Die kurze Antwort
Der Bundesrat hat am 10. Juli 2026 das Gesetz zur Durchführung der KI-Verordnung gebilligt — nachdem der Bundestag es zuvor beschlossen hatte. Kernpunkt: Die Bundesnetzagentur wird die zentrale Marktüberwachungsbehörde für KI in Deutschland, mit einem eigenen Koordinierungs- und Kompetenzzentrum und der Pflicht, mindestens ein KI-Reallabor zu betreiben. Das Gesetz benennt die zuständigen Stellen für die bereits geltende europäische KI-Verordnung; es schafft keine neuen materiellen Pflichten und verschiebt keine EU-Fristen. Es tritt am Tag nach seiner Veröffentlichung in Kraft.
Für Teams, die Software für den deutschen und den EU-Markt bauen oder einkaufen, ist die praktische Botschaft schlicht: Die Aufsicht hat jetzt eine Adresse. Wer wissen will, an wen er sich bei Fragen zur KI-Marktüberwachung wendet, kennt seit dem 10. Juli die Antwort — und kann seine KI-Governance auf eine konkrete Behörde ausrichten, statt auf ein abstraktes „Brüssel".
Was der Bundesrat beschlossen hat
Das Gesetz zur Durchführung der KI-Verordnung ist die nationale Umsetzungsschicht zum europäischen KI-Gesetz. Die EU-Verordnung gilt unmittelbar in allen Mitgliedstaaten, überlässt es aber jedem Land, die zuständigen Behörden zu benennen und die Durchsetzung zu organisieren. Genau das leistet das deutsche Gesetz: Der Bundestag hat es beschlossen, und am 10. Juli 2026 hat der Bundesrat es gebilligt. Nach der Verkündung tritt es am Tag nach der Veröffentlichung in Kraft.
Die zentrale Weichenstellung ist institutionell. Statt die KI-Aufsicht über viele Stellen zu streuen, bündelt Deutschland die Marktüberwachung bei der Bundesnetzagentur. Sie wird zur einheitlichen Instanz, an die sich Unternehmen, Bürgerinnen und Bürger sowie europäische Institutionen wenden. Weil KI-Governance und Datenschutz eng verzahnt sind, sollten Teams die Zuständigkeitsfrage nicht isoliert betrachten, sondern gemeinsam mit ihrer bestehenden Arbeit an der DSGVO-Compliance — dieselben Verzeichnisse, Rechtsgrundlagen und Nachweise bilden das Fundament beider Regelwerke.
Die Rolle der Bundesnetzagentur
Bislang war die Bundesnetzagentur vor allem als Regulierer für Telekommunikation, Energie, Post und Bahn bekannt. Mit dem Durchführungsgesetz kommt ein neues Feld hinzu: die Aufsicht über Künstliche Intelligenz. In der Behörde entsteht dafür ein eigenes Koordinierungs- und Kompetenzzentrum, das mit anderen öffentlichen Stellen zusammenarbeitet und als nationaler Kontaktpunkt gegenüber den EU-Institutionen auftritt.
Ein zweiter Baustein ist praktisch für Entwicklerteams besonders interessant: Die Bundesnetzagentur muss mindestens ein KI-Reallabor betreiben — eine überwachte Testumgebung, in der Unternehmen neue Anwendungen unter regulatorischer Aufsicht erproben können, bevor sie in den Markt gehen. Für ein Start-up oder einen Mittelständler, der ein KI-Feature in FinTech oder HealthTech plant, kann ein solches Reallabor ein geordneter Weg sein, die Klassifizierung und die nötigen Kontrollen früh zu klären, statt sie später unter Zeitdruck nachzurüsten.
Wichtig bleibt: Die Bündelung bei der Bundesnetzagentur hebt die etablierten sektorspezifischen Aufsichtsstrukturen nicht auf. In stark regulierten Branchen wirken die dortigen Fachbehörden weiter mit. Ein Unternehmen kann es also mit mehr als einer zuständigen Stelle zu tun haben — die Bundesnetzagentur als horizontale KI-Marktüberwachung und, je nach Anwendung, die sektorale Aufsicht obendrauf.
Was das Gesetz nicht ändert
Es lohnt sich, den Umfang des Gesetzes nüchtern zu sehen. Das Durchführungsgesetz ist ein Zuständigkeitsgesetz. Es beantwortet die Frage „Wer setzt in Deutschland durch?" — nicht die Frage „Was muss ich tun?". Die materiellen Pflichten stehen im europäischen KI-Gesetz und gelten unabhängig von der nationalen Umsetzung: die seit Februar 2025 durchsetzbaren Verbote bestimmter Praktiken, die Transparenz- und Governance-Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit August 2025 und die gestaffelten Hochrisiko-Pflichten.
Ebenso wenig verschiebt das deutsche Gesetz die europäischen Fristen. Der Zeitplan des EU-KI-Gesetzes — inklusive der jüngst auf europäischer Ebene angepassten Hochrisiko-Termine — läuft weiter nach Brüsseler Vorgabe. Wer die nationale Umsetzung als Aufschub liest, missversteht sie: Sie ist das Gegenteil, nämlich die Voraussetzung dafür, dass die bereits geltenden Regeln in Deutschland überhaupt durchgesetzt werden können.
Was das für DACH-Teams bedeutet
Für Software-Teams in Deutschland, Österreich und der Schweiz ist das vor allem ein Klarheitssignal. Bis zuletzt war offen, welche deutsche Behörde die KI-Marktüberwachung übernimmt; diese Unsicherheit ist ausgeräumt. Wer ein KI-System auf dem deutschen Markt anbietet, weiß nun, dass die Bundesnetzagentur der zentrale Ansprechpartner ist — und kann interne Verantwortlichkeiten, Meldewege und Dokumentation darauf ausrichten.
