Am 28. Juli 2026 stand es im Bundesgesetzblatt. Einen Tag später galt es. Seitdem ist ein Monat vergangen, und in keinem Gespräch, das ich seither über künstliche Intelligenz im Mittelstand geführt habe, ist es von selbst zur Sprache gekommen.
Deutschland hat eine KI-Aufsicht. Sie hat einen Namen, eine Anschrift, einen gesetzlichen Auftrag und einen Bußgeldrahmen. Das ist keine Ankündigung und kein Referentenentwurf. Es ist geltendes Recht seit dem 29. Juli 2026.
Was tatsächlich beschlossen wurde
Das Gesetz trägt den Kurztitel KI-Marktüberwachungs- und Innovationsförderungs-Gesetz, kurz KI-MIG. Es ist Artikel 1 des Gesetzes zur Durchführung der europäischen KI-Verordnung, verkündet im Bundesgesetzblatt 2026 Teil I Nr. 223 vom 28. Juli 2026. Zum Inkrafttreten sagt es einen Satz: Dieses Gesetz tritt am Tag nach der Verkündung in Kraft. Das war der 29. Juli.
Zuständig ist die Bundesnetzagentur, und zwar in drei Rollen, die im Gesetz getrennt geregelt sind. Sie ist die für die Einhaltung der Verordnung (EU) 2024/1689 zuständige Marktüberwachungsbehörde, soweit in diesem Gesetz nichts anderes bestimmt ist. Sie ist zentrale Anlaufstelle im Sinne des Artikels 70 der Verordnung. Und Beschwerden werden bei der Bundesnetzagentur als zentraler Beschwerdestelle eingereicht.
Dazu kommt eine vierte Einrichtung: Bei der Bundesnetzagentur wird ein zentrales Koordinierungs- und Kompetenzzentrum für die Verordnung (EU) 2024/1689 eingerichtet. Die Behörde selbst führt es unter der Abkürzung KoKIVO. Es soll Informationsangebote bereitstellen, Beratungsleistungen organisieren und mindestens ein KI-Reallabor einrichten und betreiben, erklärtermaßen, um kleinen und mittleren Unternehmen den Zugang zu erleichtern.
Die Zahl, die im Mittelstandsgespräch tatsächlich ankommt
Über die KI-Verordnung wird seit zwei Jahren mit einer Zahl geworben, und sie richtet mehr Schaden an als Nutzen: bis zu 35 Millionen Euro Bußgeld. Diese Zahl wird auf einen Betrieb mit vierzig Beschäftigten nie angewandt. Jeder Geschäftsführer spürt das, und deshalb erzeugt sie genau eine Reaktion, nämlich Abwinken.
Die Zahl, die zutrifft, steht im deutschen Gesetz und ist kleiner. Wer der Behörde eine geforderte Information oder Dokumentation nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt, begeht eine Ordnungswidrigkeit. Und die kann mit einer Geldbuße bis zu fünfzigtausend Euro geahndet werden.
Das ist keine Panikzahl. Es ist eine Zahl, die bei dieser Betriebsgröße wehtut und trotzdem glaubhaft bleibt. Und sie hängt nicht daran, ob Ihr KI-System gut ist, sondern daran, ob Sie antworten, wenn die Behörde fragt.
Der Unterschied ist wichtiger, als er klingt. Die meisten Pflichten aus der KI-Verordnung setzen voraus, dass Sie ein bestimmtes System betreiben und es einer bestimmten Klasse zuzuordnen ist. Die Übermittlungspflicht setzt das nicht voraus. Sie wird ausgelöst, wenn eine Behörde ein Schreiben schickt, und sie trifft auch einen Betrieb, der technisch alles richtig gemacht hat.
Die Pflichten selbst kommen später, als fast überall zu lesen ist
Hier wird es unangenehm, und zwar für jeden, der über dieses Thema schreibt, mich eingeschlossen. Die Fristen für Hochrisikosysteme sind verschoben worden, und die Verschiebung ist an vielen Stellen noch nicht angekommen.
