Teil 2 - KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG)

Artikel 1 G. v. 22.07.2026 BGBl. 2026 I Nr. 223
Geltung ab 29.07.2026; FNA: 706-2 EWG-Durchführung

Teil 2 Zuständige Behörden und Zusammenarbeit

Abschnitt 1 Zuständige Stellen

§ 2 Zuständige Marktüberwachungsbehörden

(1) Die Bundesnetzagentur ist die für die Einhaltung der Verordnung (EU) 2024/1689 zuständige Marktüberwachungsbehörde, soweit in diesem Gesetz nichts anderes bestimmt ist.

(2) Die Behörden, die durch Bundes- oder Landesrecht zu Marküberwachungsbehörden zur Ausführung der in Anhang I Abschnitt A der Verordnung (EU) 2024/1689 genannten Harmonisierungsrechtsvorschriften bestimmt wurden, nehmen auch die Aufgaben als zuständige Marktüberwachungsbehörden gemäß der Verordnung (EU) 2024/1689 wahr, wenn KI-Systeme betroffen sind, die mit solchen Produkten in Zusammenhang stehen, auf die die im Anhang I Abschnitt A genannten Vorschriften anzuwenden sind.

(3) ¹Die Bundesanstalt für Finanzdienstleistungsaufsicht ist die zuständige Marktüberwachungsbehörde für in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehende KI-Systeme, die durch folgende, von der Bundesanstalt für Finanzdienstleistungsaufsicht beaufsichtigte Unternehmen in Verkehr gebracht, in Betrieb genommen oder verwendet werden:

1. Institute nach § 1 Absatz 1b des Kreditwesengesetzes in der Fassung der Bekanntmachung vom 9. September 1998 (BGBl. I S. 2776), das zuletzt durch Artikel 9 des Gesetzes vom 12. Mai 2026 (BGBl. 2026 I Nr. 139) geändert worden ist,

2. Emittenten vermögenswertereferenzierter Token nach Artikel 3 Absatz 1 Nummer 6 der Durchführungsverordnung (EU) 2023/1114,

3. Anbieter von Kryptowerte-Dienstleistungen nach Artikel 3 Absatz 1 Nummer 15 der Verordnung (EU) 2023/1114,

4. Investmentholdinggesellschaften nach § 2 Absatz 27 des Wertpapierinstitutsgesetzes vom 12. Mai 2021 (BGBl. I S. 990), das zuletzt durch Artikel 9 des Gesetzes vom 9. April 2026 (BGBl. 2026 I Nr. 97) geändert worden ist,

5. Finanzholdinggesellschaften nach § 1 Absatz 35 des Kreditwesengesetzes in Verbindung mit Artikel 4 Absatz 1 Nummer 20 der Verordnung (EU) Nr. 575/2013,

6. gemischte Finanzholdinggesellschaften nach § 1 Absatz 35 des Kreditwesengesetzes in Verbindung mit Artikel 4 Absatz 1 Nummer 21 der Verordnung (EU) Nr. 575/2013,

7. Kreditdienstleistungsinstitute im Sinne des § 2 Absatz 2 des Kreditzweitmarktgesetzes vom 22. Dezember 2023 (BGBl. 2023 I Nr. 411, S. 2), das durch Artikel 20 des Gesetzes vom 25. März 2026 (BGBl. 2026 I Nr. 81) geändert worden ist,

8. Zahlungsinstitute im Sinne des § 1 Absatz 1 Satz 1 Nummer 1 des Zahlungsdiensteaufsichtsgesetzes vom 17. Juli 2017 (BGBl. I S. 2446; 2019 I S. 1113), das zuletzt durch Artikel 17 des Gesetzes vom 25. März 2026 (BGBl. 2026 I Nr. 81) geändert worden ist,

9. E-Geld-Institute im Sinne des § 1 Absatz 2 Satz 1 Nummer 1 des Zahlungsdiensteaufsichtsgesetzes,

10. Wertpapierinstitute im Sinne des § 2 Absatz 1 des Wertpapierinstitutsgesetzes,

11. Datenbereitstellungsdienste im Sinne des § 1 Absatz 3a des Kreditwesengesetzes,

12. Schwarmfinanzierungsdienstleister im Sinne des Artikels 2 Absatz 1 Buchstabe e der Verordnung (EU) 2020/1503,

13. zentrale Gegenparteien im Sinne des § 1 Absatz 31 des Kreditwesengesetzes,

14. Zentralverwahrer im Sinne des § 1 Absatz 6 des Kreditwesengesetzes,

15. Verwaltungsgesellschaften im Sinne des § 1 Absatz 14 des Kapitalanlagegesetzbuches vom 4. Juli 2013 (BGBl. I S. 1981), das zuletzt durch Artikel 3 des Gesetzes vom 9. April 2026 (BGBl. 2026 I Nr. 97) geändert worden ist,

