---
title: "KI-MIG: Was das deutsche KI-Gesetz für Unternehmen bedeutet"
description: "Das KI-MIG führt den EU AI Act in Deutschland durch und ist seit 29. Juli 2026 in Kraft: Aufsicht, Sanktionen, Fristen und eine Checkliste in zehn Schritten für Ihr Unternehmen."
canonical: "https://simo-online.com/blog/ki-mig-deutschlands-ki-gesetz-unternehmen-2026"
---

# KI-MIG: Was das deutsche KI-Gesetz für Unternehmen bedeutet

Das KI-MIG führt den EU AI Act in Deutschland durch und ist seit 29. Juli 2026 in Kraft: Aufsicht, Sanktionen, Fristen und eine Checkliste in zehn Schritten für Ihr Unternehmen.

- Autor: SIMO GmbH
- Veröffentlicht: 2026-02-13
- Aktualisiert: 2026-10-07
- Thema: [Compliance & Regulierung](https://simo-online.com/blog/thema/compliance-regulierung)

Am 11. Februar 2026 hat das Bundeskabinett den Entwurf beschlossen, am 22. Juli 2026 wurde das Gesetz ausgefertigt: das KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG), verkündet im Bundesgesetzblatt 2026 I Nr. 223 und seit dem 29. Juli 2026 in Kraft. Es führt den EU AI Act in Deutschland durch; die Verordnung selbst gilt unmittelbar. Für Unternehmen heißt das: Zuständigkeiten, Sanktionen und Fristen stehen fest. Verstöße gegen verbotene Praktiken können Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes nach sich ziehen (Stand: Oktober 2026 · keine Rechtsberatung).

Dieser Beitrag erklärt, was das KI-MIG regelt, welche Behörden die Aufsicht übernehmen, welche Pflichten auf KMU zukommen und wie Sie sich mit einer 10-Schritte-Checkliste vorbereiten.

## Was ist das KI-MIG?

Das KI-MIG ist das nationale Durchführungsgesetz zum EU AI Act (Verordnung (EU) 2024/1689). Die EU-Verordnung gibt die Pflichten vor, das KI-MIG regelt, wer sie in Deutschland überwacht und wie Verstöße geahndet werden. Es regelt unter anderem:

- Welche Behörden für die Aufsicht zuständig sind
- Wie die Marktaufsicht organisiert wird
- Welche Sanktionen bei Verstößen greifen
- Wie die KI-Kompetenzanforderung umgesetzt wird
- Welche Erleichterungen für KMU gelten

## Zeitlicher Überblick

- Datum: August 2024 | Meilenstein: EU AI Act tritt in Kraft
- Datum: Februar 2025 | Meilenstein: KI-Kompetenzanforderung gilt (Art. 4 EU AI Act)
- Datum: Februar 2025 | Meilenstein: Verbotene KI-Praktiken greifen
- Datum: Juli 2026 | Meilenstein: KI-MIG verkündet (BGBl. 2026 I Nr. 223), in Kraft seit 29. Juli 2026
- Datum: Dezember 2027 | Meilenstein: Hochrisiko-Pflichten nach Anhang III werden wirksam (Verordnung (EU) 2026/1744)
- Datum: August 2028 | Meilenstein: Hochrisiko-Pflichten nach Anhang I werden wirksam

Der Zeitplan ist eng: Zwischen dem Inkrafttreten des KI-MIG im Juli 2026 und dem Wirksamwerden der Hochrisiko-Pflichten nach Anhang III im Dezember 2027 liegen rund 16 Monate.

