Das KI-Sicherheitsinstitut kann keinen Modellzugang erzwingen

Das Wichtigste in Kürze

• Deutschland hat am 31. August 2026 das AI Safety and Security Institute Deutschland gegründet, einen virtuellen Verbund aus BSI und Bundesnetzagentur.
• Für KI-Modelle mit allgemeinem Verwendungszweck hat nach Artikel 88 der KI-Verordnung allein die EU-Kommission Aufsichts- und Durchsetzungsbefugnisse.
• Das deutsche Durchführungsgesetz KI-MIG gilt seit dem 29. Juli 2026 für KI-Systeme und erwähnt in seinen Paragrafen 1 bis 20 kein einziges Modell.
• Eine deutsche Behörde kann fehlende Modellinformationen nur über das Büro für Künstliche Intelligenz anfordern, das binnen 30 Tagen antwortet.

„Technische Evaluierung leistungsfähiger KI-Modelle“ nennt das Bundesamt für Sicherheit in der Informationstechnik die Aufgabe des neuen KI-Sicherheitsinstituts. Auf derselben Seite steht, die Einrichtung übernehme „ausdrücklich keine Regulierungs- oder Marktüberwachungsfunktion“. Wer ein Modell evaluieren will, braucht Zugriff darauf: eine Schnittstelle, im Zweifel den Quellcode. Wer diesen Zugriff verlangen kann, regelt Kapitel V der KI-Verordnung.

Gegründet wurde das Institut am 31. August, als virtueller Nukleus aus dem BSI und der Bundesnetzagentur, gestützt auf einen Beschluss des Nationalen Sicherheitsrats vom Juni 2026, mit Cybersicherheit als Schwerpunkt der ersten Phase. Lisa Hegemann hat die Gründung am 3. September 2026 für DIE ZEIT beschrieben, unter dem Titel „KI-Sicherheitsinstitut in Deutschland: Werden wir die Singularität überhaupt bemerken, wenn sie da ist?“. Wo das Institut sitzen wird, wie viele Stellen es bekommt und über welchen Etat es verfügt, sagen weder die Pressemitteilung des Digitalministeriums noch die Themenseite des BSI.

Das AI Safety and Security Institute Deutschland arbeitet ohne Aufsichtsbefugnis#

Das BSI beschreibt die neue Einrichtung als „keine Regulierungsbehörde, sondern ein analytisch-operatives Kompetenzzentrum“ (BSI-Themenseite zum AI Safety and Security Institute Deutschland¹). Jeder Testlauf hängt damit daran, dass ein Anbieter sein Modell öffnet und geöffnet lässt. Auch an anderer Stelle im KI-Recht entscheidet ein formaler Anlass darüber, wann eine Pflicht greift: Die Meldepflicht für ein neues Modell hängt am Marktstart².

Artikel 92 legt den Zugang zum Modell bei der Kommission, nicht beim BSI#

Modelle mit allgemeinem Verwendungszweck sind der eine Bereich der KI-Verordnung, den die Mitgliedstaaten nicht beaufsichtigen. Artikel 88 Absatz 1 gibt der Kommission „ausschließliche Befugnisse zur Beaufsichtigung und Durchsetzung von Kapitel V“ und überträgt die Durchführung dem Büro für Künstliche Intelligenz. Was diese Befugnis praktisch bedeutet, steht in Artikel 92: Das Büro darf ein Modell bewerten und dafür Zugang verlangen, „über API oder weitere geeignete technische Mittel und Instrumente, einschließlich Quellcode“. Wer nicht liefert, riskiert nach Artikel 101 Absatz 1 Buchstabe d Geldbußen bis zu drei Prozent des weltweiten Jahresumsatzes oder 15 Millionen Euro (Verordnung (EU) 2024/1689, Amtsblatt-Fassung³).

