KI-MIG 2026: Was Deutschlands KI-Gesetz für Unternehmen bedeutet

Am 11. Februar 2026 hat das Bundeskabinett das KI-Maßnahmen-und-Implementierungsgesetz (KI-MIG) beschlossen. Damit wird der EU AI Act in nationales Recht umgesetzt. Für Unternehmen bedeutet das: Die Zeit der abstrakten Diskussion ist vorbei. Konkrete Pflichten, harte Sanktionen und klare Fristen stehen fest. Wer jetzt nicht handelt, riskiert Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Dieser Beitrag erklärt, was das KI-MIG regelt, welche Behörden die Aufsicht übernehmen, welche Pflichten auf KMU zukommen und wie Sie sich mit einer 10-Schritte-Checkliste vorbereiten.

Was ist das KI-MIG?

Das KI-MIG ist das nationale Durchführungsgesetz zum EU AI Act (Verordnung (EU) 2024/1689). Während die EU-Verordnung den europäischen Rahmen vorgibt, regelt das KI-MIG die konkrete Umsetzung in Deutschland. Es definiert unter anderem:

• Welche Behörden für die Aufsicht zuständig sind
• Wie die Marktaufsicht organisiert wird
• Welche Sanktionen bei Verstößen greifen
• Wie die KI-Kompetenzanforderung umgesetzt wird
• Welche Erleichterungen für KMU gelten

Zeitlicher Überblick

• Datum: August 2024 | Meilenstein: EU AI Act tritt in Kraft
• Datum: Februar 2025 | Meilenstein: KI-Kompetenzanforderung gilt (Art. 4 EU AI Act)
• Datum: Februar 2025 | Meilenstein: Verbotene KI-Praktiken greifen
• Datum: Februar 2026 | Meilenstein: Kabinettsbeschluss KI-MIG
• Datum: August 2026 | Meilenstein: Hochrisiko-Pflichten werden wirksam
• Datum: August 2027 | Meilenstein: Volle Anwendbarkeit aller EU AI Act Vorschriften

Der Zeitdruck ist real: Zwischen dem Kabinettsbeschluss im Februar 2026 und dem Wirksamwerden der Hochrisiko-Pflichten im August 2026 liegen nur sechs Monate.

Welche Behörden übernehmen die Aufsicht?

Das KI-MIG etabliert eine mehrstufige Aufsichtsstruktur. Die zentrale Behörde ist die Bundesnetzagentur (BNetzA), die als nationale KI-Aufsichtsbehörde fungiert. Ihre Aufgaben umfassen:

Bundesnetzagentur als KI-Aufsichtsbehörde

• Marktaufsicht: Überwachung von KI-Systemen auf dem deutschen Markt
• Konformitätsbewertung: Prüfung, ob Hochrisiko-KI-Systeme die Anforderungen erfüllen
• Beschwerdemanagement: Anlaufstelle für Bürger und Unternehmen
• Sandbox-Programme: Regulatorische Experimentierräume für innovative KI-Anwendungen
• Beratung: Unterstützung insbesondere für KMU bei der Umsetzung

Weitere beteiligte Behörden

Neben der Bundesnetzagentur sind je nach Anwendungsbereich weitere Behörden involviert:

• Bundesamt für Sicherheit in der Informationstechnik (BSI): Cybersicherheitsaspekte von KI-Systemen
• Bundesdatenschutzbeauftragte: Datenschutzrechtliche Aspekte von KI
• Bundesanstalt für Arbeitsschutz und Arbeitsmedizin (BAuA): KI am Arbeitsplatz
• Sektorspezifische Aufsichtsbehörden: z.B. BaFin für Finanz-KI, Medizinprodukte-Behörden für Gesundheits-KI

Für Unternehmen bedeutet das: Je nach Branche und Anwendungsfall können mehrere Behörden zuständig sein. Eine frühzeitige Klärung der Zuständigkeiten spart Zeit und Ärger.

