Kurzbeitrag : Innovationsförderung durch Einrichtung von KI-Reallaboren bei den Landesdatenschutzbehörden : aus der RDV 5/2026, Seite 251 bis 254
KI-Reallabore ermöglichen Unternehmen, innovative KI-Systeme unter regulatorischer Aufsicht und unter realen Bedingungen zu entwickeln und zu testen. Denis Lehmkemper und Dr. Henning Dehnert zeigen, welche Chancen sich daraus insbesondere für KMU und Start-ups ergeben und welche Rolle die Landesdatenschutzbehörden dabei spielen könnten. Im Mittelpunkt steht die Frage, wie klare Zuständigkeiten und ein zentraler Ansprechpartner den Aufwand für Unternehmen reduzieren, Rechtssicherheit schaffen und die Innovationsförderung stärken können.
KI-Reallabore[1] im Sinne von Art. 57 KI-VO dienen der Innovationsförderung. Anbieter innovativer KI-Systeme können diese in KI-Reallaboren unter regulatorischer Aufsicht und Realbedingungen entwickeln und erproben, um Rechtskonformität herzustellen.[2] Unter bestimmten Bedingungen können die Unternehmen dabei von einer Beschränkung der aufsichtsbehördlichen Sanktionsmöglichkeiten profitieren. Für die Weiterverarbeitung personenbezogener Daten zur Entwicklung, zum Training und zum Testen bestimmter KI-Systeme im KI-Reallabor können sich Anbieter auf Art. 59 KI-VO als Rechtsgrundlage stützen. Dadurch soll der Marktzugang beschleunigt und es sollen regulatorische Hindernisse abgebaut werden.[3] Dieses Angebot richtet sich insbesondere an KMU einschließlich Start-up-Unternehmen, denn Art. 62 Abs. 1 lit. a) KI-VO verpflichtet die Mitgliedstaaten, solchen Unternehmen vorrangigen Zugang zu den KI-Reallaboren zu gewähren. Bislang ist noch offen, welchen Behörden in Deutschland neben der Bundesnetzagentur die Aufgabe der Errichtung und des Betriebes von KI-Reallaboren im Sinne von Art. 57 KI-VO übertragen werden soll.
I. KI-Reallabore als Teil der KIMarktüberwachung
Die Mitgliedstaaten der Europäischen Union sorgen dafür, dass ihre zuständigen Behörden[4] mindestens ein KI-Reallabor einrichten.[5] Art. 57 Abs. 2 KI-VO gestattet die Einrichtung zusätzlicher KI-Reallabore auf regionaler oder lokaler Ebene. Damit ist aus europarechtlicher Sicht die Einrichtung mehrerer regionaler KI-Reallabore in der Bundesrepublik bei den notifizierenden Behörden[6] oder Marktüberwachungsbehörden[7] zulässig.[8]
Beim Betrieb eines Reallabors haben die zuständigen Behörden insbesondere Anleitung, Aufsicht und Unterstützung bereitzustellen, um Risiken und Risikominderungsmaßnahmen sowie deren Wirksamkeit hinsichtlich der Pflichten und Anforderungen der KI-VO zu ermitteln.[9] Diese Aufgaben können in erster Linie durch die KI-Marktüberwachungsbehörden sachgerecht wahrgenommen werden, denn diese müssen sicherstellen, dass KI-Systeme die Anforderungen der KI-VO einhalten.[10] Daher verfügen die KI-Marktüberwachungsbehörden über praktische Erfahrungen bei der Herstellung von Konformität mit den Vorgaben der KI-VO. Diese können sie einerseits beim Betrieb der KI-Reallabore an die Unternehmen weitergeben. Andererseits können die Behörden beim Betrieb des KI-Reallabors wertvolle Erfahrungen sammeln, die ihnen in ihrer regulatorischen Praxis als KIMarktüberwachungsbehörde zu Gute kommen.
