Gerangel im Sandkasten

Nordrhein-Westfalen will als erstes Bundesland ein eigenes KI-Reallabor im Sinne der KI-Verordnung (KI-VO) schaffen. Derartige Experimentierräume sollen Anbietern helfen, KI-Systeme unter behördlicher Aufsicht rechtssicher zu entwickeln. Das Vorhaben ist im Ansatz richtig: Ein Landes-Reallabor kann das Angebot der Bundesnetzagentur sinnvoll ergänzen. Der Entwurf trennt aber die Aufsicht im Reallabor von der späteren Marktüberwachung, also der Kontrolle, ob KI-Systeme produktkonform eingesetzt werden. Zudem spaltet er die Datenschutzaufsicht ohne erkennbaren Mehrwert auf. Tritt der Entwurf so in Kraft, droht ein Zuständigkeitsgerangel rund um den regulatorischen Sandkasten – und das Reallabor dürfte eher Rechtsunsicherheit als Innovationen hervorbringen.

Was ein Reallabor leisten soll

Reallabore gehören zu den zentralen Instrumenten, mit denen die KI-VO Innovationen fördern will, während sie im Übrigen vornehmlich Risiken begrenzen soll. Der Unionsgesetzgeber hat sie mit der Digital-Omnibus-Verordnung zur KI sogar gestärkt, obwohl viele Vorschriften der KI-VO noch gar nicht gelten (vgl. Art. 113 KI-VO): Zu den nationalen Reallaboren tritt nun ein weiteres beim KI-Büro der Kommission (Art. 57 Abs. 3a KI-VO).

Als Regulierungsinstrument haben sich Reallabore zuerst in der Finanzmarktregulierung etabliert, etwa bei der britischen Finanzaufsicht. Für die KI-Förderung sah sie schon der ursprüngliche Verordnungsentwurf der Kommission vor; heute regeln sie die Art. 57 bis 59 KI-VO. Grundlage jeder Teilnahme ist ein Plan, den Anbieter und Behörde vereinbaren (Art. 3 Nr. 54 KI-VO). Wer ihn einhält und der Anleitung der Behörde in gutem Glauben folgt, muss keine Geldbußen fürchten (Art. 57 Abs. 12 KI-VO). Zudem erleichtert das Reallabor den späteren Marktzugang: Bevor ein Hochrisiko-KI-System auf den Markt kommt, muss sein Anbieter – selbst oder mit einer notifizierten Stelle – prüfen, ob es die Anforderungen der Verordnung erfüllt (Art. 43 KI-VO). Nachweise aus dem Reallabor sollen dieses Konformitätsbewertungsverfahren beschleunigen (Art. 57 Abs. 7 UAbs. 2 KI-VO).

Jeder Mitgliedstaat muss mindestens ein KI-Reallabor einrichten. In Deutschland trifft diese Pflicht nach dem am 29. Juli 2026 in Kraft getretenen KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) die Bundesnetzagentur (§ 13 Abs. 1 S. 1 KI-MIG). Zusätzliche Reallabore auf regionaler oder lokaler Ebene erlaubt Art. 57 Abs. 2 KI-VO ausdrücklich. Hier knüpft Nordrhein-Westfalen an.

Was die Landesregierung NRW plant

Die Landesregierung erhofft sich von ihrem Gesetzentwurf zweierlei: Das Land soll Schwerpunkte entlang seiner wirtschaftlichen Stärken setzen können und die Wege zwischen Unternehmen und Behörden sollen kürzer werden (Vorlage 18/5223, S. 1). Kern des Entwurfs ist das KI-Reallabor-Marktüberwachungsbehördengesetz NRW (KIMüG NRW-E). Es bildet Art. 1 des Fünften Gesetzes zur Entlastung von Bürgern und Wirtschaft in NRW – Gesetz für KI-Reallabore in NRW (GKI NRW), das die Landesregierung dem Landtag am 10. Juni 2026 zugeleitet hat. Danach wird das Wirtschaftsministerium zur Marktüberwachungsbehörde für KI-Reallabore und nimmt diese Aufgabe in einer „organisatorisch eigenständigen Einheit“ wahr (§ 2 Abs. 1 und 2 KIMüG NRW-E). Sie richtet das Reallabor ein, betreibt und beaufsichtigt es (§ 3 KIMüG NRW-E). Mit der Durchführung kann sie private Betreiber betrauen (§ 5 KIMüG NRW-E). Über den Datenschutz soll eine eigene Aufsichtsbehörde wachen, ein „Datenschutzbeauftragter für KI-Reallabore“ (§ 4 KIMüG NRW-E). Diese Vorgaben müssen sich insbesondere am Unionsrecht messen lassen.

