Deutschlands neues KI-Sicherheitsinstitut: Was es für Ihre Agenten bedeutet – und was nicht

Am 1. September 2026 hat Deutschland in Berlin offiziell sein "AISI Deutschland" gestartet – ein KI-Sicherheitsinstitut, das fortgeschrittene KI-Modelle systematisch auf Chancen und Risiken prüfen soll. Grundlage ist ein Beschluss des Nationalen Sicherheitsrates vom Juni 2026, angekündigt bereits am 9. Juni. Für Schlagzeilen hat das gesorgt. Für Klarheit bei Mittelständlern, die selbst KI-Agenten einsetzen oder gerade darüber nachdenken, eher nicht.

Denn zwischen "Der Staat prüft jetzt KI-Modelle" und "Meine KI-Agenten sind jetzt zertifiziert sicher" liegt eine ganze Menge Nuance – und genau diese Nuance entscheidet darüber, ob Sie aus dieser Nachricht die richtigen Schlüsse für Ihre eigene Agenten-Strategie ziehen. Dieser Artikel ordnet ein, was AISI Deutschland tatsächlich ist, wer dahintersteht, was es (noch) nicht leistet – und was Sie als Unternehmen konkret daraus für die Auswahl vertrauenswürdiger KI-Agenten mitnehmen können.

Was am 1. September in Berlin tatsächlich gestartet ist

AISI Deutschland ist kein neues Amt mit eigenem Gebäude und eigener Belegschaft, sondern laut mehreren Fachmedien-Berichten ein "virtueller Kern": Federführend sind das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) und das Bundesministerium des Innern (BMI). Operativ getragen wird das Institut in der Aufbauphase vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Bundesnetzagentur (BNetzA). Ein Sprecher berichtete, dass dieser Nukleus bereits seit Anfang August 2026 arbeitsfähig war – die Eröffnungsveranstaltung am 1. September war also eher der öffentliche Startschuss als der tatsächliche Arbeitsbeginn.

Was bislang öffentlich nicht genannt wurde: ein separates Budget, eine gesonderte Personalzahl oder ein konkreter Zeitplan für den weiteren Ausbau. Als grobe Referenzgröße kursiert die Gesamt-Planstellenzahl des BSI von 1.733 Stellen für 2024 – doch das ist die Personalstärke der gesamten Behörde, nicht eine AISI-spezifische Zahl. Seriöse Fachpresse weist ausdrücklich darauf hin, dass zu Budget, Stellen und Zeitplan schlicht keine offiziellen Angaben vorliegen. Wer Ihnen an dieser Stelle konkrete Zahlen präsentiert, extrapoliert – das sollten Sie im Hinterkopf behalten, wenn Sie selbst auf Recherchen zu diesem Thema stoßen.

Für die Praxis ist dieser "virtuelle Kern"-Charakter durchaus aussagekräftig: Ein Institut, das zunächst aus bestehenden Behördenstrukturen heraus arbeitet, statt mit einem eigenen Neubau und einer eigenen Stellenausschreibung zu starten, signalisiert einen bewussten, schrittweisen Aufbau. Das muss kein Nachteil sein – Geschwindigkeit und Ressourcenschonung sprechen dafür, vorhandene Kompetenz bei BSI und BNetzA zu bündeln, statt Parallelstrukturen aufzubauen. Es bedeutet aber auch: Wer in den kommenden Monaten mit einer schlagartigen Prüfoffensive gegenüber allen am Markt befindlichen KI-Modellen rechnet, dürfte enttäuscht werden. Aufbauarbeit dieser Art braucht Zeit, und niemand hat bislang öffentlich einen Fahrplan dafür genannt.

Wer prüft was: BSI, BNetzA und die Aufgabenteilung

Innerhalb von AISI Deutschland gibt es laut Berichten eine klare Rollenverteilung. Das BSI deckt die klassische (Cyber-)Security-Dimension ab: Schutz von KI-Modellen und den zugrunde liegenden Daten vor Angriffen, Missbrauch und gezielter Manipulation. Die BNetzA ist für die Safety-Dimension zuständig – also für unbeabsichtigte Fehler mit realen Folgen, etwa bei autonomen Fahrzeugen oder in der medizinischen KI-Diagnostik.

Diese Aufteilung ergibt inhaltlich Sinn, weil sie an bestehende Kompetenzen anknüpft: Das BSI bringt jahrzehntelange Erfahrung in der IT-Sicherheit mit, die BNetzA hat im Bereich sicherheitskritischer, technischer Systeme bereits regulatorische Erfahrung. Erklärtes Ziel der Bundesregierung ist es, Chancen und Risiken fortgeschrittener KI-Modelle systematisch zu bewerten und Deutschlands digitale Resilienz zu stärken. Perspektivisch soll AISI Deutschland zudem in ein internationales Netzwerk von KI-Sicherheitsinstituten eingebunden werden und an gemeinsamen internationalen Standards mitwirken.

An genau diesem Punkt lohnt sich ein zweiter Blick: Im internationalen "International Network for Advanced AI Measurement, Evaluation and Science" – vormals als "International Network of AI Safety Institutes" bekannt – ist Deutschland nach Stand der Recherche bislang nicht als eigenständiges Gründungsmitglied gelistet, sondern nimmt lediglich über die EU-Mitgliedschaft teil. Das gilt ähnlich für Italien. Länder wie das Vereinigte Königreich, die USA, Japan, Südkorea, Singapur, Kanada, Frankreich, Kenia und Australien sind dagegen mit eigenständigen nationalen Instituten vertreten. Das relativiert den Anspruch, "perspektivisch" Teil eines internationalen Netzwerks zu werden – Deutschland ist über die EU bereits mittelbar dabei, aber offenbar (noch) nicht mit einem eigenen Sitz am Tisch.