## Welche Behörden übernehmen die Aufsicht?

Das KI-MIG legt eine mehrstufige Aufsichtsstruktur fest. Zentrale Marktüberwachungsbehörde ist die Bundesnetzagentur (BNetzA), soweit das Gesetz nichts anderes bestimmt (§ 2 Abs. 1 KI-MIG). Ihre Aufgaben umfassen:

## Bundesnetzagentur als KI-Aufsichtsbehörde

- Marktaufsicht: Überwachung von KI-Systemen auf dem deutschen Markt
- Konformitätsbewertung: Prüfung, ob Hochrisiko-KI-Systeme die Anforderungen erfüllen
- Beschwerdemanagement: Anlaufstelle für Bürger und Unternehmen
- Sandbox-Programme: Regulatorische Experimentierräume für innovative KI-Anwendungen
- Beratung: Unterstützung insbesondere für KMU bei der Umsetzung

## Weitere beteiligte Behörden

Neben der Bundesnetzagentur sind je nach Anwendungsbereich weitere Behörden involviert:

- Bundesamt für Sicherheit in der Informationstechnik (BSI): Cybersicherheitsaspekte von KI-Systemen
- Bundesdatenschutzbeauftragte: Datenschutzrechtliche Aspekte von KI
- Bundesanstalt für Arbeitsschutz und Arbeitsmedizin (BAuA): KI am Arbeitsplatz
- Sektorspezifische Aufsichtsbehörden: z. B. BaFin für Finanz-KI, Medizinprodukte-Behörden für Gesundheits-KI

Für Unternehmen bedeutet das: Je nach Branche und Anwendungsfall können mehrere Behörden zuständig sein. Eine frühzeitige Klärung der Zuständigkeiten spart Zeit und Ärger.

## Sanktionen: Bis zu 35 Millionen Euro oder 7 Prozent Jahresumsatz

Die Sanktionsstruktur des KI-MIG folgt dem EU AI Act und ist dreistufig aufgebaut:

## Stufe 1: Verbotene KI-Praktiken

Bußgeld: Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes (der höhere Wert gilt)

Verbotene Praktiken umfassen:

- Social Scoring durch öffentliche Stellen
- Biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen (mit Ausnahmen)
- Manipulation durch unterschwellige Techniken
- Ausnutzung von Vulnerabilitäten bestimmter Personengruppen
- KI-gestützte Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen

## Stufe 2: Hochrisiko-Verstöße

Bußgeld: Bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes (der höhere Wert gilt)

Hierunter fallen Verstöße gegen:

- Anforderungen an Hochrisiko-KI-Systeme (Datenqualität, Dokumentation, Konformitätsbewertung)
- Transparenzpflichten nach Artikel 50, einschließlich der Kennzeichnung KI-generierter Inhalte
- Meldepflichten bei schwerwiegenden Vorfällen

## Stufe 3: Falsche Angaben

Bußgeld: Bis zu 7,5 Millionen Euro oder 1 Prozent des weltweiten Jahresumsatzes (der höhere Wert gilt)

Hierunter fallen:

- Falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder zuständigen nationalen Behörden auf deren Anfrage
- Artikel 4 zur KI-Kompetenz ist nicht eigens bußgeldbewehrt (Stand: Oktober 2026 · keine Rechtsberatung)
- Für KMU und Start-ups gilt in jeder Stufe der niedrigere der beiden Beträge (Art. 99 Abs. 6)

## Besondere Regelung für KMU

Für KMU und Start-ups gilt eine Verhältnismäßigkeitsklausel: Die Sanktionen müssen in einem angemessenen Verhältnis zur Unternehmensgröße stehen. Das bedeutet nicht, dass KMU keine Bußgelder zahlen müssen. Es bedeutet, dass die konkrete Höhe an die wirtschaftliche Leistungsfähigkeit angepasst wird. Eine Garantie für milde Strafen ist das nicht.

## Hochrisiko-Pflichten ab Dezember 2027

Nach der Verordnung (EU) 2026/1744 müssen Anbieter und Betreiber von Hochrisiko-KI-Systemen nach Anhang III ab dem 2. Dezember 2027 umfangreiche Pflichten erfüllen, bei Systemen nach Anhang I ab dem 2. August 2028 (Stand: Oktober 2026 · keine Rechtsberatung). Hochrisiko-KI-Systeme sind solche, die in kritischen Bereichen eingesetzt werden.

