Seit dem 29. Juli 2026 hat Deutschland eine zentrale KI-Aufsicht. In den meisten Unternehmen hat das genau nichts verändert – und das ist die richtige Beobachtung, aber der falsche Schluss. Denn bisher gab es für Firmen außerhalb des Hochrisiko-Bereichs praktisch kein Durchsetzungsrisiko: keine zuständige Stelle, kein Verfahren, keine Adresse für Beschwerden. Das hat sich geändert. Nicht, weil jetzt Bußgeldbescheide verschickt werden – sondern weil zum ersten Mal jemand da ist, der Beschwerden entgegennimmt und prüft. Dieser Artikel schaut auf die Praxis: Was die Bundesnetzagentur konkret tut, wie sich das reale Risiko verschiebt und wo Sie sich weiter Zeit lassen können.
Was die Bundesnetzagentur konkret anbietet
Wer die Pressemitteilung vom 29. Juli liest, findet dort einen bemerkenswerten Satz von Behördenpräsident Klaus Müller: „Wir verstehen uns als Enabler und Ansprechpartner für das gesamte KI-Ökosystem."1
Das ist keine Floskel, sondern beschreibt, womit die Behörde tatsächlich gestartet ist. Der operative Schwerpunkt liegt derzeit sichtbar auf Beratung, nicht auf Sanktion:
KI-Service Desk. Läuft bereits. Er richtet sich ausdrücklich an Organisationen, Behörden und weitere Akteure, „insbesondere KMU und Start-ups", und bietet niederschwellige Orientierung zur Umsetzung der KI-Verordnung – inklusive Kontaktformular und FAQ.12
KI-Compliance Kompass. Ein Online-Tool zur ersten Einschätzung, ob und in welchem Umfang die KI-Verordnung für Ihre Anwendung relevant ist und in welche Risikoklasse sie fällt. Für eine erste Selbsteinordnung ist das der schnellste kostenlose Einstieg, den es aktuell gibt.12
Factsheets, auch eines nur für KMU und Start-ups. Die Behörde stellt neben dem allgemeinen Factsheet ein eigenes Dokument mit KMU-Fokus bereit.2
KI-Reallabor. Als Kernbaustein der Innovationsförderung im Aufbau. Es soll Entwicklung, Training, Test und Validierung innovativer KI-Systeme in kontrollierter Umgebung ermöglichen – insbesondere für KMU – mit regulatorischer Begleitung, in der individuelle Anforderungen definiert und Abhilfemaßnahmen erarbeitet werden.1
Zentrale Beschwerdestelle. Sie nimmt Beschwerden über Verstöße gegen die KI-Verordnung entgegen, bearbeitet sie und leitet sie gegebenenfalls an die zuständigen Behörden weiter.1
Die ersten vier Punkte sind ein Angebot. Der fünfte ist der Grund, warum sich die Lage verändert hat.
Der Satz, den man leicht überliest
In der Aufgabenbeschreibung der Bundesnetzagentur steht ein Satz, der in der Berichterstattung weitgehend untergegangen ist: In ihren Zuständigkeitsbereichen überwacht sie „zudem die Einhaltung der Transparenzpflichten sowie die verbotenen KI-Praktiken".1 Welche Praktiken das genau sind und wie die vier Risikoklassen zusammenhängen, haben wir in EU AI Act für Unternehmen: Pflichten, Fristen und was jetzt zu tun ist aufgeschlüsselt.
Die öffentliche Diskussion dreht sich fast ausschließlich um Hochrisiko-Systeme – und die sind für die meisten Mittelständler nicht einschlägig. Transparenzpflichten dagegen betreffen jeden, der einen Chatbot betreibt, KI-generierte Bilder veröffentlicht oder KI-gestützte Inhalte zu gesellschaftlich relevanten Themen publiziert. Genau dieser Bereich ist jetzt einer benannten Behörde zugeordnet.
