Neue Verwaltungsstrukturen zur Durchführung der KI-VO: e pluribus unum?
- Zum Gesetzentwurf der Bundesregierung vom 10. Februar 2026 -
Von Cristina Fraenkel-Haeberle, Speyer
Die KI-Verordnung (Verordnung (EU) 2024/1689) ist am 13. Juni 2024 in Kraft getreten. Sie schafft auf der Grundlage eines risikobasierten Ansatzes einen einheitlichen Rechtsrahmen für die Entwicklung und Nutzung von Systemen künstlicher Intelligenz (KI-Systemen) in der Europäischen Union. Die Bestimmungen der Verordnung gelten grundsätzlich ab dem 2. August 2026 (Art. 113 KI-VO). Zu ihrer Durchführung musste jedoch jeder Mitgliedstaat bis zum 2. August 2025 neue Verwaltungsstrukturen einrichten (Art. 70 Abs. 2 KI-VO).
Deutsches Recht und Unionsrecht im Spannungsfeld
Nach Art. 70 Abs. 1 KI-VO haben die Mitgliedstaaten „mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde“ einzurichten oder zu benennen, denen umfassende Aufsichtsbefugnisse, einschließlich des „uneingeschränkten Zugang zur Dokumentation sowie zu den für die Entwicklung von Hochrisiko-KI-Systemen verwendeten Trainings-, Validierungs- und Testdatensätzen“ (Art. 74 Abs. 12 KI-VO), eingeräumt werden.
Die Umsetzung dieser Bestimmungen im deutschen Bundesstaat hat verschiedene Rechtsfragen aufgeworfen. Eine davon betraf die Einbindung dieser Behörden in die ministerielle Organisation sowie die mögliche Beteiligung der Länder, die – als Hauptakteure des deutschen Vollzugsföderalismus – KI-Systeme in ihren eigenen Verwaltungen einsetzen. Vor diesem Hintergrund wurde argumentiert, dass eine vollständige Bündelung der Regulierungsaufgaben auf Bundesebene den Abschluss eines Staatsvertrags erfordern würde.1
Auch die Frage, welche Behörde am besten geeignet sei, die in der Verordnung umrissenen Aufgaben wahrzunehmen, war Gegenstand intensiver Diskussionen. Die bevorzugte Lösung schien in der Zentralisierung dieser Aufgaben bei der Bundesnetzagentur (BNetzA) zu liegen.2 Als Alternative wurden auch die Datenschutzbehörden in Betracht gezogen, da sich KI-bezogene Fragestellungen häufig mit datenschutzrechtlichen Aspekten überschneiden, sowie die Einrichtung einer Behörde sui generis.3
Der zweite Diskussionsgegenstand betraf den Umfang der autonomen Befugnisse dieser Behörden. Es ging auch um die Frage, ob sie zur Erfüllung der in Art. 70 Abs. 1 KI-VO genannten Anforderungen – Unabhängigkeit, Unparteilichkeit und Unvoreingenommenheit – außerhalb des Bereichs der traditionellen Verwaltung und der demokratischen Legitimationskette vollständige Unabhängigkeit genießen dürfen.4 In diesem Zusammenhang wurde darauf hingewiesen, dass die KI-Verordnung im Unterschied zum Digital Services Act (DSA) lediglich eine „unabhängige Aufgabenerfüllung“ verlangt. Sie erfordert aber keine „vollständige Unabhängigkeit“ der zuständigen Behörden. Ein hohes Maß an institutioneller Unabhängigkeit sei für die Gewährleistung der Neutralität der demokratischen Willensbildung in Bereichen wie dem DSA erforderlich. Im Fall der KI-Verordnung erscheine es jedoch weniger unerlässlich.5
Die vom Regierungsentwurf vorgeschlagene Lösung
Die deutsche Regierung hat vor wenigen Tagen den einschlägigen Gesetzentwurf vom 10. Februar 2026 veröffentlicht. Der organisatorische Schwerpunkt liegt auf einer zentral gesteuerten Umsetzung der KI-Verordnung. Hierzu soll bei der BNetzA ein Koordinierungszentrum eingerichtet werden, das sämtliche Marktüberwachungs- und notifizierenden Behörden bei der Wahrnehmung ihrer Aufgaben aus der KI-Verordnung unterstützt. Auf diese Weise wird die vorhandene KI-Expertise zentral gebündelt und den zuständigen Behörden bei Bedarf ressourcenschonend zur Verfügung gestellt. Behörden, die bereits in vollharmonisierten Bereichen der Produktregulierung als Marktüberwachungs- oder notifizierende Behörden tätig sind, sollen diese Aufgaben auch im Anwendungsbereich der KI-Verordnung übernehmen. Damit werden bestehende Strukturen genutzt und die Entstehung von Doppelstrukturen vermieden. Die Fachkompetenz anderer Behörden – insbesondere des Bundesamts für Sicherheit in der Informationstechnik (BSI), des Bundeskartellamts sowie der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit – wird im Rahmen ihrer jeweiligen Zuständigkeitsbereiche einbezogen.