## Was sind Hochrisiko-KI-Systeme?

Der EU AI Act definiert zwei Kategorien:

Kategorie 1: KI-Systeme, die als Sicherheitskomponente in regulierte Produkte integriert sind (z. B. Medizinprodukte, Maschinen, Aufzüge).

Kategorie 2: KI-Systeme in sensiblen Bereichen (Anhang III des EU AI Act):

- Biometrische Identifizierung und Kategorisierung
- Kritische Infrastruktur (Energie, Wasser, Verkehr)
- Bildung und Berufsausbildung
- Beschäftigung und Personalmanagement
- Zugang zu öffentlichen Dienstleistungen
- Strafverfolgung
- Migration und Grenzkontrolle
- Rechtspflege und demokratische Prozesse

## Pflichten für Anbieter von Hochrisiko-KI

- Risikomanagementsystem: Einrichtung eines kontinuierlichen Risikomanagementsystems über den gesamten Lebenszyklus
- Datenqualität: Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und fehlerfrei sein
- Technische Dokumentation: vollständige Unterlagen als Grundlage der Konformitätsbewertung
- Protokollierung: Automatische Aufzeichnung von Ereignissen während des Betriebs
- Transparenz: Bereitstellung von Informationen für Betreiber
- Menschliche Aufsicht: Menschen können das System wirksam überwachen
- Robustheit und Sicherheit: Angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit
- Konformitätsbewertung: Nachweis der Konformität vor dem Inverkehrbringen

## Pflichten für Betreiber von Hochrisiko-KI

Auch wer Hochrisiko-KI-Systeme nur einsetzt (nicht entwickelt), hat Pflichten:

- Bestimmungsgemäßer Einsatz gemäß Gebrauchsanweisung
- Gewährleistung der menschlichen Aufsicht
- Überwachung des Betriebs und Meldung von Vorfällen
- Durchführung einer Datenschutz-Folgenabschätzung
- Aufbewahrung der automatisch erzeugten Protokolle

## KI-Kompetenzanforderung seit Februar 2025

Seit dem 2. Februar 2025 gilt Artikel 4 des EU AI Act zur KI-Kompetenz. In der Fassung der Verordnung (EU) 2026/1744 verlangt er, dass Unternehmen, die KI-Systeme anbieten oder einsetzen, Maßnahmen ergreifen, um die KI-Kompetenz ihrer Beschäftigten zu unterstützen. Ein bestimmtes Kompetenzniveau schreibt er nicht mehr vor.

## Was gehört zur KI-Kompetenz?

Die Kompetenzanforderung ist nicht abstrakt. Sie bezieht sich auf die konkreten Aufgaben der Mitarbeitenden:

- Anwender: Müssen verstehen, wie das KI-System funktioniert, welche Grenzen es hat und wie sie Ergebnisse bewerten
- Führungskräfte: Müssen die strategischen Implikationen von KI-Einsatz einschätzen können
- IT-Personal: Muss die technischen Anforderungen an Sicherheit, Datenschutz und Dokumentation umsetzen können
- Datenschutzbeauftragte: Müssen die datenschutzrechtlichen Implikationen von KI bewerten können

## Dokumentationspflicht

Unternehmen sollten belegen können, welche Maßnahmen zur KI-Kompetenz sie ergriffen haben. Dazu gehören:

- Schulungsnachweise
- Dokumentation der Schulungsinhalte
- Regelmäßige Aktualisierung der Schulungen

Laut einer Analyse des KI-Trainingszentrums haben im Februar 2026, also ein Jahr nach Inkrafttreten der Pflicht, erst 23 Prozent der deutschen Unternehmen dokumentierte KI-Schulungsprogramme etabliert. Hier besteht dringender Nachholbedarf.

