Die Bundesnetzagentur übernimmt
Am 11. Juni hat der Bundestag das nationale Durchführungsgesetz zum EU AI Act beschlossen. Der praktisch wichtigste Punkt steht nicht in den Debattenbeiträgen, sondern in der Zuständigkeitsregelung: Die Aufsicht über KI in Deutschland übernimmt die Bundesnetzagentur. Aus einer europäischen Verordnung wird damit eine Behörde, bei der das Telefon klingelt.
Warum die Zuständigkeit die eigentliche Nachricht ist
Der EU AI Act gilt seit geraumer Zeit. Was bisher fehlte, war die Antwort auf eine sehr praktische Frage: Wer schaut sich das eigentlich an, und an wen wendet man sich, wenn man etwas wissen will? Genau diese Lücke schließt das Gesetz.
Damit ist die Regulierung aus dem Bereich des Grundsätzlichen heraus. Bisher konnte man den AI Act als europäisches Rahmenwerk behandeln, über das man irgendwann sprechen wird. Jetzt gibt es einen Adressaten, Zuständigkeiten, Verfahren — und damit eine Instanz, die im Zweifel nachfragt.
Warum ausgerechnet die Bundesnetzagentur
Die Wahl wirkt auf den ersten Blick überraschend, ergibt aber Sinn. Die Behörde beaufsichtigt seit Jahren technische Infrastruktur, arbeitet mit Marktüberwachung und ist es gewohnt, mit Anbietern zu tun zu haben, die technisch mehr wissen als sie selbst. Das ist bei KI die Ausgangslage.
Die Alternative wäre eine neue Behörde gewesen, mit allen Nachteilen: Aufbau, Personalsuche, Jahre bis zur Arbeitsfähigkeit. Eine bestehende Aufsicht zu erweitern ist der pragmatischere Weg, auch wenn sie sich in ein Feld einarbeiten muss, das sich schneller bewegt als Mobilfunkfrequenzen.
Eine Verordnung ohne zuständige Behörde ist ein Text. Mit Behörde wird sie zu einem Vorgang, der einen Bearbeiter hat.
Was das für den Alltag heißt
Für die meisten Unternehmen ändert sich kurzfristig wenig — zumal die Pflichten für Hochrisiko-Anwendungen erst Ende 2027 greifen. Mittelfristig ändert sich zweierlei.
Erstens gibt es jetzt eine Stelle, die Auskunft geben kann. Das klingt unspektakulär, ist in der Praxis aber wertvoll: Viele Unsicherheiten in der Umsetzung sind Auslegungsfragen, und Auslegungsfragen brauchen jemanden, der sie beantwortet. Zweitens gibt es eine Stelle, die Auskunft verlangen kann. Wer KI in einem regulierten Bereich einsetzt, sollte davon ausgehen, dass die Frage „Wie stellen Sie das sicher?" irgendwann tatsächlich gestellt wird.
Was sich vorbereiten lässt, ohne Aufwand zu treiben
Aus meiner Sicht lohnt es sich, jetzt eine schlichte Übersicht zu führen, statt auf Leitlinien zu warten: Welche KI-Systeme sind im Einsatz, wer ist dafür verantwortlich, wofür werden sie genutzt und was passiert bei einem Fehler. Vier Spalten, mehr braucht es zunächst nicht.
Der Grund ist unabhängig von der Regulierung. Wer diese Übersicht nicht hat, kann nicht steuern — weder gegenüber einer Behörde noch gegenüber der eigenen Geschäftsführung. Und wer sie hat, kann eine Anfrage ruhig beantworten, statt hektisch zu recherchieren, was im Haus überhaupt läuft.
Die Übersicht, die eine Aufsicht sehen will, ist dieselbe, die man selbst braucht. Das ist der seltene Fall, in dem Pflicht und Eigeninteresse zusammenfallen.
Was das für Unternehmen bedeutet
Ich halte diesen Beschluss für eine gute Nachricht, auch wenn er zusätzliche Pflichten mit sich bringt. Unklare Zuständigkeit ist für alle Beteiligten teurer als klare Aufsicht: Sie führt dazu, dass man vorsichtshalber gar nichts macht oder vorsichtshalber alles, und beides kostet.
Interessant wird nun, wie die Behörde ihre Rolle anlegt — als Prüfinstanz, die im Nachhinein bewertet, oder als Ansprechpartner, der vorher berät. Für die Praxis in Unternehmen macht das einen erheblichen Unterschied, und es ist die Frage, die ich in den nächsten Monaten verfolgen werde.