Dass die Hochrisiko-Pflichten zeitlich entzerrt wurden, ändert daran nichts: Der Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) hat die Pflichten für eigenständige Hochrisiko-Systeme auf den 2. Dezember 2027 und für produktintegrierte Systeme auf den 2. August 2028 verschoben – die Transparenzpflichten nach Artikel 50 aber ausdrücklich nicht.3 Was am 2. August tatsächlich in Kraft getreten ist und was der Omnibus im Einzelnen nach hinten geschoben hat, steht in EU AI Act: Was der 2. August 2026 für Unternehmen in Deutschland bedeutet. Dieser Beitrag baut darauf auf und schaut auf die Durchsetzung.
Die praktische Konsequenz ist unbequem: Wer im Hochrisiko-Bereich unterwegs ist, hat Zeit gewonnen. Wer nur einen Chatbot auf der Website hat, nicht.
Wie sich das Risiko tatsächlich verschiebt
Hier lohnt sich Ehrlichkeit statt Alarmismus. Zum Redaktionsschluss dieses Beitrags sind uns keine öffentlich dokumentierten Bußgeldverfahren nach der KI-Verordnung gegen Unternehmen in Deutschland bekannt. Das ist auch schwer anders vorstellbar: Der nationale Vollzugsrahmen existiert erst seit dem 29. Juli 2026, dem Inkrafttreten des KI-MIG.4 Die Behörde ist wenige Wochen im Amt, und ihre erste sichtbare Aktivität ist ein Beratungsangebot, kein Prüfprogramm.
Wer daraus schließt, das Risiko sei unverändert null, unterschätzt aber drei Kanäle, die nichts mit behördlichem Eifer zu tun haben.
Erstens: der Beschwerdeweg. Marktüberwachung funktioniert nicht wie eine Streifenfahrt. Die Bundesnetzagentur beschreibt selbst, dass sie Beschwerden von natürlichen und juristischen Personen entgegennimmt und prüft – und dass diese Beschwerden ausdrücklich in die Planung von Überprüfungen und Untersuchungen einfließen.5 Es braucht also keine Kampagne, damit ein Unternehmen in den Fokus gerät. Ein Wettbewerber, ein verärgerter Bewerber oder ein aufmerksamer Nutzer genügt. Wer die DSGVO-Anlaufjahre erlebt hat, kennt das Muster: Die ersten Verfahren kamen fast nie aus behördlicher Initiative, sondern aus Beschwerden.
Zweitens: die Abmahnung. In Deutschland ist der schnellere Kanal ohnehin selten die Behörde. Eine fehlende oder irreführende KI-Kennzeichnung kann zugleich wettbewerbsrechtlich relevant sein und Abmahnungen durch Mitbewerber oder Verbände auslösen.6 Dieser Weg braucht keine Aufsichtsressourcen, keine Priorisierung und keine Anlaufphase – nur einen Anwalt und einen Wettbewerber mit Interesse.
Drittens: der Kunde. Der praktisch relevanteste Punkt für B2B-Unternehmen wird in Compliance-Debatten regelmäßig übersehen. Sobald größere Auftraggeber ihre eigene KI-Governance aufsetzen, geben sie Anforderungen an die Lieferkette weiter. Die Frage „Wie stellen Sie sicher, dass KI-generierte Inhalte in unseren Projekten gekennzeichnet sind?" taucht dann im Lieferantenfragebogen auf, nicht im Behördenbrief. Wer darauf keine Antwort hat, verliert kein Bußgeldverfahren, sondern eine Ausschreibung.
Kurz: Das Bußgeldrisiko ist real, aber kurzfristig der unwahrscheinlichste der drei Kanäle. Die beiden anderen sind schneller, billiger für den Gegner und für Sie schlechter kalkulierbar.
Was jetzt belegbar sein sollte – und was warten kann
Der eigentliche Unterschied liegt nicht zwischen „vorschriftsmäßig" und „nicht vorschriftsmäßig", sondern zwischen dem, was Sie im Ernstfall in einer Woche belegen können müssen, und dem, was Sie in Ruhe formalisieren dürfen.
