Wenn ein KI-Notetaker in Ihren Vertriebs-, Team- und Kundengesprächen mitschreibt, ist Deutschland seit dem Sommer 2026 kein abstraktes Regelungsthema mehr, sondern hat einen konkreten Aufseher. Am 29. Juli 2026 ist das AI-MIG in Kraft getreten, das KI-Marktüberwachungs- und Innovationsförderungsgesetz. Es macht die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde für die KI-Verordnung in Deutschland und richtet zugleich eine Anlauf- und Beschwerdestelle ein. Kurz gesagt: Es gibt jetzt eine benannte Stelle, an die sich ein verärgerter Gesprächspartner, eine Wettbewerberin oder ein Beschäftigter wenden kann, wenn ein KI-Werkzeug in Ihrem Betrieb Fragen aufwirft.
Dieser Beitrag ist ein Praxisleitfaden für Unternehmen, die KI-Notetaker einsetzen, nicht für die Anbieter, die sie bauen. Er erklärt, was das AI-MIG geändert hat, was die Bundesnetzagentur genau tut, welche Pflichten aus der KI-Verordnung schon heute für KI-Notetaker gelten und was Sie in Deutschland zusätzlich beachten müssen: die Mitbestimmung des Betriebsrats und das Aufzeichnungsverbot des Strafrechts. Am Ende steht eine Checkliste, die Sie dieses Quartal abarbeiten können. Es ist allgemeine Information, die Ihnen hilft, den Aufwand einzuschätzen, und keine Rechtsberatung.
Seit 29. Juli 2026: Das AI-MIG ist in Kraft, die Bundesnetzagentur ist zentrale Marktüberwachungsbehörde und Beschwerdestelle für die KI-Verordnung. Schon länger bindend: Art. 50 Transparenz (seit 2. August 2026) sowie Art. 5 Verbote und Art. 4 KI-Kompetenz (seit 2. Februar 2025). In Deutschland kommen hinzu: Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG und das Verbot heimlicher Aufzeichnung nach § 201 StGB. Kein Werkzeug macht Ihr Unternehmen für sich genommen konform.
Was das AI-MIG seit dem 29. Juli 2026 ändert
Die KI-Verordnung (Verordnung (EU) 2024/1689) ist unmittelbar geltendes EU-Recht, aber sie wird durch nationale Marktüberwachungsbehörden durchgesetzt, und jeder Mitgliedstaat benennt diese Behörden selbst. Deutschland hat das mit dem AI-MIG getan. Das Gesetz regelt nicht neue Pflichten für Sie als einsetzendes Unternehmen, denn die stehen bereits in der KI-Verordnung. Es beantwortet die praktisch entscheidende Frage: Wer schaut hin, und an wen kann man sich wenden?
Vor dem AI-MIG war die Durchsetzung in Deutschland eine Zuständigkeitslücke. Seit dem 29. Juli 2026 ist sie geschlossen. Für ein Unternehmen, das KI-Notetaker nutzt, verschiebt das die Rechnung: Die Transparenz- und Kompetenzpflichten galten zwar schon vorher, aber jetzt gibt es eine Behörde mit Befugnissen und eine Stelle, bei der sich jemand beschweren kann. Aus einer theoretischen Pflicht wird ein konkretes Aufsichtsrisiko.
Die Bundesnetzagentur: Aufsicht, Beschwerdestelle, KoKIVO und Reallabor
Das AI-MIG bündelt mehrere Rollen bei der Bundesnetzagentur. Für die Praxis sind vier relevant.
- Zentrale Marktüberwachungsbehörde. Die Bundesnetzagentur überwacht, ob KI-Systeme auf dem deutschen Markt den Anforderungen der KI-Verordnung genügen, und kann Auskünfte verlangen und Maßnahmen anordnen.
- Anlauf- und Beschwerdestelle. Betroffene können sich an die Bundesnetzagentur wenden, wenn sie einen Verstoß gegen die KI-Verordnung vermuten. Das ist der Kanal, über den ein nicht angekündigter Meeting-Bot oder eine als überwachend empfundene KI-Auswertung aktenkundig werden kann.
