Durchsetzung 2026) belegt die aktive Durchsetzungspraxis und wird häufig zitiert.

Sektorspezifische deutsche KI-Anforderungen

Die BaFin im Finanzsektor. Die deutsche Finanzaufsicht integriert die KI-Aufsicht in die bestehende prudenzielle Aufsicht. Die MaRisk (Mindestanforderungen an das Risikomanagement) der BaFin adressieren KI/ML im Risikomanagement. Der im Juli 2025 veröffentlichte Supervisory Guide on Internal Models der EZB, der für alle bedeutenden Institute einschließlich deutscher Banken gilt, weitete die Erwartungen an das Modellrisikomanagement (MRM) auf alle Modelle aus, einschließlich KI/ML, nicht nur auf aufsichtsrechtliche interne Modelle.

KI in der Automobilindustrie. Der deutsche Automobilsektor ist in besonderem Maße betroffen: Fahrerassistenzsysteme (ADAS), autonomes Fahren sowie KI in Konstruktion und Fertigung. Das Kraftfahrt-Bundesamt (KBA) reguliert die Typgenehmigung, die UN-ECE-Regelungen finden Anwendung, und die General Safety Regulation der EU verlangt zunehmend Sicherheits-KI. Das deutsche Gesetz zum autonomen Fahren (2021) schuf den Rechtsrahmen für autonomes Fahren nach SAE-Stufe 4 in festgelegten Betriebsbereichen.

KI in Industrie und Fertigung. Deutsche Hersteller, die KI in die Produktion integrieren, müssen die ab August 2028 geltenden Vorgaben nach Anhang I des EU AI Act (Maschinen, persönliche Schutzausrüstung) sowie die ab Januar 2027 geltende Maschinenverordnung (Verordnung 2023/1230) berücksichtigen.

NIS2-Cybersicherheit. Der deutsche Referentenentwurf zum Gesetz zur Stärkung der Cybersicherheit (Umsetzung der NIS2-Richtlinie) geriet 2025 aufgrund politischer Uneinigkeit ins Stocken. Trotz der Verzögerungen verpflichten bestehende Gesetze Organisationen, die KI-basierte Systeme einsetzen, zu strenger Cybersicherheit und Vorfallmeldung.

CSRD-Berichterstattung zu KI

Ab 2025 fallen rund 13.000 deutsche Unternehmen unter die Anforderungen der Corporate Sustainability Reporting Directive (CSRD). Die CSRD-Berichterstattung überschneidet sich zunehmend mit KI: Unternehmen müssen wesentliche KI-bezogene Risiken offenlegen (operationell, regulatorisch, umweltbezogen). Die Offenlegung des ökologischen Fußabdrucks von KI in Bezug auf Energie- und Wasserverbrauch wird zunehmend zum Standard. Auch eine arbeitnehmerbezogene Offenlegung der Beschäftigungsauswirkungen von KI wird erwartet.

Praktische Compliance-Prioritäten für deutsche Unternehmen

Für deutsche Unternehmen, die sich auf den EU AI Act und dessen deutsche Umsetzung vorbereiten:

KI-Inventar. Erfassen Sie KI-Systeme mit Klassifizierung nach den Risikostufen des EU AI Act. Ermitteln Sie, welche Systeme nach Anhang III als hochriskant gelten, welche mit begrenztem Risiko die Transparenzpflichten nach Artikel 50 auslösen und welche ein minimales Risiko darstellen.

Klärung der Rolle als Anbieter/Betreiber. Viele deutsche Unternehmen sind sowohl Anbieter (bei der Entwicklung von KI) als auch Betreiber (bei der Nutzung von KI Dritter). Die Pflichten unterscheiden sich, viele Unternehmen müssen beide erfüllen.

Programm zur KI-Kompetenz (Artikel 4). Selbst wenn der Digital Omnibus die Verantwortung auf die Mitgliedstaaten überträgt, bleibt KI-Kompetenz eine regulatorische und geschäftliche Erwartung. Dokumentieren Sie Schulungen, Inhalte und Reichweite.

Abstimmung von DSGVO und KI. Die Verarbeitung personenbezogener Daten in KI-Systemen erfordert eine Rechtsgrundlage, Transparenz, bei hohem Risiko eine Datenschutz-Folgenabschätzung (DPIA) sowie Datenminimierung. Die deutschen Datenschutzbehörden setzen dies aktiv durch.

Qualitätsmanagementsystem (QMS) und technische Dokumentation für Hochrisiko-KI. Die QMS-Anforderungen des AI Act sind KI-spezifisch und nicht gleichbedeutend mit ISO 9001 oder bestehenden Qualitätssystemen.

Vertragsprüfung. Lieferanten- und Kundenverträge müssen im Hinblick auf die Pflichten des AI Act, die Zuordnung der Rollen von Anbieter und Betreiber, technische Dokumentation, Data Governance und Überwachungspflichten aktualisiert werden.

Cybersicherheit und Resilienz. BSI-Leitlinien, NIS2-Bereitschaft sowie KI-spezifische Sicherheitskontrollen für KI-Systeme und KI-gestützte Bedrohungen.

Kontaktaufnahme mit dem Service-Desk der BNetzA. Der Compliance-Kompass bietet unternehmensspezifische Orientierung und zeigt Bereiche auf, in denen eine Abstimmung mit der Behörde sinnvoll sein kann.

Primärquellen: Bundesnetzagentur (BNetzA) · BSI, Bundesamt für Sicherheit in der Informationstechnik · EU AI Act, Europäische Kommission

Weiterführende Beiträge