Mit dem KI-MIG hat Deutschland sein nationales Durchführungsgesetz zur europäischen KI-Verordnung verabschiedet. Für Banken und Finanzdienstleister klärt das Gesetz, welche Behörde künftig für welche KI-Anwendung zuständig ist – und wie diese Zuständigkeiten mit der bestehenden Finanzaufsicht zusammenspielen. Ein Überblick über Inhalt, Zeitplan und Praxisfolgen.
Vom Entwurf zum Gesetz: der Zeitplan
Der Regierungsentwurf des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG) wurde am 11. Februar 2026 vom Bundeskabinett beschlossen. Am 11. Juni 2026 verabschiedete der Bundestag das Gesetz in der vom Digitalausschuss geänderten Fassung; der Bundesrat verzichtete am 10. Juli 2026 auf die Anrufung des Vermittlungsausschusses. Verkündet wurde das Gesetz im Bundesgesetzblatt (BGBl. I Nr. 233) am 28. Juli 2026, in Kraft getreten ist es am 29. Juli 2026 – und damit rechtzeitig vor dem 2. August 2026, dem Stichtag, ab dem die KI-Verordnung in weiten Teilen unmittelbar durchsetzbar ist.
Zuständige Behörden: die Bundesnetzagentur als zentrale Anlaufstelle
Das KI-MIG bestimmt die Bundesnetzagentur (BNetzA) zur zentralen Marktüberwachungsbehörde, notifizierenden Behörde sowie Anlauf- und Beschwerdestelle für die KI-Verordnung. Zuständig ist sie überall dort, wo keine sektorale Fachbehörde zuständig ist. Bei der BNetzA wird zudem das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) eingerichtet. Es unterstützt die übrigen zuständigen Behörden bei ihren Aufgaben und soll für eine einheitliche Rechtsauslegung bei behördenübergreifenden Rechtsfragen sorgen.
Die bereits bestehenden sektoralen Aufsichtsbehörden bleiben für ihre jeweiligen Bereiche zuständig. Für die Finanzbranche bedeutet das: KI-Systeme, die in direktem Zusammenhang mit regulierter Finanztätigkeit stehen, werden weiterhin von der BaFin beaufsichtigt. Für Fragen der IT- und Cybersicherheit von Hochrisiko-KI-Systemen ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig, das seit dem 2. August 2026 über eigene Inspektions- und Untersagungsbefugnisse verfügt.
Für Institute ergibt sich daraus ein Nebeneinander mehrerer Aufsichtsstrukturen: Datenschutz-, Markt- und Finanzaufsicht können dasselbe KI-System parallel und unabhängig voneinander prüfen. Interne Zuständigkeiten und Informationswege für den KI-Einsatz sollten deshalb klar geregelt sein.
KI-Reallabor und Innovationsförderung
Neben der Aufsichtsfunktion betreibt die BNetzA ein KI-Reallabor. Dort können insbesondere Hochrisiko-KI-Systeme in enger Zusammenarbeit mit der zuständigen Marktüberwachungsbehörde erprobt werden, bevor die eigentliche Konformitätsbewertung ansteht. Für Institute, die neue KI-Anwendungen unter kontrollierten Bedingungen testen möchten, kann das ein Weg sein, regulatorische Fragen frühzeitig zu klären.
Bußgeldverfahren
Das KI-MIG regelt auch die nationalen Vorschriften für das Bußgeldverfahren. Der Rahmen der KI-Verordnung selbst (Art. 99) sieht Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor; für kleine und mittlere Unternehmen sowie neuerdings auch für sogenannte Small Mid-Caps gilt jeweils der niedrigere Betrag.
Update: Digital Omnibus verschiebt Fristen für Hochrisiko-KI
Eine wichtige Ergänzung zum Zeitplan: Der sogenannte Digital Omnibus hat einzelne Anwendungsfristen der KI-Verordnung nachträglich verschoben. Für eigenständige Hochrisiko-KI-Systeme nach Anhang III – darunter ausdrücklich auch Systeme zur Kreditwürdigkeitsprüfung sowie Anwendungen in den Bereichen kritische Infrastruktur, Bildung, Personalauswahl, Sozialleistungen, Strafverfolgung sowie Migration und Grenzkontrolle – gilt nun der 2. Dezember 2027 statt des 2. August 2026, eine Verlängerung um 16 Monate. Für produkteingebettete Hochrisiko-KI nach Anhang I (z. B. als Sicherheitsbauteil in Medizinprodukten, Maschinen oder Fahrzeugen) verschiebt sich die Frist auf den 2. August 2028.
Wichtig für die Praxis: Es handelt sich nicht um eine inhaltliche Lockerung, sondern um eine reine Verschiebung des Anwendungskalenders. Die materiellen Pflichten für Hochrisiko-KI-Systeme bleiben unverändert bestehen – lediglich der Zeitpunkt, ab dem sie durchsetzbar sind, verschiebt sich für die betroffenen Anwendungsfälle nach hinten. Für Kreditinstitute mit Scoring- und Bonitätsbewertungssystemen ergibt sich dadurch ein etwas größeres Zeitfenster für die Umsetzung – die grundsätzliche Verpflichtung zur Vorbereitung bleibt jedoch bestehen.
Praxisfolgen für Banken und Finanzdienstleister
- Zuständigkeiten klären: intern dokumentieren, welche Behörde für welchen KI-Anwendungsfall zuständig ist (BaFin, BNetzA, BSI, ggf. Datenschutzaufsicht).
- KI-Inventar aktuell halten und um die neuen, verschobenen Fristen für Anhang-III- und Anhang-I-Systeme ergänzen.
- Auf parallele Prüfungen vorbereitet sein: Informationsflüsse zwischen Fachbereichen für den Fall mehrerer gleichzeitiger Behördenanfragen festlegen.
- KI-Reallabor der BNetzA als Option für die kontrollierte Erprobung neuer Hochrisiko-Anwendungen prüfen.
Die grundlegenden Risikoklassen und Pflichten des AI Acts – von verbotenen Praktiken über Hochrisiko-KI bis zu Transparenzpflichten – haben wir in unserem Beitrag „AI Act: Neue Pflichten und Chancen durch geprüfte KI-Governance“ zusammengefasst. Das KI-MIG ergänzt diese inhaltlichen Vorgaben um die deutsche Zuständigkeits- und Verfahrensstruktur.
Wir unterstützen Sie dabei, die neuen Zuständigkeiten und Fristen korrekt in Ihre KI-Governance einzuordnen und Ihre Prozesse darauf abzustimmen. Kontaktieren Sie uns für ein unverbindliches Erstgespräch.
Veröffentlicht in Allgemein, Rechtsberatung, Wirtschaftsprüfung