- Kompetenzzentrum KoKIVO. Die Bundesnetzagentur betreibt mit KoKIVO eine zentrale Koordinierungs- und Kompetenzstelle, die die Anwendung der KI-Verordnung in Deutschland bündelt und Orientierung geben soll.
- KI-Reallabor mit KMU-Priorität. Es gibt ein regulatorisches Reallabor, das kleine und mittlere Unternehmen bevorzugt, damit sie KI-Anwendungen unter Aufsicht erproben können, ohne sofort das volle Durchsetzungsrisiko zu tragen.
Wichtig für Arbeitgeber: KI im Beschäftigungskontext unterliegt der direkten Aufsicht der Bundesnetzagentur. Werkzeuge, die Gespräche von Beschäftigten aufzeichnen und auswerten, fallen genau in dieses Feld. Für den Datenschutz bleiben daneben die zuständigen Datenschutzaufsichtsbehörden im Spiel. Die KI-Ebene und die Datenschutzebene sind getrennte Rahmen mit getrennten Aufsehern, und die eine erfüllt die andere nicht mit.
Was bei KI-Notetakern schon heute gilt
Die KI-Verordnung ist ein gestuftes Gesetz. Verschiedene Pflichtstufen treten zu verschiedenen Zeitpunkten in Kraft, und die für KI-Notetaker maßgeblichen gehören zu den frühen, nicht zu den späten. Das ist der Teil des Zeitplans, der für ein einsetzendes Unternehmen zählt.
| Datum | Was gilt |
|---|---|
| 2. Feb 2025 | Verbote und KI-Kompetenz. Art. 5 (verbotene Praktiken, darunter bestimmte Formen der Emotionserkennung am Arbeitsplatz) und Art. 4 (Pflicht, für ausreichende KI-Kompetenz der Beschäftigten zu sorgen, die KI-Systeme nutzen) sind seit diesem Datum bindend. Beide treffen einsetzende Unternehmen. |
| 2. Aug 2026 | Art. 50 Transparenz. Die Transparenzpflichten für KI-Systeme, die mit Menschen interagieren und synthetische Inhalte erzeugen, gelten. Das ist die Kernvorschrift für KI-Notetaker: die KI offenlegen und KI-erzeugte Ausgaben als solche erkennbar machen. |
| 29. Jul 2026 | AI-MIG in Kraft. Die Bundesnetzagentur ist benannte, aktive Marktüberwachungsbehörde und Beschwerdestelle in Deutschland. Die Durchsetzungsstruktur steht. |
| 2. Dez 2027 | Hochrisiko-Pflichten nach Anhang III (verschoben). Der Digital Omnibus hat die Hochrisiko-Pflichten auf dieses Datum verschoben. Standardmäßige Transkription und Zusammenfassung von Meetings ist in der Regel kein Hochrisiko-Anwendungsfall, für die meisten einsetzenden Unternehmen ist dies also nicht die maßgebliche Frist. |
Die Botschaft ist einfach. Verschoben wurden die schweren Hochrisiko-Pflichten, die die meisten KI-Notetaker gar nicht auslösen. Die Pflicht, die nahezu jedes einsetzende Unternehmen trifft, die Transparenz nach Art. 50, wurde nicht verschoben. Und die Behörde, die sie in Deutschland durchsetzt, ist seit dem 29. Juli 2026 aktiv.
Zwei konkrete Pflichten sollten Sie dieses Quartal belegen können. Erstens die Transparenz im Meeting nach Art. 50: Alle im Gespräch werden darauf hingewiesen, dass ein KI-Assistent anwesend ist und aufzeichnet, und Zusammenfassungen sind als KI-erzeugt erkennbar. Zweitens die KI-Kompetenz nach Art. 4: Beschäftigte, die das Werkzeug nutzen, haben eine kurze, dokumentierte Schulung erhalten, was das Werkzeug tut, was nicht, und wie mit seinen Ausgaben umzugehen ist. Beides ist ohne Kanzlei machbar und braucht vor allem einen datierten Nachweis.