16. Versicherungsunternehmen im Sinne des § 7 Nummer 33 und 34 des Versicherungsaufsichtsgesetzes vom 1. April 2015 (BGBl. I S. 434), das zuletzt durch Artikel 25 des Gesetzes vom 25. März 2026 (BGBl. 2026 I Nr. 81) geändert worden ist,

17. Pensionsfonds im Sinne des § 236 Absatz 1 Satz 1 des Versicherungsaufsichtsgesetzes,

18. separate Abrechnungsverbände der öffentlich-rechtlichen Versorgungseinrichtungen, die im Wege der freiwilligen Versicherung Leistungen der Altersvorsorge anbieten, gemäß § 2 Absatz 1 des Versicherungsaufsichtsgesetzes,

19. Versicherungs-Holdinggesellschaften im Sinne des § 7 Nummer 31 des Versicherungsaufsichtsgesetzes sowie Unternehmen im Sinne des § 293 Absatz 4 des Versicherungsaufsichtsgesetzes,

20. gemischte Versicherungs-Holdinggesellschaften im Sinne des § 7 Nummer 11 des Versicherungsaufsichtsgesetzes,

21. gemischte Finanzholding-Gesellschaften im Sinne des § 7 Nummer 10 des Versicherungsaufsichtsgesetzes,

22. Versicherungs-Zweckgesellschaften im Sinne des § 168 Absatz 1 Satz 1 des Versicherungsaufsichtsgesetzes,

23. Sicherungsfonds gemäß § 223 Absatz 1 Satz 1 des Versicherungsaufsichtsgesetzes sowie juristische Personen des Privatrechts, denen Aufgaben und Befugnisse eines oder beider Sicherungsfonds gemäß § 224 des Versicherungsaufsichtsgesetzes übertragen worden sind,

24. den Pensions-Sicherungs-Verein Versicherungsverein auf Gegenseitigkeit im Sinne des § 14 Absatz 1 des Betriebsrentengesetzes vom 19. Dezember 1974 (BGBl. I S. 3610), das zuletzt durch Artikel 1 des Gesetzes vom 16. Januar 2026 (BGBl. 2026 I Nr. 14) geändert worden ist, oder

25. Niederlassungen von Einrichtungen der betrieblichen Altersversorgung im Sinne des Artikels 6 Nummer 1 der Richtlinie (EU) 2016/2341, die ihren Sitz in einem Drittstaat haben.

²In den Fällen, in denen die Europäische Zentralbank zuständige Aufsichtsbehörde gemäß Artikel 4 Absatz 1 Buchstabe a bis i der Verordnung (EU) Nr. 1024/2013 für ein in der Bundesrepublik Deutschland niedergelassenes Kreditinstitut oder gemäß Artikel 4 Absatz 2 der Verordnung (EU) Nr. 1024/2013 für eine in der Bundesrepublik Deutschland errichtete Zweigstelle ist, ist die Bundesanstalt für Finanzdienstleistungsaufsicht zuständige Marktüberwachungsbehörde gemäß der Verordnung (EU) 2024/1689 für in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehende KI-Systeme. ³Die Bundesanstalt für Finanzdienstleistungsaufsicht ist unter den Voraussetzungen des Satzes 1 auch zuständige Marktüberwachungsbehörde für in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehende KI-Systeme, soweit die Zuständigkeit für die Beaufsichtigung gemäß Artikel 43 Absatz 7 oder Artikel 44 Absatz 4 der Verordnung (EU) 2023/1114 in Bezug auf den Emittenten eines signifikanten vermögenswertereferenzierten Tokens auf die Europäische Bankenaufsichtsbehörde übertragen ist und der Emittent weiterhin im Inland geschäftsansässig ist. ⁴Zudem ist die Bundesanstalt für Finanzdienstleistungsaufsicht zuständige Marktüberwachungsbehörde für in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehende Hochrisiko-KI-Systeme der Versorgungsanstalt des Bundes und der Länder.

(4) ¹Steht das Inverkehrbringen, die Inbetriebnahme oder die Verwendung eines KI-Systems in direktem Zusammenhang mit einer regulierten Finanztätigkeit, welche von einem Finanzinstitut erbracht wird, das nicht von der Bundesanstalt für Finanzdienstleistungsaufsicht nach Absatz 3 überwacht wird, so obliegt die Marktüberwachung derjenigen Aufsichtsbehörde, die gemäß Gesetz oder aufgrund entsprechender Vereinbarung zwischen ihr und der Bundesanstalt für Finanzdienstleistungsaufsicht zuständige Finanzaufsichtsbehörde ist. ²Satz 1 gilt nicht für Gewerbetreibende, die Tätigkeiten nach den §§ 34d, 34f, 34h, 34i und 34k der Gewerbeordnung ausüben.