## Was KMU jetzt konkret tun müssen

Für kleine und mittlere Unternehmen stellt sich die Frage: Was genau müssen wir tun, und was können wir ignorieren? Die Antwort hängt davon ab, wie Sie KI einsetzen.

## Szenario 1: Sie nutzen Standard-KI-Tools

Wenn Sie KI-Tools wie ChatGPT, Copilot oder Bildgeneratoren als reine Anwender nutzen, sind Ihre Pflichten überschaubar:

- Maßnahmen zur KI-Kompetenz der Mitarbeitenden ergreifen (Artikel 4, seit Februar 2025)
- Interne Nutzungsrichtlinien erstellen
- Transparenz gegenüber Kunden wahren (z. B. KI-generierte Inhalte kennzeichnen)

## Szenario 2: Sie integrieren KI in Ihre Geschäftsprozesse

Wenn Sie KI in Ihre Workflows einbauen, etwa für Angebotskalkulation, Kundensegmentierung oder Prozessautomatisierung:

- Zusätzlich: KI-Inventar führen (welche KI-Systeme setzen Sie wo ein?)
- Risikoklassifizierung vornehmen (General Purpose, Limited Risk, High Risk)
- Datenschutz-Folgenabschätzung durchführen
- Verträge mit KI-Anbietern prüfen

## Szenario 3: Sie entwickeln eigene KI-Lösungen

Wenn Sie selbst KI-Systeme entwickeln und anbieten:

- Volle Compliance mit dem EU AI Act, je nach Risikoklasse
- Technische Dokumentation erstellen
- Konformitätsbewertung durchführen
- CE-Kennzeichnung (bei Hochrisiko)

## Checkliste: 10 Schritte zur KI-MIG-Compliance

## Schritt 1: KI-Inventar erstellen

Listen Sie alle KI-Systeme auf, die Sie einsetzen oder entwickeln. Kategorisieren Sie sie nach Einsatzbereich, Anbieter und Risikoklasse. Viele Unternehmen sind überrascht, wie viele KI-Systeme bereits im Einsatz sind, von der automatischen E-Mail-Sortierung bis zum Chatbot auf der Website.

## Schritt 2: Risikoklassifizierung vornehmen

Ordnen Sie jedes KI-System einer Risikoklasse zu: verboten, Hochrisiko, Limited Risk oder Minimal Risk. Nutzen Sie die Definitionen des EU AI Act (Anhang I und III) als Grundlage.

## Schritt 3: Verbotene Praktiken ausschließen

Prüfen Sie, ob eines Ihrer KI-Systeme unter die verbotenen Praktiken fällt. Wenn ja: sofort abschalten. Das Risiko ist zu hoch.

## Schritt 4: KI-Kompetenz fördern

Planen und dokumentieren Sie Schulungsmaßnahmen für alle Mitarbeitenden, die mit KI-Systemen arbeiten. Differenzieren Sie nach Rollen (Anwender, Führungskräfte, IT).

## Schritt 5: Interne KI-Richtlinie erstellen

Erstellen Sie eine unternehmensinterne KI-Richtlinie, die regelt: Welche KI-Tools dürfen genutzt werden? Welche Daten dürfen in KI-Systeme eingegeben werden? Wer genehmigt neue KI-Anwendungen?

## Schritt 6: Datenschutz-Folgenabschätzung durchführen

Für KI-Systeme, die personenbezogene Daten mit voraussichtlich hohem Risiko verarbeiten, ist eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich. Betreiber von Hochrisiko-KI-Systemen nutzen dafür die Informationen, die der Anbieter nach dem EU AI Act bereitstellen muss.

## Schritt 7: Technische Dokumentation aufbauen

Beginnen Sie mit der Dokumentation Ihrer KI-Systeme: Datenquellen, Trainingsdaten, Modellarchitektur, Einsatzszenarien, bekannte Einschränkungen. Für Hochrisiko-KI-Systeme ist das ab dem 2. Dezember 2027 Pflicht.