Im KI-MIG geht es um KI-Systeme und nirgends um Modelle#

Das deutsche Durchführungsgesetz trägt den Namen KI-MIG, Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz, ausgefertigt am 22. Juli 2026 und in Kraft seit dem 29. Juli. Sein § 1 steckt den Rahmen ab: „Es gilt für KI-Systeme im Sinne des Artikels 3 Nummer 1 der Verordnung (EU) 2024/1689.“ § 2 Absatz 1 macht die Bundesnetzagentur zur Marktüberwachungsbehörde, § 3 Absatz 2 benennt das BSI übergangsweise als notifizierende Stelle für Hochrisiko-KI-Systeme (KI-MIG, amtliche Fassung gesetze-im-internet.de ↗). Eine Volltextsuche über die Paragrafen 1 bis 20 dieser Fassung findet das Wort „Modell“ an keiner Stelle, ebenso wenig „Artikel 88″, „Artikel 92″ oder „Kapitel V“.

Einen Weg nach oben hält die Verordnung dennoch offen. Fehlen einer nationalen Marktüberwachungsbehörde Informationen über ein Modell, richtet sie nach Artikel 75 Absatz 3 ein begründetes Ersuchen an das Büro für Künstliche Intelligenz, und das antwortet „unverzüglich, spätestens aber innerhalb von 30 Tagen“. Übermittelt werden die Informationen, die das Büro für erforderlich hält; welche das sind, entscheidet es selbst. Wie die Verordnung Zuständigkeiten zuschneidet, lässt sich auch daran ablesen, wie sie den Anbieter eines KI-Systems vom Betreiber unterscheidet⁴.

Frankreich zeigt seit 2025, was ein KI-Sicherheitsinstitut ohne Zugriff tut#

Dieselbe Bauform gibt es im Nachbarland anderthalb Jahre länger. Das französische Wirtschaftsministerium stellte INESIA am 3. Februar 2025 vor, mit dem Auftrag, vorhandene Einrichtungen zu bündeln, „sans création de nouvelle structure juridique“, also ohne eine neue Rechtsform zu schaffen (economie.gouv.fr economie.gouv.fr ↗). Was so ein Verbund konkret tut, hat das französische Kompetenzzentrum PEReN am 30. Juli 2025 dokumentiert: eine gemeinsame Prüfung von KI-Agenten mit sechs weiteren Instituten und dem Büro für Künstliche Intelligenz, Datenabflussrisiken an einer englischen Prüfmenge und acht weiteren Sprachen, Cyberfähigkeiten an den Datensätzen Cybench und Intercode. Der Bericht beschreibt einen Testlauf, kein Dauerprogramm.

Auf der Gründungsliste des internationalen Netzwerks solcher Institute vom November 2024 fehlte Deutschland: Das US-Handelsministerium nannte damals Australien, Kanada, die Europäische Union, Frankreich, Japan, Kenia, Südkorea, Singapur, das Vereinigte Königreich und die Vereinigten Staaten. Die Seouler Absichtserklärung vom 21. Mai 2024, an der auch die Bundesregierung beteiligt war, würdigt solche Institute und formuliert die Ambition eines Netzwerks. Eine Zusage, selbst eines zu gründen, steht nicht darin.

In seiner ersten Phase untersucht das KI-Sicherheitsinstitut also Modelle, die ein Anbieter ihm öffnet, und beurteilt, was daraus für die Cybersicherheit folgt. Alles Weitere läuft über das Büro für Künstliche Intelligenz. Ein Modell anfordern darf in Europa allein die Kommission.

Anlass war Lisa Hegemanns Text „KI-Sicherheitsinstitut in Deutschland: Werden wir die Singularität überhaupt bemerken, wenn sie da ist?“ für DIE ZEIT vom 3. September 2026. Die Angaben zur Gründung stammen aus der Pressemitteilung des Bundesministeriums für Digitales und Staatsmodernisierung vom 31. August 2026⁵ und der BSI-Themenseite zum AI Safety and Security Institute bsi.bund.de ↗, die Normzitate aus der Verordnung (EU) 2024/1689 eur-lex.europa.eu ↗ und dem KI-MIG in der Fassung vom 22. Juli 2026 gesetze-im-internet.de ↗, die französischen Angaben von economie.gouv.fr und aus dem PEReN-Bericht vom 30. Juli 2025⁶, die Mitgliederliste des internationalen Netzwerks aus dem Faktenblatt des NIST vom November 2024⁷.