Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz - KI-MIG)

Dieses Gesetz dient der Durchführung der Verordnung (EU) 2024/1689. Es gilt für KI-Systeme im Sinne des Artikels 3 Nummer 1 der Verordnung (EU) 2024/1689 und regelt ergänzend zu den in der Verordnung enthaltenen Bestimmungen die zuständigen Behörden gemäß Artikel 70 Absatz 1 Satz 1 der Verordnung (EU) 2024/1689, Maßnahmen zur Innovationsförderung sowie Bußgelder bei Verstößen gegen die Vorschriften der Verordnung gemäß Artikel 99 Absatz 1 Satz 1 der Verordnung (EU) 2024/1689.

(1) Die Bundesnetzagentur ist die für die Einhaltung der Verordnung (EU) 2024/1689 zuständige Marktüberwachungsbehörde, soweit in diesem Gesetz nichts anderes bestimmt ist.

(2) Die Behörden, die durch Bundes- oder Landesrecht zu Marküberwachungsbehörden zur Ausführung der in Anhang I Abschnitt A der Verordnung (EU) 2024/1689 genannten Harmonisierungsrechtsvorschriften bestimmt wurden, nehmen auch die Aufgaben als zuständige Marktüberwachungsbehörden gemäß der Verordnung (EU) 2024/1689 wahr, wenn KI-Systeme betroffen sind, die mit solchen Produkten in Zusammenhang stehen, auf die die im Anhang I Abschnitt A genannten Vorschriften anzuwenden sind.

(3) Die Bundesanstalt für Finanzdienstleistungsaufsicht ist die zuständige Marktüberwachungsbehörde für in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehende KI-Systeme, die durch folgende, von der Bundesanstalt für Finanzdienstleistungsaufsicht beaufsichtigte Unternehmen in Verkehr gebracht, in Betrieb genommen oder verwendet werden:

1.

Institute nach § 1 Absatz 1b des Kreditwesengesetzes in der Fassung der Bekanntmachung vom 9. September 1998 (BGBl. I S. 2776), das zuletzt durch Artikel 9 des Gesetzes vom 12. Mai 2026 (BGBl. 2026 I Nr. 139) geändert worden ist,

2.

Emittenten vermögenswertereferenzierter Token nach Artikel 3 Absatz 1 Nummer 6 der Durchführungsverordnung (EU) 2023/1114,

3.

Anbieter von Kryptowerte-Dienstleistungen nach Artikel 3 Absatz 1 Nummer 15 der Verordnung (EU) 2023/1114,

4.

Investmentholdinggesellschaften nach § 2 Absatz 27 des Wertpapierinstitutsgesetzes vom 12. Mai 2021 (BGBl. I S. 990), das zuletzt durch Artikel 9 des Gesetzes vom 9. April 2026 (BGBl. 2026 I Nr. 97) geändert worden ist,

5.

Finanzholdinggesellschaften nach § 1 Absatz 35 des Kreditwesengesetzes in Verbindung mit Artikel 4 Absatz 1 Nummer 20 der Verordnung (EU) Nr. 575/2013,

6.

gemischte Finanzholdinggesellschaften nach § 1 Absatz 35 des Kreditwesengesetzes in Verbindung mit Artikel 4 Absatz 1 Nummer 21 der Verordnung (EU) Nr. 575/2013,

7.

Kreditdienstleistungsinstitute im Sinne des § 2 Absatz 2 des Kreditzweitmarktgesetzes vom 22. Dezember 2023 (BGBl. 2023 I Nr. 411, S. 2), das durch Artikel 20 des Gesetzes vom 25. März 2026 (BGBl. 2026 I Nr. 81) geändert worden ist,

8.

Zahlungsinstitute im Sinne des § 1 Absatz 1 Satz 1 Nummer 1 des Zahlungsdiensteaufsichtsgesetzes vom 17. Juli 2017 (BGBl. I S. 2446; 2019 I S. 1113), das zuletzt durch Artikel 17 des Gesetzes vom 25. März 2026 (BGBl. 2026 I Nr. 81) geändert worden ist,

9.

E-Geld-Institute im Sinne des § 1 Absatz 2 Satz 1 Nummer 1 des Zahlungsdiensteaufsichtsgesetzes,

10.

Wertpapierinstitute im Sinne des § 2 Absatz 1 des Wertpapierinstitutsgesetzes,

11.

Datenbereitstellungsdienste im Sinne des § 1 Absatz 3a des Kreditwesengesetzes,

12.

Schwarmfinanzierungsdienstleister im Sinne des Artikels 2 Absatz 1 Buchstabe e der Verordnung (EU) 2020/1503,

13.

zentrale Gegenparteien im Sinne des § 1 Absatz 31 des Kreditwesengesetzes,

14.

Zentralverwahrer im Sinne des § 1 Absatz 6 des Kreditwesengesetzes,

15.

Verwaltungsgesellschaften im Sinne des § 1 Absatz 14 des Kapitalanlagegesetzbuches vom 4. Juli 2013 (BGBl. I S. 1981), das zuletzt durch Artikel 3 des Gesetzes vom 9. April 2026 (BGBl. 2026 I Nr. 97) geändert worden ist,

16.

Versicherungsunternehmen im Sinne des § 7 Nummer 33 und 34 des Versicherungsaufsichtsgesetzes vom 1. April 2015 (BGBl. I S. 434), das zuletzt durch Artikel 25 des Gesetzes vom 25. März 2026 (BGBl. 2026 I Nr. 81) geändert worden ist,

17.

Pensionsfonds im Sinne des § 236 Absatz 1 Satz 1 des Versicherungsaufsichtsgesetzes,

18.

separate Abrechnungsverbände der öffentlich-rechtlichen Versorgungseinrichtungen, die im Wege der freiwilligen Versicherung Leistungen der Altersvorsorge anbieten, gemäß § 2 Absatz 1 des Versicherungsaufsichtsgesetzes,

19.

Versicherungs-Holdinggesellschaften im Sinne des § 7 Nummer 31 des Versicherungsaufsichtsgesetzes sowie Unternehmen im Sinne des § 293 Absatz 4 des Versicherungsaufsichtsgesetzes,

20.

gemischte Versicherungs-Holdinggesellschaften im Sinne des § 7 Nummer 11 des Versicherungsaufsichtsgesetzes,

21.

gemischte Finanzholding-Gesellschaften im Sinne des § 7 Nummer 10 des Versicherungsaufsichtsgesetzes,

22.

Versicherungs-Zweckgesellschaften im Sinne des § 168 Absatz 1 Satz 1 des Versicherungsaufsichtsgesetzes,

23.

Sicherungsfonds gemäß § 223 Absatz 1 Satz 1 des Versicherungsaufsichtsgesetzes sowie juristische Personen des Privatrechts, denen Aufgaben und Befugnisse eines oder beider Sicherungsfonds gemäß § 224 des Versicherungsaufsichtsgesetzes übertragen worden sind,

24.

den Pensions-Sicherungs-Verein Versicherungsverein auf Gegenseitigkeit im Sinne des § 14 Absatz 1 des Betriebsrentengesetzes vom 19. Dezember 1974 (BGBl. I S. 3610), das zuletzt durch Artikel 1 des Gesetzes vom 16. Januar 2026 (BGBl. 2026 I Nr. 14) geändert worden ist, oder

25.

Niederlassungen von Einrichtungen der betrieblichen Altersversorgung im Sinne des Artikels 6 Nummer 1 der Richtlinie (EU) 2016/2341, die ihren Sitz in einem Drittstaat haben.