Wer für Reallabore zuständig ist

Ein Reallabor darf nur eine „zuständige nationale Behörde“ einrichten, also eine Marktüberwachungsbehörde oder notifizierende Behörde (Art. 3 Nr. 48 KI-VO). Wer das ist, regelt in Deutschland das KI-MIG. Denn Art. 70 Abs. 1 KI-VO gibt lediglich vor, dass jeder Mitgliedstaat mindestens eine Marktüberwachungsbehörde und mindestens eine notifizierende Behörde einrichten oder benennen muss; welche und wie viele, entscheidet er selbst (Art. 70 Abs. 1 S. 4 KI-VO).

Zentrale Behörde ist die Bundesnetzagentur (§ 2 Abs. 1 KI-MIG). Vorrang haben aber zwei Gruppen von Behörden. Zum einen bleiben die Behörden des Bundes und der Länder zuständig, die schon bisher bestimmte Produkte oder Branchen überwachen: etwa die Marktüberwachungsbehörden für Medizinprodukte, Maschinen oder Spielzeug (§ 2 Abs. 2 KI-MIG i.V.m. Anhang I Abschnitt A KI-VO) und die Bundesanstalt für Finanzdienstleistungsaufsicht im Finanzsektor (§ 2 Abs. 3 KI-MIG). Zum anderen sind die Länder zuständig, soweit ihre eigenen öffentlichen Stellen KI einsetzen (§ 2 Abs. 6 KI-MIG) oder Medien betroffen sind (§ 2 Abs. 8 KI-MIG).

Warum Reallabor und Marktüberwachung zusammengehören

Statt nun eine oder mehrere Landesbehörden für die Marktüberwachung zu bestimmen, will Nordrhein-Westfalen zunächst eine Behörde eigens für das Reallabor schaffen. Sie ist zwar ebenfalls eine Marktüberwachungsbehörde, aber nur für KI-Systeme, die im Reallabor erprobt werden (§ 3 Abs. 2 KIMüG NRW-E). Damit teilt das Land die Aufsicht entlang des Lebenszyklus eines KI-Systems auf. Denn Reallabor und Marktüberwachung betreffen unterschiedliche Phasen: Das Reallabor bietet spezielle Bedingungen für die KI-Entwicklung, die eigentliche Marktüberwachung setzt hingegen grundsätzlich erst ein, wenn das entwickelte KI-System in Verkehr gebracht oder in Betrieb genommen ist (vgl. Art. 2 Abs. 8 KI-VO).

Unionsrechtlich ist es zulässig, die Aufsicht vor und nach dem Markteintritt verschiedenen Behörden zu übertragen. Auch die Bundesregierung will, dass Marktüberwachungsbehörden Reallabore „unabhängig von ihren jeweiligen Zuständigkeitsbereichen“ betreiben können (BT-Drs. 21/5143, S. 13). Sinnvoll ist eine solche Aufteilung aber nur, wo sie sich nicht vermeiden lässt. Die Reallabor-Behörde weckt bei Anbietern Erwartungen, auf die sie sich nur bedingt verlassen können: Die spätere Marktüberwachungsbehörde kann rechtlich anders entscheiden. Zwar sollen alle Marktüberwachungsbehörden und notifizierten Stellen die Nachweise aus dem Reallabor im Konformitätsbewertungsverfahren positiv berücksichtigen (Art. 57 Abs. 7 UAbs. 2 S. 4 KI-VO). Eine carte blanche sind diese aber nicht. Sehen beide Behörden eine Rechtsfrage unterschiedlich, steht der Anbieter dazwischen. Davor hat auch der Bundesrat im Gesetzgebungsverfahren zum KI-MIG gewarnt: Unternehmen sähen sich „mit zwei verschiedenen Überwachungsbehörden konfrontiert“ (BT-Drs. 21/5143, S. 7 f.).

