KI-Transparenzpflichten

Mit unserem Beitrag Transparenzpflichten für KI vom 28.05.2026 hatten wir bereits auf die Kennzeichnungspflichten nach der Verordnung (EU) 2024/1689, dem AI Act, hingewiesen. Seit dem 2. August 2026 müssen Anbieter und Betreiber bestimmter KI-Systeme insbesondere die Transparenzpflichten aus Art. 50 AI Act beachten.

Aufsicht über KI-Modelle mit allgemeinem Verwendungszweck

Davon zu unterscheiden sind die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI -GPAI). Diese gelten bereits seit dem 2. August 2025. Die Europäische Kommission nimmt die Aufsicht über diese Modelle mit Unterstützung des Amts für künstliche Intelligenz (European AI-Office) wahr. GPAI-Modelle zeichnen sich durch erhebliche Allgemeinheit aus und können eine Vielzahl unterschiedlicher Aufgaben kompetent erfüllen.

Die zuständigen nationalen Behörden setzen die Vorschriften für andere KI-Systeme durch. Der Europäische Datenschutzbeauftragte ist für KI-Systeme zuständig, die von den Organen, Einrichtungen und sonstigen Stellen der EU eingesetzt werden verwendet werden.

Zuständigkeitsstruktur in Deutschland

In Deutschland ist am 29.07.2026 das „Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz“ (KI-MIG) in Kraft getreten. Für Deutschland ergibt sich hiernach die folgende Struktur für die jeweils zuständige Aufsichtsbehörde:

• Allgemeine Marktüberwachungsbehörde sowie zentrale Anlauf- und Beschwerdestelle ist die Bundesnetzagentur. Soweit keine besondere sektorale Zuständigkeit eingreift, überwacht sie die Einhaltung des AI Acts.
• Bei KI-Systemen, die mit Produkten oder Sicherheitsbauteilen in Zusammenhang stehen, auf die die in Anhang I Abschnitt A des AI Acts genannten Harmonisierungsrechtsvorschriften anzuwenden sind, ist die jeweils nach dem Produktrecht zuständige Marktüberwachungsbehörde verantwortlich, z.B. gemäß  Maschinenrichtlinie (2006/42/EG) oder  Spielzeugrichtlinie (2009/48/EG).
• Für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen und von beaufsichtigten Finanzunternehmen eingesetzt werden, ist die Bundesanstalt für Finanzdienstleistungsaufsicht zuständig.

Cybersicherheit und Tests unter Realbedingungen

• Bei Verdachtsfällen einer Nichteinhaltung KI-spezifischer Cybersicherheitsanforderungen informiert die nach Art. 52 Abs. 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde die jeweils nach dem KI-MIG zuständige Marktüberwachungsbehörde. Übergangsweise nimmt das Bundesamt für Sicherheit in der Informationstechnik (BSI) diese Aufgabe wahr. Die zuständige Marktüberwachungsbehörde prüft anschließend, ob sie Maßnahmen ergreift.
• Bei Tests von Hochrisiko-KI-Systemen unter Realbedingungen außerhalb eines KI-Reallabors ist ebenfalls die jeweils sachlich zuständige Marktüberwachungsbehörde zuständig. Sie prüft und genehmigt insbesondere den Testplan.

Datenschutzaufsicht und parallele Verfahren

Die Datenschutzaufsichtsbehörden des Bundes und der Länder sind nach § 9 Abs. 4 Nr. 1 KI-MIG grundsätzlich als einzubeziehende „sonstige Behörden“ genannt. Sie werden dadurch nicht allgemein zu Marktüberwachungsbehörden nach dem AI Act. Bei datenschutzrelevanten KI-Anwendungen können sie jedoch weiterhin aufgrund ihrer eigenen Befugnisse tätig werden. Dadurch können neben einem KI-rechtlichen Marktüberwachungsverfahren auch datenschutzrechtliche Verfahren nach der Datenschutz-Grundverordnung entstehen. Die Kooperation nach § 9 KI-MIG soll widersprüchliche Aufsicht vermeiden, enthält aber keine ausdrückliche Sanktionskoordination. Bei parallelen Verfahren wird deshalb insbesondere der Verhältnismäßigkeitsgrundsatz und gegebenenfalls das Verbot der Doppelbestrafung aus Art. 50 der Charta der Grundrechte der Europäischen Union zu beachten sein.

Offene Fragen für die Praxis

Abzuwarten bleib auch, ob die Zuständigkeitsstruktur in der Praxis zu unübersichtlichen Zuständigkeiten, divergierenden Auslegungen und Mehrfachbefassungen verschiedener Marktüberwachungsbehörden bei demselben KI-System führt.

Autor