In den Fällen, in denen die Europäische Zentralbank zuständige Aufsichtsbehörde gemäß Artikel 4 Absatz 1 Buchstabe a bis i der Verordnung (EU) Nr. 1024/2013 für ein in der Bundesrepublik Deutschland niedergelassenes Kreditinstitut oder gemäß Artikel 4 Absatz 2 der Verordnung (EU) Nr. 1024/2013 für eine in der Bundesrepublik Deutschland errichtete Zweigstelle ist, ist die Bundesanstalt für Finanzdienstleistungsaufsicht zuständige Marktüberwachungsbehörde gemäß der Verordnung (EU) 2024/1689 für in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehende KI-Systeme. Die Bundesanstalt für Finanzdienstleistungsaufsicht ist unter den Voraussetzungen des Satzes 1 auch zuständige Marktüberwachungsbehörde für in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehende KI-Systeme, soweit die Zuständigkeit für die Beaufsichtigung gemäß Artikel 43 Absatz 7 oder Artikel 44 Absatz 4 der Verordnung (EU) 2023/1114 in Bezug auf den Emittenten eines signifikanten vermögenswertereferenzierten Tokens auf die Europäische Bankenaufsichtsbehörde übertragen ist und der Emittent weiterhin im Inland geschäftsansässig ist. Zudem ist die Bundesanstalt für Finanzdienstleistungsaufsicht zuständige Marktüberwachungsbehörde für in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehende Hochrisiko-KI-Systeme der Versorgungsanstalt des Bundes und der Länder.

(4) Steht das Inverkehrbringen, die Inbetriebnahme oder die Verwendung eines KI-Systems in direktem Zusammenhang mit einer regulierten Finanztätigkeit, welche von einem Finanzinstitut erbracht wird, das nicht von der Bundesanstalt für Finanzdienstleistungsaufsicht nach Absatz 3 überwacht wird, so obliegt die Marktüberwachung derjenigen Aufsichtsbehörde, die gemäß Gesetz oder aufgrund entsprechender Vereinbarung zwischen ihr und der Bundesanstalt für Finanzdienstleistungsaufsicht zuständige Finanzaufsichtsbehörde ist. Satz 1 gilt nicht für Gewerbetreibende, die Tätigkeiten nach den §§ 34d, 34f, 34h, 34i und 34k der Gewerbeordnung ausüben.

(5) Vorbehaltlich des Absatzes 6 wird bei der Bundesnetzagentur gemäß § 4 eine unabhängige KI-Marktüberwachungskammer zur Marktüberwachung der folgenden KI-Systeme eingerichtet:

1.

Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 in Verbindung mit Anhang III Nummer 1 der Verordnung (EU) 2024/1689, sofern sie für Strafverfolgungszwecke, Grenzmanagement und Justiz und Demokratie eingesetzt werden, sowie

2.

Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 in Verbindung mit Anhang III Nummer 6, 7 und 8 der Verordnung (EU) 2024/1689.

(6) Für die Fälle, in denen öffentliche Stellen der Länder im Sinne des § 2 Absatz 2 und 3 des Bundesdatenschutzgesetzes vom 30. Juni 2017 (BGBl. I S. 2097), das zuletzt durch Artikel 3 des Gesetzes vom 12. Mai 2026 (BGBl. 2026 I Nr. 139) geändert worden ist, KI-Systeme in Verkehr bringen, in Betrieb nehmen oder verwenden, obliegt die Marktüberwachung den nach Landesrecht zuständigen Behörden. Für die Koordinierung der Zusammenarbeit durch das Koordinierungs- und Kompetenzzentrum nach § 5 Satz 2 Nummer 2 und die zentrale Beschwerdestelle nach § 8 können die Länder einheitliche Ansprechpartner benennen.

(7) Sieht die Bundesnetzagentur Grund zur Annahme, dass eine Bundesfinanzbehörde nach § 1 des Finanzverwaltungsgesetzes, die KI-Systeme bei der Verwaltung von Abgabenangelegenheiten in Verkehr bringt, in Betrieb nimmt oder verwendet, gegen die Verordnung (EU) 2024/1689 verstößt, darf sie ihre Durchsetzungsbefugnisse nur im Einvernehmen mit dem Bundesministerium der Finanzen ausüben. Gleiches gilt für die Ausübung solcher Durchsetzungsbefugnisse gegenüber der Versorgungsanstalt des Bundes und der Länder. Für die Erteilung des Einvernehmens kann sie dem Bundesministerium der Finanzen eine angemessene Frist setzen. Wird bis zum Ablauf dieser Frist kein Einvernehmen erzielt, geht die Zuständigkeit für die Marktüberwachung bezüglich dieses Sachverhalts von der Bundesnetzagentur auf das Bundesministerium der Finanzen über.

(8) Für die Fälle, in denen Mediendienstanbieter im Sinne des Artikels 2 Nummer 2 der Verordnung (EU) 2024/1083 KI-Systeme bei der Veranstaltung, dem Angebot, der Verbreitung und der Zugänglichmachung von Mediendiensten zu journalistischen Zwecken oder zu Werbezwecken in Verkehr bringen, in Betrieb nehmen oder verwenden, obliegt die Marktüberwachung den nach Landesrecht zuständigen Behörden. Bei der Deutschen Welle richtet sich die Aufsicht über die Einhaltung der Verordnung (EU) 2024/1689 in dem in Satz 1 benannten Bereich abweichend von Satz 1 nach dem Deutsche-Welle-Gesetz sowie den aufsichtsrechtlichen Bestimmungen der Deutschen Welle. Für die Koordinierung der Zusammenarbeit durch das Koordinierungs- und Kompetenzzentrum nach § 5 Satz 2 Nummer 2 und die zentrale Beschwerdestelle nach § 8 können die Länder einheitliche Ansprechpartner benennen.

(9) Die nach den Absätzen 1 bis 7 zuständigen Behörden können Sachverständige des wissenschaftlichen Gremiums (Artikel 68 der Verordnung (EU) 2024/1689) gemäß Artikel 69 der Verordnung (EU) 2024/1689 hinzuziehen.

(1) Die Behörden, die durch Bundes- oder Landesrecht zu notifizierenden Behörden zur Ausführung der in Anhang I Abschnitt A der Verordnung (EU) 2024/1689 genannten Harmonisierungsrechtsvorschriften bestimmt wurden, nehmen auch die Aufgaben als zuständige notifizierende Behörden gemäß Artikel 28 Absatz 1 der Verordnung (EU) 2024/1689 wahr, wenn KI-Systeme betroffen sind, die mit solchen Produkten in Zusammenhang stehen, auf die die im Anhang I Abschnitt A genannten Vorschriften anzuwenden sind. Für KI-Systeme, die mit solchen Produkten in Zusammenhang stehen, auf die die Verordnung (EU) 2016/424 anzuwenden ist, bestimmen die Länder die zuständigen notifizierenden Behörden.

(2) Für die Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 in Verbindung mit Anhang III Nummer 1 der Verordnung (EU) 2024/1689 ist die Marktüberwachungsbehörde, die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennen ist, die gemäß Artikel 28 Absatz 1 der Verordnung (EU) 2024/1689 zuständige notifizierende Behörde. Bis zur Benennung der Marktüberwachungsbehörde nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 nimmt das Bundesamt für Sicherheit in der Informationstechnik die in Satz 1 genannte Aufgabe wahr.