Die von den Mitgliedstaaten der Europäischen Union benannten Marktüberwachungsbehörden üben gem. Art. 70 Abs. 1 S. 2 KI-VO ihre Befugnisse unabhängig aus. Für bestimmte Hochrisiko-KI-Systeme ist sogar die völlige Unabhängigkeit der Marktüberwachungsbehörden, d.h. die organisatorische und institutionelle Unabhängigkeit, erforderlich.[11]
II. Regelung der Zuständigkeit für die Marktüberwachung im KI-MIG
Der Bund hat diese europarechtlichen Vorgaben im Gesetz zur Marktüberwachung und Innovationsförderung von Künstlicher Intelligenz (KI-MIG) vom 22.7.2026[12] umgesetzt. In § 2 Abs. 1 KI-MIG wird grundsätzlich die Bundesnetzagentur zur KI-Marktüberwachungsbehörde bestimmt. Folgerichtig überträgt § 13 Abs. 1 S. 1 KI-MIG der Bundesnetzagentur die Aufgabe, mindestens ein KI-Reallabor einzurichten. § 13 Abs. 1 S. 2 KI-MIG stellt klar, dass von dieser Aufgabenzuweisung die Möglichkeit der Einrichtung und des Betriebs von KI-Reallaboren durch andere zuständige nationale Behörden unberührt bleibt. § 2 Abs. 6 KI-MIG überträgt für die Fälle, in denen öffentliche Stellen der Länder KI-Systeme in Verkehr bringen, in Betrieb nehmen oder verwenden, den Ländern die Zuständigkeit für die KI-Marktüberwachung. Die Länder sind daher verpflichtet, für diese Fälle Marktüberwachungsbehörden zu benennen. Dies ist allerdings bislang noch nicht geschehen. Bei diesen zukünftigen Marktüberwachungsbehörden können KI-Reallabore eingerichtet werden. Der Nutzerkreis dieser KI-Reallabore muss nicht auf öffentliche Stellen der Länder beschränkt sein, denn weder Art. 57 KI-VO noch § 13 KI-MIG enthält eine derartige Beschränkung.
III. Wechselwirkungen zwischen dem Betrieb von KI-Reallaboren und Datenschutzaufsicht
Sofern in KI-Reallaboren mit dort erprobten KI-Systemen personenbezogene Daten verarbeitet werden, ist neben der Herstellung der Rechtskonformität mit der KI-VO die Einhaltung der datenschutzrechtlichen Vorgaben der DS‑GVO erforderlich. Um das zu gewährleisten, verpflichtet Art. 57 Abs. 10 KI-VO die zuständige nationale Behörde, welche das KI-Reallabor betreibt, die zuständigen Datenschutzbehörden einzubeziehen. In Deutschland sind das neben der Bundesbeauftragten für den Datenschutz die 17 Landesdatenschutzbehörden, die für die Aufsicht über die öffentlichen Stellen der Länder und den Großteil der Wirtschaft zuständig sind. Zielsetzung dieser Einbeziehung ist, dass die Datenschutzbehörden die Nutzer der KI-Reallabore hinsichtlich der Einhaltung der datenschutzrechtlichen Vorgaben beraten. Umgesetzt werden kann diese Beratung beispielsweise durch die Mitwirkung am Plan für das KI-Reallabor. Dieser ist ein zwischen dem teilnehmenden Anbieter und der zuständigen Behörde vereinbartes Dokument, in dem die Ziele, die Bedingungen, der Zeitrahmen, die Methodik und die Anforderungen für die im KI-Reallabor durchgeführten Tätigkeiten beschrieben werden.[13] Sofern die Datenschutzaufsichtsbehörde am Plan für das KI-Reallabor mitgewirkt und der Anbieter sich daran gehalten hat, kommt dieser nicht nur in den Genuss des Sanktionsausschlusses des Art. 57 Abs. 12 S. 2 KI-VO, sondern auch des Art. 57 Abs. 12 S. 3 KI-VO.[14] In dessen Folge können gegen die Anbieter der KI-Systeme bei der Nutzung des KIReallabors weder Geldbußen nach der KI-VO noch nach der DS‑GVO[15]verhängt werden. Somit hat die Einbeziehung der zuständigen Datenschutzaufsichtsbehörden aus Sicht der Anbieter der KI-Systeme große Vorteile. Gerade für kleinere, neu gegründete Unternehmen, die nicht über die notwendigen Ressourcen für die Einbeziehung externer ComplianceBerater verfügen, sind diese Vorteile besonders attraktiv.
