Wer sich mit dem AI Act beschäftigt, stößt schnell auf eine institutionelle Frage: Wer wacht eigentlich darüber, dass die Verordnung eingehalten wird? Die Antwort ist mehrschichtig. Für einen wichtigen Teil der Regulierung – insbesondere für General-Purpose-AI-Modelle (GPAI), also die großen, breit einsetzbaren Basismodelle – hat der europäische Gesetzgeber eine zentrale, EU-weite Aufsicht vorgesehen. Diese liegt beim AI Office. Für andere Teile, vor allem die klassische Marktüberwachung von Hochrisiko-Systemen, bleiben nationale Behörden zuständig. Das AI Office ist damit weniger ein „KI-TÜV“ für jedes einzelne Werkzeug, sondern eine koordinierende und in bestimmten Bereichen unmittelbar durchsetzende Instanz.
Der entscheidende Gedanke lautet: Der AI Act ist eine EU-Verordnung mit einheitlichem Anspruch, aber KI-Basismodelle machen nicht an Landesgrenzen halt. Ein Modell, das in mehreren Mitgliedstaaten zugleich wirkt, lässt sich schwer 27-fach parallel beaufsichtigen. Deshalb bündelt das AI Office die Aufsicht über diese Modelle auf europäischer Ebene – und sorgt zugleich dafür, dass die Auslegung des AI Act möglichst kohärent bleibt, statt in nationale Einzelinterpretationen zu zerfallen.
Das AI Office lässt sich am besten als Dreifachrolle verstehen. Erstens ist es eine Aufsichts- und Durchsetzungsinstanz für den zentral geregelten Teil des AI Act, insbesondere für GPAI-Modelle. Zweitens ist es ein Koordinator, der die Zusammenarbeit der Mitgliedstaaten organisiert, gemeinsame Standards der Auslegung fördert und die Arbeit der nationalen Behörden verzahnt. Drittens ist es ein Kompetenzzentrum, das Wissen über KI bündelt, den Stand der Technik beobachtet, Leitlinien erarbeitet und die europäische KI-Politik fachlich unterstützt.
Diese Kombination ist bewusst gewählt: Der AI Act ist technisch anspruchsvoll und entwickelt sich schnell weiter. Eine Behörde, die nur Bußgelder verhängt, wäre der Materie nicht gewachsen. Das AI Office soll deshalb sowohl rechtlich als auch technisch tief in der Sache stehen – und den Beteiligten, von großen Modellanbietern bis zu nationalen Aufsehern, als fachlicher Ankerpunkt dienen.
Ebenso wichtig ist die Abgrenzung. Das AI Office ist keine allgemeine „KI-Polizei“, die jedes KI-Werkzeug im Mittelstand kontrolliert. Es prüft nicht die Bewerbersoftware eines einzelnen Unternehmens und erteilt keine Einzelfreigaben für jeden Chatbot. Es ist auch keine Datenschutzbehörde – der Umgang mit personenbezogenen Daten bleibt Sache der Datenschutzaufsicht nach der DSGVO. Und es ist kein Ersatz für die nationalen Behörden, sondern deren europäisches Gegenstück und Bindeglied. Wer diese Rollenverteilung versteht, ordnet Meldungen über „die EU-KI-Behörde“ deutlich präziser ein.
Das AI Office wurde geschaffen, um dem AI Act eine handlungsfähige europäische Umsetzungsinstanz an die Seite zu stellen. Es ist nach aktuellem Stand kein von der Kommission losgelöstes Organ mit eigener Rechtspersönlichkeit, sondern eine Struktur innerhalb der Europäischen Kommission – angesiedelt im Umfeld der für Digitalpolitik zuständigen Dienststellen. Diese Verortung hat praktische Konsequenzen: Das Amt kann auf die administrative, rechtliche und politische Infrastruktur der Kommission zurückgreifen und ist zugleich in deren Entscheidungswege eingebunden.