(3) Hat die notifizierende Behörde nach den Absätzen 1 oder 2 festgestellt, dass eine Konformitätsbewertungsstelle die Anforderungen nach Artikel 31 der Verordnung (EU) 2024/1689 erfüllt, so erteilt sie dieser die Befugnis, Konformitätsbewertungen nach Artikel 3 Nummer 20 der Verordnung (EU) 2024/1689 vorzunehmen und notifiziert diese nach Artikel 30 Absatz 2 der Verordnung (EU) 2024/1689 der Kommission und den übrigen Mitgliedstaaten. Die Befugnis kann unter Bedingungen oder Auflagen erteilt werden. Sie kann befristet und mit dem Vorbehalt des Widerrufs sowie dem Vorbehalt nachträglicher Auflagen erteilt werden. Sie ist unter der aufschiebenden Bedingung zu erteilen, dass weder die Europäische Kommission noch die anderen Mitgliedstaaten der Europäischen Union Einwände gegen die Notifizierung erheben.

(4) Die Bewertung und Überwachung von Konformitätsbewertungsstellen gemäß Artikel 3 Nummer 21 der Verordnung (EU) 2024/1689, die ihren Sitz in Deutschland haben, obliegt den jeweiligen Stellen, die diese Aufgabe bereits im Rahmen der in Anhang I Abschnitt A der Verordnung (EU) 2024/1689 genannten Harmonisierungsvorschriften der Europäischen Union wahrnehmen. Die Bewertung und Überwachung von Konformitätsbewertungsstellen gemäß Artikel 3 Nummer 21 der Verordnung (EU) 2024/1689, die ihren Sitz in Deutschland haben und Konformitätsbewertungen für die in Anhang III Nummer 1 der Verordnung (EU) 2024/1689 genannten Hochrisiko-KI-Systeme durchführen, obliegt abweichend von Satz 1 der Deutschen Akkreditierungsstelle.

(5) Die nach den Absätzen 1, 2 und 4 zuständigen Behörden und die Deutsche Akkreditierungsstelle können Sachverständige des wissenschaftlichen Gremiums (Artikel 68 der Verordnung (EU) 2024/1689) gemäß Artikel 69 der Verordnung (EU) 2024/1689 hinzuziehen.

(1) Die KI-Marktüberwachungskammer hat drei Mitglieder. Den Vorsitz der Kammer führt der Präsident beziehungsweise die Präsidentin der Bundesnetzagentur. Die Vizepräsidenten beziehungsweise -präsidentinnen der Bundesnetzagentur sind beisitzende Mitglieder. Die Entscheidungen der KI-Marktüberwachungskammer werden mit einfacher Mehrheit der Mitglieder getroffen. Bei Stimmengleichheit entscheidet die Stimme des Vorsitzenden beziehungsweise der Vorsitzenden.

(2) Die KI-Marktüberwachungskammer wird durch eine Geschäftsstelle unterstützt. Sie kann zur Erfüllung ihrer Aufgaben über Personal- und Sachmittel der Bundesnetzagentur verfügen. Die Mitarbeitenden der Bundesnetzagentur unterstehen während ihrer Tätigkeit für die KI-Marktüberwachungskammer ausschließlich den Mitgliedern der KI-Marktüberwachungskammer.

(3) Die KI-Marktüberwachungskammer handelt völlig unabhängig. Sie unterliegt weder direkter noch indirekter Beeinflussung von außen und ersucht weder um Weisungen noch nimmt sie Weisungen entgegen.

(4) Die KI-Marktüberwachungskammer legt dem Bundestag jährlich einen Tätigkeitsbericht vor. Der Bericht ist erstmals für das Jahr 2026 zu erstellen und dem Bundestag jeweils zum 31. März des dem Berichtsjahr folgenden Jahres zu übermitteln.

(5) Die Aufgaben der KI-Marktüberwachungskammer erstrecken sich nicht auf die Überprüfung der in Artikel 5 Absatz 2 und 3 und Artikel 26 Absatz 10 der Verordnung (EU) 2024/1689 geregelten formellen und materiellen Anforderungen an die Anordnung des Einsatzes von Hochrisiko-KI-Systemen sowie an den Einsatz dieser Systeme im Einzelfall.

Bei der Bundesnetzagentur wird ein zentrales Koordinierungs- und Kompetenzzentrum für die Verordnung (EU) 2024/1689 eingerichtet. Das Zentrum hat die Aufgabe,

1.

die nach diesem Gesetz zuständigen Marktüberwachungsbehörden, notifizierenden Behörden und die Deutsche Akkreditierungsstelle bei komplexen Entscheidungen im Anwendungsbereich der Verordnung (EU) 2024/1689 oder die zuständigen Marktüberwachungsbehörden nach der Verordnung (EU) 2023/1230 bei komplexen Entscheidungen bei der Marktüberwachung von KI-Systemen, die in ein Produkt nach der Verordnung (EU) 2023/1230 integriert sind, mit Sachverstand auf Anfrage zu unterstützen,

2.

die Zusammenarbeit der nach diesem Gesetz zuständigen Behörden untereinander und mit sonstigen, in ihrem Zuständigkeitsbereich betroffenen Behörden zu koordinieren und darauf hinzuwirken, dass die horizontalen Rechtsfragen einheitlich beantwortet werden,

3.

die Aufstellung von Verhaltenskodizes im Sinne des Artikels 95 Absatz 2 der Verordnung (EU) 2024/1689 zu erleichtern,

4.

eine angemessene, transparente und regelmäßige Einbeziehung der Zivilgesellschaft, der Gewerkschaften, der Wirtschaft und der Wissenschaft und Forschung sowie der Länder sicherzustellen sowie

5.

nach Bedarf vorbereitete Schulungs- und Sensibilisierungsangebote sowie allgemeine Informationen und Prüfempfehlungen bereitzustellen mit dem Ziel, eine einheitliche Rechtsanwendung der Verordnung (EU) 2024/1689 in der Bundesrepublik Deutschland zu fördern.

Für die Erfüllung seiner Aufgaben nach Satz 2 Nummer 1 bis 3 kann das Zentrum im Einzelfall in ihrer Zuständigkeit betroffene Bundesbehörden einbinden und externen Sachverstand hinzuziehen. Für die Erfüllung seiner Aufgabe nach Satz 2 Nummer 2 kann das Zentrum geeignete Ausschüsse, insbesondere bestehend aus Vertretern der zuständigen Behörden, einrichten, insbesondere einen Bund-Länder-Ausschuss Künstliche Intelligenz, der der strukturierten Koordinierung und Zusammenarbeit zwischen den Marktüberwachungsbehörden nach § 2 Absatz 1 bis 6 und 8 sowie der nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennenden Marktüberwachungsbehörde dient.

(1) Zentrale Anlaufstelle im Sinne des Artikels 70 Absatz 2 Satz 3 der Verordnung (EU) 2024/1689 ist die Bundesnetzagentur.

(2) Die Marktüberwachungsbehörden und die notifizierenden Behörden stellen der zentralen Anlaufstelle Informationen über ihre Aufgaben und ihre elektronische Kontaktadresse sowie die Kontaktdaten einer Ansprechperson und einer diese vertretende Person zur Verfügung. Die Marktüberwachungsbehörden und die notifizierenden Behörden informieren die zentrale Anlaufstelle unverzüglich über Änderungen zu diesen Informationen.