Sanktionen: Bis zu 35 Millionen Euro oder 7 Prozent Jahresumsatz

Die Sanktionsstruktur des KI-MIG folgt dem EU AI Act und ist dreistufig aufgebaut:

Stufe 1: Verbotene KI-Praktiken

Bußgeld: Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes (der höhere Wert gilt)

Verbotene Praktiken umfassen:

• Social Scoring durch öffentliche Stellen
• Biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen (mit Ausnahmen)
• Manipulation durch unterschwellige Techniken
• Ausnutzung von Vulnerabilitäten bestimmter Personengruppen
• KI-gestützte Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen

Stufe 2: Hochrisiko-Verstöße

Bußgeld: Bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes

Hierunter fallen Verstöße gegen:

• Anforderungen an Hochrisiko-KI-Systeme (Datenqualität, Dokumentation, Transparenz)
• Konformitätsbewertungsverfahren
• Meldepflichten bei schwerwiegenden Vorfällen

Stufe 3: Sonstige Verstöße

Bußgeld: Bis zu 7,5 Millionen Euro oder 1,5 Prozent des Jahresumsatzes

Hierunter fallen:

• Verstöße gegen Transparenzpflichten
• Fehlende KI-Kompetenz der Mitarbeitenden
• Unzureichende Kennzeichnung von KI-generierten Inhalten

Besondere Regelung für KMU

Für KMU und Start-ups gilt eine Verhältnismäßigkeitsklausel: Die Sanktionen müssen in einem angemessenen Verhältnis zur Unternehmensgröße stehen. Das bedeutet nicht, dass KMU keine Bußgelder zahlen müssen. Es bedeutet, dass die konkrete Höhe an die wirtschaftliche Leistungsfähigkeit angepasst wird. Eine Garantie für milde Strafen ist das nicht.

Hochrisiko-Pflichten ab August 2026

Ab dem 2. August 2026 müssen Anbieter und Betreiber von Hochrisiko-KI-Systemen umfangreiche Pflichten erfüllen. Hochrisiko-KI-Systeme sind solche, die in kritischen Bereichen eingesetzt werden.

Was sind Hochrisiko-KI-Systeme?

Der EU AI Act definiert zwei Kategorien:

Kategorie 1: KI-Systeme, die als Sicherheitskomponente in regulierte Produkte integriert sind (z.B. Medizinprodukte, Maschinen, Aufzüge).

Kategorie 2: KI-Systeme in sensiblen Bereichen (Anhang III des EU AI Act):

• Biometrische Identifizierung und Kategorisierung
• Kritische Infrastruktur (Energie, Wasser, Verkehr)
• Bildung und Berufsausbildung
• Beschäftigung und Personalmanagement
• Zugang zu öffentlichen Dienstleistungen
• Strafverfolgung
• Migration und Grenzkontrolle
• Rechtspflege und demokratische Prozesse

Pflichten für Anbieter von Hochrisiko-KI

• Risikomanagementsystem: Einrichtung eines kontinuierlichen Risikomanagementsystems über den gesamten Lebenszyklus
• Datenqualität: Sicherstellung, dass Trainings-, Validierungs- und Testdaten relevant, repräsentativ und fehlerfrei sind
• Technische Dokumentation: Umfassende Dokumentation, die eine Konformitätsbewertung ermöglicht
• Protokollierung: Automatische Aufzeichnung von Ereignissen während des Betriebs
• Transparenz: Bereitstellung von Informationen für Betreiber
• Menschliche Aufsicht: Sicherstellung, dass Menschen das System effektiv überwachen können
• Robustheit und Sicherheit: Angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit
• Konformitätsbewertung: Nachweis der Konformität vor dem Inverkehrbringen

Pflichten für Betreiber von Hochrisiko-KI

Auch wer Hochrisiko-KI-Systeme nur einsetzt (nicht entwickelt), hat Pflichten:

• Bestimmungsgemäßer Einsatz gemäß Gebrauchsanweisung
• Sicherstellung der menschlichen Aufsicht
• Überwachung des Betriebs und Meldung von Vorfällen
• Durchführung einer Datenschutz-Folgenabschätzung
• Aufbewahrung der automatisch erzeugten Protokolle

KI-Kompetenzanforderung seit Februar 2025

Bereits seit dem 2. Februar 2025 gilt die KI-Kompetenzanforderung aus Artikel 4 des EU AI Act. Diese verpflichtet alle Unternehmen, die KI-Systeme anbieten oder einsetzen, sicherzustellen, dass ihre Mitarbeitenden über ausreichende KI-Kompetenz verfügen.

