KI-Governance im Energieversorger: wer anmeldet, einstuft und freigibt

Was sich am 29. Juli geändert hat

Neue Pflichten hat das KI-MIG nicht gebracht. Es hat eine Adresse gebracht. Seit dem 29. Juli 2026 ist die Bundesnetzagentur nach Paragraf 2 Abs. 1 KI-MIG die zuständige Marktüberwachungsbehörde für die KI-Verordnung. Beschwerden landen dort, und nach Paragraf 17 verhängt sie auch die Bußgelder.

Was die Behörde darf, regelt Paragraf 11 mit Verweis auf die Marktüberwachungsverordnung (EU) 2019/1020: Unterlagen anfordern, Betriebsräume zu den üblichen Geschäftszeiten betreten, Systeme prüfen. Wie das Gesetz entstanden ist und was die Aufsicht konkret prüfen kann, steht in unserem Beitrag zum KI-MIG und der Bundesnetzagentur als KI-Aufsicht.

Für die Organisation heißt das etwas Einfaches. Eine Nutzungsrichtlinie, die bisher niemand prüfte, trifft jetzt auf jemanden, der fragen kann. Die erste Frage wird selten juristisch sein. Sie lautet: Welche KI läuft bei Ihnen, und wer hat das entschieden?

Die ersten beiden Zahlen stammen aus der PwC-Studie zur Energiewirtschaft, über die die ZfK am 13. April 2026 berichtete, die dritte aus der Digital@EVU-Studie 2026 von BDEW, VSE, Kearney und IMP³ROVE. Viel KI im Haus, wenig Ordnung darüber. Für eine Aufsicht ist das die ungünstigste Mischung.

Schon heute gelten drei Teile der Verordnung: die KI-Kompetenz nach Art. 4, seit dem 27. Juli 2026 in der abgeschwächten Fassung der Verordnung (EU) 2026/1744, die Verbote nach Art. 5 und die Transparenzpflichten nach Art. 50 seit dem 2. August 2026, etwa für den Chatbot im Kundenportal. Die Hochrisiko-Pflichten für Anhang III hat derselbe Digital Omnibus auf den 2. Dezember 2027 verschoben.

Was die Verordnung vorschreibt und was nicht

Die KI-Verordnung schreibt keine Organisationsform vor. Sie schreibt Ergebnisse vor, und für jedes muss jemand zuständig sein.

Auf die Frage, ob es einen KI-Beauftragten wie bei der DSGVO oder ein KI-Gremium brauche, antwortet die Kommission in ihren Fragen und Antworten zur KI-Kompetenz knapp: "No, no specific governance structure is mandated to comply with article 4 of the AI Act." Ein Zertifikat für Schulungen braucht es auch nicht, eine interne Aufzeichnung reicht. Die neue Fassung von Art. 4 sagt zudem ausdrücklich, dass niemand ein bestimmtes Kompetenzniveau einer Person garantieren muss.

Anders sieht es bei Art. 26 aus. Wer ein Hochrisiko-System betreibt, muss ab dem 2. Dezember 2027 eine ganze Reihe von Dingen organisieren:

• das System nach der Betriebsanleitung des Anbieters einsetzen, mit geeigneten technischen und organisatorischen Maßnahmen (Abs. 1),
• die menschliche Aufsicht natürlichen Personen übertragen, die dafür Kompetenz, Ausbildung und Befugnis haben, und ihnen die nötige Unterstützung geben (Abs. 2),
• Eingabedaten auf Zweck und Repräsentativität prüfen, soweit sie der eigenen Kontrolle unterliegen (Abs. 4),
• den Betrieb überwachen, bei einem Risiko Anbieter und Marktüberwachung informieren und das System aussetzen, schwerwiegende Vorfälle unverzüglich melden (Abs. 5),
• automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren (Abs. 6),
• Arbeitnehmervertreter und betroffene Beschäftigte vor dem Einsatz am Arbeitsplatz informieren (Abs. 7),
• mit den Behörden zusammenarbeiten (Abs. 12).