(3) Die zentrale Anlaufstelle gibt die elektronischen Kontaktadressen nach Absatz 2 sowie ihre eigene elektronische Kontaktadresse öffentlich bekannt. Die zentrale Anlaufstelle teilt der Europäischen Kommission die Namen und die Aufgaben der Marktüberwachungsbehörden und der notifizierenden Behörden die in Satz 1 genannten elektronischen Kontaktadressen sowie alle späteren Änderungen dieser Kontaktadressen mit. Die zentrale Anlaufstelle veröffentlicht diese Informationen auf der Internetseite der Bundesnetzagentur.

(4) Die zentrale Anlaufstelle nimmt Eingaben des nach Artikel 64 der Verordnung (EU) 2024/1689 eingerichteten Büros für Künstliche Intelligenz, der Öffentlichkeit und anderer Ansprechpartner auf Ebene der Mitgliedstaaten der Europäischen Union und der Europäischen Union selbst entgegen und leitet diese an die zuständigen nationalen Stellen weiter.

(5) Soweit in diesem Gesetz nichts anderes bestimmt ist, erfüllen die nach den §§ 2 und 3 zuständigen Behörden die aus der Verordnung (EU) 2024/1689 resultierenden Berichtspflichten über die zentrale Anlaufstelle, indem sie dieser die zur Erfüllung der jeweiligen Berichtspflicht jeweils erforderlichen Dokumente in elektronischer Form zur Verfügung stellen. Die zentrale Anlaufstelle stellt den zuständigen Behörden dafür Formulare in elektronischer Form zur Verfügung, die zu verwenden sind. Satz 1 gilt nicht für die Berichtspflicht gemäß Artikel 70 Absatz 6 der Verordnung (EU) 2024/1689, für deren Erfüllung das Bundesministerium für Digitales und Staatsmodernisierung zuständig ist. Die Bundesanstalt für Finanzdienstleistungsaufsicht kann ihre Berichtspflichten nach der Verordnung (EU) 2024/1689 abweichend von Satz 1 direkt gegenüber den anderen Mitgliedstaaten und den Institutionen der Europäischen Union erfüllen, soweit rechtliche Gründe einer Erfüllung durch die zentrale Anlaufstelle entgegenstehen.

(1) Die Unterrichtung der Europäischen Kommission und anderer Mitgliedstaaten der Europäischen Union bei einer nicht auf Deutschland beschränkten Nichtkonformität eines KI-Systems nach Artikel 79 Absatz 3, 5 Satz 2 und Absatz 7 sowie nach Artikel 81 Absatz 2 Satz 1 und 2 der Verordnung (EU) 2024/1689 hat die zuständige Marktüberwachungsbehörde unverzüglich über die Bundesanstalt für Arbeitsschutz und Arbeitsmedizin vorzunehmen.

(2) Die Unterrichtung bei Risiken trotz Konformität eines KI-Systems nach Artikel 82 Absatz 3 der Verordnung (EU) 2024/1689 hat die zuständige Marktüberwachungsbehörde unverzüglich über die Bundesanstalt für Arbeitsschutz und Arbeitsmedizin vorzunehmen.

(3) Die Bundesanstalt für Arbeitsschutz und Arbeitsmedizin unterstützt im Rahmen ihrer Aufgaben die Marktüberwachung von KI-Systemen, die in ein Produkt gemäß einer der Rechtsakte der Europäischen Union nach Anhang I Abschnitt A Nummer 4, 5, 7, 9 oder 10 der Verordnung (EU) 2024/1689 oder nach der Verordnung (EU) 2023/1230 integriert sind, insbesondere mit evidenzbasiertem Spezialwissen für Betreiber, Anbieter und Normungsgremien.

(1) Beschwerden wegen eines Verstoßes gegen die Verordnung (EU) 2024/1689 können unbeschadet der Vorgaben des Artikels 85 der Verordnung (EU) 2024/1689 bei der Bundesnetzagentur als zentraler Beschwerdestelle eingereicht werden.

(2) Die zentrale Beschwerdestelle leitet Beschwerden wie folgt weiter:

1.

eine Beschwerde, die in die Zuständigkeit einer Marktüberwachungsbehörde nach § 2 Absatz 2 bis 8 fällt, an die zuständige Behörde oder den zuständigen einheitlichen Ansprechpartner oder

2.

eine Beschwerde, die auch in die Zuständigkeit einer Behörde oder öffentlichen Stelle nach Artikel 77 Absatz 1 der Verordnung (EU) 2024/1689 fällt, an diese Behörde beziehungsweise Stelle.

Unbeschadet der Informationspflichten zu personenbezogenen Daten nach der Verordnung (EU) 2016/679 ist der Beschwerdeführer im Fall des Satzes 1 Nummer 1 von der zentralen Beschwerdestelle darüber zu informieren, welche Behörde nach § 2 Absatz 2 bis 8 für seine Beschwerde zuständig ist und dass die Beschwerde an diese Behörde oder den zuständigen einheitlichen Ansprechpartner abgegeben wurde.

(3) Zur Erfüllung ihrer Aufgaben als zentrale Beschwerdestelle richtet die Bundesnetzagentur ein Beschwerdemanagementsystem ein, das leicht zugänglich, barrierefrei und benutzerfreundlich ausgestaltet ist und die Einreichung hinreichend präziser und angemessen begründeter Beschwerden durch Betroffene ermöglicht.

(4) Wird eine Beschwerde wegen eines Verstoßes gegen die Verordnung (EU) 2024/1689 bei einer Marktüberwachungsbehörde nach § 2 Absatz 2 bis 8 eingereicht, so leitet diese die Beschwerde an die Bundesnetzagentur weiter, sofern sie nicht in die eigene Zuständigkeit fällt. Andernfalls stellt die Marktüberwachungsbehörde der Bundesnetzagentur in Textform eine Kopie der Beschwerde zur Verfügung.

(1) Die Marktüberwachungsbehörden und die notifizierenden Behörden arbeiten zur Erfüllung ihrer Aufgaben im Rahmen ihrer jeweiligen Zuständigkeiten kooperativ und vertrauensvoll zusammen. Sie teilen einander Beobachtungen und Feststellungen mit, die für die Erfüllung ihrer jeweiligen Aufgaben von Bedeutung sein können.

(2) Soweit ihre jeweiligen Zuständigkeiten bei konkreten Marktüberwachungstätigkeiten oder bei Prüfungen und Maßnahmen gemäß Artikel 79 der Verordnung (EU) 2024/1689 betroffen sind, informieren sich die Marktüberwachungsbehörden, die Behörden und öffentlichen Stellen nach Artikel 77 Absatz 1 der Verordnung (EU) 2024/1689 und die sonstigen Behörden gegenseitig über Maßnahmen, die sie zu ergreifen beabsichtigen. Im Rahmen der Durchführung von Maßnahmen teilen sie einander Beobachtungen und Feststellungen mit, die sie für die Erfüllung ihrer jeweiligen Aufgaben nach diesem Gesetz oder der Verordnung (EU) 2024/1689 benötigen.