Die Entstehung folgt der Logik des AI Act selbst. Als klar wurde, dass die Verordnung ein eigenes Regime für sehr leistungsfähige Basismodelle enthalten würde, stellte sich die Frage nach einer zentralen Aufsicht. Nationale Behörden allein hätten diese Modelle nur schwer kohärent beaufsichtigen können, da dieselben Modelle in vielen Mitgliedstaaten gleichzeitig verfügbar sind. Die Antwort war die Einrichtung des AI Office als zentrale Stelle – mit einem Fokus auf GPAI, aber auch mit koordinierenden Aufgaben für das Gesamtsystem.
Die Verankerung in der Kommission bringt mehrere Vorteile. Sie sichert eine enge Verbindung zur europäischen Gesetzgebung und zu delegierten Rechtsakten, mit denen der AI Act weiter konkretisiert wird. Sie ermöglicht eine schnelle Abstimmung mit anderen Politikfeldern – etwa Wettbewerb, Datenschutz, Produktsicherheit und Industriepolitik. Und sie erlaubt es, die Aufsicht über grenzüberschreitend wirkende Modelle mit europäischem Mandat auszuüben, statt sich auf freiwillige Kooperation zwischen 27 nationalen Stellen verlassen zu müssen.
Die Kehrseite dieser Nähe ist eine wiederkehrende Debatte um Unabhängigkeit und Ressourcen: Kritiker fragen, ob eine in die Kommission eingebettete Stelle ausreichend unabhängig agieren kann und ob sie personell wie technisch stark genug ausgestattet ist, um mit den großen Modellanbietern auf Augenhöhe zu arbeiten. Diese Fragen sind Gegenstand laufender Diskussion; ihr Verlauf lässt sich nur beobachten, nicht mit erfundenen Zahlen belegen.
Das AI Office steht nicht allein, sondern ist Teil eines Geflechts von Gremien, die der AI Act nach aktuellem Stand vorsieht. Dazu zählen insbesondere ein Gremium der Mitgliedstaaten (häufig als European Artificial Intelligence Board bzw. KI-Ausschuss bezeichnet), das die einheitliche Anwendung der Verordnung fördern soll, sowie beratende Strukturen, die unabhängige wissenschaftliche und zivilgesellschaftliche Expertise einbringen. Für besonders leistungsfähige Modelle ist zudem ein wissenschaftliches Panel unabhängiger Fachleute vorgesehen, das das AI Office fachlich unterstützt.
Um die Rolle des AI Office greifbar zu machen, hilft eine Gliederung nach Funktionen. Nach aktuellem Stand lassen sich seine Aufgaben grob in fünf Bereiche fassen: die Aufsicht über GPAI-Modelle, die Koordination der Umsetzung in der EU, die Mitwirkung an Leitlinien, Vorlagen und Normung, die Politik- und Innovationsförderung sowie die internationale Zusammenarbeit. Diese Bereiche greifen ineinander und lassen sich in der Praxis nicht immer trennscharf abgrenzen.
Die schärfste und rechtlich unmittelbarste Zuständigkeit des AI Office betrifft die Aufsicht über GPAI-Modelle. Hier ist das Amt nicht nur Koordinator, sondern selbst handelnde Behörde: Es kann nach aktuellem Stand von Modellanbietern Informationen und Unterlagen anfordern, Modelle bewerten (lassen), Maßnahmen zur Behebung von Verstößen verlangen und – im Zusammenspiel mit der Kommission – Durchsetzungsschritte einleiten. Diese direkte Aufsicht ist der Bereich, in dem das AI Office am ehesten wie eine klassische Behörde auftritt. Details dazu vertieft Kapitel 04.
Weniger sichtbar, aber für die Praxis mindestens ebenso wichtig ist die koordinierende Rolle. Der AI Act soll in allen Mitgliedstaaten möglichst gleich ausgelegt und angewendet werden. Das AI Office wirkt darauf hin, indem es den Austausch zwischen den nationalen Behörden organisiert, gemeinsame Verständnisfragen adressiert und die Arbeit der Gremien fachlich unterstützt. Für Unternehmen bedeutet das im Idealfall: weniger Flickenteppich, mehr Planbarkeit über Ländergrenzen hinweg.
