KI-MIG: Die Aufsicht über Ihre KI hat jetzt eine Adresse

Was das KI-MIG regelt

Das ist der Punkt, an dem viele Häuser das Gesetz abhaken. Verständlich, aber verfrüht.

Die Bundesnetzagentur übernimmt gleich drei Rollen. Sie ist Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle. Dazu kommt das Koordinierungs- und Kompetenzzentrum KI-Verordnung, kurz KoKIVO, das die anderen Marktüberwachungsbehörden bei schwierigen Entscheidungen unterstützt.

Die sektoralen Aufsichten bleiben, wo sie sind. Das BSI für IT- und Cybersicherheit, die Datenschutzbehörden für biometrische Systeme und Datenschutz, die BaFin für den Finanzsektor, das BfArM für Medizinprodukte. Für ein Stadtwerk fallen damit zwei bekannte Adressen zusammen: die Bundesnetzagentur für die KI-Verordnung und das BSI für NIS2 und das KRITIS-Dachgesetz.

Neben der Aufsicht stehen Angebote. Ein KI-Service-Desk beantwortet Fragen, ein KI-Compliance-Kompass hilft bei der ersten Selbsteinstufung, und KI-Reallabore erlauben es, Systeme in kontrollierter Umgebung zu entwickeln und zu validieren. Das richtet sich ausdrücklich auch an kleinere Häuser.

Was die Bundesnetzagentur jetzt darf

Marktüberwachung ist kein Papierverfahren. Die Behörde kann Unterlagen, technische Dokumentation und Konformitätsnachweise anfordern. Sie kann KI-Systeme testen und dafür Zugang zu Trainingsdaten, Quellcode und technischen Spezifikationen verlangen. Und wenn sie Mängel feststellt, kann sie Abhilfe anordnen, bis hin zur Rücknahme vom Markt oder einem Verbot der Bereitstellung.

Zwei Dinge daran sind für ein Stadtwerk unangenehmer, als sie klingen. Erstens beginnt ein Verfahren nicht zwingend mit einer behördlichen Stichprobe. Die Beschwerdestelle nimmt Meldungen entgegen und prüft sie. Ein abgelehnter Bewerber, ein verärgerter Kunde, ein Wettbewerber: der Anlass muss nicht aus dem Haus kommen.

Zweitens läuft der Bußgeldrahmen nicht nur über die Sache. Unrichtige Auskünfte gegenüber der Behörde sind mit bis zu 7,5 Millionen Euro oder 1 Prozent des Jahresumsatzes bewehrt. Wer aus Unkenntnis falsch antwortet, weil im Haus niemand den Überblick über die eingesetzten Systeme hat, hat damit ein zweites Problem geschaffen.

Dazu die Erläuterungspflicht. Wer ein Hochrisiko-System eine Entscheidung über eine natürliche Person treffen lässt, muss diese Entscheidung auf Antrag nachvollziehbar erklären. Der Verstoß ist nach Paragraf 15 Absatz 2 KI-MIG mit bis zu 50.000 Euro bewehrt. Der Betrag ist gemessen am übrigen Rahmen klein. Die Anforderung dahinter ist es nicht: Ein Modell, dessen Entscheidung niemand erklären kann, erfüllt sie nicht.

Welche KI im Stadtwerk betroffen ist

Die meisten Häuser unterschätzen die Zahl. Nicht, weil sie besonders viel KI einsetzen, sondern weil sie nur an das denken, was sie KI nennen.

Drei Gruppen sind typisch. Systeme, die beim Betrieb kritischer Infrastruktur als Sicherheitsbauteil wirken, fallen unter Anhang III Nummer 2 der KI-Verordnung. Eine KI-gestützte Lastprognose, die nur einen Vorschlag macht, den ein Mensch bewertet, ist etwas anderes als ein Modell, das in die Netzführung eingreift. Wo genau die Grenze liegt, klärt der Artikel zur Hochrisiko-Einstufung in der Energie-Infrastruktur.

Die zweite Gruppe ist das Bewerbermanagement. Vorauswahl, Sortierung, Bewertung von Lebensläufen: Anhang III Nummer 4 nennt Beschäftigung ausdrücklich. Viele Stadtwerke haben hier zugekaufte Module im Einsatz, oft als Teil einer HR-Suite, oft ohne dass die IT davon weiß.