(3) Kommen die Marktüberwachungsbehörden zu dem Ergebnis, dass öffentliche Stellen im Sinne des § 2 Absatz 1 und 2 des Bundesdatenschutzgesetzes, gegen die Verordnung (EU) 2024/1689 verstoßen, so ist dies der für die jeweilige öffentliche Stelle zuständigen Rechts- oder Fachaufsichtsbehörde mitzuteilen und dieser vor Durchführung von Maßnahmen gegenüber der öffentlichen Stelle Gelegenheit zur Stellungnahme innerhalb einer angemessenen Frist einzuräumen. Von der Einräumung der Gelegenheit zur Stellungnahme kann abgesehen werden, wenn eine sofortige Entscheidung wegen Gefahr im Verzug oder im öffentlichen Interesse notwendig erscheint oder ihr ein zwingendes öffentliches Interesse entgegensteht. Die Stellungnahme der Rechts- oder Fachaufsichtsbehörde soll auch eine Darstellung der aufsichtsrechtlichen Maßnahmen enthalten, die aufgrund der Mitteilung der Behörde oder öffentlichen Stelle nach Absatz 2 Satz 1 getroffen worden sind. Satz 2 ist nicht anzuwenden, soweit es sich bei den öffentlichen Stellen um Strafverfolgungsbehörden im Sinne des Artikels 3 Nummer 45 der Verordnung (EU) 2024/1689 handelt.

(4) Die Marktüberwachungsbehörden beziehen bei der Wahrnehmung ihrer Aufgaben nach der Verordnung (EU) 2024/1689 insbesondere auch die folgenden sonstigen Behörden ein, soweit deren jeweiliger Zuständigkeitsbereich berührt ist:

1.

die Datenschutzaufsichtsbehörden des Bundes und der Länder,

2.

der nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennenden Marktüberwachungsbehörde und

3.

das Bundeskartellamt.

(5) Die in den Absätzen 1 bis 4 genannten Behörden können im Rahmen ihrer Zuständigkeit unabhängig von der jeweils gewählten Verfahrensart untereinander Informationen einschließlich personenbezogener Daten und Betriebs- und Geschäftsgeheimnisse austauschen, soweit dies zur Erfüllung ihrer jeweiligen Aufgaben gemäß der Verordnung (EU) 2024/1689 und dieses Gesetzes unbedingt erforderlich ist. Sie können diese Informationen in ihren Verfahren verwerten. Beweisverwertungsverbote bleiben unberührt. Die Regelungen über die Rechtshilfe in Strafsachen sowie Amts- und Rechtshilfeabkommen bleiben unberührt.

(6) Die bei der Bundesanstalt für Finanzdienstleistungsaufsicht beschäftigten und die von ihr beauftragten Personen dürfen solche ihnen bei ihrer Tätigkeit bekanntgewordenen Tatsachen, deren Geheimhaltung im Interesse eines nach der Verordnung (EU) 2024/1689 Verpflichteten, der zuständigen Behörden oder eines Dritten liegt, insbesondere Geschäfts- und Betriebsgeheimnisse, nicht unbefugt offenbaren oder verwerten, auch dann nicht, wenn sie nicht mehr im Dienst sind oder ihre Tätigkeit beendet ist. Ein unbefugtes Offenbaren oder Verwerten liegt insbesondere dann nicht vor, wenn

1.

Tatsachen an Behörden oder andere öffentliche Stellen weitergegeben werden und die Weitergabe der Informationen zur Erfüllung der Aufgaben dieser Behörden oder Stellen nach diesem Gesetz oder der Verordnung (EU) 2024/1689 erforderlich ist oder

2.

Tatsachen nach Artikel 74 Absatz 7 der Verordnung (EU) 2024/1689 an die Europäische Zentralbank weitergegeben werden oder wenn sie an die Deutsche Bundesbank weitergegeben werden, soweit dies im Rahmen der bankaufsichtlichen Aufgaben der Deutschen Bundesbank erforderlich ist.

(7) Werden die in Absatz 6 genannten Tatsachen an eine inländische Behörde oder Stelle weitergegeben, so dürfen die bei dieser Behörde oder Stelle beschäftigten oder von dieser beauftragten Personen die Tatsachen nicht unbefugt offenbaren oder verwerten, auch dann nicht, wenn sie nicht mehr im Dienst sind oder ihre Tätigkeit beendet ist. An ausländische Stellen dürfen die Tatsachen nur dann weitergegeben werden, wenn die bei dieser Stelle beschäftigten oder von ihr beauftragten Personen der Vertraulichkeit nach Artikel 78 der Verordnung (EU) 2024/1689 oder einer dem Absatz 6 Satz 1 weitgehend entsprechenden Verschwiegenheitspflicht unterliegen. Ausländische Stellen sind darauf hinzuweisen, dass sie die Tatsachen nur zu dem Zweck verwerten dürfen, zu dessen Erfüllung sie übermittelt werden. Datenschutzrechtliche Vorschriften und die Befugnisse zur Offenbarung und Verwertung nach anderen Vorschriften bleiben unberührt.

(1) Die nach diesem Gesetz zuständigen Marktüberwachungsbehörden und die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde arbeiten zur Erfüllung ihrer Aufgaben im Rahmen ihrer jeweiligen Zuständigkeiten kooperativ und vertrauensvoll zusammen. Sie teilen einander Beobachtungen und Feststellungen mit, die für die Erfüllung der jeweiligen Aufgaben im jeweiligen Zuständigkeitsbereich von Bedeutung sein können.

(2) Im Rahmen der Zusammenarbeit informiert die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde die jeweils nach diesem Gesetz zuständige Marküberwachungsbehörde über Verdachtsfälle hinsichtlich der Nichtkonformität von Hochrisiko-KI-Systemen gemäß Artikel 6 der Verordnung (EU) 2024/1689 mit den Anforderungen der Cybersicherheit gemäß Artikel 13 Absatz 3 Buchstabe b Doppelbuchstabe ii und Artikel 15 Absatz 1 und 5 der Verordnung (EU) 2024/1689. Die nach diesem Gesetz zuständige Marktüberwachungsbehörde prüft daraufhin, ob sie Marktüberwachungsmaßnahmen ergreift. Die Bundesnetzagentur und die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde erstellen hierfür gemeinsame Vorgaben für die Prüfung der für Hochrisiko-KI-Systeme gemäß Artikel 6 der Verordnung (EU) 2024/1689 geltenden Anforderungen an die Cybersicherheit gemäß Artikel 13 Absatz 3 Buchstabe b Doppelbuchstabe ii sowie Artikel 15 Absatz 1 und 5 der Verordnung (EU) 2024/1689. Diese Vorgaben gelten nicht für die Marktüberwachung gegenüber Finanzunternehmen im Sinne von Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554. Im Rahmen der Marktüberwachung nach § 2 Absatz 3 erstellt die Bundesanstalt für Finanzdienstleistungsaufsicht im Einvernehmen mit der Bundesnetzagentur und der nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennenden Marktüberwachungsbehörde eigenständige Vorgaben für die Prüfung der Anforderungen an die Cybersicherheit gemäß Artikel 13 Absatz 3 Buchstabe b Doppelbuchstabe ii sowie Artikel 15 Absatz 1 und 5 der Verordnung (EU) 2024/1689 von Hochrisiko-KI-Systemen nach Artikel 6 der Verordnung (EU) 2024/1689. Die Aufgaben und Befugnisse der Bundesanstalt für Finanzdienstleistungsaufsicht nach der Verordnung (EU) 2022/2554 bleiben davon unberührt. Über das Ergebnis der Prüfung informiert die nach diesem Gesetz zuständige Marktüberwachungsbehörde die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde.