Liegen Reallabor und spätere Marktüberwachung dagegen in einer Hand, lässt sich eine einheitliche Rechtsanwendung leichter sichern. Zudem baut die Behörde im Reallabor genau das technische und rechtliche Wissen auf, das sie später für die Marktüberwachung braucht – das regulatorische Lernen ist ein ausdrückliches Ziel der Reallabore (Art. 57 Abs. 9 lit. d KI-VO). Eine solche Bündelung ist freilich nur möglich, soweit das Land später selbst für die Marktüberwachung zuständig ist. Das trifft häufiger zu, als die zentrale Rolle der Bundesnetzagentur vermuten lässt. Neben den eigenen öffentlichen Stellen und den Medien liegt auch die sektorale Aufsicht über viele Produkte bei den Ländern, etwa über intelligente Medizinprodukte (vgl. § 85 Abs. 1 Medizinprodukterecht-Durchführungsgesetz). Gerade hier ließe sich das Reallabor mit der späteren Aufsicht verzahnen. Der Entwurf verzichtet darauf.

Wo später der Bund zuständig ist, bedarf es einer ebenenübergreifenden Abstimmung. Die Bundesregierung setzt dafür allein auf das Gebot, „kooperativ und vertrauensvoll“ zusammenzuarbeiten (BT-Drs. 21/5143, S. 13). Das genügt nicht, denn einen verbindlichen Mechanismus, um Konflikte zu lösen, kennt das KI-MIG nicht, anders als etwa die DSGVO mit ihrem Kohärenzverfahren (Art. 63 ff. DSGVO). Anweisen kann eine Landesbehörde Bundesbehörden ohnehin nicht, auch wenn § 7 Abs. 5 KIMüG NRW-E eine solche Befugnis gegenüber anderen Marktüberwachungsbehörden vorsieht. Nordrhein-Westfalen sollte deshalb im Bundesrat auf eine Nachbesserung des KI-MIG hinwirken.

Warum es keine neue Datenschutzaufsicht braucht

Auch die geplante Datenschutzaufsicht wirft Fragen auf. Die Landesregierung will eine eigene Aufsichtsbehörde nur für KI-Reallabore schaffen, die insoweit an die Stelle der Landesbeauftragten für Datenschutz und Informationsfreiheit (LDI) tritt (§ 4 Abs. 2 KIMüG NRW-E). Ihre Begründung: In Reallaboren würden KI-Systeme vor allem entwickelt und getestet, oft mit Forschungscharakter. Für die Forschung erlaube Art. 89 DSGVO Ausnahmen etwa von Zweckbindung und Datenminimierung, sofern geeignete Garantien bestehen. Darüber zu wachen, verlange besondere Kenntnisse im Datenschutzrecht und in der KI-Technik. Das entspreche den Gründen für die eigene Datenschutzaufsicht im Medienbereich.

Beides trägt nicht. Art. 89 DSGVO gilt für jede wissenschaftliche Forschung, an Hochschulen und Kliniken ebenso wie in Unternehmen (vgl. Erwägungsgrund 159 DSGVO). Überall wacht darüber die allgemeine Datenschutzaufsicht. Warum es gerade für KI-Reallabore einer eigenen Behörde bedarf, ist daher nicht ersichtlich. Die besondere Medienaufsicht wiederum hat eine Grundlage, die hier fehlt: Art. 85 Abs. 2 DSGVO verpflichtet die Mitgliedstaaten, für journalistische Tätigkeit Ausnahmen vorzusehen, ausdrücklich auch von den Vorgaben zur Aufsichtsbehörde. Zudem verlangt die Rundfunkfreiheit Staatsferne, auch bei der Aufsicht (Art. 5 Abs. 1 S. 2 GG). Für KI-Reallabore gelten weder verfassungsrechtlich noch unionsrechtlich vergleichbare Anforderungen. Die KI-VO verlangt keine Sonderaufsicht, sondern nur, die bestehenden Datenschutzbehörden „im vollen Umfang ihrer entsprechenden Aufgaben und Befugnisse“ einzubeziehen (Art. 57 Abs. 10 KI-VO).