Betriebsrat und § 87 BetrVG: Mitbestimmung bei Überwachungspotenzial
In Betrieben mit Betriebsrat kommt eine Ebene hinzu, die vor dem Rollout geklärt sein muss. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu geeignet sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen. Entscheidend ist die Eignung, nicht die Absicht. Ein KI-Notetaker, der Gespräche aufzeichnet, transkribiert, Redeanteile misst und Coaching-Hinweise ableitet, ist typischerweise geeignet, auch wenn Sie ihn nur zur Weiterbildung einsetzen wollen.
Praktisch heißt das: Wenn ein Betriebsrat besteht, binden Sie ihn früh ein und regeln Sie den Einsatz in der Regel über eine Betriebsvereinbarung. Darin lassen sich Zweckbindung, Aufbewahrungsfristen, Zugriffsrechte und die Frage klären, ob und wie Auswertungen einzelnen Personen zugeordnet werden. Ein sauberer Weg trennt die Entwicklung von Menschen von der Entscheidung über Menschen: Coaching auf aggregierter oder freiwilliger Basis ist etwas anderes als automatisierte Leistungsbewertung, die in HR-Entscheidungen einfließt. Letzteres sollte mit Betriebsrat und Rechtsberatung abgestimmt werden.
Aufzeichnung und § 201 StGB: die Einwilligung
Unabhängig von der KI-Verordnung verlangt in Deutschland § 201 StGB, dass alle Teilnehmenden vor der Aufzeichnung des nicht öffentlich gesprochenen Wortes informiert werden. Ein heimliches Mitschneiden ist strafbar. Für einen KI-Notetaker bedeutet das: Der Hinweis muss vor Beginn der Aufzeichnung kommen, und die Widerspruchsmöglichkeit muss echt sein. Wird unabhängig davon aufgezeichnet, ob jemand widerspricht, ist der Hinweis rechtlich wertlos.
Ein einziger, klarer Hinweis zu Gesprächsbeginn kann drei Ebenen zugleich abdecken: die Transparenz nach Art. 50 der KI-Verordnung, das Einwilligungserfordernis nach § 201 StGB und die Transparenzpflicht der DSGVO über die Verarbeitung personenbezogener Daten. Wenn ein Meeting-Bot dem Gespräch sichtbar beitritt, unterstützt das den Hinweis, ersetzt ihn aber nicht. Eine tiefere Behandlung von Einwilligung und Aufzeichnung finden Sie im DSGVO-Leitfaden zum Aufzeichnen von Verkaufsgesprächen.
Die Quartals-Checkliste
Nichts davon braucht eine Kanzlei, um zu beginnen. Es braucht einen Nachmittag und die Bereitschaft, ehrlich aufzulisten, was in Ihren Meetings bereits mitschreibt.
- Werkzeug-Inventar erstellen. Listen Sie jeden KI-Assistenten auf, der Ihren Meetings beitritt, einschließlich der kostenlosen Werkzeuge, die einzelne Beschäftigte ohne Absprache verbunden haben. Unbekannte Bots sind die häufigste Lücke: Was Sie nicht kennen, können Sie weder offenlegen noch steuern.
- Transparenz nach Art. 50 sicherstellen. Ein klarer Hinweis zu Gesprächsbeginn und eine Zeile in der Kalendereinladung, dass ein KI-Assistent anwesend ist und aufzeichnet, jedes Mal und mit echter Widerspruchsmöglichkeit.
- KI-Kompetenz nach Art. 4 dokumentieren. Eine kurze, datierte interne Schulung für alle, die das Werkzeug nutzen. Bewahren Sie den Nachweis auf.
- Betriebsrat einbinden. Wo ein Betriebsrat besteht, klären Sie die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, in der Regel über eine Betriebsvereinbarung, bevor Sie ausrollen.
- DSGVO-Grundlagen prüfen. Rechtsgrundlage nach Art. 6 DSGVO, Auftragsverarbeitungsvertrag mit dem Anbieter, und ein tragfähiger Übermittlungsmechanismus, falls Verarbeitung die EU verlässt.