(3) Die nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 zu benennende Marktüberwachungsbehörde und, sofern der Anwendungsbereich der Verordnung (EU) 2022/2554 betroffen ist, die in § 2 Absatz 3 genannte Behörde arbeiten mit

1.

an der Erstellung der Leitlinien der Europäischen Kommission nach Artikel 96 Absatz 1 Buchstabe a in Verbindung mit Artikel 15 Absatz 5 der Verordnung (EU) 2024/1689,

2.

bei der Entwicklung europäisch harmonisierter Normen nach Artikel 40 der Verordnung (EU) 2024/1689 zu den Anforderungen an die Cybersicherheit nach Artikel 15 Absatz 5 der Verordnung (EU) 2024/1689 und

3.

bei der Festlegung gemeinsamer Spezifikationen zu den Anforderungen an die Cybersicherheit nach Artikel 15 Absatz 5 der Verordnung (EU) 2024/1689 durch die Europäische Kommission nach Artikel 41 der Verordnung (EU) 2024/1689.

(4) Bis zur Benennung der Marktüberwachungsbehörde nach Artikel 52 Absatz 2 der Verordnung (EU) 2024/2847 nimmt das Bundesamt für Sicherheit in der Informationstechnik die in den Absätzen 1 bis 3 genannten Aufgaben wahr.

(1) Die Marktüberwachungsbehörden nach § 2 Absatz 1 bis 8 haben die Befugnisse gemäß Artikel 14 Absatz 4 und 5 und Artikel 16 der Verordnung (EU) 2019/1020 sowie nach der Verordnung (EU) 2024/1689. Die Befugnisse der Marktüberwachungsbehörden aufgrund anderer Vorschriften bleiben unberührt.

(2) Die Marktüberwachungsbehörden können bei Wahrnehmung ihrer Befugnisse nach Artikel 14 Absatz 4 und 5 der Verordnung (EU) 2019/1020 dritte Personen als Verwaltungshelfer heranziehen, die sie bei der Ausführung insbesondere von technischen Prozessen unterstützen. Zusätzlich können die Marktüberwachungsbehörden die in Artikel 14 Absatz 4 Buchstabe d und j der Verordnung (EU) 2019/1020 genannten Befugnisse über Anwendungsprogrammierschnittstellen oder andere technische Mittel, die den Fernzugriff ermöglichen, ausüben.

(3) Die Befugnisse nach Artikel 14 Absatz 4 Buchstabe e der Verordnung (EU) 2019/1020 bestehen zu den üblichen Betriebs- und Geschäftszeiten, außerhalb dieser Zeiten nur zur Verhütung dringender Gefahren für die öffentliche Sicherheit und Ordnung. Das Grundrecht der Unverletzlichkeit der Wohnung (Artikel 13 des Grundgesetzes) wird insoweit eingeschränkt.

(4) Im Übrigen gilt § 7 Absatz 2 bis 4 des Marktüberwachungsgesetzes entsprechend.

(5) Die Befugnisse nach den Absätzen 1 bis 4 berechtigen die zuständigen Marktüberwachungsbehörden und von ihnen beauftragte Personen nicht dazu, Daten bei öffentlichen Stellen im Sinne des § 2 Absatz 1 und 2 des Bundesdatenschutzgesetzes zu erheben oder weiterzuverarbeiten, soweit Gründe des Quellenschutzes oder der Sicherstellung der Geheimhaltung von Verschlusssachen im Sinne des § 4 Absatz 1 des Sicherheitsüberprüfungsgesetzes dem entgegenstehen. Die Verarbeitung der genannten Daten durch die Marktüberwachungsbehörde ist jedoch im Einzelfall zulässig, wenn dies zur Erfüllung der Aufgaben der Marktüberwachungsbehörde nach diesem Gesetz erforderlich ist. Die Marktüberwachungsbehörde hat in einem solchen Fall die jeweils geltenden, besonderen Vertraulichkeitsvorkehrungen zu ergreifen.

(6) Die Finanzbehörden haben nach § 30 der Abgabenordnung geschützte Daten den Marktüberwachungsbehörden auf Ersuchen unverzüglich zu offenbaren, wenn die Marktüberwachungsbehörde gegenüber der Finanzbehörde begründet darlegt, dass die Herausgabe der Daten zur Erfüllung der Aufgaben der Marktüberwachungsbehörde nach Maßgabe der Verordnungen (EU) 2024/1689 sowie (EU) 2019/1020 erforderlich ist.

(7) Widerspruch und Klage gegen Entscheidungen gemäß den Absätzen 1 bis 4, die die Marktüberwachungsbehörden nach § 2 Absatz 2 dieses Gesetzes treffen, haben keine aufschiebende Wirkung, soweit die Entscheidungen ein KI-System betreffen, das ein Produkt oder ein Sicherheitsbauteil eines Produktes ist, auf das § 36 Absatz 1 des Funkanlagengesetzes oder § 45 Absatz 5 des Medizinprodukte-Durchführungsgesetzes anwendbar ist. Widerspruch und Klage gegen Entscheidungen gemäß den Absätzen 1 bis 4, einschließlich der Androhung und Festsetzung von Zwangsmitteln, die die Marktüberwachungsbehörde nach § 2 Absatz 3 dieses Gesetzes trifft, haben keine aufschiebende Wirkung.

Die Bundesnetzagentur führt innovationsfördernde Maßnahmen gemäß der Verordnung (EU) 2024/1689 durch. Sie hat insbesondere folgende Aufgaben:

1.

allgemeine Informationen und Anleitungen zur Anwendung der Verordnung (EU) 2024/1689 für die durch die Verordnung adressierten Akteure sowie zukünftigen Akteure im Sinne des Artikels 3 Nummer 8 der Verordnung (EU) 2024/1689, insbesondere für kleine und mittlere Unternehmen, Start-up-Unternehmen und öffentliche Stellen im Sinne des § 2 Absatz 1 und 2 des Bundesdatenschutzgesetzes, bereitzustellen,

2.

auf Anfrage einer öffentlichen Stelle im Sinne des § 2 Absatz 1 und 2 des Bundesdatenschutzgesetzes zum rechtlichen Status eines maschinengestützten Systems als KI-System gemäß des Artikels 3 Absatz 1 der Verordnung (EU) 2024/1689 oder dessen Einstufung als Hochrisiko-KI-System gemäß Artikel 6 Absatz 2 und 3 der Verordnung (EU) 2024/1689 mit Blick auf den konkreten Einzelfall zu beraten,

3.

zur Innovationsförderung gemäß Artikel 62 Absatz 1 Buchstabe b der Verordnung (EU) 2024/1689 Sensibilisierungs- und Schulungsmaßnahmen betreffend die Verordnung (EU) 2024/1689 durchzuführen,

4.

den Wissensaufbau und -austausch zu künstlicher Intelligenz zu fördern, insbesondere durch Durchführung von Studien, Analysen und Fachveranstaltungen, soweit dies für die Durchführung ihrer Aufgaben nach diesem Gesetz erforderlich ist,

5.

die Vernetzung und Kooperation der relevanten Akteure des KI-Ökosystems um KI-Systeme im Rahmen ihrer Aufgaben nach diesem Gesetz zu fördern und

6.

ihren Sachverstand auch für die Erfüllung der weiteren Aufgaben aus der Verordnung (EU) 2024/1689 zur Innovationsförderung bereitzustellen, insbesondere durch die Mitarbeit im Bereich der technischen Normung von künstlicher Intelligenz in nationalen und internationalen Normungsgremien.