Ein dritter Strang ist die Erarbeitung von Leitlinien und Vorlagen, die die oft abstrakten Anforderungen des AI Act praktisch handhabbar machen – etwa zu Transparenzpflichten oder zur Abgrenzung von Systemkategorien. Hinzu kommt die Rolle bei der Förderung von Innovation, unter anderem im Zusammenhang mit Reallaboren (regulatory sandboxes), in denen Unternehmen neue Systeme unter behördlicher Aufsicht erproben können. Schließlich vertritt das AI Office die europäische Perspektive in der internationalen KI-Governance und arbeitet mit Partnern außerhalb der EU zusammen. Ob und wie einzelne dieser Aufgaben ein konkretes Unternehmen berühren, ist im Einzelfall zu prüfen.
General-Purpose-AI-Modelle – also breit einsetzbare Basismodelle, die vielen nachgelagerten Anwendungen zugrunde liegen – nehmen im AI Act eine Sonderstellung ein. Weil dieselben Modelle grenzüberschreitend in der gesamten EU wirken, hat der Gesetzgeber ihre Aufsicht nach aktuellem Stand zentral beim AI Office gebündelt, statt sie den nationalen Behörden zu überlassen. Das ist die praktisch wichtigste Ausnahme vom sonst national geprägten Aufsichtsmodell des AI Act.
Der AI Act unterscheidet nach aktuellem Stand zwei Kategorien. Für allgemeine GPAI-Modelle gelten vor allem Transparenz- und Dokumentationspflichten: Anbieter müssen technische Unterlagen bereitstellen, nachgelagerten Anbietern hinreichende Informationen für die rechtskonforme Integration geben und urheberrechtsbezogene Vorgaben beachten, etwa zu einer ausreichend detaillierten Zusammenfassung der Trainingsinhalte. Für GPAI-Modelle mit systemischem Risiko – besonders leistungsfähige Modelle oberhalb bestimmter Schwellen – kommen strengere Pflichten hinzu, etwa zur Modellbewertung, zum Management systemischer Risiken, zur Meldung schwerwiegender Vorfälle und zur Cybersicherheit.
Das AI Office ist die Stelle, die diese Pflichten europaweit beaufsichtigt. Es kann nach aktuellem Stand insbesondere Informationen und technische Unterlagen anfordern, die Einhaltung der Pflichten bewerten, bei Anbietern die Behebung festgestellter Mängel verlangen und – falls nötig – im Zusammenwirken mit der Kommission weitergehende Maßnahmen anstoßen. Ob und wann konkrete Schwellen für „systemisches Risiko“ erreicht sind, ergibt sich aus dem Verordnungstext und ergänzenden Rechtsakten und sollte dort geprüft werden.
Auf den ersten Blick betrifft die GPAI-Aufsicht nur einige wenige große Anbieter. Für den Mittelstand ist sie dennoch mittelbar bedeutsam. Wer einen KI-Dienst nutzt, der auf einem Basismodell aufsetzt, profitiert davon, dass dieses Modell einer europäischen Aufsicht unterliegt: Transparenz-, Dokumentations- und Sicherheitsanforderungen an das Modell erhöhen die Verlässlichkeit der gesamten Kette. Umgekehrt sollten nachgelagerte Nutzer die vom Anbieter bereitgestellten Informationen und Auflagen sorgfältig auswerten und vertraglich absichern – denn ihre eigenen Pflichten als Betreiber bleiben bestehen.
Ein zentrales Instrument, um die Pflichten für GPAI-Modelle konkret und handhabbar zu machen, sind nach aktuellem Stand Codes of Practice – auf Deutsch Verhaltenskodizes oder Praxisleitfäden. Das AI Office begleitet und moderiert die Erarbeitung solcher Kodizes, in die Anbieter, Fachleute und weitere Beteiligte ihre Perspektiven einbringen. Ein Code of Practice übersetzt die abstrakten gesetzlichen Anforderungen in konkrete, nachvollziehbare Erwartungen: Wie dokumentiert man ein Modell angemessen? Wie geht man mit systemischen Risiken um? Wie erfüllt man Transparenzanforderungen in der Praxis?