Was jetzt belegbar sein sollte
Chatbots, Voicebots und KI-Telefonassistenten im Kundenkontakt: Der Hinweis, dass hier keine Person antwortet, muss vorhanden sein. Bei Chatbots ist eine Kennzeichnung in der Regel erforderlich; sie entfällt nur, wenn der maschinelle Charakter ohnehin offensichtlich ist.7
Veröffentlichte KI-Bilder und -Videos, die reale Personen, Orte oder Ereignisse zeigen oder zu zeigen scheinen: Diese Deepfake-Fälle treffen Sie als Betreiber und sind offenzulegen.7
Redaktionelle Verantwortung für KI-gestützte Texte: Das ist der Punkt mit dem besten Aufwand-Nutzen-Verhältnis. Unterliegt ein Text menschlicher redaktioneller Kontrolle und trägt eine natürliche oder juristische Person die redaktionelle Verantwortung, entfällt die Offenlegungspflicht – auch bei Themen von öffentlichem Interesse.6 Wie die maschinenlesbare Markierung der Anbieter technisch funktioniert und warum sie Ihren eigenen Nachweis nicht ersetzt, steht in KI-Wasserzeichen im Text: Wie die Markierung funktioniert. Eine benannte Person plus dokumentierte Freigabe ersetzt hier eine ganze Kennzeichnungsdebatte. Aufwand: eine Stunde.
Wo Sie sich Zeit lassen können
Hochrisiko-Anwendungen: Wenn Sie KI im Personalwesen, in der Kreditvergabe oder in der Bildung einsetzen, gilt der 2. Dezember 2027, bei produktintegrierten Systemen der 2. August 2028.3 Das ist kein Grund zum Nichtstun, aber ein realistischer Planungshorizont statt eines Feueralarms.
Bestandsinhalte: Für synthetische Inhalte, die vor dem Stichtag erzeugt wurden, läuft eine Übergangsfrist bis zum 2. Dezember 2026. Bei Bild, Ton und Video zählt das Erzeugungsdatum, bei Texten von öffentlichem Interesse das Veröffentlichungsdatum.6 Sie müssen Ihr Archiv also nicht diese Woche durchgehen – aber bis November sollte es passiert sein.
Formale Governance-Architektur: Ein vollständiges KI-Verzeichnis, Rollenmodelle, Risikoklassifizierungen, Freigabeprozesse mit Vier-Augen-Prinzip – das ist die richtige Zielstruktur, aber kein Notfall. Wer heute die drei Punkte oben belegen kann, hat den akuten Teil abgedeckt und darf den Rest über zwei Quartale ordentlich aufbauen, statt ihn in vier Wochen durchzupeitschen.
Und die KI-Kompetenz-Pflicht nach Artikel 4 wurde durch den Digital Omnibus von einer strikten Nachweispflicht auf eine Förderpflicht reduziert.3 Schulung bleibt sinnvoll – der Zertifikatsdruck ist raus.
Zwei Geschwindigkeiten statt Panik
Für die Praxis lässt sich das auf eine einfache Aufteilung bringen.
Diese Woche: Gehen Sie Ihre nach außen sichtbaren KI-Anwendungen durch – Chatbot, Voicebot, generierte Bilder, KI-gestützte Texte. Prüfen Sie für jede, ob Sie Anbieter oder Betreiber sind. Setzen Sie fehlende Hinweise bei Bots und Deepfakes. Benennen Sie schriftlich, wer die redaktionelle Verantwortung für veröffentlichte Inhalte trägt. Ein halber Tag, wenn die Liste vorliegt.
Dieses Quartal: Bestandsinhalte bis zum 2. Dezember 2026 prüfen. Einheitliche Hinweistexte für Text, Bild, Video und Audio festlegen. In den Verträgen mit Ihren KI-Dienstleistern klären, wer die maschinenlesbare Markierung technisch sicherstellt – das ist eine Anbieterpflicht, aber Sie sollten wissen, ob Ihr Anbieter sie erfüllt.6
Bis Ende 2027: Falls Hochrisiko-Anwendungen im Haus sind, die vollständige Dokumentations- und Risikomanagement-Struktur aufbauen.