Die extraterritoriale Reichweite macht die Frage der Zuständigkeit auch für Anbieter außerhalb der EU greifbar. Ein US-SaaS-Unternehmen, dessen KI-Ausgaben in Deutschland genutzt werden, ist im Anwendungsbereich des EU-KI-Gesetzes — und trifft in Deutschland künftig auf die Bundesnetzagentur als Aufsicht. Für in regulierte Produkte eingebettete KI gilt weiterhin die Besonderheit, dass sie dem jeweiligen Produktrecht folgt: Eine KI-Funktion in einem Medizinprodukt läuft über die Medizinprodukte-Konformität, ein KI-Credit-Scoring-Modell ist klassische eigenständige Hochrisiko-KI. Dasselbe Unternehmen kann so mehrere Aufsichtsbezüge haben — eine einzige Zeile „KI-Compliance" in der Roadmap greift meist zu kurz.
Was Sie jetzt tun sollten
Die nationale Umsetzung ist ein guter Anlass, die eigene KI-Governance zu ordnen. Eine praktische Reihenfolge:
- Inventarisieren Sie jedes KI-System. Listen Sie auf, was Sie bauen, einbetten, feintunen und einkaufen — inklusive Drittanbieter-Modellen in Ihrem Produkt. Ohne Katalog keine Klassifizierung.
- Klassifizieren Sie nach Risikoklassen. Ordnen Sie jedes System als verboten, hochriskant, begrenztes Risiko oder minimal ein und halten Sie die Begründung fest. Dieser Schritt bestimmt jede weitere Pflicht.
- Klären Sie die Zuständigkeit. Für die KI-Marktüberwachung ist künftig die Bundesnetzagentur zentraler Ansprechpartner; in regulierten Branchen kommt die sektorspezifische Aufsicht hinzu. Halten Sie fest, wer für welches System hinsieht.
- Prüfen Sie das KI-Reallabor als Option. Für neue, potenziell hochriskante Anwendungen kann ein überwachtes Reallabor der geordnete Weg sein, Klassifizierung und Kontrollen frühzeitig abzusichern.
- Verzahnen Sie es mit dem Datenschutz. KI-Governance und DSGVO überschneiden sich stark; führen Sie beides als einen Arbeitsstrom, damit Nachweise, Datenlandkarten und Kontrollen wiederverwendet und nicht doppelt erstellt werden.
Nichts davon ist Rechtsberatung, und die genauen Pflichten hängen von Ihren Systemen, Ihren Märkten und dem endgültig verkündeten Text ab. Das Signal ist aber eindeutig: Deutschland hat die KI-Aufsicht organisiert und ihr mit der Bundesnetzagentur ein Gesicht gegeben. Im Vorteil sind die Teams, die diese Klarheit nutzen, um Governance jetzt einzubauen — statt zu warten, bis die Aufsicht anklopft.
Häufig gestellte Fragen
Welche Behörde beaufsichtigt KI in Deutschland?
Nach dem Gesetz zur Durchführung der KI-Verordnung, das der Bundesrat am 10. Juli 2026 gebilligt hat, wird die Bundesnetzagentur zentrale Marktüberwachungsbehörde für KI. In ihr entsteht ein Koordinierungs- und Kompetenzzentrum, das als Anlaufstelle für Bürger und EU-Institutionen dient. Sektorspezifische Aufsichtsstrukturen bleiben daneben erhalten.
Wann tritt das deutsche KI-Durchführungsgesetz in Kraft?
Der Bundestag hat es beschlossen, der Bundesrat hat es am 10. Juli 2026 gebilligt. Nach der Verkündung tritt es am Tag nach seiner Veröffentlichung in Kraft. Es regelt die Zuständigkeit für die bereits geltende EU-Verordnung und verschiebt deren Fristen nicht.
Was ändert sich für Unternehmen durch die neue KI-Aufsicht?
Die Bundesnetzagentur wird zentraler Ansprechpartner für die KI-Marktüberwachung und muss mindestens ein KI-Reallabor betreiben, in dem neue Anwendungen unter Aufsicht getestet werden können. Wer KI auf dem deutschen Markt anbietet, sollte Risikoklasse und Zuständigkeit kennen, bevor die Hochrisiko-Pflichten greifen.
Gilt das für Schweizer und österreichische Anbieter?
Das deutsche Gesetz regelt die Zuständigkeit in Deutschland. Das EU-KI-Gesetz gilt jedoch extraterritorial: Ein Anbieter fällt in den Anwendungsbereich, sobald er ein KI-System auf dem EU-Markt in Verkehr bringt oder dessen Ausgaben in der EU genutzt werden. Österreich unterliegt der Verordnung als EU-Mitglied ohnehin; Schweizer Anbieter werden erfasst, sobald ihre Systeme den EU-Markt erreichen.
Was sollten DACH-Software-Teams jetzt tun?
Inventarisieren Sie Ihre KI-Systeme, ordnen Sie jedes den Risikoklassen zu und klären Sie die Zuständigkeit — künftig meist die Bundesnetzagentur, in regulierten Branchen zusätzlich die sektorspezifische Aufsicht. Verzahnen Sie die KI-Governance mit Ihrem Datenschutzprogramm und prüfen Sie das KI-Reallabor als Testweg.
Quellen
DATEV magazin — Länder billigen Gesetz zur KI-Aufsicht in Deutschland, Juli 2026
datensicherheit.de — AI Act: Bundesrat hat Weg für Durchführungsgesetz zur europäischen KI-Verordnung freigemacht, Juli 2026
Bundesregierung — Umsetzung der KI-Verordnung (Primärquelle)