(5) Vorbehaltlich des Absatzes 6 wird bei der Bundesnetzagentur gemäß § 4 eine unabhängige KI-Marktüberwachungskammer zur Marktüberwachung der folgenden KI-Systeme eingerichtet:

1. Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 in Verbindung mit Anhang III Nummer 1 der Verordnung (EU) 2024/1689, sofern sie für Strafverfolgungszwecke, Grenzmanagement und Justiz und Demokratie eingesetzt werden, sowie

2. Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 in Verbindung mit Anhang III Nummer 6, 7 und 8 der Verordnung (EU) 2024/1689.

(6) ¹Für die Fälle, in denen öffentliche Stellen der Länder im Sinne des § 2 Absatz 2 und 3 des Bundesdatenschutzgesetzes vom 30. Juni 2017 (BGBl. I S. 2097), das zuletzt durch Artikel 3 des Gesetzes vom 12. Mai 2026 (BGBl. 2026 I Nr. 139) geändert worden ist, KI-Systeme in Verkehr bringen, in Betrieb nehmen oder verwenden, obliegt die Marktüberwachung den nach Landesrecht zuständigen Behörden. ²Für die Koordinierung der Zusammenarbeit durch das Koordinierungs- und Kompetenzzentrum nach § 5 Satz 2 Nummer 2 und die zentrale Beschwerdestelle nach § 8 können die Länder einheitliche Ansprechpartner benennen.

(7) ¹Sieht die Bundesnetzagentur Grund zur Annahme, dass eine Bundesfinanzbehörde nach § 1 des Finanzverwaltungsgesetzes, die KI-Systeme bei der Verwaltung von Abgabenangelegenheiten in Verkehr bringt, in Betrieb nimmt oder verwendet, gegen die Verordnung (EU) 2024/1689 verstößt, darf sie ihre Durchsetzungsbefugnisse nur im Einvernehmen mit dem Bundesministerium der Finanzen ausüben. ²Gleiches gilt für die Ausübung solcher Durchsetzungsbefugnisse gegenüber der Versorgungsanstalt des Bundes und der Länder. ³Für die Erteilung des Einvernehmens kann sie dem Bundesministerium der Finanzen eine angemessene Frist setzen. ⁴Wird bis zum Ablauf dieser Frist kein Einvernehmen erzielt, geht die Zuständigkeit für die Marktüberwachung bezüglich dieses Sachverhalts von der Bundesnetzagentur auf das Bundesministerium der Finanzen über.

(8) ¹Für die Fälle, in denen Mediendienstanbieter im Sinne des Artikels 2 Nummer 2 der Verordnung (EU) 2024/1083 KI-Systeme bei der Veranstaltung, dem Angebot, der Verbreitung und der Zugänglichmachung von Mediendiensten zu journalistischen Zwecken oder zu Werbezwecken in Verkehr bringen, in Betrieb nehmen oder verwenden, obliegt die Marktüberwachung den nach Landesrecht zuständigen Behörden. ²Bei der Deutschen Welle richtet sich die Aufsicht über die Einhaltung der Verordnung (EU) 2024/1689 in dem in Satz 1 benannten Bereich abweichend von Satz 1 nach dem Deutsche-Welle-Gesetz sowie den aufsichtsrechtlichen Bestimmungen der Deutschen Welle. ³Für die Koordinierung der Zusammenarbeit durch das Koordinierungs- und Kompetenzzentrum nach § 5 Satz 2 Nummer 2 und die zentrale Beschwerdestelle nach § 8 können die Länder einheitliche Ansprechpartner benennen.

(9) Die nach den Absätzen 1 bis 7 zuständigen Behörden können Sachverständige des wissenschaftlichen Gremiums (Artikel 68 der Verordnung (EU) 2024/1689) gemäß Artikel 69 der Verordnung (EU) 2024/1689 hinzuziehen.

§ 3 Zuständige Behörden für die Notifizierung und Akkreditierung von Konformitätsbewertungsstellen

(1) ¹Die Behörden, die durch Bundes- oder Landesrecht zu notifizierenden Behörden zur Ausführung der in Anhang I Abschnitt A der Verordnung (EU) 2024/1689 genannten Harmonisierungsrechtsvorschriften bestimmt wurden, nehmen auch die Aufgaben als zuständige notifizierende Behörden gemäß Artikel 28 Absatz 1 der Verordnung (EU) 2024/1689 wahr, wenn KI-Systeme betroffen sind, die mit solchen Produkten in Zusammenhang stehen, auf die die im Anhang I Abschnitt A genannten Vorschriften anzuwenden sind. ²Für KI-Systeme, die mit solchen Produkten in Zusammenhang stehen, auf die die Verordnung (EU) 2016/424 anzuwenden ist, bestimmen die Länder die zuständigen notifizierenden Behörden.

(2) ¹Für die Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 in Verbindung mit Anhang III Nummer 1 der Verordnung (EU) 2024/1689 ist die Marktüberwachungsbehörde, die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennen ist, die gemäß Artikel 28 Absatz 1 der Verordnung (EU) 2024/1689 zuständige notifizierende Behörde. ²Bis zur Benennung der Marktüberwachungsbehörde nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 nimmt das Bundesamt für Sicherheit in der Informationstechnik die in Satz 1 genannte Aufgabe wahr.

