Wer kontrolliert KI in Deutschland? Der Streit um die Aufsicht — und was er für Betriebe bedeutet
Behördenzuständigkeiten sind normalerweise das Gegenteil eines spannenden Themas. Diesmal lohnt das Hinschauen trotzdem — denn hier wird gerade entschieden, wer Ihnen künftig auf die Finger schaut, wenn Sie KI im Betrieb einsetzen.
Worum geht es?
Die europäische KI-Verordnung, der sogenannte AI Act, gilt. Jedes Mitgliedsland muss festlegen, welche Behörde die Einhaltung überwacht. Deutschland hat sich entschieden: Die Marktaufsicht über KI-Systeme wandert zentral zur Bundesnetzagentur — jener Behörde, die man sonst mit Strom, Gas und Telefonnetzen verbindet.
Der niedersächsische Landesbeauftragte für den Datenschutz, Denis Lehmkemper, hält das für einen Fehler. In seinem Tätigkeitsbericht wird er ungewöhnlich deutlich: Die Zentralisierung verstoße nicht nur gegen europarechtliche Vorgaben, sondern bei Schulen oder der Polizei auch gegen das Grundgesetz.
Warum die Aufregung?
Das Argument der Datenschützer ist eigentlich schlüssig. KI-Systeme sind fast immer eng mit personenbezogenen Daten verwoben — sie werden damit trainiert, sie verarbeiten sie im Betrieb, sie treffen auf ihrer Basis Entscheidungen über Menschen. Genau dafür gibt es seit Jahrzehnten eine Aufsicht mit entsprechender Erfahrung: die Datenschutzbehörden der Länder.
Deren Sorge lautet, dass eine zentrale Bundesbehörde die Technik prüft, während die grundrechtliche Seite unter den Tisch fällt. Der Bericht liefert dazu Zahlen: Die Bürgerbeschwerden in Niedersachsen stiegen 2025 um 70 Prozent auf 4.022 Fälle, darunter 20 Beschwerden direkt gegen Betreiber von KI-Systemen. Verhängt wurden Bußgelder von 705.000 Euro in 34 Fällen.
Der zweite Punkt: Abhängigkeit von US-Anbietern
Fast noch interessanter finde ich den zweiten Teil der Kritik. Lehmkemper warnt vor einer tiefgreifenden Abhängigkeit von außereuropäischen IT-Monopolen und empfiehlt statt proprietärer US-Angebote europäische Open-Source-Lösungen.
Ehrlich gesagt halte ich diese Forderung für richtig und in der Praxis gleichzeitig für schwierig. Richtig, weil die Abhängigkeit real ist — wer heute KI im Betrieb nutzt, nutzt fast zwangsläufig amerikanische Infrastruktur. Schwierig, weil die europäischen Alternativen in vielen Fällen noch nicht auf demselben Niveau sind. Wir beobachten das genau und probieren die Alternativen regelmäßig aus; unsere Empfehlung hängt am konkreten Anwendungsfall, nicht an der Flagge im Impressum.
Was heißt das jetzt für kleine und mittlere Unternehmen?
Hier möchte ich beruhigen. An Ihren Pflichten ändert dieser Streit nichts. Die Anforderungen aus der KI-Verordnung gelten unabhängig davon, welche Behörde sie am Ende durchsetzt. Wenn Sie KI im Kundenservice, in der Personalauswahl oder in der Angebotserstellung einsetzen, sind die Fragen dieselben wie vorher: Wissen Menschen, dass sie mit einer KI sprechen? Welche Daten fließen hinein? Trifft das System Entscheidungen über Personen?
Praktisch geändert hat sich vor allem die Anlaufstelle. Bisher galt: Bei Fragen zum Datenschutz ruft man die Landesbehörde an, die kennt die Region und ist erreichbar. Künftig kann es sein, dass Sie für die KI-Frage in Bonn landen und für die Datenschutzfrage weiter in Hannover. Unser Tipp aus der Praxis: Fragen Sie im Zweifel weiter bei der Landesbehörde an. Die Zuständigkeitsabgrenzung ist deren Aufgabe, nicht Ihre.
Häufige Fragen
Betrifft der AI Act mein kleines Unternehmen überhaupt?
In den meisten Fällen nur mit den milden Transparenzpflichten. Die scharfen Anforderungen richten sich an Hochrisiko-Anwendungen — etwa in der Personalauswahl, bei Kreditvergabe oder im Bildungsbereich. Ein Chatbot auf der Webseite fällt in der Regel nicht darunter, muss aber als KI erkennbar sein.
Wer kontrolliert uns denn nun?
Für die KI-Marktaufsicht die Bundesnetzagentur, für den Datenschutz weiterhin die Landesbehörde. Genau diese Doppelstruktur ist der Grund für die Kritik.
Müssen wir jetzt auf europäische Anbieter wechseln?
Nein, eine Pflicht dazu gibt es nicht. Sinnvoll ist die Frage trotzdem — vor allem dort, wo es um besonders sensible Daten geht.
Was sollten wir dokumentieren?
Welche KI-Werkzeuge im Einsatz sind, wofür, und welche Daten hineingehen. Eine einfache Tabelle reicht. Bei einer Prüfung ist das die Unterlage, nach der zuerst gefragt wird.
Unser Fazit
Der Streit wird uns noch eine Weile begleiten, möglicherweise bis vor Gerichte. Für Ihren Betrieb ist das eher Hintergrundrauschen — arbeiten Sie in der Zwischenzeit an der Übersicht über Ihre eigenen KI-Werkzeuge. Die brauchen Sie, egal wer am Ende zuständig ist.
Quellen
- https://www.heise.de/news/KI-Aufsicht-Niedersachsen-warnt-vor-Entmachtung-der-Datenschutzbehoerden-11421190.html
- https://www.lfd.niedersachsen.de/dsk-ki
- https://www.ldi.nrw.de/scharfe-kritik-von-landesdatenschutzbeauftragten-digitalministerium-will-bei-ki-kontrolle
- https://www.dr-datenschutz.de/ki-aufsicht-sind-die-datenschutzbehoerden-jetzt-raus/
- https://www.datenschutzticker.de/2026/04/ki-durchfuehrungsgesetz-streit-um-die-aufsicht-und-die-folgen-fuer-unternehmen/
Hinweis zur Transparenz: Dieser Beitrag wurde KI-gestützt erstellt und vor der Veröffentlichung redaktionell geprüft. Inhalte können Fehler enthalten — für wichtige Entscheidungen bitte die verlinkten Originalquellen heranziehen.