## Schritt 8: Anbieterverträge prüfen

Prüfen Sie die Verträge mit Ihren KI-Anbietern: Wer ist verantwortlich für Compliance? Wo werden Daten verarbeitet? Gibt es Zertifizierungen? Regeln Sie die Aufgabenverteilung klar.

## Schritt 9: Überwachung und Meldeprozesse einrichten

Etablieren Sie Prozesse für die laufende Überwachung Ihrer KI-Systeme und für die Meldung schwerwiegender Vorfälle an die zuständige Aufsichtsbehörde.

## Schritt 10: Regelmäßige Reviews planen

KI-Governance ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Planen Sie quartalweise Reviews ein, um Ihre KI-Inventur zu aktualisieren, neue Risiken zu bewerten und Schulungsmaßnahmen anzupassen.

## Häufig gestellte Fragen (FAQ)

## Gilt das KI-MIG auch für Einzelunternehmen und Freelancer?

Ja. Die Pflichten aus dem EU AI Act gelten für alle Anbieter und Betreiber von KI-Systemen, unabhängig von der Unternehmensgröße; das KI-MIG regelt ihre Aufsicht. Die praktischen Pflichten sind abgestuft: Wer nur Standard-KI-Werkzeuge als Anwender nutzt, muss vor allem Maßnahmen zur KI-Kompetenz ergreifen und die Transparenzpflichten beachten.

## Müssen wir jetzt alle KI-Tools abschalten?

Nein. Der EU AI Act verbietet nur eine eng definierte Liste von KI-Praktiken (Social Scoring, Manipulation, bestimmte biometrische Anwendungen). Die meisten geschäftlichen KI-Anwendungen bleiben erlaubt, müssen aber die Anforderungen ihrer Risikoklasse erfüllen.

## Wer kontrolliert die Einhaltung?

Die Bundesnetzagentur als nationale KI-Aufsichtsbehörde. Sie kann Audits durchführen, Informationen anfordern und bei Verstößen Sanktionen verhängen. Zusätzlich können sektorspezifische Behörden tätig werden.

## Wie verhält sich das KI-MIG zur DSGVO?

Das KI-MIG und der EU AI Act ergänzen die DSGVO. Wo KI-Systeme personenbezogene Daten verarbeiten, gelten beide Regelwerke parallel. Die Datenschutz-Folgenabschätzung nach DSGVO bleibt bestehen. Unternehmen sollten beide Anforderungen gemeinsam betrachten.

## Gibt es Förderungen für KI-Compliance?

Ja. Mehrere Bundesländer bieten Förderprogramme für Digitalisierung an, die auch KI-Compliance-Maßnahmen abdecken. In Bayern beispielsweise der Digitalbonus. Informieren Sie sich bei Ihrer IHK oder dem zuständigen Landesministerium.

## Quellenverweise

- Cortina Consult: KI-MIG Gesetz – [https://cortina-consult.com/ki-compliance/wissen/ki-mig-gesetz/](https://cortina-consult.com/ki-compliance/wissen/ki-mig-gesetz/)
- Cortina Consult: AI Governance – [https://cortina-consult.com/ki-compliance/wissen/ai-governance/](https://cortina-consult.com/ki-compliance/wissen/ai-governance/)
- KI-Trainingszentrum: EU AI Act Mitarbeiterschulungen 2026 – [https://ki-trainingszentrum.com/eu-ai-act-mitarbeiter-schulungen-fuer-unternehmen-2026/](https://ki-trainingszentrum.com/eu-ai-act-mitarbeiter-schulungen-fuer-unternehmen-2026/)
- Advisori: NIS2, KI und AI Governance-Pflicht – [https://www.advisori.de/blog/nis2-ki-ai-governance-pflicht](https://www.advisori.de/blog/nis2-ki-ai-governance-pflicht)

Dargestellte Fassung: https://simo-online.com/blog/ki-mig-deutschlands-ki-gesetz-unternehmen-2026