(3) ¹Hat die notifizierende Behörde nach den Absätzen 1 oder 2 festgestellt, dass eine Konformitätsbewertungsstelle die Anforderungen nach Artikel 31 der Verordnung (EU) 2024/1689 erfüllt, so erteilt sie dieser die Befugnis, Konformitätsbewertungen nach Artikel 3 Nummer 20 der Verordnung (EU) 2024/1689 vorzunehmen und notifiziert diese nach Artikel 30 Absatz 2 der Verordnung (EU) 2024/1689 der Kommission und den übrigen Mitgliedstaaten. ²Die Befugnis kann unter Bedingungen oder Auflagen erteilt werden. ³Sie kann befristet und mit dem Vorbehalt des Widerrufs sowie dem Vorbehalt nachträglicher Auflagen erteilt werden. ⁴Sie ist unter der aufschiebenden Bedingung zu erteilen, dass weder die Europäische Kommission noch die anderen Mitgliedstaaten der Europäischen Union Einwände gegen die Notifizierung erheben.

(4) ¹Die Bewertung und Überwachung von Konformitätsbewertungsstellen gemäß Artikel 3 Nummer 21 der Verordnung (EU) 2024/1689, die ihren Sitz in Deutschland haben, obliegt den jeweiligen Stellen, die diese Aufgabe bereits im Rahmen der in Anhang I Abschnitt A der Verordnung (EU) 2024/1689 genannten Harmonisierungsvorschriften der Europäischen Union wahrnehmen. ²Die Bewertung und Überwachung von Konformitätsbewertungsstellen gemäß Artikel 3 Nummer 21 der Verordnung (EU) 2024/1689, die ihren Sitz in Deutschland haben und Konformitätsbewertungen für die in Anhang III Nummer 1 der Verordnung (EU) 2024/1689 genannten Hochrisiko-KI-Systeme durchführen, obliegt abweichend von Satz 1 der Deutschen Akkreditierungsstelle.

(5) Die nach den Absätzen 1, 2 und 4 zuständigen Behörden und die Deutsche Akkreditierungsstelle können Sachverständige des wissenschaftlichen Gremiums (Artikel 68 der Verordnung (EU) 2024/1689) gemäß Artikel 69 der Verordnung (EU) 2024/1689 hinzuziehen.

§ 4 KI-Marktüberwachungskammer

(1) ¹Die KI-Marktüberwachungskammer hat drei Mitglieder. ²Den Vorsitz der Kammer führt der Präsident beziehungsweise die Präsidentin der Bundesnetzagentur. ³Die Vizepräsidenten beziehungsweise -präsidentinnen der Bundesnetzagentur sind beisitzende Mitglieder. ⁴Die Entscheidungen der KI-Marktüberwachungskammer werden mit einfacher Mehrheit der Mitglieder getroffen. ⁵Bei Stimmengleichheit entscheidet die Stimme des Vorsitzenden beziehungsweise der Vorsitzenden.

(2) ¹Die KI-Marktüberwachungskammer wird durch eine Geschäftsstelle unterstützt. ²Sie kann zur Erfüllung ihrer Aufgaben über Personal- und Sachmittel der Bundesnetzagentur verfügen. ³Die Mitarbeitenden der Bundesnetzagentur unterstehen während ihrer Tätigkeit für die KI-Marktüberwachungskammer ausschließlich den Mitgliedern der KI-Marktüberwachungskammer.

(3) ¹Die KI-Marktüberwachungskammer handelt völlig unabhängig. ²Sie unterliegt weder direkter noch indirekter Beeinflussung von außen und ersucht weder um Weisungen noch nimmt sie Weisungen entgegen.

(4) ¹Die KI-Marktüberwachungskammer legt dem Bundestag jährlich einen Tätigkeitsbericht vor. ²Der Bericht ist erstmals für das Jahr 2026 zu erstellen und dem Bundestag jeweils zum 31. März des dem Berichtsjahr folgenden Jahres zu übermitteln.

(5) Die Aufgaben der KI-Marktüberwachungskammer erstrecken sich nicht auf die Überprüfung der in Artikel 5 Absatz 2 und 3 und Artikel 26 Absatz 10 der Verordnung (EU) 2024/1689 geregelten formellen und materiellen Anforderungen an die Anordnung des Einsatzes von Hochrisiko-KI-Systemen sowie an den Einsatz dieser Systeme im Einzelfall.

