Wesentliche Regelungsansätze und ihre Durchführung in Deutschland

1. Einleitung

Die Verordnung über künstliche Intelligenz (AI Act) schafft erstmals einen horizontalen, unionsweit einheitlichen Rechtsrahmen für die Entwicklung, das Inverkehrbringen und den Einsatz von KI-Systemen. Sie beruht auf einer risikobasierten Differenzierung, mit der der Unionsgesetzgeber Marktintegration und Grundrechtsschutz miteinander verbinden will. Die eigentliche Bewährungsprobe des AI Act liegt jedoch nicht im Normprogramm selbst, sondern in der Frage, ob sich seine Steuerungslogik in eine kohärente und belastbare Vollzugspraxis übersetzen lässt.

Der Beitrag untersucht zunächst das regulatorische Umfeld des AI Act. Anschließend behandelt er die Durchführung in Deutschland, bevor er die wesentlichen Regelungsansätze und die Steuerungswirkungen des Regelungsmodells einordnet. Dabei stehen nicht nur die normativen Leitentscheidungen, sondern vor allem die institutionellen Voraussetzungen einer funktionsfähigen Umsetzung im Mittelpunkt. 

2. Regulatorisches Umfeld des AI Act

Der AI Act ist Teil der europäischen Digitalregulierung. Er reagiert auf die zunehmende Verbreitung datengetriebener und lernender Systeme, deren Einsatz erhebliche Innovationschancen eröffnet, zugleich aber Fragen der Nichtdiskriminierung, Transparenz und rechtsstaatlichen Kontrollierbarkeit aufwirft. Der unionsrechtliche Regelungsansatz zielt deshalb nicht nur auf die Harmonisierung des Binnenmarkts, sondern auch auf die Begrenzung grundrechtlicher Risiken.

Rechtspolitisch bewegt sich der AI Act im Spannungsfeld zwischen Innovationsförderung und Gefahrenabwehr. Der Unionsgesetzgeber hat sich bewusst gegen ein starres Verbotsmodell entschieden und stattdessen eine risikobasierte Differenzierung gewählt. Diese Entscheidung ist grundsätzlich überzeugend. Ihre praktische Tragfähigkeit hängt jedoch entscheidend davon ab, ob die Risikokategorien hinreichend trennscharf ausgestaltet sind und im Vollzug konsistent angewendet werden können.

Die Offenheit des Ansatzes erleichtert zwar die Anpassung an unterschiedliche Anwendungsfälle, sie kann aber zugleich Abgrenzungsprobleme, Vollzugsdefizite und eine uneinheitliche Rechtsanwendung begünstigen. Der AI Act verfolgt damit den Anspruch, innovationsfreundlich und grundrechtssensibel zugleich zu sein. Ob dieser Anspruch eingelöst wird, hängt maßgeblich davon ab, wie klar und kohärent die Risikokategorien in der Praxis handhabbar bleiben. Hinzu kommt, dass der Regulierungsrahmen nicht isoliert steht, sondern mit weiteren unionsrechtlichen Vorgaben zusammenspielt, deren Überschneidungen die Rechtsanwendung zusätzlich verkomplizieren können.

Zugleich soll der AI Act einen einheitlichen unionsrechtlichen Rahmen schaffen und nationale Fragmentierung vermeiden. Ein Flickenteppich unterschiedlicher Vorgaben würde die Marktintegration erschweren und die Durchsetzung gemeinsamer Schutzstandards beeinträchtigen. Seine Wirksamkeit hängt daher maßgeblich von der institutionellen Ausgestaltung und Vollzugsfähigkeit der nationalen Behörden ab. Daran wird deutlich, dass die dogmatische Konzeption des AI Act nur dann trägt, wenn sie durch eine ebenso kohärente verwaltungspraktische Umsetzung abgesichert wird. 

3. Durchführung in Deutschland

Die Verordnung (EU) 2024/1689 ist nach Art. 288 AEUV unmittelbar anwendbar. Die praktische Wirksamkeit hängt gleichwohl von nationalen Durchführungsmaßnahmen ab. Erforderlich sind insbesondere die Benennung zuständiger Marktüberwachungs- und Notifizierungsbehörden, die Einrichtung von Koordinierungsstrukturen sowie flankierende Bußgeld- und Verfahrensregelungen. Der nationale Gesetzgeber ist daher nicht für die materielle Umsetzung, wohl aber für eine funktionsfähige Vollzugsarchitektur verantwortlich.

