Nationale KI-Aufsichten im EU27-Rest: Wer setzt wo durch?

Der EU AI Act ist eine Verordnung — er gilt in allen Mitgliedstaaten unmittelbar und ohne Umsetzungsgesetz. Die Durchsetzung ist aber nicht zentralisiert. Wer ein KI-System in mehreren Mitgliedstaaten anbietet oder betreibt, steht im Ernstfall nicht einer europäischen Behörde gegenüber, sondern potenziell mehreren nationalen — mit unterschiedlichem Zuschnitt, unterschiedlicher Ressourcenlage und unterschiedlicher Prüfkultur. Diese Seite ordnet, was die Verordnung den Mitgliedstaaten vorschreibt, welche Organisationsmodelle sich abzeichnen und wie eine Organisation ihren tatsächlichen Ansprechpartner ermittelt, statt ihn zu raten.

Die deutsche Zuständigkeitslage ist auf dieser Seite separat behandelt: Aufsichtsbehörden für KI in Deutschland. Die Rolle der europäischen Ebene steht im Beitrag zum AI Office in Brüssel. Hier geht es um den EU27-Rest.

Was Art. 70 den Mitgliedstaaten abverlangt

Die Verordnung (EU) 2024/1689 schreibt keine bestimmte Behördenstruktur vor. Sie schreibt Funktionen vor, die besetzt sein müssen. Jeder Mitgliedstaat benennt danach mindestens:

• eine notifizierende Behörde (notifying authority), die Konformitätsbewertungsstellen benennt und beaufsichtigt,
• eine oder mehrere Marktüberwachungsbehörden (market surveillance authorities), die die Einhaltung im Feld durchsetzen,
• eine zentrale Anlaufstelle (single point of contact) für die Kommunikation mit der Kommission und den anderen Mitgliedstaaten.

Diese benannten Stellen sind der Kommission und den übrigen Mitgliedstaaten mitzuteilen und öffentlich zugänglich zu machen. Die Verordnung verlangt zudem, dass die Behörden über ausreichende technische, finanzielle und personelle Ressourcen verfügen und ihre Aufgaben unabhängig und unparteiisch wahrnehmen.

Getrennt davon steht die Benennung nach Art. 77: Behörden, die Grundrechte schützen — Datenschutz-, Antidiskriminierungs-, Verbraucherschutz- oder Gleichstellungsstellen — können bei Hochrisiko-Systemen nach Annex III Unterlagen anfordern, ohne selbst Marktüberwachungsbehörde zu sein. Das ist einer der Gründe, warum die Frage "wer prüft mich?" in der Praxis mehr als eine Antwort hat.

Drei Organisationsmodelle

Wie ein Mitgliedstaat diese Funktionen verteilt, ist ihm überlassen. In der Aufbauphase lassen sich drei Muster unterscheiden.

Modell 1 — Dedizierte KI-Behörde. Ein Staat gründet eine eigene Agentur, die die Marktüberwachung für KI bündelt. Das klarste dokumentierte Beispiel ist Spanien mit der Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), die bereits vor Geltungsbeginn der Kernpflichten eingerichtet wurde. Vorteil für Unternehmen: ein eindeutiger Ansprechpartner. Risiko: eine neue Behörde muss Prüfkompetenz erst aufbauen, was die Prüfpraxis in den ersten Jahren schwer prognostizierbar macht.

Modell 2 — Bestehender Regulierer übernimmt. Ein Staat überträgt die Marktüberwachung einer etablierten Behörde — häufig der Telekommunikations-, Digital- oder Produktsicherheitsaufsicht. Deutschland folgt mit der Bundesnetzagentur diesem Muster. Vorteil: bestehende Verfahrensroutine, eingespielte Instrumente der Marktüberwachung nach Verordnung (EU) 2019/1020. Risiko: KI-spezifische Fachkompetenz konkurriert intern mit dem Kerngeschäft der Behörde.

Modell 3 — Verteilte sektorale Aufsicht. Ein Staat verzichtet auf eine zentrale KI-Behörde und lässt die jeweils sektoral zuständige Aufsicht auch die KI-Aufsicht führen: Finanzaufsicht für Banken und Versicherer, Gesundheitsaufsicht für Medizinprodukte, Datenschutzaufsicht für biometrische Anwendungen. Vorteil: hohe Domänenkompetenz. Risiko für Unternehmen mit branchenübergreifendem KI-Portfolio: mehrere parallele Ansprechpartner mit womöglich abweichenden Erwartungen an dieselbe Dokumentation.