§ 5 Koordinierungs- und Kompetenzzentrum für die Durchführung der Verordnung (EU) 2024/1689

¹Bei der Bundesnetzagentur wird ein zentrales Koordinierungs- und Kompetenzzentrum für die Verordnung (EU) 2024/1689 eingerichtet. ²Das Zentrum hat die Aufgabe,

1. die nach diesem Gesetz zuständigen Marktüberwachungsbehörden, notifizierenden Behörden und die Deutsche Akkreditierungsstelle bei komplexen Entscheidungen im Anwendungsbereich der Verordnung (EU) 2024/1689 oder die zuständigen Marktüberwachungsbehörden nach der Verordnung (EU) 2023/1230 bei komplexen Entscheidungen bei der Marktüberwachung von KI-Systemen, die in ein Produkt nach der Verordnung (EU) 2023/1230 integriert sind, mit Sachverstand auf Anfrage zu unterstützen,

2. die Zusammenarbeit der nach diesem Gesetz zuständigen Behörden untereinander und mit sonstigen, in ihrem Zuständigkeitsbereich betroffenen Behörden zu koordinieren und darauf hinzuwirken, dass die horizontalen Rechtsfragen einheitlich beantwortet werden,

3. die Aufstellung von Verhaltenskodizes im Sinne des Artikels 95 Absatz 2 der Verordnung (EU) 2024/1689 zu erleichtern,

4. eine angemessene, transparente und regelmäßige Einbeziehung der Zivilgesellschaft, der Gewerkschaften, der Wirtschaft und der Wissenschaft und Forschung sowie der Länder sicherzustellen sowie

5. nach Bedarf vorbereitete Schulungs- und Sensibilisierungsangebote sowie allgemeine Informationen und Prüfempfehlungen bereitzustellen mit dem Ziel, eine einheitliche Rechtsanwendung der Verordnung (EU) 2024/1689 in der Bundesrepublik Deutschland zu fördern.

³Für die Erfüllung seiner Aufgaben nach Satz 2 Nummer 1 bis 3 kann das Zentrum im Einzelfall in ihrer Zuständigkeit betroffene Bundesbehörden einbinden und externen Sachverstand hinzuziehen. ⁴Für die Erfüllung seiner Aufgabe nach Satz 2 Nummer 2 kann das Zentrum geeignete Ausschüsse, insbesondere bestehend aus Vertretern der zuständigen Behörden, einrichten, insbesondere einen Bund-Länder-Ausschuss Künstliche Intelligenz, der der strukturierten Koordinierung und Zusammenarbeit zwischen den Marktüberwachungsbehörden nach § 2 Absatz 1 bis 6 und 8 sowie der nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennenden Marktüberwachungsbehörde dient.

§ 6 Zentrale Anlaufstelle

(1) Zentrale Anlaufstelle im Sinne des Artikels 70 Absatz 2 Satz 3 der Verordnung (EU) 2024/1689 ist die Bundesnetzagentur.

(2) ¹Die Marktüberwachungsbehörden und die notifizierenden Behörden stellen der zentralen Anlaufstelle Informationen über ihre Aufgaben und ihre elektronische Kontaktadresse sowie die Kontaktdaten einer Ansprechperson und einer diese vertretende Person zur Verfügung. ²Die Marktüberwachungsbehörden und die notifizierenden Behörden informieren die zentrale Anlaufstelle unverzüglich über Änderungen zu diesen Informationen.

(3) ¹Die zentrale Anlaufstelle gibt die elektronischen Kontaktadressen nach Absatz 2 sowie ihre eigene elektronische Kontaktadresse öffentlich bekannt. ²Die zentrale Anlaufstelle teilt der Europäischen Kommission die Namen und die Aufgaben der Marktüberwachungsbehörden und der notifizierenden Behörden die in Satz 1 genannten elektronischen Kontaktadressen sowie alle späteren Änderungen dieser Kontaktadressen mit. ³Die zentrale Anlaufstelle veröffentlicht diese Informationen auf der Internetseite der Bundesnetzagentur.

(4) Die zentrale Anlaufstelle nimmt Eingaben des nach Artikel 64 der Verordnung (EU) 2024/1689 eingerichteten Büros für Künstliche Intelligenz, der Öffentlichkeit und anderer Ansprechpartner auf Ebene der Mitgliedstaaten der Europäischen Union und der Europäischen Union selbst entgegen und leitet diese an die zuständigen nationalen Stellen weiter.

(5) ¹Soweit in diesem Gesetz nichts anderes bestimmt ist, erfüllen die nach den §§ 2 und 3 zuständigen Behörden die aus der Verordnung (EU) 2024/1689 resultierenden Berichtspflichten über die zentrale Anlaufstelle, indem sie dieser die zur Erfüllung der jeweiligen Berichtspflicht jeweils erforderlichen Dokumente in elektronischer Form zur Verfügung stellen. ²Die zentrale Anlaufstelle stellt den zuständigen Behörden dafür Formulare in elektronischer Form zur Verfügung, die zu verwenden sind. ³Satz 1 gilt nicht für die Berichtspflicht gemäß Artikel 70 Absatz 6 der Verordnung (EU) 2024/1689, für deren Erfüllung das Bundesministerium für Digitales und Staatsmodernisierung zuständig ist. ⁴Die Bundesanstalt für Finanzdienstleistungsaufsicht kann ihre Berichtspflichten nach der Verordnung (EU) 2024/1689 abweichend von Satz 1 direkt gegenüber den anderen Mitgliedstaaten und den Institutionen der Europäischen Union erfüllen, soweit rechtliche Gründe einer Erfüllung durch die zentrale Anlaufstelle entgegenstehen.