Den Ländern ist zunächst zu raten, die Einrichtung eigener KI-Reallabore als aktive Innovationsförderung und Chance zur Stärkung junger, innovativer (Start-up-)Unternehmen zu begreifen und diese Chance zu nutzen. Die Gesetzgeber in den Ländern stehen sodann vor der Fragestellung, durch welche Behördenstruktur die mit der Einrichtung von regionalen KI-Reallaboren bestehenden Möglichkeiten zur Förderung innovativer Anbieter bestmöglich genutzt werden können und welche Rolle die Datenschutzbehörden dabei spielen sollen. Denkbar wäre zunächst, die Aufgabe der KI-Marktüberwachung und damit auch der Einrichtung von KI-Reallaboren anderen Behörden als den Landesdatenschutzbeauftragten zu übertragen. Dieser Weg soll in Nordrhein-Westfalen beschritten werden. Der Entwurf eines Gesetzes für KI-Reallabore in NRW[16] sieht vor, dass das für Wirtschaft zuständige Ressort in Nordrhein-Westfalen die Aufgaben der zuständigen KI-Reallabor-Marktüberwachungsbehörde wahrnimmt und die Einrichtung und den Betrieb eines KI-Reallabors sicherstellt. Die sonstigen Aufgaben der KI-Marktüberwachung über öffentliche Stellen in Nordrhein-Westfalen sollen offenbar an eine andere Behörde übertragen werden. Zudem soll nicht die Landesbeauftragte für Datenschutz und Informationsfreiheit des Landes Nordrhein-Westfalen, sondern eine neu zu gründende unabhängige Behörde die Aufgaben der Datenschutzaufsicht über KI-Reallabore in NordrheinWestfalen wahrnehmen. Sobald das KI-System in den Regelbetrieb wechselt, würde die datenschutzrechtliche Aufsicht allerdings in die Zuständigkeit der Landesbeauftragten für Datenschutz und Informationsfreiheit des Landes Nordrhein-Westfalen wechseln. Ob dadurch eine bürokratiearme Lösung für kleine Unternehmen, welche das KI-Reallabor nutzen möchten, erreicht werden kann, bleibt abzuwarten. In jedem Fall würden die Anbieter von KI-Systemen in der Regel mit bis zu vier verschiedenen Aufsichtsbehörden zu tun haben. Das wären bei der Erprobung des KI-Systems im KIReallabor die KI-Reallabor-Marktüberwachungsbehörde und die neu zu gründende unabhängige Datenschutzaufsichtsbehörde für KI-Reallabore. Bei Beginn des Regelbetriebes würde dann die Zuständigkeit zur Bundesnetzagentur als Marktüberwachungsbehörde und der Landesbeauftragten für Datenschutz und Informationsfreiheit des Landes Nordrhein-Westfalen als Datenschutzaufsichtsbehörde wechseln.
Vor diesem Hintergrund liegt es nahe, den gegenteiligen Weg zu erwägen und über die Konzentration der Zuständigkeiten bei einer völlig unabhängigen Behörde nachzudenken. Bei einer solchen Lösung würden die Anbieter von KI-Systemen in den Genuss eines One-Stop-Shops, d.h. einer umfassend zuständigen Behörde als einzigen Ansprechpartner, kommen. Die Anbieter würden einen intern in einer Behörde abgestimmten Plan für das KI-Reallabor von einem Ansprechpartner erhalten und könnten sich darauf verlassen, dass sie bei dessen Befolgung in allen Fällen in den Genuss des umfassenden Sanktionsausschlusses gem. Art. 57 Abs. 12 S. 2 KI-VO und Art. 57 Abs. 12 S. 3 KI-VO kommen. Bei einer Zuständigkeitskonzentration bei den Landesdatenschutzbeauftragten würde das Erfordernis der völligen Unabhängigkeit keine Herausforderung darstellen, weil diese bereits wegen Art. 52 DS‑GVO besteht. Dadurch würden auch die Anforderungen des Art. 74 Abs. 8 DS‑GVO erfüllt werden und ein solches KIReallabor wäre auch für die Erprobung von Hochrisiko-KI-Systemen sehr breit nutzbar. Dieser Vorteil entfiele hingegen bei der Übertragung der Aufgabe des Betriebes eines KI-Reallabors an eine bereits bestehende Behörde in der Landesverwaltung, die über keine völlige, d.h. organisatorische und institutionelle Unabhängigkeit, verfügt. Sofern die Zuständigkeitskonzentration bei den Landesdatenschutzbeauftragten erfolgen würde, würde zudem bezüglich der datenschutzrechtlichen Aufsicht bei der Überführung des im KI-Reallabors getesteten KI-Systems grundsätzlich kein Zuständigkeitswechsel erfolgen. Die Unternehmen hätten es im Ergebnis nicht mit vier verschiedenen Aufsichtsbehörden zu tun, sondern nur mit einer für den Betrieb des KI-Reallabors sowie die Datenschutzaufsicht umfassend zuständigen Behörde und ggf. der Bundesnetzagentur als zuständiger Marktüberwachungsbehörde für den Regelbetrieb des KI-Systems.