Was bedeutet „ausreichende KI-Kompetenz“?

Die Kompetenzanforderung ist nicht abstrakt. Sie bezieht sich auf die konkreten Aufgaben der Mitarbeitenden:

• Anwender: Müssen verstehen, wie das KI-System funktioniert, welche Grenzen es hat und wie sie Ergebnisse bewerten
• Führungskräfte: Müssen die strategischen Implikationen von KI-Einsatz einschätzen können
• IT-Personal: Muss die technischen Anforderungen an Sicherheit, Datenschutz und Dokumentation umsetzen können
• Datenschutzbeauftragte: Müssen die datenschutzrechtlichen Implikationen von KI bewerten können

Dokumentationspflicht

Unternehmen müssen nachweisen können, dass sie Maßnahmen zur Sicherstellung der KI-Kompetenz ergriffen haben. Dazu gehören:

• Schulungsnachweise
• Dokumentation der Schulungsinhalte
• Regelmäßige Aktualisierung der Schulungen

Laut einer Analyse des KI-Trainingszentrums haben im Februar 2026, also ein Jahr nach Inkrafttreten der Pflicht, erst 23 Prozent der deutschen Unternehmen dokumentierte KI-Schulungsprogramme etabliert. Hier besteht dringender Nachholbedarf.

Was KMU jetzt konkret tun müssen

Für kleine und mittlere Unternehmen stellt sich die Frage: Was genau müssen wir tun, und was können wir ignorieren? Die Antwort hängt davon ab, wie Sie KI einsetzen.

Szenario 1: Sie nutzen Standard-KI-Tools

Wenn Sie KI-Tools wie ChatGPT, Copilot oder Bildgeneratoren als reine Anwender nutzen, sind Ihre Pflichten überschaubar:

• KI-Kompetenz der Mitarbeitenden sicherstellen (seit Februar 2025 Pflicht)
• Interne Nutzungsrichtlinien erstellen
• Transparenz gegenüber Kunden wahren (z.B. KI-generierte Inhalte kennzeichnen)

Szenario 2: Sie integrieren KI in Ihre Geschäftsprozesse

Wenn Sie KI in Ihre Workflows einbauen, etwa für Angebotskalkulation, Kundensegmentierung oder Prozessautomatisierung:

• Zusätzlich: KI-Inventar führen (welche KI-Systeme setzen Sie wo ein?)
• Risikoklassifizierung vornehmen (General Purpose, Limited Risk, High Risk)
• Datenschutz-Folgenabschätzung durchführen
• Verträge mit KI-Anbietern prüfen

Szenario 3: Sie entwickeln eigene KI-Lösungen

Wenn Sie selbst KI-Systeme entwickeln und anbieten:

• Volle Compliance mit dem EU AI Act, je nach Risikoklasse
• Technische Dokumentation erstellen
• Konformitätsbewertung durchführen
• CE-Kennzeichnung (bei Hochrisiko)

Checkliste: 10 Schritte zur KI-MIG-Compliance

Schritt 1: KI-Inventar erstellen

Listen Sie alle KI-Systeme auf, die Sie einsetzen oder entwickeln. Kategorisieren Sie sie nach Einsatzbereich, Anbieter und Risikoklasse. Viele Unternehmen sind überrascht, wie viele KI-Systeme bereits im Einsatz sind, von der automatischen E-Mail-Sortierung bis zum Chatbot auf der Website.

Schritt 2: Risikoklassifizierung vornehmen

Ordnen Sie jedes KI-System einer Risikoklasse zu: verboten, Hochrisiko, Limited Risk oder Minimal Risk. Nutzen Sie die Definitionen des EU AI Act (Anhang I und III) als Grundlage.

Schritt 3: Verbotene Praktiken ausschließen

Prüfen Sie, ob eines Ihrer KI-Systeme unter die verbotenen Praktiken fällt. Wenn ja: sofort abschalten. Das Risiko ist zu hoch.

Schritt 4: KI-Kompetenz sicherstellen

Planen und dokumentieren Sie Schulungsmaßnahmen für alle Mitarbeitenden, die mit KI-Systemen arbeiten. Differenzieren Sie nach Rollen (Anwender, Führungskräfte, IT).