Zwar dürfen die Mitgliedstaaten mehrere Datenschutzbehörden errichten (Art. 51 DSGVO). Ein Zuwachs an Schutz oder Effizienz ist davon aber nicht zu erwarten. Schon heute gibt es in Deutschland 18 allgemeine Datenschutzaufsichtsbehörden, Sonderaufsichten etwa für den Rundfunk nicht mitgezählt. Die neue Stelle müsste sich laufend mit der LDI und der Datenschutzkonferenz abstimmen, denn für den KI-Einsatz außerhalb des Reallabors bliebe die LDI zuständig.

Ob es überhaupt eine eigene Behörde geben soll, lässt der Entwurf derweil selbst offen: Nach § 4 Abs. 2 KIMüG NRW-E ersetzt die neue Behörde die LDI, nach der Begründung soll die Aufsicht aber auch an die LDI angegliedert werden können. Diese zweite Variante wäre vorzugswürdig. Den Besonderheiten des Reallabors ließe sich dort mit zusätzlichem Personal begegnen, wie es die französische CNIL vorgemacht hat.

Missverständlich ist schließlich § 4 Abs. 4 KIMüG NRW-E. Er zählt die Befugnisse der neuen Stelle auf: Sie darf von Betreibern und Teilnehmern Auskünfte verlangen, Unterlagen einsehen, an Sitzungen teilnehmen und Empfehlungen aussprechen. Anordnungen, Verarbeitungsverbote oder Bußgelder nennt die Norm nicht. An den Befugnissen der Stelle ändert das nichts, denn als Aufsichtsbehörde stehen ihr schon kraft Unionsrechts alle Befugnisse nach Art. 58 DSGVO zu und die KI-VO lässt diese auch im Reallabor unberührt (Art. 57 Abs. 11 KI-VO). Die Aufzählung bleibt aber hinter diesem Rahmen zurück und zeichnet das Bild einer bloß beratenden Stelle. Klarer wäre es, auf die Aufzählung zu verzichten.

Was der Landesgesetzgeber tun sollte

Ein landeseigenes Reallabor ist sinnvoll. Trotz der zentralen Stellung der Bundesnetzagentur bleiben die Länder für die KI-Marktüberwachung unverzichtbar, vor allem beim KI-Einsatz der eigenen Verwaltung (§ 2 Abs. 6 KI-MIG). Gerade dort fehlt bislang ein Ort, an dem sich neue Systeme erproben lassen.

Damit das Reallabor rechtssicher gelingt, sollte der Landesgesetzgeber zuerst die allgemeine KI-Marktüberwachungsbehörde des Landes bestimmen und ihr dann das Reallabor übertragen. Die sektoral zuständigen Landesbehörden sollte er verbindlich in dieses Aufsichtsregime einbinden. Für Systeme, die später der Bund überwacht, sollte sich Nordrhein-Westfalen im Bundesrat für einen Konfliktlösungsmechanismus im KI-MIG nach dem Vorbild des datenschutzrechtlichen Kohärenzverfahrens einsetzen. Die Datenschutzaufsicht im Reallabor gehört zur LDI. Eine Evaluationsklausel sollte sicherstellen, dass das Land die gewählten Strukturen überprüft.

Wer einen Sandkasten baut, muss klären, wer die Aufsichtspflicht trägt. Dann kann aus dem Entlastungsgesetz tatsächlich eine Entlastung werden.