§ 7 Unterrichtung bei Nichtkonformität oder Risiken eines KI-Systems

(1) Die Unterrichtung der Europäischen Kommission und anderer Mitgliedstaaten der Europäischen Union bei einer nicht auf Deutschland beschränkten Nichtkonformität eines KI-Systems nach Artikel 79 Absatz 3, 5 Satz 2 und Absatz 7 sowie nach Artikel 81 Absatz 2 Satz 1 und 2 der Verordnung (EU) 2024/1689 hat die zuständige Marktüberwachungsbehörde unverzüglich über die Bundesanstalt für Arbeitsschutz und Arbeitsmedizin vorzunehmen.

(2) Die Unterrichtung bei Risiken trotz Konformität eines KI-Systems nach Artikel 82 Absatz 3 der Verordnung (EU) 2024/1689 hat die zuständige Marktüberwachungsbehörde unverzüglich über die Bundesanstalt für Arbeitsschutz und Arbeitsmedizin vorzunehmen.

(3) Die Bundesanstalt für Arbeitsschutz und Arbeitsmedizin unterstützt im Rahmen ihrer Aufgaben die Marktüberwachung von KI-Systemen, die in ein Produkt gemäß einer der Rechtsakte der Europäischen Union nach Anhang I Abschnitt A Nummer 4, 5, 7, 9 oder 10 der Verordnung (EU) 2024/1689 oder nach der Verordnung (EU) 2023/1230 integriert sind, insbesondere mit evidenzbasiertem Spezialwissen für Betreiber, Anbieter und Normungsgremien.

§ 8 Zentrale Beschwerdestelle

(1) Beschwerden wegen eines Verstoßes gegen die Verordnung (EU) 2024/1689 können unbeschadet der Vorgaben des Artikels 85 der Verordnung (EU) 2024/1689 bei der Bundesnetzagentur als zentraler Beschwerdestelle eingereicht werden.

(2) ¹Die zentrale Beschwerdestelle leitet Beschwerden wie folgt weiter:

1. eine Beschwerde, die in die Zuständigkeit einer Marktüberwachungsbehörde nach § 2 Absatz 2 bis 8 fällt, an die zuständige Behörde oder den zuständigen einheitlichen Ansprechpartner oder

2. eine Beschwerde, die auch in die Zuständigkeit einer Behörde oder öffentlichen Stelle nach Artikel 77 Absatz 1 der Verordnung (EU) 2024/1689 fällt, an diese Behörde beziehungsweise Stelle.

²Unbeschadet der Informationspflichten zu personenbezogenen Daten nach der Verordnung (EU) 2016/679 ist der Beschwerdeführer im Fall des Satzes 1 Nummer 1 von der zentralen Beschwerdestelle darüber zu informieren, welche Behörde nach § 2 Absatz 2 bis 8 für seine Beschwerde zuständig ist und dass die Beschwerde an diese Behörde oder den zuständigen einheitlichen Ansprechpartner abgegeben wurde.

(3) Zur Erfüllung ihrer Aufgaben als zentrale Beschwerdestelle richtet die Bundesnetzagentur ein Beschwerdemanagementsystem ein, das leicht zugänglich, barrierefrei und benutzerfreundlich ausgestaltet ist und die Einreichung hinreichend präziser und angemessen begründeter Beschwerden durch Betroffene ermöglicht.

(4) ¹Wird eine Beschwerde wegen eines Verstoßes gegen die Verordnung (EU) 2024/1689 bei einer Marktüberwachungsbehörde nach § 2 Absatz 2 bis 8 eingereicht, so leitet diese die Beschwerde an die Bundesnetzagentur weiter, sofern sie nicht in die eigene Zuständigkeit fällt. ²Andernfalls stellt die Marktüberwachungsbehörde der Bundesnetzagentur in Textform eine Kopie der Beschwerde zur Verfügung.

Abschnitt 2 Zusammenarbeit

§ 9 Zusammenarbeit der zuständigen Behörden

(1) ¹Die Marktüberwachungsbehörden und die notifizierenden Behörden arbeiten zur Erfüllung ihrer Aufgaben im Rahmen ihrer jeweiligen Zuständigkeiten kooperativ und vertrauensvoll zusammen. ²Sie teilen einander Beobachtungen und Feststellungen mit, die für die Erfüllung ihrer jeweiligen Aufgaben von Bedeutung sein können.