Wichtig ist das rechtliche Verständnis: Ein Code of Practice ist nach aktuellem Stand grundsätzlich ein freiwilliges Instrument, das aber eine faktische Leitwirkung entfaltet. Wer sich an einen anerkannten Kodex hält, kann damit ein strukturiertes Mittel nutzen, um die Einhaltung bestimmter Pflichten zu belegen. Ein Kodex ersetzt jedoch nicht das Gesetz und garantiert für sich genommen keine vollständige Konformität. Der genaue Status, die Reichweite und die Wirkung eines konkreten Kodex ergeben sich aus dem Verordnungstext und den begleitenden Prozessen und sollten dort geprüft werden.
Verhaltenskodizes sind das schnellere, flexiblere Instrument – sie können früh Orientierung geben, solange formale Normen noch in Arbeit sind. Parallel dazu setzt der AI Act, wie das europäische Produktrecht generell, stark auf harmonisierte Normen. Werden solche Normen im Amtsblatt veröffentlicht, kann ihre Anwendung nach aktuellem Stand eine Konformitätsvermutung auslösen: Wer normkonform arbeitet, darf darauf vertrauen, die entsprechenden Anforderungen zu erfüllen. Das AI Office wirkt an diesem Prozess mit, indem es die inhaltlichen Erwartungen an die Normung einbringt und die Kohärenz zwischen Kodizes, Leitlinien und Normen fördert.
Für Modellanbieter sind Codes of Practice und Normen der praktische Weg, ihre Pflichten strukturiert zu erfüllen und nachzuweisen. Für nachgelagerte Nutzer – also die meisten Mittelständler – sind sie vor allem eine Orientierungsquelle: Sie zeigen, welche Standards sich am Markt herausbilden, und helfen dabei, die Erwartungen an genutzte KI-Dienste einzuordnen. Wer eigene interne KI-Richtlinien entwickelt, kann sich an den Grundgedanken solcher Kodizes orientieren, ohne selbst formal verpflichtet zu sein. Die Frage, welche Instrumente im konkreten Fall verbindlich sind, gehört in fachjuristische Hände.
Während das AI Office die GPAI-Modelle zentral beaufsichtigt, bleibt die klassische Marktüberwachung – also die Aufsicht über KI-Systeme, insbesondere Hochrisiko-Systeme – nach aktuellem Stand Sache der Mitgliedstaaten. Jeder Mitgliedstaat benennt dafür zuständige nationale Behörden. Für den typischen Betreiber oder Anbieter eines konkreten KI-Systems sind daher in erster Linie diese nationalen Stellen der Ansprechpartner, nicht das AI Office.
In Deutschland ist die konkrete Ausgestaltung der nationalen Zuständigkeiten nach aktuellem Stand Gegenstand der Umsetzung; im Gespräch sind unter anderem etablierte Aufsichtsstrukturen wie die Bundesnetzagentur als koordinierende Marktüberwachungsstelle sowie bestehende sektorale Behörden und die Datenschutzaufsicht für die datenschutzrechtlichen Aspekte. Die genaue Behördenlandschaft und die Aufgabenverteilung sollten Sie zum jeweils aktuellen Stand bei den offiziellen Stellen prüfen, da sich hier Details fortlaufend konkretisieren.
In Österreich wird die nationale Aufsicht ebenfalls über benannte Stellen organisiert; auch hier gilt, dass die konkrete Ausgestaltung dem aktuellen Umsetzungsstand zu entnehmen ist. Die Schweiz ist kein EU-Mitglied und damit nicht unmittelbar an den AI Act gebunden – Schweizer Anbieter sind jedoch über den Marktzugang faktisch betroffen, sobald sie KI-Systeme in der EU in Verkehr bringen oder deren Ergebnisse in der EU verwendet werden. Für sie ist relevant, welche EU-Behörde bzw. welcher benannte EU-Vertreter im Zielmarkt zuständig ist.