Die Bundesregierung hat hierzu einen Gesetzentwurf zur Durchführung der Verordnung über künstliche Intelligenz vorgelegt. Dieser sieht vor, die zuständigen Behörden zu benennen, ihre Aufgaben festzulegen, Kooperationsregelungen zu schaffen und das Bußgeldverfahren auszugestalten. Bereits daran zeigt sich, dass die zentrale Bewährungsprobe des AI Act in Deutschland weniger in neuen materiellen Vorgaben als in der Funktionsfähigkeit seiner institutionellen Steuerungsstrukturen liegt.

Zentrale Bedeutung kommt der Bundesnetzagentur zu. Sie soll grundsätzlich zuständige Marktüberwachungsbehörde sein, soweit nicht spezialgesetzlich andere Fachbehörden zuständig sind. Zudem soll bei ihr ein Koordinierungs- und Kompetenzzentrum für die KIVerordnung eingerichtet werden, das die übrigen Behörden unterstützt und eine einheitliche Rechtsauslegung bei horizontalen Fragen fördert.16 Dies erscheint verwaltungspraktisch plausibel, birgt jedoch zugleich das Risiko diffuser Zuständigkeiten, erhöhter Abstimmungsbedarfe und uneinheitlicher Rechtsanwendung.

Entscheidend ist daher, ob die Koordinierung zwischen Bundesnetzagentur und Fachbehörden nicht nur politisch gewollt, sondern auch rechtlich hinreichend belastbar ausgestaltet ist. Fehlen verbindliche Abstimmungsmechanismen, drohen nicht nur Rechtsunsicherheit und ineffiziente Verfahren, sondern auch ein Vollzug, der sektoral auseinanderfällt und damit den Harmonisierungsanspruch der Verordnung spürbar schwächt. Gerade ein solches Modell kann die Einheitlichkeit der Rechtsanwendung gefährden und damit einen Kernanspruch unionsrechtlicher Harmonisierung unterlaufen. Die Anhörung im Deutschen Bundestag hat diese Problematik deutlich gemacht. Zwar wurde die Benennung der Bundesnetzagentur als zentrale Marktüberwachungsbehörde überwiegend begrüßt, zugleich wurde jedoch hervorgehoben, dass ein hochkomplexes Modell mit unklaren Koordinierungsstrukturen erhebliche Reibungsverluste im Vollzug erzeugen kann.

Bemerkenswert ist ferner, dass der Regierungsentwurf den Vollzug nicht nur als Kontroll- und Sanktionsaufgabe versteht. Er enthält auch Reallabore und Beratungsangebote als innovationsfördernde Elemente. Dies ist im Grundsatz sachgerecht, weil eine ausschließlich repressive Aufsicht technologische Entwicklung unnötig hemmen und den regulatorischen Rahmen seiner innovationspolitischen Anschlussfähigkeit berauben könnte. Zugleich darf der innovationspolitische Auftrag die Aufsichtsfunktion nicht relativieren. Tragfähig ist die Verbindung von Marktüberwachung, Koordination und Innovationsförderung nur dann, wenn die Aufsichtsfunktion rechtlich und organisatorisch Vorrang behält und innovationsfördernde Elemente nicht zu Vollzugsdefiziten führen. 

4. Wesentliche Regelungsansätze

Kern des AI Act ist die risikobasierte Regulierung. Die Verordnung differenziert zwischen unzulässigen Praktiken, Hochrisiko-Systemen und Systemen mit vorrangigen Transparenzpflichten. Diese Differenzierung ist dogmatisch folgerichtig, weil sie die Intensität der regulatorischen Anforderungen an die jeweilige Gefährdungslage koppelt. Zugleich bleibt sie nur dann überzeugend, wenn die Einordnung der Systeme in der Praxis hinreichend klar und konsistent gelingt. Die Tragfähigkeit des Konzepts hängt damit nicht nur von seiner normativen Anlage, sondern in besonderem Maße von einer konsistenten und fachlich belastbaren Vollzugspraxis ab. 

Besondere Bedeutung kommt den Hochrisiko-KI-Systemen zu. Für sie sieht die Verordnung ein engmaschiges präventives Pflichtenregime vor, insbesondere zu Risikomanagement, Daten-Governance, technischer Dokumentation, Protokollierung, Transparenz, menschlicher Aufsicht sowie Robustheit, Genauigkeit und Cybersicherheit. Der Gesetzgeber setzt damit bewusst nicht erst am eingetretenen Schaden an, sondern bereits an der Organisation technischer und organisatorischer Sorgfalt. Das ist rechtsstaatlich überzeugend, weil sich die Risiken gerade bei komplexen Systemen häufig in schwer korrigierbaren Entscheidungsprozessen realisieren. Gleichwohl stellt sich die Frage, ob die Vielzahl an Pflichten tatsächlich zu einer materiellen Risikoreduzierung beiträgt oder ob sie in der Praxis teilweise in formalisiertes Compliance-Handeln umschlägt, ohne die eigentlichen Gefährdungslagen wirksam zu begrenzen.