Am 8. Juli 2026 hat die EU die Verordnung 2026/1744 beschlossen, die Digital-Omnibus-Verordnung zur KI. Sie wurde am 24. Juli im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Sie ändert die KI-Verordnung an mehreren Stellen, und drei davon entscheiden darüber, wann ein Mittelständler überhaupt betroffen ist.
Erstens: Für KI-Systeme, die nach Anhang III als hochriskant gelten, gelten die Regeln ab dem 2. Dezember 2027. Anhang III ist der Anhang, unter den unter anderem kritische Infrastruktur fällt. Zweitens: Für Anhang I, also für KI als Sicherheitsbauteil in regulierten Produkten, gilt der 2. August 2028. Beides bestätigt die Europäische Kommission auf ihrer eigenen Seite zum Inkrafttreten des Omnibus.
Drittens: Die Verpflichtung der Mitgliedstaaten aus Artikel 57, mindestens ein nationales KI-Reallabor einsatzbereit zu haben, ist verschoben worden. Der alte Wortlaut nannte den 2. August 2026. Artikel 1 Nummer 22 der Omnibus-Verordnung ersetzt ihn: das Reallabor muss bis zum 2. August 2027 einsatzbereit sein. Die Bundesnetzagentur nennt auf ihrer Innovationsseite dasselbe Datum.
Warum ich das so ausführlich datiere
Weil die alten Daten weiter im Umlauf sind, und zwar nicht nur in Blogs. Die gemeinsame Pressemitteilung von Bundesnetzagentur und Bundesdatenschutzbeauftragter vom 17. März 2026 nennt noch die Verpflichtung bis zum 2. August 2026. Das war zu diesem Zeitpunkt richtig, denn der Omnibus kam vier Monate später.
Und der AI Act Service Desk der Europäischen Kommission, also die Stelle, an die kleine Unternehmen ausdrücklich verwiesen werden, zeigt den Artikel 57 bis heute im alten Wortlaut. Immerhin mit einem eigenen Hinweis darauf: The text displayed on this page has not yet been updated to reflect those amendments.
Amtliche Seiten sind nicht falsch, sie sind unterschiedlich alt. Wer eine Frist in ein Kundengespräch trägt, braucht den konsolidierten Rechtstext, nicht die Übersichtsseite. Ich habe für diesen Beitrag beides nebeneinandergelegt, und die Daten wichen um bis zu sechzehn Monate ab.
Für die Praxis heißt das nicht Entwarnung, sondern das Gegenteil einer Ausrede. Die Zuständigkeit gilt seit dem 29. Juli 2026. Die inhaltlichen Hochrisikopflichten kommen im Dezember 2027. Das ist genau der Abstand, in dem Vorbereitung billig ist und Hektik unnötig.
Auf die Hilfe zu warten, ist die teuerste Variante
Die verbreitete Erwartung im Mittelstand lautet: Die Behörde wird das schon erklären. Das Gesetz gibt dieser Erwartung sogar Nahrung, denn Informationsangebote und organisierte Beratungsleistungen stehen darin.
Nur: Das nationale Reallabor gibt es noch nicht. Es ist erst zum 2. August 2027 verpflichtend, und die Bundesnetzagentur formuliert den Stand selbst vorsichtig. Die Ergebnisse des vorangegangenen Pilotprojekts sollen als Orientierung für den zukünftigen Aufbau und Betrieb echter KI-Reallabore dienen.
Dieses Pilotprojekt ist es wert, angesehen zu werden, denn es wurde ordentlich ausgewertet. Bundesnetzagentur, Bundesdatenschutzbeauftragte und das Hessische Ministerium für Digitalisierung und Innovation haben es gemeinsam durchgeführt und im März 2026 abgeschlossen; die wissenschaftliche Begleitforschung liegt als Abschlussbericht öffentlich vor. Teilgenommen haben zwei Unternehmen, beide aus dem Bereich der Medizinprodukte. Zu einer technischen Erprobung, hält der Bericht fest, kam es daher im Verlauf des Pilotprojektes nicht.