Die Verzahnung funktioniert nach aktuellem Stand über mehrere Kanäle: Das AI Office koordiniert und unterstützt die nationalen Behörden, fördert eine einheitliche Auslegung und wirkt über die gemeinsamen Gremien auf Kohärenz hin. Umgekehrt bringen die nationalen Behörden ihre Praxiserfahrung ein. Bei Fällen, in denen sich zentrale GPAI-Aufsicht und nationale Systemaufsicht berühren – etwa wenn ein Hochrisiko-System auf einem beaufsichtigten Basismodell aufsetzt –, ist ein abgestimmtes Vorgehen vorgesehen. Die genauen Zuständigkeits- und Kooperationsregeln ergeben sich aus dem Verordnungstext und sind im Einzelfall zu prüfen.
Die Durchsetzung folgt der Zweiteilung der Aufsicht. Bei GPAI-Modellen liegt die Durchsetzung nach aktuellem Stand zentral beim AI Office im Zusammenwirken mit der Kommission: Es kann Verstöße feststellen, Abhilfe verlangen und Sanktionsverfahren anstoßen. Bei KI-Systemen – insbesondere Hochrisiko-Systemen – liegt die Durchsetzung dagegen bei den nationalen Marktüberwachungsbehörden, die vor Ort kontrollieren, Maßnahmen anordnen und Bußgelder verhängen können.
Wie schon die DSGVO setzt der AI Act auf abschreckende Geldbußen, die sich nach aktuellem Stand an Höchstbeträgen oder einem Prozentsatz des weltweiten Jahresumsatzes orientieren – je nachdem, welcher Betrag höher ist. Die Höhe ist nach der Schwere des Verstoßes gestaffelt: Verstöße gegen die verbotenen Praktiken werden am härtesten geahndet, gefolgt von Verstößen gegen sonstige Pflichten und – mit geringerem Rahmen – der Bereitstellung falscher oder irreführender Informationen gegenüber Behörden. Für GPAI-Anbieter gelten nach aktuellem Stand eigene Sanktionsregelungen, deren Durchsetzung dem AI Office zugeordnet ist. Konkrete Beträge und ihre Zuordnung ergeben sich aus dem Verordnungstext und sind dort zu prüfen.
Ein Vorteil des zentralen AI Office zeigt sich bei grenzüberschreitenden Sachverhalten. Wenn ein GPAI-Modell in der gesamten EU wirkt, wäre eine 27-fach parallele nationale Durchsetzung ineffizient und widersprüchlich. Die zentrale Zuständigkeit des AI Office für diese Modelle sorgt hier für Kohärenz. Bei KI-Systemen, die in mehreren Mitgliedstaaten auf dem Markt sind, ist nach aktuellem Stand eine Zusammenarbeit der nationalen Behörden vorgesehen, die das AI Office koordinierend unterstützt. Die genauen Verfahren regelt der Verordnungstext.
Wie beim AI Act insgesamt gilt: Die Geldbuße ist nur eine Dimension. Mindestens ebenso bedeutsam sind mittelbare Folgen – Marktzugangsrisiken (ein nicht konformes System darf nicht in Verkehr gebracht oder betrieben werden), Reputationsrisiken, Vertragsrisiken in Lieferketten und Betriebsrisiken, wenn ein zentrales System nachträglich als nicht konform erkannt wird. Diese Folgen entstehen unabhängig davon, welche Behörde zuständig ist, und sind für die unternehmerische Praxis oft gravierender als das Bußgeld selbst.
Der häufigste Irrtum lautet, das AI Office sei für jedes KI-nutzende Unternehmen die zuständige Behörde. Für den typischen Betreiber eingekaufter KI-Werkzeuge ist das nach aktuellem Stand nicht der Fall – dort sind die nationalen Behörden zuständig. Dennoch lohnt es sich, das AI Office im Blick zu behalten, denn es liefert genau die Konkretisierungen, die der Verordnungstext offenlässt: Leitlinien, Vorlagen, Kodizes und Orientierungshilfen, die den Umgang mit KI im Alltag greifbarer machen.