Je stärker der Vollzug auf Dokumentations- und Verfahrenspflichten konzentriert ist, desto eher droht formale Pflichterfüllung an die Stelle materieller Risikosteuerung zu treten. Entscheidend ist deshalb nicht allein das Bestehen von Pflichten, sondern ihre tatsächliche Eignung, technische und organisatorische Risiken wirksam zu begrenzen.

Von besonderer grundrechtlicher Relevanz ist die Pflicht zur menschlichen Aufsicht. Sie bringt zum Ausdruck, dass riskante Automatisierung nicht von verantwortlichen natürlichen Personen entkoppelt werden darf. Die menschliche Aufsicht dient damit der Sicherung rechtsstaatlicher Zurechenbarkeit und der Vermeidung einer Entleerung individueller Schutzpositionen durch technisch vermittelte Entscheidungslogiken. Erforderlich sind daher reale Eingriffs- und Korrekturmöglichkeiten sowie hinreichende fachliche Kompetenz. Fehlen diese Voraussetzungen, bleibt menschliche Aufsicht leicht symbolisch und unterschreitet ihre rechtsstaatliche Funktion.

Daneben enthält der AI Act Transparenzpflichten für bestimmte KI-Systeme, insbesondere wenn natürliche Personen mit einem KI-System interagieren oder künstlich erzeugte beziehungsweise manipulierte Inhalte verwendet werden. Auch diese Pflichten sind normativ bedeutsam, obwohl sie auf den ersten Blick weniger eingriffsintensiv erscheinen als das Hochrisiko-Regime. Transparenz ist dabei keine bloße Informationsformalität, sondern eine rechtliche Vorbedingung effektiver Selbstbestimmung und Rechtsschutzwahrnehmung. Ohne sie bleiben Kontrolle und Zurechnung strukturell geschwächt. 

Schließlich ist hervorzuheben, dass die Verordnung nicht als rein restriktives Regelwerk angelegt ist. Reallabore und Unterstützungsinstrumente zeigen vielmehr, dass der AI Act einen Ausgleich zwischen Risikobegrenzung und Innovationsförderung anstrebt. Dieser Ansatz überzeugt im Grundsatz. Regulierung verliert ihre Legitimation, wenn sie technologische Entwicklung ohne sachlichen Grund blockiert. Umgekehrt wäre ein innovationspolitisch motivierter Regulierungsverzicht mit Blick auf die möglichen Grundrechts- und Sicherheitsrisiken nicht vertretbar. Die besondere Herausforderung des Regelungsansatzes liegt damit in der rechtlichen und praktischen Balance zwischen Risikobegrenzung und Innovationsförderung. 

5. Einordnung der Steuerungswirkungen

Der AI Act ist ein ambitionierter Versuch, künstliche Intelligenz unionsweit kohärent zu regulieren. Seine Stärke liegt in der Verbindung von Binnenmarktintegration, Grundrechtsschutz und risikoadäquater Steuerung. Indem die Verordnung die Intensität der Anforderungen an die Gefährdungslage koppelt, vermeidet sie sowohl die Unterregulierung besonders sensibler Anwendungen als auch eine pauschale Überregulierung risikounauffälliger Technologien.

Besonders überzeugend ist der präventive Grundrechtsansatz. Die Anforderungen an Dokumentation, Transparenz, Risikomanagement und menschliche Aufsicht tragen dem Umstand Rechnung, dass KI-bedingte Rechtsbeeinträchtigungen häufig nicht erst im Schaden, sondern bereits in der intransparenten Struktur der Entscheidungsfindung angelegt sind. Der AI Act reagiert hierauf mit einer Vorverlagerung regulatorischer Verantwortung. Das ist sachgerecht, weil Ex-post-Kontrolle bei komplexen und hochskalierten Systemen regelmäßig an Grenzen stößt.