Die dritte ist die unauffälligste. Jeder Chatbot und jeder Textgenerator im Kundenkontakt fällt unter die Transparenzpflichten des Artikels 50. Die gelten seit dem 2. August 2026. Für generative Systeme, die vorher schon liefen, läuft die maschinenlesbare Kennzeichnung der Ausgaben bis zum 2. Dezember 2026.

Und die KI-Kompetenz nach Artikel 4 gilt schon seit dem 2. Februar 2025. Sie verlangt, dass Personal, das mit KI-Systemen arbeitet, dafür ausreichend geschult ist. Das ist die Pflicht, die am längsten gilt und am seltensten dokumentiert ist.

Anbieter oder Betreiber

Diese Frage entscheidet über fast alles Weitere, und sie wird oft zu spät gestellt.

Wer ein System einkauft und unverändert einsetzt, ist Betreiber. Das ist die leichtere Rolle: bestimmungsgemäße Verwendung, menschliche Aufsicht, Protokollierung, Information der Betroffenen. Wer dagegen ein zugekauftes Modell wesentlich verändert, es unter eigenem Namen anbietet oder seinen Zweck ändert, rutscht in die Anbieterrolle. Dann gelten Konformitätsbewertung, technische Dokumentation, Risikomanagementsystem und Registrierung.

Der Übergang ist in der Praxis fließender, als die Verordnung nahelegt. Ein Haus, das ein Open-Weight-Modell auf eigenen Netzdaten nachtrainiert und das Ergebnis in der Leitstelle einsetzt, sollte die Anbieterfrage ernsthaft prüfen und nicht davon ausgehen, dass es Betreiber bleibt.

Zwei Lesarten des Gesetzes

Ob das KI-MIG für ein Stadtwerk überhaupt etwas ändert, wird unterschiedlich beantwortet. Beide Antworten stimmen, sie messen nur Verschiedenes.

Aufgelöst ist das nicht. Wer nur auf die materielle Rechtslage schaut, hat recht und trotzdem ein Problem, wenn die Anfrage kommt.

Was jetzt zu tun ist

Der größte Teil der Arbeit ist Inventur, nicht Technik.

Fünf Schritte für die nächsten Monate

1. Die Liste überhaupt erst anlegen

   Welche KI-Systeme laufen im Haus? Fragen Sie nicht die IT allein. Fragen Sie Personal, Kundenservice, Netzbetrieb, Vertrieb und Einkauf, und fragen Sie nach Funktionen statt nach dem Wort KI. Ein Modul, das Bewerbungen vorsortiert, heißt im Beschaffungsvertrag selten so. Diese Liste ist die Grundlage für jede weitere Frage, und in den meisten Häusern existiert sie nicht.

2. Je System die Rolle klären

   Anbieter oder Betreiber, und warum. Ein Satz je System reicht, solange er begründet ist.

3. Die Auskunftsmappe zusammenstellen

   Zu jedem System gehören die technische Dokumentation des Herstellers, der Konformitätsnachweis, soweit es einen gibt, die Zweckbestimmung und die Beschreibung, wer im Haus die menschliche Aufsicht führt. Das ist keine Zertifizierung, sondern ein Ordner. Der Aufwand entsteht einmal, die Aktualisierung ist Routine.

4. Schulungsnachweise nachziehen

   Artikel 4 gilt seit Februar 2025. Wer damals geschult hat, hat es meist nicht dokumentiert. Das lässt sich nachholen, und es sollte nachgeholt werden, bevor jemand danach fragt.

5. Einen Meldeweg benennen

   Wer nimmt eine Anfrage der Bundesnetzagentur entgegen, wer antwortet, in welcher Frist? Das ist dieselbe Übung wie bei der Meldekette nach NIS2, und in vielen Häusern kann es dieselbe Person sein.

Wenn Sie sich unsicher sind, ob die KI-Verordnung für ein System überhaupt gilt: Der KI-Compliance-Kompass der Bundesnetzagentur ist für genau diese erste Einordnung gebaut und kostet nichts.

Weiterführende Informationen

Häufig gestellte Fragen