- Anbieter befragen. Wo läuft die Verarbeitung, wer sind die Subprozessoren, wer steht hinter dem Modell? Die Fragen dazu im nächsten Abschnitt, die Antworten schriftlich.
Anbieterprüfung: Hosting, Subprozessoren, Modellkontrolle
Ein KI-Notetaker ist keine geschlossene Anwendung, sondern eine Kette aus Aufzeichnung, Transkription, Speicherung und einem Modell, das Zusammenfassungen und Coaching erzeugt. Jedes Glied kann bei einem anderen Anbieter in einem anderen Land liegen. Fragen Sie deshalb konkret:
- Hosting. Wo werden Audio und Transkripte verarbeitet und gespeichert? In welcher Rechtsordnung liegen die Server?
- Subprozessoren. Welche Dritten sind beteiligt, für Transkription, Speicherung, Modell? Verlangen Sie eine aktuelle, vollständige Liste, die Sie im Zweifel offenlegen und verteidigen können.
- Modellkontrolle. Welcher Modellanbieter steht hinter Transkription und Zusammenfassung, und wo läuft das Modell? Ein undurchsichtiger Dritter erschwert die Transparenzaussage nach Art. 50, weil Sie nicht genau sagen können, wie die KI-Ausgabe entsteht.
- Vertragslage. Auftragsverarbeitungsvertrag, Aufbewahrungs- und Löschfristen, und ein gültiger Übermittlungsmechanismus, falls Verarbeitung die EU oder ein Land mit Angemessenheitsbeschluss verlässt.
Eine ausführliche Vorlage dafür finden Sie in der Anbieter-Checkliste für die Due Diligence in der EU.
Wo EU-Hosting und Modellkontrolle die Arbeit erleichtern
Zwei Punkte der Checkliste, die DSGVO-Übermittlungsfrage und die Subprozessoren-Frage, werden deutlich einfacher, wenn das Werkzeug alles innerhalb der EU-Rechtsordnung hält. Wenn Audio, Transkription, Speicherung und das Coaching-Modell in der EU laufen, gibt es keinen Drittlandtransfer, den man mit Standardvertragsklauseln absichern müsste, und die Liste der offenzulegenden Subprozessoren wird kürzer. Kontrolle über das Modell, das Zusammenfassungen erzeugt, macht zudem die Transparenzaussage nach Art. 50 sauberer, weil Sie präzise sagen können, wie KI-Ausgaben entstehen, statt auf einen undurchsichtigen Dritten zu verweisen.
Um klar zu sein, was das leistet und was nicht: Kein Werkzeug macht Ihr Unternehmen für sich genommen konform mit der KI-Verordnung. Offenlegung, Schulung, Inventar und Einwilligung sind Ihre Pflichten als einsetzendes Unternehmen, und kein Anbieter kann sie Ihnen abnehmen. Was EU-Hosting und Modellkontrolle tun, ist, die Teile der Arbeit zu entlasten, die Datenort und Anbieter-Transparenz betreffen. Numi ist genau dafür gebaut, Audio, Transkription, Speicherung und Coaching unter EU-Kontrolle zu halten, aber die Governance-Schritte in der Checkliste bleiben Ihre.
Dieser Artikel ist allgemeine Information zur KI-Verordnung, zum AI-MIG und zu angrenzenden Regeln nach dem Stand von August 2026. Er ist keine Rechtsberatung, begründet kein Mandatsverhältnis und berücksichtigt nicht Ihre konkrete Situation. Gesetze und ihre nationale Umsetzung ändern sich weiter. Klären Sie Ihre eigenen Pflichten vor einer Entscheidung mit qualifizierter Rechtsberatung.
Zum Weiterlesen: der Leitfaden EU AI Act für Vertriebsteams zur Risikoeinstufung von KI-Gesprächsanalyse, der DSGVO-Leitfaden zum Aufzeichnen von Verkaufsgesprächen und der Tracker zu EU-Recht rund um KI und digitale Souveränität.