Das ist eine Liste mit Namen dahinter, auch wenn die Verordnung keinen Namen nennt. Und noch eine Falle steht in Art. 25 Abs. 1 Buchst. c: Wer die Zweckbestimmung eines Systems so ändert, dass es hochriskant wird, wird selbst zum Anbieter, mit dem viel längeren Pflichtenkatalog aus Art. 16.

Wie viele Stadtwerke trifft Art. 26 überhaupt? Weniger, als die Debatte vermuten lässt. Nach dem Leitlinienentwurf der Kommission vom 19. Mai 2026 ist KI in der Stromversorgung nur Hochrisiko, wenn sie als Sicherheitsbauteil die Anlage direkt schützt und der Betreiber als kritische Einrichtung eingestuft ist. Die Einzelheiten stehen in unserem Beitrag dazu, welche KI im Stadtwerk wirklich Hochrisiko ist. Ein Grund, auf Governance zu verzichten, ist das nicht. Art. 4, Art. 50, die DSGVO und die Auskunftspflicht gegenüber der Aufsicht gelten für jedes Haus.

Dazu kommt eine Pflicht, die älter ist als die KI-Verordnung. Nach Paragraf 5e EnWG müssen Geschäftsleitungen von Netz- und Anlagenbetreibern die Anforderungen des IT-Sicherheitskatalogs umsetzen, überwachen und sich regelmäßig schulen lassen, Paragraf 38 BSIG sagt dasselbe für NIS2-Einrichtungen. KI-Systeme laufen dort mit wie jedes andere IT-System. Die Verantwortung der Geschäftsführung steht also schon im Gesetz.

Fünf Rollen, eine davon im Gesetz

In den meisten Häusern reichen fünf Rollen. Nur die Aufsichtsperson für Hochrisiko-Systeme verlangt die Verordnung ausdrücklich, alle anderen sind Organisationsentscheidungen.

Die KI-Verantwortliche ist die Rolle, an der alles hängt. Sie muss nicht jeden Fall selbst entscheiden. Ihre Aufgabe ist, dass keiner liegen bleibt und jede Entscheidung in zwei Jahren noch auffindbar ist. Im Stadtwerk ist das selten eine volle Stelle, eher ein fester Anteil bei IT, Informationssicherheit oder Organisation.

Und das Gremium? Eigene Geschäftsordnung, Monatstermin, zwölf Teilnehmende: So geplant, staut sich nach drei Sitzungen die Tagesordnung. Ein Gremium, das nur bei erhöhtem Risiko entscheidet und sonst nach Bedarf tagt, hält länger. Wie die Bausteine im Detail aussehen, mit Mindestinhalt je Rolle, haben wir in den KI-Governance-Bausteinen für Energieversorger beschrieben.

Der Freigabeweg

Ein Pilot braucht denselben Weg wie der Regelbetrieb, nur mit weniger Stationen. Wer Piloten ausnimmt, hat ein Jahr später Regelbetrieb, den nie jemand freigegeben hat.

Der Fachbereich meldet an: Zweck, Daten, Anbieter, Nutzerkreis. Die KI-Verantwortliche stuft ein und holt die Stellen dazu, die der Fall berührt. Datenschutz bei Personenbezug, Informationssicherheit bei neuen Diensten oder Schnittstellen, Einkauf bei neuen Verträgen. Bei geringem Risiko gibt sie selbst frei. Bei Transparenzpflichten, Beschäftigtendaten oder Hochrisiko entscheidet das Gremium, mit Auflagen und einem Prüftermin.

Der Pfeil, der am häufigsten fehlt, ist der gestrichelte. Neuer Zweck, neues Modell, neue Datenquelle: Der Fall muss zurück in die Einstufung. Schaltet der Hersteller der Abrechnungssoftware mit dem nächsten Update eine KI-Funktion frei, ist auch das eine Änderung. Bestellt hat sie niemand.

Und der Betriebsrat? Paragraf 90 Abs. 1 Nr. 3 BetrVG nennt den Einsatz von Künstlicher Intelligenz seit 2021 ausdrücklich bei der Unterrichtung über Arbeitsverfahren, Paragraf 87 Abs. 1 Nr. 6 greift, sobald ein System Verhalten oder Leistung von Beschäftigten überwachen kann. Für Hochrisiko-Systeme am Arbeitsplatz kommt Art. 26 Abs. 7 dazu. Die Arbeitnehmervertretung gehört deshalb früh in den Weg, nicht ans Ende.