Die meisten Mitgliedstaaten kombinieren Elemente. Ein zentraler Marktüberwacher mit sektoralen Ausnahmen für Finanzwesen und Medizinprodukte ist die häufigste Mischform — und entspricht auch der deutschen Aufteilung zwischen Bundesnetzagentur, BaFin und den Datenschutzaufsichten.

Warum die Behördenwahl für Sie wirtschaftlich relevant ist

Drei Effekte machen den Unterschied konkret.

Erstens die Prüftiefe. Eine Datenschutzaufsicht, die als Marktüberwacher agiert, wird mit hoher Wahrscheinlichkeit von der Datenverarbeitung her prüfen — Trainingsdatenherkunft, Betroffenenrechte, Datenqualität nach Art. 10. Eine Produktsicherheitsbehörde prüft eher entlang der technischen Dokumentation nach Art. 11, der Konformitätsbewertung nach Art. 43 und der Aufzeichnungspflichten nach Art. 12. Beide Perspektiven sind legitim, verlangen aber unterschiedlich aufbereitete Nachweise.

Zweitens die Zuständigkeitsklärung bei grenzüberschreitendem Einsatz. Die Marktüberwachung folgt der Logik des Marktzugangs, nicht dem Sitz des Unternehmens. Ein System, das in mehreren Mitgliedstaaten bereitgestellt wird, kann von mehreren nationalen Behörden geprüft werden. Der EU AI Act sieht dafür Koordination über die zentralen Anlaufstellen und das European Artificial Intelligence Board vor — die Koordination ersetzt aber nicht die einzelne Zuständigkeit. Wer in fünf Mitgliedstaaten liefert, sollte fünf Anlaufstellen kennen.

Drittens die Sprache der Unterlagen. Behörden können Dokumentation in einer Amtssprache ihres Staates anfordern. Eine ausschließlich englische Evidenzlage ist damit kein sicherer Zustand, sondern eine offene Position im Verfahren.

Wie Sie Ihren tatsächlichen Ansprechpartner ermitteln

Die Benennungen sind in Bewegung, und einzelne Mitgliedstaaten haben ihre Strukturen bis heute nicht abschließend festgelegt. Eine Liste, die aus zweiter Hand abgeschrieben wird, veraltet schnell. Belastbar ist nur der Weg über die Primärquelle:

1. Kommissions-Übersicht der gemeldeten Behörden heranziehen — die Mitgliedstaaten sind zur Meldung und Veröffentlichung verpflichtet, die Kommission führt die Zusammenstellung.
2. Zentrale Anlaufstelle des jeweiligen Staates direkt kontaktieren und die Zuständigkeit für Ihre konkrete Annex-III-Kategorie schriftlich klären lassen.
3. Sektorale Sonderzuständigkeit prüfen: Wenn Ihr System in Finanzdienstleistungen, Medizinprodukten oder kritischer Infrastruktur eingesetzt wird, ist die branchenspezifische Aufsicht in vielen Staaten vorrangig.
4. Ergebnis dokumentieren — mit Datum und Quelle. Diese Zuständigkeitsmatrix gehört in Ihr KI-Inventar, nicht in eine E-Mail-Ablage.

Der letzte Punkt ist der, der im Verfahren zählt. Eine Organisation, die auf Anfrage binnen Tagen belegen kann, welche Behörde für welches System zuständig ist und welche Unterlagen dorthin bereits gegangen sind, verhandelt aus einer anderen Position als eine, die die Zuständigkeit erst im laufenden Verfahren klärt.

Bezugspunkt 02.12.2027

Für die Durchsetzung der Kernpflichten bei Hochrisiko-KI nach Annex III ist der 02.12.2027 der maßgebliche Zeitpunkt. Bis dahin bauen die nationalen Behörden Personal, Prüfverfahren und Auslegungspraxis auf. Für Unternehmen heißt das zweierlei: Die Zuständigkeitslage wird sich bis dahin noch verändern — und die frühen Verfahren nach dem Stichtag werden die Prüfmaßstäbe prägen, an denen sich spätere orientieren. Wer die Zuständigkeitsmatrix jetzt pflegt statt sie später zu rekonstruieren, spart nicht nur Zeit, sondern kontrolliert auch, welchen ersten Eindruck die eigene Dokumentation hinterlässt.

Welche Nachweise und Templates dafür konkret gebraucht werden, behandelt das Compliance-Toolkit auf ki-hochrisiko.de.

Mehr Kontext zum EU AI Act gesamt und zur Pflichtenlage: Leitfaden auf eu-ai-verordnung.de.

Trust-Infrastructure systematisch aufbauen statt reaktiv auf Enforcement reagieren — mehr unter aegira.ai.