(2) ¹Soweit ihre jeweiligen Zuständigkeiten bei konkreten Marktüberwachungstätigkeiten oder bei Prüfungen und Maßnahmen gemäß Artikel 79 der Verordnung (EU) 2024/1689 betroffen sind, informieren sich die Marktüberwachungsbehörden, die Behörden und öffentlichen Stellen nach Artikel 77 Absatz 1 der Verordnung (EU) 2024/1689 und die sonstigen Behörden gegenseitig über Maßnahmen, die sie zu ergreifen beabsichtigen. ²Im Rahmen der Durchführung von Maßnahmen teilen sie einander Beobachtungen und Feststellungen mit, die sie für die Erfüllung ihrer jeweiligen Aufgaben nach diesem Gesetz oder der Verordnung (EU) 2024/1689 benötigen.

(3) ¹Kommen die Marktüberwachungsbehörden zu dem Ergebnis, dass öffentliche Stellen im Sinne des § 2 Absatz 1 und 2 des Bundesdatenschutzgesetzes, gegen die Verordnung (EU) 2024/1689 verstoßen, so ist dies der für die jeweilige öffentliche Stelle zuständigen Rechts- oder Fachaufsichtsbehörde mitzuteilen und dieser vor Durchführung von Maßnahmen gegenüber der öffentlichen Stelle Gelegenheit zur Stellungnahme innerhalb einer angemessenen Frist einzuräumen. ²Von der Einräumung der Gelegenheit zur Stellungnahme kann abgesehen werden, wenn eine sofortige Entscheidung wegen Gefahr im Verzug oder im öffentlichen Interesse notwendig erscheint oder ihr ein zwingendes öffentliches Interesse entgegensteht. ³Die Stellungnahme der Rechts- oder Fachaufsichtsbehörde soll auch eine Darstellung der aufsichtsrechtlichen Maßnahmen enthalten, die aufgrund der Mitteilung der Behörde oder öffentlichen Stelle nach Absatz 2 Satz 1 getroffen worden sind. ⁴Satz 2 ist nicht anzuwenden, soweit es sich bei den öffentlichen Stellen um Strafverfolgungsbehörden im Sinne des Artikels 3 Nummer 45 der Verordnung (EU) 2024/1689 handelt.

(4) Die Marktüberwachungsbehörden beziehen bei der Wahrnehmung ihrer Aufgaben nach der Verordnung (EU) 2024/1689 insbesondere auch die folgenden sonstigen Behörden ein, soweit deren jeweiliger Zuständigkeitsbereich berührt ist:

1. die Datenschutzaufsichtsbehörden des Bundes und der Länder,

2. der nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennenden Marktüberwachungsbehörde und

3. das Bundeskartellamt.

(5) ¹Die in den Absätzen 1 bis 4 genannten Behörden können im Rahmen ihrer Zuständigkeit unabhängig von der jeweils gewählten Verfahrensart untereinander Informationen einschließlich personenbezogener Daten und Betriebs- und Geschäftsgeheimnisse austauschen, soweit dies zur Erfüllung ihrer jeweiligen Aufgaben gemäß der Verordnung (EU) 2024/1689 und dieses Gesetzes unbedingt erforderlich ist. ²Sie können diese Informationen in ihren Verfahren verwerten. ³Beweisverwertungsverbote bleiben unberührt. ⁴Die Regelungen über die Rechtshilfe in Strafsachen sowie Amts- und Rechtshilfeabkommen bleiben unberührt.

(6) ¹Die bei der Bundesanstalt für Finanzdienstleistungsaufsicht beschäftigten und die von ihr beauftragten Personen dürfen solche ihnen bei ihrer Tätigkeit bekanntgewordenen Tatsachen, deren Geheimhaltung im Interesse eines nach der Verordnung (EU) 2024/1689 Verpflichteten, der zuständigen Behörden oder eines Dritten liegt, insbesondere Geschäfts- und Betriebsgeheimnisse, nicht unbefugt offenbaren oder verwerten, auch dann nicht, wenn sie nicht mehr im Dienst sind oder ihre Tätigkeit beendet ist. ²Ein unbefugtes Offenbaren oder Verwerten liegt insbesondere dann nicht vor, wenn

1. Tatsachen an Behörden oder andere öffentliche Stellen weitergegeben werden und die Weitergabe der Informationen zur Erfüllung der Aufgaben dieser Behörden oder Stellen nach diesem Gesetz oder der Verordnung (EU) 2024/1689 erforderlich ist oder

2. Tatsachen nach Artikel 74 Absatz 7 der Verordnung (EU) 2024/1689 an die Europäische Zentralbank weitergegeben werden oder wenn sie an die Deutsche Bundesbank weitergegeben werden, soweit dies im Rahmen der bankaufsichtlichen Aufgaben der Deutschen Bundesbank erforderlich ist.

