Nationale KI-Aufsicht Deutschland: Definition und rechtliche Bedeutung (AI Act / Data Act)

Deutschland setzt den AI Act nicht über eine zentrale KI-Aufsicht um, sondern über das bestehende föderale Marktüberwachungsgefüge: Bund und Länder teilen sich die Zuständigkeiten. Sektoral zuständig sind etwa das BSI (IT-Sicherheit, kritische Infrastruktur), die BAFin (Finanzdienstleistungen), das BVL/BfArM (Medizinprodukte), die Bundesnetzagentur (Netze), die Gewerbeaufsichtsämter der Länder (Arbeitsschutz) und die Datenschutzaufsichten (BfDI, Landesdatenschutzbeauftragte). Das BMI/BMDV steuert die KI-Politik, das Kanzleramt die Digitalstrategie. Für Anbieter bedeutet das: je nach Sektor und Bundesland können mehrere Behörden zuständig sein.

Die nationalen Durchführungs- und Sanktionsregeln (Bußgeldhöhe, Verfahren, Behördenbenennung, Beschwerdestellen) werden in einem KI-Durchführungsgesetz festgelegt. Der AI Act verpflichtet die Mitgliedstaaten, bis zum 2. August 2025 (Art. 70 Abs. 3) Marktüberwachungsbehörden zu benennen und die Sanktionsbefugnisse auszugestalten. Die nationale Umsetzung bestimmt auch, ob eine zentrale „Single Entry Point"-Stelle geschaffen wird und wie der Behördenmix koordiniert wird. Stand 2026 ist die finale Struktur noch nicht vollständig konsolidiert.

Die Datenschutzkonferenz (DSK) — der Zusammenschluss der deutschen Datenschutzaufsichten — koordiniert die DSGVO- und AI-Act-Schnittstelle (besondere Datenkategorien, Art. 22 DSGVO, Grundrechte-Folgenabschätzung Art. 27 AI Act). Eng verbunden sind das BfDI (Bundesebene) und die Landesdatenschutzbeauftragten. Für Anbieter ist die Mitwirkung des Datenschutzbeauftragten bei der Datenschutz-Folgenabschätzung (Art. 35 DSGVO, Art. 10/27 AI Act) ein zentraler Prüfpunkt. Weitere Schnittstellen: NIS2 (Cybersicherheit), AGG (Diskriminierung), Produkthaftung.