Muss dann jedes Office-Werkzeug ins Gremium? Nein. Eine Positivliste nennt die Standardwerkzeuge, die mit festen Datenregeln ohne Einzelfreigabe laufen. Nur was nicht auf der Liste steht, geht den ganzen Weg.

Das KI-Register und das Register der Bundesnetzagentur

Ohne Register kann niemand die erste Frage der Aufsicht beantworten. Das ist der praktische Grund für ein KI-Register, und er reicht.

Ins Register gehört je Anwendungsfall, was ein Dritter zum Nachvollziehen braucht: Zweck, Rolle als Anbieter oder Betreiber, verantwortliche Personen, Einstufung mit Begründung, Freigabestand, nächster Prüftermin und die Verweise auf Datenschutz-Folgenabschätzung und ISMS. Eine Vorlage mit 23 Feldern steht frei als CSV und XLSX bei unseren Governance-Bausteinen. Ein Kreuz bei "minimales Risiko" hilft im Gespräch mit der Behörde wenig. Zwei Sätze, warum, helfen viel.

Verwechseln sollte man das nicht mit dem Register, das die Bundesnetzagentur führt. Nach Paragraf 20 KI-MIG gibt es ein nicht öffentliches Register nur für Hochrisiko-Systeme nach Anhang III Nummer 2, also kritische Infrastruktur. Eintragen müssen sich dort die Anbieter vor dem Inverkehrbringen. Betreiber nur, wenn sie öffentliche Stellen des Bundes sind, was auf kaum ein Stadtwerk zutrifft.

Solange eine Gesellschaft und eine Person das Register pflegen, ist eine Tabelle das richtige Werkzeug. Eine Software, die niemand öffnet, ist schlechter als eine Tabelle, die jeden Monat jemand anfasst.

Stadtwerk oder Konzern: wo die Unterschiede liegen

Die Bausteine sind dieselben, die Last verteilt sich anders. Den größten Unterschied macht nicht die Zahl der KI-Anwendungen, sondern die Entflechtung.

Ein vertikal integriertes Unternehmen mit weniger als 100.000 angeschlossenen Kunden ist nach Paragraf 7 Abs. 2 und Paragraf 7a Abs. 7 EnWG von der rechtlichen und der operationellen Entflechtung des Verteilnetzbetreibers ausgenommen. Ein Gremium kann dann für das ganze Haus entscheiden, Netz und Vertrieb eingeschlossen. Darüber muss die Netzgesellschaft nach Paragraf 7a Abs. 4 tatsächliche Entscheidungsbefugnisse über die Vermögenswerte des Netzbetriebs haben, unabhängig von der Konzernleitung. Eine zentrale Freigabe für KI in der Netzführung, die die Netzgesellschaft übergeht, passt dazu schlecht.

Was das in der Praxis bedeutet, zeigen zwei öffentlich beschriebene Wege, über die die ZfK am 13. Juli 2026 berichtet hat. Bei den Stadtwerken Jena ist aus der Arbeit eines KI-Boards eine gruppenweit gültige Dienstanweisung Künstliche Intelligenz entstanden. Für Einführung und Nutzung einer KI-Anwendung ist dort eine dokumentierte Freigabe durch dieses Gremium nötig, der Fachbereich startet den Prozess mit einer standardisierten Checkliste. Die Stadtwerke Karlsruhe gehen den anderen Weg: Ihr konzernübergreifendes Programm "KI-Kompass" prüft neue KI-Systeme über die bestehenden Software- und Cloud-Antragsprozesse und bewertet dabei die Risikoklasse nach der KI-Verordnung.

Eigenes Gremium oder bestehender Prozess. Beides kann tragen. Welcher Weg passt, hängt weniger an der Größe als daran, ob es im Haus schon einen Antragsprozess gibt, den die Fachbereiche tatsächlich nutzen.