(7) ¹Werden die in Absatz 6 genannten Tatsachen an eine inländische Behörde oder Stelle weitergegeben, so dürfen die bei dieser Behörde oder Stelle beschäftigten oder von dieser beauftragten Personen die Tatsachen nicht unbefugt offenbaren oder verwerten, auch dann nicht, wenn sie nicht mehr im Dienst sind oder ihre Tätigkeit beendet ist. ²An ausländische Stellen dürfen die Tatsachen nur dann weitergegeben werden, wenn die bei dieser Stelle beschäftigten oder von ihr beauftragten Personen der Vertraulichkeit nach Artikel 78 der Verordnung (EU) 2024/1689 oder einer dem Absatz 6 Satz 1 weitgehend entsprechenden Verschwiegenheitspflicht unterliegen. ³Ausländische Stellen sind darauf hinzuweisen, dass sie die Tatsachen nur zu dem Zweck verwerten dürfen, zu dessen Erfüllung sie übermittelt werden. ⁴Datenschutzrechtliche Vorschriften und die Befugnisse zur Offenbarung und Verwertung nach anderen Vorschriften bleiben unberührt.

§ 10 Zusammenarbeit der nach diesem Gesetz zuständigen Marktüberwachungsbehörden mit der nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennenden Marktüberwachungsbehörde

(1) ¹Die nach diesem Gesetz zuständigen Marktüberwachungsbehörden und die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde arbeiten zur Erfüllung ihrer Aufgaben im Rahmen ihrer jeweiligen Zuständigkeiten kooperativ und vertrauensvoll zusammen. ²Sie teilen einander Beobachtungen und Feststellungen mit, die für die Erfüllung der jeweiligen Aufgaben im jeweiligen Zuständigkeitsbereich von Bedeutung sein können.

(2) ¹Im Rahmen der Zusammenarbeit informiert die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde die jeweils nach diesem Gesetz zuständige Marküberwachungsbehörde über Verdachtsfälle hinsichtlich der Nichtkonformität von Hochrisiko-KI-Systemen gemäß Artikel 6 der Verordnung (EU) 2024/1689 mit den Anforderungen der Cybersicherheit gemäß Artikel 13 Absatz 3 Buchstabe b Doppelbuchstabe ii und Artikel 15 Absatz 1 und 5 der Verordnung (EU) 2024/1689. ²Die nach diesem Gesetz zuständige Marktüberwachungsbehörde prüft daraufhin, ob sie Marktüberwachungsmaßnahmen ergreift. ³Die Bundesnetzagentur und die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde erstellen hierfür gemeinsame Vorgaben für die Prüfung der für Hochrisiko-KI-Systeme gemäß Artikel 6 der Verordnung (EU) 2024/1689 geltenden Anforderungen an die Cybersicherheit gemäß Artikel 13 Absatz 3 Buchstabe b Doppelbuchstabe ii sowie Artikel 15 Absatz 1 und 5 der Verordnung (EU) 2024/1689. ⁴Diese Vorgaben gelten nicht für die Marktüberwachung gegenüber Finanzunternehmen im Sinne von Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554. ⁵Im Rahmen der Marktüberwachung nach § 2 Absatz 3 erstellt die Bundesanstalt für Finanzdienstleistungsaufsicht im Einvernehmen mit der Bundesnetzagentur und der nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennenden Marktüberwachungsbehörde eigenständige Vorgaben für die Prüfung der Anforderungen an die Cybersicherheit gemäß Artikel 13 Absatz 3 Buchstabe b Doppelbuchstabe ii sowie Artikel 15 Absatz 1 und 5 der Verordnung (EU) 2024/1689 von Hochrisiko-KI-Systemen nach Artikel 6 der Verordnung (EU) 2024/1689. ⁶Die Aufgaben und Befugnisse der Bundesanstalt für Finanzdienstleistungsaufsicht nach der Verordnung (EU) 2022/2554 bleiben davon unberührt. ⁷Über das Ergebnis der Prüfung informiert die nach diesem Gesetz zuständige Marktüberwachungsbehörde die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde.

(3) Die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde und, sofern der Anwendungsbereich der Verordnung (EU) 2022/2554 betroffen ist, die in § 2 Absatz 3 genannte Behörde arbeiten mit

1. an der Erstellung der Leitlinien der Europäischen Kommission nach Artikel 96 Absatz 1 Buchstabe a in Verbindung mit Artikel 15 Absatz 5 der Verordnung (EU) 2024/1689,

2. bei der Entwicklung europäisch harmonisierter Normen nach Artikel 40 der Verordnung (EU) 2024/1689 zu den Anforderungen an die Cybersicherheit nach Artikel 15 Absatz 5 der Verordnung (EU) 2024/1689 und

3. bei der Festlegung gemeinsamer Spezifikationen zu den Anforderungen an die Cybersicherheit nach Artikel 15 Absatz 5 der Verordnung (EU) 2024/1689 durch die Europäische Kommission nach Artikel 41 der Verordnung (EU) 2024/1689.

(4) Bis zur Benennung der Marktüberwachungsbehörde nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 nimmt das Bundesamt für Sicherheit in der Informationstechnik die in den Absätzen 1 bis 3 genannten Aufgaben wahr.