Die Erfüllung von Beratungsaufgaben durch die Bundesnetzagentur nach Satz 2 Nummer 2 setzt eine zwischen der Bundesnetzagentur und dem zuständigen Bundes- oder Landesministerium zu schließende Verwaltungsvereinbarung voraus. Darin ist insbesondere die Übernahme der finanziellen und stellenmäßigen Aufwände durch das jeweilig zuständige Bundes- oder Landesministerium zu regeln. Die Bundesnetzagentur veröffentlicht die wesentlichen Erwägungen ihres Beratungsergebnisses gemäß Satz 2 Nummer 2.

(1) Die Bundesnetzagentur errichtet und betreibt mindestens ein KI-Reallabor nach den Artikeln 57 und 58 der Verordnung (EU) 2024/1689. Dies lässt die Einrichtung und den Betrieb von KI-Reallaboren im Sinne des Artikels 3 Nummer 55 der Verordnung (EU) 2024/1689 durch andere zuständige nationale Behörden gemäß Artikel 3 Nummer 48 der Verordnung (EU) 2024/1689 unberührt.

(2) Die Bundesnetzagentur arbeitet bei der Erfüllung der Aufgaben nach Absatz 1 Satz 1 mit anderen Behörden kooperativ und vertrauensvoll zusammen, soweit die Einrichtung oder der Betrieb des KI-Reallabors deren Zuständigkeitsbereich berührt. Dies umfasst insbesondere die Einbeziehung der zuständigen Datenschutzaufsichtsbehörde, die die Bewertung der datenschutzrechtlichen Vorgaben des Artikels 59 der Verordnung (EU) 2024/1689 übernimmt. Dies umfasst auch die Zusammenarbeit mit anderen Behörden, die KI-Reallabore betreiben. Aufsichts- und Überwachungsbefugnisse weiterer Behörden aufgrund anderer Gesetze bleiben hiervon unberührt.

(3) Die Bundesnetzagentur gewährt über Artikel 62 Absatz 1 Buchstabe a der Verordnung (EU) 2024/1689 hinaus auch Forschungseinrichtungen sowie Hochschulen und deren Ausgründungen, die ihren Sitz oder eine Zweigniederlassung in der Europäischen Union haben, vorrangigen Zugang zu dem KI-Reallabor nach Absatz 1 Satz 1, soweit diese die nach den Durchführungsrechtsakten im Sinne des Artikels 58 Absatz 1 der Verordnung (EU) 2024/1689 zu erlassenden Voraussetzungen und Auswahlkriterien erfüllen und dadurch der Zugang von KI-Systemen, die unmittelbar Gegenstand anwendungsnaher Forschungs- und Entwicklungsvorhaben sind, zum Unionsmarkt erleichtert oder beschleunigt wird.

(4) Das Bundesministerium für Digitales und Staatsmodernisierung wird ermächtigt, durch Rechtsverordnung ohne Zustimmung des Bundesrates soweit dies zur Durchführung des Artikels 57 der Verordnung (EU) 2024/1689 und der Durchführungsrechtsakte im Sinne des Artikels 58 Absatz 1 der Verordnung (EU) 2024/1689 erforderlich ist, die näheren Einzelheiten der Einrichtung und des Betriebs von KI-Reallaboren nach Absatz 1 Satz 1 zu regeln. Dies umfasst insbesondere Regelungen zu Einrichtung, Entwicklung, Umsetzung, Betrieb, Beaufsichtigung sowie zur Zusammenarbeit mit anderen betroffenen Bundesbehörden. Das Bundesministerium für Digitales und Staatsmodernisierung kann die Ermächtigung nach Satz 1 durch Rechtsverordnung auf die Bundesnetzagentur übertragen.

(1) Die nach diesem Gesetz zuständigen Marktüberwachungsbehörden überwachen im Rahmen ihrer jeweiligen Zuständigkeit die Durchführung von Tests unter Realbedingungen gemäß Artikel 60 der Verordnung (EU) 2024/1689 außerhalb von KI-Reallaboren und die damit zusammenhängenden Hochrisiko-KI-Systeme.

(2) Bevor Anbieter oder zukünftige Anbieter die in Anhang I Abschnitt A und Anhang III der Verordnung (EU) 2024/1689 genannten Hochrisiko-KI-Systeme selbst oder in Zusammenarbeit mit einem oder mehreren Betreibern oder zukünftigen Betreibern unter Realbedingungen testen, müssen sie den Plan für den Test unter Realbedingungen bei der zuständigen Marktüberwachungsbehörde vorlegen. Ist ein solcher Test geplant, so muss er vor dem Inverkehrbringen oder der Inbetriebnahme des zu testenden Hochrisiko-KI-Systems stattfinden. Die zuständige Marktüberwachungsbehörde genehmigt den Test unter Realbedingungen und den Plan für den Test unter Realbedingungen, wenn die Vorgaben des Artikels 60 Absatz 4 der Verordnung (EU) 2024/1689 eingehalten sind. Die Genehmigung der zuständigen Marktüberwachungsbehörde gilt als erteilt, wenn der Anbieter oder zukünftige Anbieter binnen 30 Tagen nach Eingang des Plans gemäß Satz 1 keine Antwort erhalten hat.

(1) Ordnungswidrig handelt, wer gegen die Verordnung (EU) 2024/1689 in der Fassung vom 13. Juni 2024 verstößt, indem er vorsätzlich oder fahrlässig

1.

entgegen Artikel 21 Absatz 1 eine dort genannte Information oder Dokumentation nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt,

2.

entgegen Artikel 21 Absatz 2 Zugang nicht gewährt,

3.

entgegen Artikel 27 Absatz 1 eine dort genannte Grundrechte-Folgenabschätzung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig durchführt,

4.

entgegen Artikel 27 Absatz 2 Satz 3 nicht, nicht richtig, nicht vollständig oder nicht unverzüglich, nachdem er zu der dort genannten Auffassung gelangt ist, eine Information aktualisiert,

5.

entgegen Artikel 27 Absatz 3 Satz 1 eine dort genannte Mitteilung nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt,

6.

entgegen Artikel 45 Absatz 1 Buchstabe a bis c oder d die notifizierende Behörde auf deren Anfrage nicht, nicht richtig oder nicht vollständig informiert,

7.

entgegen Artikel 45 Absatz 1 Buchstabe e die notifizierende Behörde nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig informiert,

8.

entgegen Artikel 45 Absatz 2 eine dort genannte Stelle nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig informiert oder

9.

entgegen Artikel 45 Absatz 3 eine dort genannte Information nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig übermittelt.

(2) Ordnungswidrig handelt, wer als Betreiber eines Hochrisiko-KI-Systems nach Artikel 6 Absatz 2 in Verbindung mit Anhang III Nummer 1, 3, 4 oder 5 der Verordnung (EU) 2024/1689 in der Fassung vom 13. Juni 2024 nicht dafür sorgt, dass einer betroffenen Person nach Artikel 86 Absatz 1 der Verordnung (EU) 2024/1689 in der Fassung vom 13. Juni 2024 eine dort genannte Erläuterung gegeben wird.

(3) Die Ordnungswidrigkeit kann mit einer Geldbuße bis zu fünfzigtausend Euro geahndet werden.

(1) Für Verstöße nach Artikel 99 Absatz 3 bis 5 der Verordnung (EU) 2024/1689 gelten, soweit dieses Gesetz nichts anderes bestimmt, die Vorschriften des Gesetzes über Ordnungswidrigkeiten entsprechend. § 17 des Gesetzes über Ordnungswidrigkeiten, auch in Verbindung mit § 30 Absatz 3 des Gesetzes über Ordnungswidrigkeiten, sowie § 30 Absatz 1 und 2 des Gesetzes über Ordnungswidrigkeiten sind nicht anzuwenden.