Noch deutlicher wird er dort, wo er die eigene Rolle abgrenzt. Ein Reallabor wirkt nicht aber als allgemeine Beratungsstelle. Es führt keine Rechtsberatung im engeren Sinne durch. Und: allgemeine Beratungsbedarfe reichen nicht aus. Im selben Bericht steht der Satz, der die Nachfrageseite belegt: Zur Innovationsförderung erwarten Unternehmen vor allem Beratungsleistungen.
Wer überhaupt hineindarf
Das Zugangsprofil erklärt den Rest. Wer in ein Reallabor will, braucht laut Bericht umfassende Planungsunterlagen, technische Dokumentation samt Software mit KI-Komponenten und einen klar formulierten Business-Plan.
Lesen Sie diese Liste einmal aus der Sicht eines Wasserversorgers mit dreißig Leuten oder eines Bauunternehmens mit zwölf Systemen im Rücken. Es ist kein Anforderungsprofil für jemanden, der KI einsetzt. Es ist das Profil eines Anbieters, der ein KI-Produkt entwickelt.
Dasselbe Muster wiederholt sich auf europäischer Ebene. Der Omnibus eröffnet zusätzlich ein Reallabor beim AI Office, und in den Wiedergaben liest man von vorrangigem Zugang für kleine und mittlere Unternehmen. Der Zuschnitt der Norm, auf die es sich stützt, zielt allerdings auf Systeme, die auf einem Universalmodell desselben Anbieters aufsetzen. Diesen Punkt habe ich für diesen Beitrag nur an Kanzleiwiedergaben und am Verordnungstext geprüft, nicht an einer amtlichen Auslegung, und deshalb steht er hier als Hinweis und nicht als Befund.
Das Muster, das daraus wird
Zweimal in Folge nennt ein staatliches Angebot ausdrücklich kleine und mittlere Unternehmen, und zweimal beschreibt das Zugangsprofil einen Anbieter, der KI baut.
Die Förderarchitektur ist auf die Wertschöpfungsstufe zugeschnitten, auf der Deutschland am schwächsten ist. Sein Mittelstand steht auf einer anderen. Der ist nicht Anbieter, er ist Anwender.
Und hier gehört die Gegenlesart in denselben Absatz, sonst wird aus einer Beobachtung eine Beschwerde. Der KI-Service-Desk der Bundesnetzagentur, ihr Prüfleitfaden und ihr Factsheet für kleine und mittlere Unternehmen sind vorhanden, sie sind kostenlos, und für die Erstorientierung eines Dreißig-Personen-Betriebs können sie ausreichen. Was hier fällt, ist nicht die Nützlichkeit dieser Angebote. Was fällt, ist die Annahme, sie ersetzten die Arbeit.
Der Abschlussbericht sagt das übrigens selbst und empfiehlt, auf alternative Angebote hinzuweisen. Er beschreibt die Grenze seiner eigenen Rolle klarer als die meisten Wiedergaben. Mehrere Beratungs- und Anbieterseiten behaupten inzwischen, der Service-Desk beantworte Compliance-Fragen, für die bisher teure Rechtsberatung nötig war. Genau das schließt die Primärquelle wörtlich aus.
Was ein Betrieb an einem Vormittag tun kann
Aus alledem folgt keine Panik und kein Projekt. Es folgen vier Zeilen auf einem Blatt Papier, und wer sie beantworten kann, ist weiter als die meisten.
Erstens: Wer prüft uns? Antwort seit dem 29. Juli 2026: die Bundesnetzagentur, soweit das Gesetz nichts anderes bestimmt.
Zweitens: Wer bei uns nimmt ein Schreiben dieser Behörde entgegen und beantwortet es fristgerecht? Daran hängen die 50.000 Euro, und es ist eine Organisationsfrage, keine technische.