Ein häufig übersehener Aspekt ist die Innovationsfunktion. Der AI Act sieht nach aktuellem Stand Reallabore (regulatory sandboxes) vor – geschützte Umgebungen, in denen Unternehmen, insbesondere KMU und Start-ups, neue KI-Systeme unter behördlicher Begleitung entwickeln und testen können, bevor sie regulär auf den Markt kommen. Diese Sandkästen werden vor allem auf nationaler Ebene eingerichtet; das AI Office unterstützt und koordiniert den Rahmen auf europäischer Ebene und fördert einen einheitlichen Ansatz. Für innovative Mittelständler kann das eine Möglichkeit sein, regulatorische Unsicherheit zu reduzieren und frühzeitig Feedback von den Behörden zu erhalten.
Aus unserer Beratungspraxis ergeben sich klare, unaufgeregte Empfehlungen. Erstens: Verstehen Sie die Rollenverteilung – AI Office für GPAI und den Rahmen, nationale Behörden für Ihr konkretes System. Zweitens: Verfolgen Sie die Leitlinien und Vorlagen des AI Office als Orientierung für Ihre eigenen Prozesse, ohne sich von jeder Veröffentlichung verunsichern zu lassen. Drittens: Bauen Sie eine schlanke KI-Governance auf, die unabhängig von der konkreten Behörde trägt – ein KI-Inventar, eine interne Richtlinie und rollenbasierte KI-Kompetenz. Viertens: Prüfen Sie bei innovativen Vorhaben, ob ein Reallabor infrage kommt. Ob und wie diese Schritte in Ihrem Fall greifen, ist mit einer Fachjurist:in zu klären.
Der AI Act wird nach aktuellem Stand nicht auf einen Schlag wirksam, sondern gestaffelt: Die Verbote gelten zuerst, dann folgen die GPAI-Pflichten, zuletzt die komplexen Hochrisiko-Pflichten. Parallel dazu wächst die Rolle des AI Office. In der Anfangsphase liegt der Schwerpunkt auf Aufbau, Leitlinien, Kodizes und der beginnenden GPAI-Aufsicht. Mit fortschreitender Anwendbarkeit gewinnen Aufsicht, Durchsetzung und Koordination an Gewicht. Die konkreten Fristen und Meilensteine sollten Sie für Ihr Unternehmen bei den offiziellen Stellen bzw. im Gesetzestext verifizieren, da sich Details durch delegierte Rechtsakte und Leitlinien weiter konkretisieren können.
Die Schnittstellen zur DSGVO sind praktisch bedeutsam. Verarbeitet ein KI-System personenbezogene Daten, gelten zusätzlich zu den AI-Act-Pflichten die Anforderungen der DSGVO – etwa eine tragfähige Rechtsgrundlage, Datenminimierung und gegebenenfalls eine Datenschutz-Folgenabschätzung. Die Daten-Governance-Anforderungen des AI Act an Hochrisiko-Systeme laufen teilweise parallel zu datenschutzrechtlichen Grundsätzen. Das AI Office ist für die datenschutzrechtliche Seite nicht zuständig; dennoch ist eine Abstimmung zwischen den Aufsichtsstrukturen nach aktuellem Stand vorgesehen, damit KI-Systeme, die zugleich Datenschutzfragen aufwerfen, kohärent behandelt werden.
Als junge Institution steht das AI Office vor mehreren offenen Fragen, deren Verlauf sich nur beobachten lässt. Dazu zählen die tatsächliche Ausstattung mit Personal und technischem Sachverstand, die Balance zwischen europäischer Zentralität und nationaler Vielfalt, die praktische Wirksamkeit der GPAI-Aufsicht gegenüber sehr großen Anbietern sowie die Kohärenz zwischen Kodizes, Normen und Leitlinien. Diese Punkte sind Gegenstand laufender Diskussion; belastbare Aussagen dazu erfordern die Beobachtung der offiziellen Veröffentlichungen und lassen sich nicht mit erfundenen Kennzahlen vorwegnehmen.
