KI-Verordnung in Deutschland: was Betreiber jetzt tun müssen

Der Rechtsrahmen: EU AI Act plus deutsches Durchführungsgesetz

Anders als Italien mit seinem nationalen KI-Gesetz hat Deutschland kein eigenes materielles KI-Recht geschaffen. Die KI-Verordnung gilt als EU-Verordnung unmittelbar — was fehlte, war die Antwort auf die Frage: Wer beaufsichtigt das in Deutschland?

Diese Lücke schließt das Gesetz zur Durchführung der KI-Verordnung (KI-MIG): Das Bundeskabinett hat den Entwurf am 11. Februar 2026 beschlossen, der Bundestag hat ihn am 11. Juni 2026 mit leichten Änderungen angenommen. Das Gesetz regelt drei Dinge:

• Zuständigkeiten: welche Behörden des Bundes und der Länder Marktüberwachung und Notifizierung von KI-Systemen übernehmen;
• Zusammenarbeit: wie diese Behörden kooperieren, damit Unternehmen nicht zwischen Zuständigkeiten hin- und hergereicht werden;
• Ansprechpartner: klare Anlaufstellen für Unternehmen, inklusive Unterstützungsangeboten.

Wichtig für die Planung: Das KI-MIG ändert die inhaltlichen Pflichten der KI-Verordnung nicht. Was Sie als Betreiber tun müssen, steht in der Verordnung selbst — das deutsche Gesetz bestimmt nur, wer es kontrolliert.

Aufsicht: die Bundesnetzagentur als Dreh- und Angelpunkt

Zentrale Figur der deutschen Umsetzung ist die Bundesnetzagentur (BNetzA). Bei ihr entsteht das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO), das alle zuständigen Behörden unterstützt und für eine einheitliche Rechtsauslegung bei horizontalen Fragen sorgt. Details veröffentlicht die Behörde auf bundesnetzagentur.de.

Daneben bleiben die sektoralen Aufsichten zuständig — etwa die BaFin für Finanzdienstleistungen — und die Datenschutzbehörden für alles, was die DSGVO betrifft. Wer KI in Prozessen mit personenbezogenen Daten einsetzt, hat also weiterhin zwei Compliance-Ebenen im Blick zu behalten: KI-Verordnung und Datenschutz.

Was gilt wann: die Fristen und Ihre Betreiberpflichten

Die KI-Verordnung tritt gestaffelt in Kraft — zwei Stufen sind bereits scharf, die dritte steht unmittelbar bevor:

Die meisten Unternehmen sind nicht Anbieter, sondern Betreiber: Sie verwenden KI-Systeme in eigener Verantwortung — selbst entwickelt, eingekauft oder als Funktion in einem SaaS-, ERP- oder HR-Tool. Für Hochrisiko-Systeme (etwa bei Personalauswahl, Kreditwürdigkeit oder wesentlichen Diensten) heißt das ab August 2026 konkret:

• Einsatz gemäß Betriebsanleitung des Anbieters und Sicherstellung relevanter Eingabedaten;
• Menschliche Aufsicht durch kompetente, geschulte Personen mit Eingriffsbefugnis;
• Aufbewahrung der Protokolle, die das System erzeugt, und laufende Überwachung des Betriebs;
• Information der betroffenen Personen, wenn Entscheidungen sie berühren.

Dazu kommt der Datenschutz: Bei automatisierten Einzelentscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung verlangt Art. 22 DSGVO grundsätzlich eine wirksame menschliche Beteiligung — dieselbe Logik, die auch die KI-Verordnung verfolgt.

Die deutsche Besonderheit: Mitbestimmung des Betriebsrats

Was in keinem EU-Text steht, in deutschen Projekten aber regelmäßig über Erfolg und Zeitplan entscheidet: die Mitbestimmung. Wer KI in Prozesse mit Beschäftigtenbezug einführt, hat drei Normen des BetrVG auf dem Radar:

• § 90 Abs. 1 Nr. 3 BetrVG: Der Betriebsrat ist bei der Planung des KI-Einsatzes rechtzeitig zu unterrichten und zu beraten — nicht erst beim Rollout.
• § 80 Abs. 3 BetrVG: Für KI-Themen kann der Betriebsrat erleichtert einen Sachverständigen hinzuziehen; die Hinzuziehung gilt hier als erforderlich.
• § 87 Abs. 1 Nr. 6 BetrVG: Kann das System Verhalten oder Leistung der Beschäftigten überwachen — was auf Workflow-, Ticket- und Analysewerkzeuge schnell zutrifft —, greift die harte Mitbestimmung: Ohne Einigung (oder Einigungsstelle) darf es nicht eingeführt werden.

Praktisch bewährt sich eine KI-Rahmenbetriebsvereinbarung: transparente Zwecke, klare Grenzen der Auswertung, definierte menschliche Entscheidungspunkte. Die gute Nachricht: Genau die Artefakte, die die KI-Verordnung ohnehin verlangt — Systeminventar, Rollen, Protokolle —, sind auch die Basis für die Verhandlung mit dem Betriebsrat. Doppelarbeit entsteht nur, wenn beides getrennt gepflegt wird.

Umsetzung mit einem governance-fähigen BPM

Betreiberpflichten, DSGVO und Mitbestimmung haben einen gemeinsamen Nenner: Sie beschreiben Prozesseigenschaften — wer entscheidet, was protokolliert wird, wer informiert ist. Ein BPM Low-Code mit governance-fähigen KI-Agenten verankert sie direkt im Workflow:

Der Low-Code-Vorteil zeigt sich bei jeder Präzisierung der Rechtslage: Ein zusätzlicher Freigabeschritt oder eine neue Informationspflicht ist eine visuelle Änderung am Flow — kein Softwareprojekt. Dieselbe Logik empfehlen wir generell für die Workflow-Automatisierung.

Checkliste: in 6 Schritten vorbereitet

Vor dem 2. August 2026 sollten diese Punkte stehen:

1. KI-Inventar erstellen. Alle Systeme mit KI-Funktionen erfassen — auch die in SaaS-, ERP- und HR-Tools eingebauten.
2. Risiko einstufen. Prüfen, ob Einsätze in die Hochrisiko-Kategorien des Anhangs III fallen (Personal, Kredit, wesentliche Dienste), und das Ergebnis dokumentieren.
3. Betriebsrat früh einbinden. Unterrichtung nach § 90 BetrVG, Mitbestimmung nach § 87 klären, idealerweise eine KI-Rahmenvereinbarung verhandeln.
4. Menschliche Aufsicht verankern. Entscheidungen identifizieren, die nicht vollautomatisch laufen dürfen, und Freigabe-Tasks mit benannten Verantwortlichen in den Prozess einbauen.
5. Protokolle und Nachweise sichern. Audit-Trail, Flow-Versionen und KI-Protokolle aufbewahren — das ist das Material für Bundesnetzagentur, Datenschutzbehörde und Einigungsstelle.
6. Schulen. Die KI-Kompetenzpflicht gilt seit Februar 2025: Wer mit KI arbeitet oder sie beaufsichtigt, braucht dokumentierte Schulung.

Häufige Fragen