Gesetze & zuständige Stellen
Die wichtigsten Rechtsgrundlagen rund um den EU AI Act – und welche Stelle in Deutschland wofür zuständig ist. Kompakt zusammengefasst, mit offiziellen Fundstellen zum Nachlesen.
Die wichtigsten Rechtsquellen
Diese Gesetze bilden den Rahmen für den KI-Einsatz im Unternehmen.
Der EU-weite Rechtsrahmen für KI. Regelt Pflichten nach Risiko und gilt unmittelbar in allen Mitgliedstaaten.
Wichtige Stellen: Art. 4 (KI-Kompetenz, seit 2.2.2025) · Art. 5 (verbotene Praktiken) · Art. 6 & Anhang III (Hochrisiko-KI) · Art. 50 (Transparenz) · Art. 99 (Sanktionen)
Wichtige Fristen: Art. 4 / KI-Kompetenz seit 2.2.2025 (neue Fassung seit 27.7.2026) · viele weitere Vorschriften seit 2.8.2026 · Hochrisiko nach Anhang III ab 2.12.2027 · Hochrisiko nach Anhang I ab 2.8.2028.
Geändert durch die Verordnung (EU) 2026/1744 (Digital Omnibus on AI), in Kraft seit 27.7.2026.
Das deutsche Durchführungsgesetz zur KI-Verordnung. Bestimmt die nationalen Zuständigkeiten und die Marktüberwachung in Deutschland.
Wichtige Stellen: Art. 1 = KI-MIG · § 2 (Zuständigkeit BNetzA) · § 4 (KI-Marktüberwachungskammer)
Schützt Beschäftigte, die Rechtsverstöße melden. Durch Art. 2 ausdrücklich auf Verstöße gegen die KI-Verordnung erweitert (§ 2 Abs. 1 Nr. 10 HinSchG), angebunden an die EU-Whistleblower-Richtlinie 2019/1937.
Datenschutzrecht – immer relevant, sobald KI personenbezogene Daten verarbeitet.
KI-Inhalte richtig kennzeichnen
Der EU AI Act verbietet Täuschung: Menschen müssen erkennen können, wenn sie es mit KI zu tun haben. Art. 50 der KI-Verordnung regelt, was gekennzeichnet werden muss.
- Nutzer müssen erkennen können, dass sie mit einer Maschine sprechen – spätestens bei der ersten Interaktion, klar, eindeutig und barrierefrei.
- Ausnahme nur, wenn es aus dem Zusammenhang ohnehin offensichtlich ist.
- Ein Hinweis, der nur in den AGB steht, reicht nicht aus.
- Betreiber müssen offenlegen, wenn ein Bild-, Ton- oder Videoinhalt ein Deepfake ist – also KI-erzeugt oder manipuliert wurde und echt wirken könnte (Art. 50 Abs. 4).
- Ein vollständig frei erfundenes, synthetisches Motiv – etwa ein KI-Model im Onlineshop, ist nicht allein deshalb ein Deepfake und nicht automatisch sichtbar kennzeichnungspflichtig.
- Bei Kunst, Satire oder Fiktion: so kennzeichnen, dass das Werk nicht beeinträchtigt wird.
Zwei Ebenen der Kennzeichnung: Die maschinenlesbare Markierung (z. B. Wasserzeichen, Metadaten) ist Pflicht des Anbieters (Art. 50 Abs. 2). Die für Menschen sichtbare Offenlegung trifft je nach Fall den Betreiber – insbesondere bei Deepfakes (Art. 50 Abs. 4).
Die Europäische Kommission stellt freiwillig nutzbare Icons und Vorlagen bereit – ein gesetzlicher Zwang zu bestimmten Symbolen besteht nicht.
§ Art. 50 Abs. 1, 2 und 4 KI-VO (Transparenzpflichten)
Zuständige Stellen – wer macht was
In Deutschland ist die Bundesnetzagentur grundsätzlich zuständige Marktüberwachungsbehörde und zentrale Anlaufstelle; für einzelne Bereiche bestehen besondere Fachzuständigkeiten.
Grundsätzlich die zuständige Marktüberwachungsbehörde für die KI-Verordnung, soweit das KI-MIG keine andere Zuständigkeit bestimmt (§ 2 Abs. 1, § 6 KI-MIG). Zugleich zentrale Anlaufstelle (Art. 70 KI-VO) und Beschwerdestelle (Art. 85). Betreibt das Koordinierungs- und Kompetenzzentrum sowie die KI-Servicestelle für Unternehmen. Für bestimmte Bereiche bestehen besondere Fachzuständigkeiten; beim BNetzA besteht zudem die unabhängige KI-Marktüberwachungskammer (§ 4 KI-MIG).
Datenschutz beim KI-Einsatz nach DSGVO/BDSG – z. B. bei der Verarbeitung personenbezogener Daten.
Im Rahmen des § 2 KI-MIG zuständige Marktüberwachungsbehörde für bestimmte KI-Systeme, wenn diese in direktem Zusammenhang mit regulierten Finanztätigkeiten der beaufsichtigten Unternehmen stehen. Die Beispiele dienen nur der Veranschaulichung.
Bei produktbezogener KI wie Medizinprodukten gelten grundsätzlich die bestehenden sektorspezifischen Marktüberwachungszuständigkeiten (§ 2 KI-MIG).
Cybersicherheit; die konkrete Rolle ergibt sich aus KI-Verordnung, KI-MIG und dem bestehenden Cybersicherheitsrecht.
Auf EU-Ebene: Aufsicht über KI-Modelle mit allgemeinem Verwendungszweck (GPAI) und EU-weite Koordination.
Schutz für Hinweisgeber bei KI-Verstößen
Mit Art. 2 des Gesetzes vom 22. Juli 2026 wurde das Hinweisgeberschutzgesetz (HinSchG) ausdrücklich auf Verstöße gegen die KI-Verordnung erweitert. Beschäftigte, die solche Verstöße melden, sind damit gesetzlich geschützt (§ 2 Abs. 1 Nr. 10 HinSchG). Für Unternehmen heißt das: interne Meldewege sollten auch KI-Themen abdecken.
Stand: August 2026. Diese Übersicht dient der Orientierung und ersetzt keine Rechtsberatung.
Die Fachbegriffe erklärt unser Glossar.