Die EU-KI-Verordnung ist bereits in Kraft, doch Deutschland hat eine zentrale Vorgabe nicht fristgerecht erfüllt: Bis spätestens 2. August 2025 hätten die Mitgliedstaaten eine zuständige Marktüberwachungsbehörde benennen müssen. Diese Aufgabe ist in Deutschland bislang ungelöst – mit spürbaren Folgen für Unternehmen, Behörden und den Innovationsstandort.
Aufgaben einer Marktüberwachungsbehörde nach der KI-VO
Gemäß Artikel 70 Absatz 1 der KI-Verordnung müssen die Mitgliedstaaten eine Behörde bestimmen, die als zentrale Anlaufstelle fungiert und die Einhaltung der Verordnung überwacht. Dies umfasst insbesondere den Schutz der Grundrechte, der Sicherheit und der Freiheiten der Bürgerinnen und Bürger vor potenziellen Risiken, die von KI-Systemen ausgehen. Neben der Aufsicht übernimmt diese Behörde auch eine beratende Funktion für Organisationen, die von den Pflichten der Verordnung betroffen sind. Da sich bewährte Vorgehensweisen („Best Practices“) noch im Aufbau befinden, ist dieser Ansprechpartner besonders wichtig. Verstöße können gravierende Konsequenzen haben: Geldbußen von bis zu 35 Millionen Euro oder bis zu 7 Prozent des weltweiten Jahresumsatzes sind möglich.
Thomas Fuchs, Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit, kritisierte, dass Unternehmen und Behörden durch das Fehlen einer solchen Stelle derzeit ohne verbindliche Orientierung dastehen. Dies sei nicht nur ein praktisches Problem, sondern auch ein Wettbewerbsnachteil für den KI-Standort Deutschland.
Warum die Benennung bislang ausbleibt
Zwar gilt als wahrscheinlich, dass die Bundesnetzagentur künftig diese Rolle übernehmen wird. Voraussetzung dafür ist jedoch das Inkrafttreten des geplanten Gesetzes zur Durchführung der KI-Verordnung – des sogenannten KI-Marktüberwachungsgesetzes (KIMÜG). Dieses sieht explizit vor, die Bundesnetzagentur als zuständige Marktüberwachungsbehörde zu benennen.
Ein erster Gesetzesentwurf lag bereits unter der vorherigen Bundesregierung vor, wurde jedoch nicht mehr verabschiedet. Nach dem Regierungswechsel müssen die Abstimmungen neu geführt werden. Das Bundesministerium für Digitalisierung und Staatsmodernisierung hatte bereits angekündigt, dass die Frist bis zum 2. August 2025 nicht eingehalten werden könne. Hinzu kam, dass lange unklar war, ob nicht auch Datenschutzaufsichtsbehörden für diese Funktion in Frage kommen würden.
Dringender Handlungsbedarf
Das Ausbleiben der gesetzlichen Regelung birgt mehrere Risiken: Zum einen könnte die EU-Kommission ein Vertragsverletzungsverfahren einleiten. Zum anderen bleibt für Unternehmen und Behörden eine erhebliche Rechtsunsicherheit bestehen.
Zwar hat die Bundesnetzagentur bereits einen „KI-Service Desk“ eingerichtet und scheint organisatorisch auf die neuen Aufgaben vorbereitet zu sein. Dennoch kann sie ihre Rolle als Marktüberwachungsbehörde erst offiziell ausfüllen, wenn das KIMÜG in Kraft tritt. Der Gesetzgeber ist daher gefordert, den Prozess unverzüglich abzuschließen.