IV. Fazit und Regelungsvorschlag
Die Einrichtung regionaler KI-Reallabore stellt für die Länder eine große Chance zur Innovationsförderung dar. Davon profitieren würden insbesondere KMU einschließlich Start-up-Unternehmen. Bei der Festlegung der Zuständigkeit für die Errichtung und den Betrieb von KI-Reallaboren sollte von der Möglichkeit einer OneStop-Shop Lösung zugunsten der Anbieter der KI-Systeme Gebrauch werden. Die damit verbundenen Vorteile des einheitlichen Ansprechpartners und des umfassenden Sanktionsausschlusses aus Art. 57 Abs. 12 S. 2 KI-VO und Art. 57 Abs. 12 S. 3 KI-VO sowie die Möglichkeit, das KI-Reallabor auch für die Erprobung von Hochrisiko-KISystemen sehr breit zu nutzen, würden die Attraktivität des regionalen KI-Reallabors erheblich steigern. Bei den Landesdatenschutzbeauftragten würde sich eine solche One-Stop-Shop Lösung ohne Weiteres realisieren lassen.
*Denis Lehmkemper ist der Landesbeauftragte für den Datenschutz Niedersachsen. Dr. Henning Dehnert ist Referent in der beim Landesbeauftragten für den Datenschutz Niedersachsen eingerichteten Stabsstelle für Künstliche Intelligenz.
[1] Häufig wird auch die englische Bezeichnung AI regulatory sandboxes verwendet.
[2] Die Autoren danken Frau Dr. Silke Jandt und Herrn Maximilian Frisch für den wertvollen Gedankenaustausch bei der Erstellung des Manuskripts.
[3] Siehe Göbel/von Kruedener, GRUR-Prax 2024, 755 (756 f.) für eine ausführliche Darstellung der Anreize für die Teilnahme an KI-Reallaboren.
[4] Art. 3 Nr. 48 KI-VO definiert die zuständige nationale Behörde als eine notifizierende Behörde oder eine Marktüberwachungsbehörde in Bezug auf KI‑Systeme, die von Organen, Einrichtungen und sonstigen Stellen der Union in Betrieb genommen oder verwendet werden, sind.
[5] Dies folgt aus Art. 57 Abs. 1 S. 1 KI-VO.
[6] Art. 3 Nr. 19 KI-VO.
[7] Art. 3 Nr. 26 KI-VO.
[8] Botta in Martini/Wendehorst, KI-VO, 2. Aufl. 2026, Art. 57 Rn. 20.
[9] Vgl. Art. 57 Abs. 6 KI-VO.
[10] Vgl. zu den Aufgaben der Marktüberwachung Art. 3 Nr.3 Verordnung (EU) 2019/1020 des europäischen Parlaments und des Rates vom 20.6.2019.
[11] Diese Anforderung ergibt sich aus Art. 74 Abs. 8 KI-VO. Eine ausführliche Darstellung hierzu findet sich bei Wünschelbaum, MMR 2025, 259 (260 f.).
[12] Bundesgesetzblatt Teil 1 2026, Nr. 223 ausgegeben zu Bonn am 27.7.2026.
[13] Art. 3 Nr. 54 KI-VO.
[14] Siehe hierzu auch Sanders-Winter/Keber/Sahm, EuDIR 2026, 44 (47).
[15] So auch Botta in Martini/Wendehorst, KI-VO, 2. Aufl. 2026, Art. 57 Rn. 50.
[16] LT-Vorlage 18/5264. Abrufbar unter https://opal.landtag.nrw.de/portal/WWW/dokumentenarchiv/Dokument/MMV18-5223.pdf.