Gleichwohl ist die Leistungsfähigkeit des AI Act nicht allein am materiellen Normprogramm zu messen, sondern wesentlich an seiner Vollzugsfähigkeit. Gerade die dogmatisch überzeugende Risikodifferenzierung erzeugt in der Praxis Abgrenzungs- und Einordnungsprobleme. Je unklarer die Zuordnung eines Systems zu einer Risikokategorie ausfällt, desto größer werden Rechtsunsicherheit, Beratungsbedarf und Vollzugskosten. Hinzu kommt, dass der AI Act mit anderen unionsrechtlichen Regimen, insbesondere dem Datenschutz-, Produkt- und Plattformrecht, verschränkt ist. Dadurch wächst die Gefahr überlappender, teilweise schwer aufeinander abstimmbarer Anforderungen, die den Beratungsaufwand erhöhen und die Rechtssicherheit im Vollzug mindern können.

Gerade deshalb ist die deutsche Durchführungsarchitektur von besonderer Bedeutung. Der hybride Ansatz, bestehende Fachaufsichten beizubehalten und die Bundesnetzagentur zugleich als horizontale Koordinierungsstelle einzusetzen, ist im Grundsatz nachvollziehbar. Er verspricht Expertise, Ressourcenschonung und institutionelle Anschlussfähigkeit. Ohne verbindliche Koordinierungsmechanismen besteht jedoch die Gefahr eines föderal und sektoral zersplitterten Aufsichtsregimes, das die mit dem AI Act angestrebte Rechtseinheit unterläuft.32 Der Erfolg des Modells hängt deshalb wesentlich davon ab, ob es gelingt, zwischen den beteiligten Behörden verlässliche, verbindliche und dauerhaft tragfähige Abstimmungsstrukturen zu etablieren.

Der AI Act erweist sich damit als rechtlich anspruchsvoller Ordnungsrahmen, dessen praktische Überzeugungskraft erst im behördlichen Vollzug und in der alltäglichen Anwendung sichtbar werden wird. Ob der AI Act seinen Harmonisierungsanspruch erfüllt, entscheidet sich daher weniger am programmatischen Anspruch der Verordnung als an der Fähigkeit der Mitgliedstaaten, ein kohärentes und durchsetzungsstarkes Vollzugsregime zu schaffen.

Offen bleibt vor allem, wie sich die abstrakten Vorgaben des AI Act in eine kohärente und zugleich handhabbare Vollzugspraxis überführen lassen. Maßgeblich wird sein, ob die nationalen Behörden tragfähige Koordinierungsstrukturen entwickeln und die risikobasierte Regulierung nicht in bloßer Formalität erstarrt. Die weitere Ausgestaltung durch Verwaltungspraxis, Rechtsprechung und gegebenenfalls ergänzende gesetzgeberische Präzisierungen wird daher entscheidend dafür sein, ob der AI Act seinen Anspruch auf einheitliche und effektive Regulierung tatsächlich erfüllt. 

Quellenverzeichnis:

Bundesministerium für Digitales und Staatsmodernisierung, KI-Regulierung – Künstliche Intelligenz, abrufbar unter: https://bmds.bund.de/themen/kuenstliche-intelligenz/kiregulierung (zuletzt abgerufen am 27.07.2026).

Bundesministerium für Digitales und Staatsmodernisierung, Gesetz zur Durchführung der KIVerordnung, abrufbar unter: https://bmds.bund.de/service/gesetzgebungsverfahren/gesetzzur-durchfuehrung-der-ki-verordnung (zuletzt abgerufen am 27.07.2026).

Bundesregierung, EU verabschiedet erstes KI-Gesetz weltweit, abrufbar unter: https://www.bundesregierung.de/breg-de/aktuelles/ai-act-2285944 (zuletzt abgerufen am 27.07.2026).

Deutscher Bundestag, Gesetzentwurf der Bundesregierung: Entwurf eines Gesetzes zur Durchführung der Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung der Verordnungen (EG) Nr. 300/2008, (EU) Nr. 167/2013, (EU) Nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 und (EU) 2019/2144 sowie der Richtlinien 2014/90/EU, (EU) 2016/797 und (EU) 2020/1828 (Gesetz zur Durchführung der Verordnung über künstliche Intelligenz), BT-Drs. 21/4594.

Deutscher Bundestag, Umsetzung von EU-Vorgaben im Bereich der Künstlichen Intelligenz, abrufbar unter: https://www.bundestag.de/dokumente/textarchiv/2026/kw12-dekuenstliche-intelligenz-1151800 (zuletzt abgerufen am 27.07.2026).

Europäische Union, Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz und zur Änderung der Verordnungen (EG) Nr. 300/2008, (EU) Nr. 167/2013, (EU) Nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 und (EU) 2019/2144 sowie der Richtlinien 2014/90/EU, (EU) 2016/797 und (EU) 2020/1828 (Verordnung über künstliche Intelligenz), ABl. L 2024/1689 vom 12. Juli 2024.