(2) Für Verfahren wegen eines Verstoßes nach Artikel 99 Absatz 3 bis 5 der Verordnung (EU) 2024/1689 gelten, soweit dieses Gesetz nichts anderes bestimmt, die Vorschriften des Gesetzes über Ordnungswidrigkeiten sowie der allgemeinen Gesetze über das Strafverfahren, namentlich der Strafprozessordnung und des Gerichtsverfassungsgesetzes, entsprechend. § 69 Absatz 4 Satz 2 des Gesetzes über Ordnungswidrigkeiten ist mit der Maßgabe anzuwenden, dass die Staatsanwaltschaft das Verfahren nur mit Zustimmung der Behörde, die den Bußgeldbescheid erlassen hat, einstellen kann.

(1) Verwaltungsbehörden im Sinne des § 36 Absatz 1 Nummer 1 des Gesetzes über Ordnungswidrigkeiten sind in den Fällen des § 15 Absatz 1 und 2 sowie des Artikels 99 Absatz 3 bis 5 der Verordnung (EU) 2024/1689 die Marktüberwachungsbehörden nach § 2 Absatz 1 bis 8, die notifizierenden Behörden nach § 3 Absatz 1 und 2 Satz 1 und die Stellen nach § 3 Absatz 4 Satz 1 und 2 jeweils für ihren Geschäftsbereich.

(2) Gegen Behörden und sonstige öffentliche Stellen im Sinne des § 2 Absatz 1 oder 2 des Bundesdatenschutzgesetzes werden in den Fällen des § 15 Absatz 1 und 2 sowie des Artikels 99 Absatz 3 bis 5 der Verordnung (EU) 2024/1689 keine Geldbußen verhängt.

Stellt ein Anbieter nach Artikel 3 Nummer 3 der Verordnung (EU) 2024/1689 oder ein in Deutschland niedergelassener Bevollmächtigter nach Artikel 3 Nummer 5 der Verordnung (EU) 2024/1689 seine Geschäftstätigkeit ein, so hat der für die Liquidation oder Auflösung der juristischen Person Verantwortliche die Pflicht aus Artikel 18 Absatz 1 der Verordnung (EU) 2024/1689.

(1) Die Bundesregierung evaluiert die Auswirkungen der nach diesem Gesetz errichteten Aufsichts- und Behördenstruktur einschließlich der Kooperationsvorschriften.

(2) Die Bundesregierung führt spätestens 18 Monate nach Inkrafttreten dieses Gesetzes eine erste Evaluierung der Aufsichts- und Behördenstruktur durch. Gegenstand der Evaluierung sind insbesondere die bisherigen Erfahrungen mit der Wahrnehmung der durch dieses Gesetz zugewiesenen Aufgaben, mit der Zusammenarbeit der zuständigen Behörden sowie mit der praktischen Durchführung der Verordnung (EU) 2024/1689.

(3) Die Bundesregierung evaluiert spätestens drei Jahre nach Inkrafttreten dieses Gesetzes die Wirksamkeit der Aufsichts- und Behördenstruktur einschließlich der Kooperationsvorschriften im Hinblick auf eine innovationsfreundliche, bürokratiearme und wirksame Durchführung der Verordnung (EU) 2024/1689. Dabei berücksichtigt sie insbesondere

1.

Einschätzungen betroffener Unternehmen zur Innovationsfreundlichkeit und Praktikabilität der Aufsichts- und Behördenstruktur,

2.

Einschätzungen der zuständigen Behörden zu ihren finanziellen, technischen und personellen Ressourcen,

3.

die Zusammenarbeit der zuständigen Behörden untereinander sowie mit dem Zentrum nach § 5,

4.

Einschätzungen weiterer betroffener Akteure, insbesondere von Verbraucherschutzorganisationen, Sozialpartnern und zivilgesellschaftlichen Organisationen, sowie

5.

die Erreichung einer bürokratiearmen Durchführung der Verordnung (EU) 2024/1689.

(4) In die Evaluierungen nach den Absätzen 2 und 3 sind insbesondere die Bundesnetzagentur, eine repräsentative Auswahl weiterer nach den §§ 2 und 3 zuständiger Behörden sowie die in § 9 Absatz 4 genannten Behörden einzubinden. Im Rahmen der Evaluierung nach Absatz 3 sind zudem die an die Europäische Kommission zur Erstellung des Berichts nach Artikel 112 Absatz 2 Buchstabe c und Absatz 13 der Verordnung (EU) 2024/1689 übermittelten Informationen einzubeziehen.

(5) Die Bundesregierung legt dem Deutschen Bundestag über die Ergebnisse der Evaluierungen nach den Absätzen 2 und 3 jeweils einen Bericht vor.

(1) Die Bundesnetzagentur führt ein nicht-öffentliches Register nach Artikel 49 Absatz 5 der Verordnung (EU) 2024/1689 über Hochrisiko-KI-Systeme nach Anhang III Nummer 2 der Verordnung (EU) 2024/1689.

(2) Vor dem Inverkehrbringen oder der Inbetriebnahme eines in Anhang III Nummer 2 der Verordnung (EU) 2024/1689 genannten Hochrisiko-KI-Systems müssen Anbieter oder deren Bevollmächtigte sich und das Hochrisiko-KI-System im Register nach Absatz 1 registrieren. Dies gilt nicht für öffentliche Stellen der Länder im Sinne des § 2 des Bundesdatenschutzgesetzes. Bei der Registrierung müssen die Anbieter oder deren Bevollmächtigte die in Anhang VIII Abschnitt A der Verordnung (EU) 2024/1689 aufgeführten Informationen entsprechend bereitstellen.

(3) Vor der Inbetriebnahme oder der Verwendung eines in Anhang III Nummer 2 der Verordnung (EU) 2024/1689 genannten Hochrisiko-KI-Systems müssen Betreiber sich und das Hochrisiko-KI-System im Register nach Absatz 1 registrieren, wenn es sich bei den Betreibern um öffentliche Stellen des Bundes im Sinne des § 2 des Bundesdatenschutzgesetzes handelt. Bei der Registrierung müssen die Betreiber die in Anhang VIII Abschnitt C der Verordnung (EU) 2024/1689 aufgeführten Informationen entsprechend bereitstellen.

(4) Die nach § 2 Absatz 1 bis 6 und 8 zuständigen Marktüberwachungsbehörden sind berechtigt, Informationen über das jeweils in ihre Zuständigkeit fallende Hochrisiko-KI-System aus dem Register zu erhalten, soweit dies zur Wahrnehmung ihrer Aufgaben erforderlich ist. Zu diesem Zweck ist die Bundesnetzagentur berechtigt, die entsprechenden Informationen aus dem Register an die zuständige Marktüberwachungsbehörde weiterzugeben. Die Bundesnetzagentur darf Informationen aus dem Register an die Europäische Kommission sowie an andere nach der Verordnung (EU) 2024/1689 vorgesehene Stellen übermitteln, soweit dies zur Wahrnehmung der Aufgaben der Bundesnetzagentur erforderlich ist. Eine Übermittlung an Dritte findet nicht statt.

(5) Die Verarbeitung personenbezogener Daten durch die Bundesnetzagentur im Rahmen des Registers ist zulässig, soweit sie zur Führung des Registers erforderlich ist.