Eine Besonderheit für kommunale Häuser steht in Paragraf 17 Abs. 2 KI-MIG: Gegen Behörden und öffentliche Stellen im Sinne von Paragraf 2 Abs. 1 und 2 BDSG verhängt die Bundesnetzagentur keine Geldbußen. Eine Stadtwerke GmbH ist privatrechtlich organisiert und sollte darauf nicht bauen. Ob ein Eigenbetrieb darunter fällt, ist eine Frage für die Rechtsberatung. Wie weit Netzdaten im Querverbund überhaupt in Vertriebs-KI fließen dürfen, behandelt unser Beitrag zu Messdaten, KI und Entflechtung im Querverbund.

Bremse oder Leitplanke: drei Lesarten

Ob Governance KI-Vorhaben bremst oder erst möglich macht, sehen die Fachleute in der Branche unterschiedlich. Im selben ZfK-Beitrag vom 13. Juli 2026 stehen drei Positionen nebeneinander.

Vogel beschreibt Häuser, die aus Vorsicht verbieten. Anders hält die Vorsicht für überschätzt. Menge sagt, das Verbot erzeuge genau das Risiko, das es verhindern soll. Die drei Aussagen lassen sich nicht auf einen Satz bringen, und wir versuchen es hier nicht.

Was bei Verstößen vorgesehen ist

Die KI-Verordnung sieht für Verstöße gegen die Betreiberpflichten nach Art. 26 Geldbußen von bis zu 15 Millionen Euro oder 3 Prozent des gesamten weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 4 Buchst. e). Für KMU gilt nach Art. 99 Abs. 6 der jeweils niedrigere Betrag. Zuständig ist in Deutschland die Bundesnetzagentur als Bußgeldbehörde nach Paragraf 17 Abs. 1 KI-MIG, das Verfahren richtet sich nach dem Gesetz über Ordnungswidrigkeiten (Paragraf 16). Was im Einzelfall droht, hängt an Einstufung, Rolle und Sachverhalt. Das beurteilt die Rechtsberatung des Unternehmens, nicht dieser Beitrag.

Was bis Dezember 2027 zu tun ist

Bis zum 2. Dezember 2027 bleiben gut vierzehn Monate. Für ein Register und einen Freigabeweg ist das reichlich. Für eine Leitstellen-KI, deren Ausschreibung jetzt geschrieben wird, ist es knapp.

Die Reihenfolge, die sich bewährt

1. Eine Person benennen

   Die Geschäftsführung benennt die KI-Verantwortliche, mit Zeitbudget und Vertretung. Ohne Namen bleibt der Rest liegen.

2. Bestand aufnehmen

   Die Liste wird länger, als die IT erwartet. KI steckt in eingekaufter Fachsoftware, im Kundenservice-Werkzeug, im Office-Paket und in Browser-Tabs, die niemand angemeldet hat. Wo genau, wissen die Hersteller besser als jede interne Suche, also fragen Sie sie schriftlich. Für jedes System festhalten: Sind wir Anbieter oder Betreiber?

3. Register anlegen

   Eine Tabelle mit Begründung der Einstufung genügt für den Anfang.

4. Freigabeweg festlegen

   Anmeldung, Einstufung, Freigabe nach Risiko, Rückweg bei Änderungen. Dazu eine Positivliste für Standardwerkzeuge und den Termin mit Betriebs- oder Personalrat, bevor das erste System durchläuft.

5. Netz-KI gesondert prüfen

   Für jede KI im Netzbetrieb zwei Fragen beantworten und festhalten: Schützt sie die Anlage direkt? Ist das Unternehmen kritische Einrichtung? Wenn beides zutrifft, Aufsichtspersonen, Protokollierung und die Information der Beschäftigten nach Art. 26 vorbereiten und in die Ausschreibung schreiben, nicht erst in den Abnahmetest.

6. Bericht an die Geschäftsführung

   Halbjährlich, eine Seite: Bestand, offene Einstufungen, Auffälligkeiten.

Wer das nicht allein aufbauen will: Unsere Leistung KI-Governance und EU AI Act für Energieversorger beschreibt, wie wir Rollen, Register und Freigabeweg mit Ihnen aufsetzen und danach klären, wer das auf Dauer trägt. Alle KI-Beiträge für Versorger, von der Netzleittechnik bis zum Kundenservice, sammelt das Themenfeld KI in der Energiewirtschaft. Die Termine stehen im Fristenkalender.

Weiterführende Informationen

Häufig gestellte Fragen