In unserem Modell ist das die Rock Governance – und sie fehlt in der Praxis fast immer genau dort, wo KI längst produktiv läuft. Governance heißt hier nichts Aufwendiges: geklärte Rollen, dokumentierte Freigaben, ein aktuelles Verzeichnis. Wer das hat, muss bei einer Beschwerde, einer Abmahnung oder einem Lieferantenaudit nichts rekonstruieren. Wer es nicht hat, rekonstruiert unter Zeitdruck – und das ist der eigentliche Schaden, nicht das Bußgeld.
Fazit
Die ehrliche Antwort auf die Frage im Titel lautet: Ja, aber anders als erwartet. Es ist unwahrscheinlich, dass ein mittelständisches Unternehmen ohne Hochrisiko-Anwendung in den nächsten Monaten einen Bußgeldbescheid der Bundesnetzagentur bekommt. Die Behörde ist erkennbar als Enabler gestartet, mit Service Desk, Compliance Kompass und Reallabor.
Was sich real geändert hat, ist etwas anderes: Es gibt jetzt eine Adresse. Beschwerden landen nicht mehr im Nichts, sie werden bearbeitet und fließen in die Prüfplanung ein. Parallel wird die KI-Kennzeichnung zum Abmahnthema und zur Frage im Lieferantenfragebogen.
Für Sie heißt das: kein Compliance-Großprojekt, aber auch kein Abwarten. Drei Dinge sollten belegbar sein – Bot-Hinweise, Deepfake-Kennzeichnung, benannte redaktionelle Verantwortung. Der Rest darf ordentlich wachsen. Diese Reihenfolge ist der Unterschied zwischen souverän und getrieben.
In einem 30-minütigen KI-Governance-Check gehen wir mit Ihnen durch, welche Ihrer KI-Anwendungen nach außen wirken, wo die Rollenzuordnung unklar ist und was bis zum 2. Dezember 2026 erledigt sein sollte – ohne Vertrieb, ohne Folien. Für Geschäftsführung und KI-Verantwortliche. Schreiben Sie uns, wir melden uns innerhalb von zwei Werktagen.
Quellen & Verweise
- Bundesnetzagentur, Pressemitteilung „Bundesnetzagentur übernimmt zentrale Rolle bei der Umsetzung der KI-Verordnung", 29.07.2026: https://www.bundesnetzagentur.de/SharedDocs/Pressemitteilungen/DE/2026/20260729_KI_VO.html
- Bundesnetzagentur, „KI-Service Desk" inkl. KI-Compliance Kompass und Factsheets: https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/start_ki.html
- Research Institute (Wien), „Digital Omnibus on AI ist in Kraft – die wesentlichen Änderungen der KI-Verordnung", 31.07.2026, zu Verordnung (EU) 2026/1744, ABl. L, 2026/1744 vom 24.07.2026: https://researchinstitute.at/digital-omnibus-on-ai-ist-in-kraft-die-wesentlichen-aenderungen-der-ki-verordnung/
- Bundesministerium für Digitales und Staatsmodernisierung (BMDS), „Gesetz zur Durchführung der KI-Verordnung" (KI-MIG, Inkrafttreten 29.07.2026, Verkündung BGBl. 2026 I Nr. 233 vom 28.07.2026): https://bmds.bund.de/service/gesetzgebungsverfahren/gesetz-zur-durchfuehrung-der-ki-verordnung
- Bundesnetzagentur, „Marktüberwachung" (Fachthemen Digitales / KI): https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/14_Marktueberwachung/artikel.html
- Rogert & Ulbrich, „KI-Kennzeichnungspflicht 2026: Art. 50 KI-VO im Überblick", 03.08.2026: https://ru.law/ki-kennzeichnungspflicht-artikel-50-ki-verordnung/
- HÄRTING Rechtsanwälte, „Transparenzpflichten in der KI-Verordnung (Art. 50): KI-Inhalte richtig kennzeichnen", Stand 19.05.2026: https://haerting.de/wissen/transparenzpflichten-in-der-ki-verordnung/
Alle Quellen am 17.08.2026 abgerufen und geprüft. Dieser Beitrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung im Einzelfall.