Zentral mit Augenmaß: Deutschlands institutionelle Antwort auf die KI-VO
Im Rahmen der Überlegungen zur Marktüberwachung wurde geprüft, ob für alle KI-Systeme eine zentrale Behörde geschaffen werden soll – gegebenenfalls auf Grundlage eines Staatsvertrags – oder ob die Überwachung in allen Bereichen auf Länderebene erfolgen kann. Gegen die erstgenannte Option sprachen insbesondere zeitliche Gründe, da ein entsprechendes Verfahren innerhalb der gesetzlich vorgesehenen Durchführungsfrist nicht hätte abgeschlossen werden können. Gegen die zweite Alternative wurde geltend gemacht, dass eine möglichst einheitliche Anwendung der KI-Verordnung Voraussetzung für Rechtssicherheit und eine kohärente Rechtsanwendung ist. Die Bundesregierung geht daher davon aus, dass diese Ziele am besten durch einen Ansatz erreicht werden können, der die Nutzung bestehender Strukturen mit der Schaffung einer neuen zentralen Zuständigkeit bei der Bundesnetzagentur verbindet. Angesichts des Wortlauts von Art. 74 Abs. 8 KI-VO wäre es grundsätzlich möglich gewesen, die Aufgabe der Marktüberwachung einer bereits bestehenden Behörde – etwa dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit – zu übertragen. Dagegen sprach jedoch, dass eine Aufteilung der Zuständigkeiten auf mehrere Behörden erhebliche Abgrenzungsprobleme mit sich bringen könnte. Diese würden zu unklaren Verantwortlichkeiten sowie unterschiedlichen Auslegungen der KI-VO gegenüber Unternehmen und Verwaltungen führen. Eine solche Gefahr bestünde insbesondere bei einer Beteiligung der Datenschutzaufsichtsbehörden, deren Tätigkeit primär auf den Grundrechtsschutz ausgerichtet ist und die über keine Erfahrung im Bereich der Produktregulierung verfügen. Zudem wurde auf den absehbaren Mangel an KI-Fachkräften hingewiesen: Würde die Marktüberwachung auf verschiedene Behörden verteilt, müssten diese um knapp verfügbare Ressourcen konkurrieren und jeweils eigene Fachkompetenzen aufbauen – was von der Bundesregierung als ineffizient und unwirtschaftlich bewertet wird.
Dieses Beispiel verdeutlicht insgesamt den vom Unionsrecht ausgehenden Zentralisierungsdruck, der jedoch im deutschen Bundesstaat mit einem kooperativen Einbezug bestehender Fachstrukturen verbunden wird. Vor diesem Hintergrund erscheint die gewählte Lösung unions- und verfassungsrechtlich tragfähig. Es bleibt abzuwarten, welche justierenden Anpassungen im weiteren parlamentarischen Verfahren noch vorgenommen werden.
1 David Roth-Isigkeit, Der neue Rechtsrahmen für Künstliche Intelligenz in der Europäischen Union, KIR 2024, 19.
2 Roth-Isigkeit (Fn. 1), KIR 2024, 19.
3 Johann Justus Vasel, Sieben Sünden und Defizite europäischer KI-Regulierung, EuZW 2024, 833.
4 Stephan Korte, Verfassungsrechtliche Regelungsaufträge im Bereich der Digitalisierten Verwaltung, DÖV 2024, 773.