Drittens: Welche KI-Anwendungen laufen bei uns überhaupt, seit wann, und welche berühren Versorgungsfunktionen? Nicht einstufen, nur benennen. Die Einstufung ist eine rechtliche Bewertung, aber sie braucht einen Gegenstand, und den liefert nur diese Liste.
Viertens: Woran erkennen wir in sechs Monaten, dass die eingeführte Anwendung funktioniert hat? Diese Frage steht in keinem Gesetz. Sie ist trotzdem die, an der die meisten Vorhaben scheitern, lange bevor eine Behörde sich meldet.
Wo die Arbeit liegt
Die Orientierungslücke, über die im Mittelstand seit zwei Jahren geklagt wird, ist durch diese Rechtsänderung nicht kleiner geworden. Sie ist belegbar zwölf Monate länger offen, als der Rechtstext des Vorjahres vorsah.
Das ist die unbequeme Seite und zugleich die brauchbare. Unbequem, weil niemand kommt und es erklärt. Brauchbar, weil damit feststeht, dass die Arbeit vorhanden ist und getan werden muss, statt auf ein Angebot zu warten, das für eine andere Zielgruppe gebaut wird.
Eine Anmerkung gehört in Deutschland dazu, und ich schreibe sie lieber hin, als sie zu umgehen: Dieser Text ist Orientierung, keine Rechtsauskunft. Welche Pflichten für Ihr konkretes System gelten und in welche Klasse es fällt, beurteilt, wer das darf. Was hier steht, ist die Beschreibung einer Zuständigkeit und eines Zeitplans, und beides kann jeder nachlesen.
Die Frage am Anfang eines Gesprächs über KI hat sich damit geändert. Sie lautete jahrelang, ob man schon KI nutze, und die Antwort war immer ja oder noch nicht und bedeutete beides nichts.
Sie lautet ab jetzt: Wenn die Bundesnetzagentur Sie morgen anschreibt und Sie antworten nicht, wissen Sie, was das kostet?
Wo dieser Text hingehört
Die vier Fragen am Schluss sind keine Compliance-Übung. Sie fragen, wer in Ihrem Haus für eine KI-Anwendung geradesteht — vor der Behörde, vor dem Kunden, vor der eigenen Geschäftsführung. Das ist die Achse Verantwortung: nicht, ob ein Vorhaben erlaubt ist, sondern wer es verantwortet, wenn es läuft.
Wenn Sie die vier Fragen für Ihren Betrieb durchgehen wollen und dabei jemanden brauchen, der widerspricht: dafür gibt es die Business-Case-Session. Sechzig Minuten, 500 Euro, wird beim Retainer-Start angerechnet.
Quellen, alle am 28. August 2026 im Volltext geprüft: Gesetz zur Durchführung der Verordnung (EU) 2024/1689, Artikel 1 (KI-MIG), Bundesgesetzblatt 2026 I Nr. 223 vom 28.07.2026 — §§ 2, 5, 7, 8 und 15 · Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), Amtsblatt vom 24.07.2026, in Kraft seit 27.07.2026, Artikel 1 Nr. 22 zur Änderung des Artikels 57 KI-VO · Europäische Kommission, Meldung zum Inkrafttreten des AI Omnibus, 27.07.2026 (Geltungsdaten Anhang III und Anhang I) · Bundesnetzagentur, Fachthema Künstliche Intelligenz, Seiten zu Koordinierung und zu Innovationen · Gemeinsame Pressemitteilung von Bundesnetzagentur und BfDI zum Abschluss des Pilotprojekts KI-Reallabor, 17.03.2026 · ZEVEDI, Begleitforschung zum „Pilotprojekt KI-Reallabor", Abschlussbericht, März 2026. Der Abschlussbericht und die Pressemitteilungen vom März 2026 datieren vor der Omnibus-Verordnung und nennen daher noch den 02.08.2026.