Schritt 5: Interne KI-Richtlinie erstellen

Erstellen Sie eine unternehmensinterne KI-Richtlinie, die regelt: Welche KI-Tools dürfen genutzt werden? Welche Daten dürfen in KI-Systeme eingegeben werden? Wer genehmigt neue KI-Anwendungen?

Schritt 6: Datenschutz-Folgenabschätzung durchführen

Für jedes KI-System, das personenbezogene Daten verarbeitet, ist eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO erforderlich. Das KI-MIG verstärkt diese Anforderung.

Schritt 7: Technische Dokumentation aufbauen

Beginnen Sie mit der Dokumentation Ihrer KI-Systeme: Datenquellen, Trainingsdaten, Modellarchitektur, Einsatzszenarien, bekannte Einschränkungen. Für Hochrisiko-Systeme ist dies ab August 2026 Pflicht.

Schritt 8: Anbieterverträge prüfen

Prüfen Sie die Verträge mit Ihren KI-Anbietern: Wer ist verantwortlich für Compliance? Wo werden Daten verarbeitet? Gibt es Zertifizierungen? Stellen Sie sicher, dass die Aufgabenverteilung klar geregelt ist.

Schritt 9: Überwachung und Meldeprozesse einrichten

Etablieren Sie Prozesse für die laufende Überwachung Ihrer KI-Systeme und für die Meldung schwerwiegender Vorfälle an die zuständige Aufsichtsbehörde.

Schritt 10: Regelmäßige Reviews planen

KI-Governance ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Planen Sie quartalweise Reviews ein, um Ihre KI-Inventur zu aktualisieren, neue Risiken zu bewerten und Schulungsmaßnahmen anzupassen.

Häufig gestellte Fragen (FAQ)

Gilt das KI-MIG auch für Einzelunternehmen und Freelancer?

Ja. Das KI-MIG gilt für alle Anbieter und Betreiber von KI-Systemen, unabhängig von der Unternehmensgröße. Allerdings sind die praktischen Pflichten abgestuft: Wer nur Standard-KI-Tools als Anwender nutzt, muss vor allem die KI-Kompetenzanforderung erfüllen und Transparenzpflichten beachten.

Müssen wir jetzt alle KI-Tools abschalten?

Nein. Das KI-MIG verbietet nur eine eng definierte Liste von KI-Praktiken (Social Scoring, Manipulation, bestimmte biometrische Anwendungen). Die allermeisten geschäftlichen KI-Anwendungen sind weiterhin erlaubt, müssen aber die jeweiligen Anforderungen ihrer Risikoklasse erfüllen.

Wer kontrolliert die Einhaltung?

Die Bundesnetzagentur als nationale KI-Aufsichtsbehörde. Sie kann Audits durchführen, Informationen anfordern und bei Verstößen Sanktionen verhängen. Zusätzlich können sektorspezifische Behörden tätig werden.

Wie verhält sich das KI-MIG zur DSGVO?

Das KI-MIG ergänzt die DSGVO. Wo KI-Systeme personenbezogene Daten verarbeiten, gelten beide Regelwerke parallel. Die Datenschutz-Folgenabschätzung nach DSGVO bleibt unverändert bestehen. Unternehmen müssen beide Compliance-Anforderungen integriert betrachten.

Gibt es Förderungen für KI-Compliance?

Ja. Mehrere Bundesländer bieten Förderprogramme für Digitalisierung an, die auch KI-Compliance-Maßnahmen abdecken. In Bayern beispielsweise der Digitalbonus. Informieren Sie sich bei Ihrer IHK oder dem zuständigen Landesministerium.

Quellenverweise

• Cortina Consult: KI-MIG Gesetz – https://cortina-consult.com/ki-compliance/wissen/ki-mig-gesetz/
• Cortina Consult: AI Governance – https://cortina-consult.com/ki-compliance/wissen/ai-governance/
• KI-Trainingszentrum: EU AI Act Mitarbeiterschulungen 2026 – https://ki-trainingszentrum.com/eu-ai-act-mitarbeiter-schulungen-fuer-unternehmen-2026/
• Advisori: NIS2, KI und AI Governance-Pflicht – https://www.advisori.de/blog/nis2-ki-ai-governance-pflicht