Warum ist dieser Unterschied überhaupt relevant für Sie als Unternehmen? Weil internationale Vernetzung in der Praxis bedeutet, dass Testmethoden, Bewertungsmaßstäbe und Erkenntnisse zwischen den Instituten geteilt werden – ein Modell, das das UK AISI oder das US-Pendant bereits eingehend geprüft hat, profitiert im internationalen Netzwerk potenziell von einem schnelleren, abgestimmten Prüfprozess auch in anderen Ländern. Ein Land, das nur mittelbar über die EU beteiligt ist, dürfte an diesem Wissensaustausch zunächst langsamer und indirekter teilhaben. Für die Geschwindigkeit, mit der belastbare, international abgestimmte Prüfergebnisse zu konkreten Modellen verfügbar werden, ist das kein gutes Signal – ein weiterer Grund, warum Sie sich bei der eigenen Anbieterauswahl nicht allein auf staatliche Prüfstrukturen verlassen sollten, sondern zusätzlich eigene, nachprüfbare Kriterien heranziehen.

Was AISI Deutschland nicht ist – drei wichtige Abgrenzungen

Damit aus der Eröffnungsmeldung keine Fehlschlüsse für Ihre eigene Agenten-Strategie entstehen, sind drei Abgrenzungen entscheidend.

Erstens: Es gibt keine gesetzliche Testpflicht für Modell-Anbieter. AISI Deutschland ist – Stand der Recherche – auf freiwillige Kooperation der Hersteller angewiesen. Niemand ist verpflichtet, dem Institut Zugang zu seinen Modellen zu gewähren. Das unterscheidet AISI Deutschland grundlegend von einer klassischen Aufsichtsbehörde mit Durchgriffsrechten. Ob und wie viele Anbieter tatsächlich kooperieren, ist bislang öffentlich nicht dokumentiert.

Zweitens: Eine Modellbewertung durch AISI ist kein allgemeines Sicherheits- oder Vertrauenszertifikat. Wenn ein Modell geprüft wird, prüft das Institut jeweils eine spezifische Fähigkeit, ein spezifisches Risiko oder eine spezifische Schutzmaßnahme unter definierten Testbedingungen – nicht die Gesamt-Vertrauenswürdigkeit eines Produkts oder eines darauf aufbauenden Agenten. Ein Modell kann in einem Test gut abschneiden und in einem anderen, nicht geprüften Bereich Schwächen haben. "AISI-geprüft" ist also kein Gütesiegel im umgangssprachlichen Sinne, sondern allenfalls ein Hinweis darauf, dass ein einzelner, eng definierter Aspekt untersucht wurde.

Drittens: Für Unternehmen und Mittelständler gibt es aktuell kein öffentlich dokumentiertes, einsehbares Siegel, Register oder Zertifikat, an dem Sie erkennen könnten, ob ein bestimmtes Agenten-Modell von AISI Deutschland oder dem EU AI Office bereits geprüft wurde. Das lässt sich nach aktuellem Recherchestand nicht verifizieren. Es wäre also falsch, Kunden oder der eigenen Geschäftsführung zu versprechen, man könne "schnell nachschauen", ob ein Anbieter geprüft ist – dieses Nachschlage-Tool existiert nach allem, was öffentlich bekannt ist, schlicht nicht.

Eine Institutsgründung ist ein politisches Signal für die Richtung der Regulierung. Sie ist kein Werkzeug, das Sie morgen bei der Anbieterauswahl in der Hand halten.

AISI Deutschland versus EU AI Act: zwei getrennte Baustellen

Ein häufiges Missverständnis lohnt sich, direkt auszuräumen: AISI Deutschland ist von der Durchsetzung des EU AI Act zu unterscheiden. Seit dem 2. August 2026 sind das EU AI Office sowie die zuständigen Behörden der Mitgliedstaaten für die Durchsetzung und Aufsicht der Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI) zuständig. Das AI Office kann technische Dokumentation anfordern, Modelle bewerten, Korrekturmaßnahmen verlangen und Bußgelder verhängen. Das ist ein separates, gesetzlich verankertes Regime auf EU-Ebene – nicht identisch mit dem nationalen AISI Deutschland, das ohne eigene Durchgriffsrechte auskommt.

Ergänzend dazu gibt es den freiwilligen EU "General-Purpose AI Code of Practice", veröffentlicht am 10. Juli 2025 nach einer Konsultation mit knapp 1.000 Teilnehmenden. Er verpflichtet GPAI-Anbieter mit systemischem Risiko unter anderem zu Modellbewertungen, Risikoeinschätzung und -minderung, Vorfallmeldung sowie Cyber- und physischer Sicherheit der Modelle – ein eigenständiges, freiwilliges Rahmenwerk, das den AI Act ergänzt. Und schließlich berät der EU AI Act Scientific Panel nach Artikel 68, besetzt mit rund 60 unabhängigen Experten, das AI Office und die nationalen Behörden zu systemischen Risiken, Modellklassifizierung und Evaluationsmethoden.

Für Sie als mittelständisches Unternehmen bedeutet diese Gemengelage vor allem eines: Die für Ihre eigene Haftung und Compliance maßgebliche Grundlage bleibt der EU AI Act – insbesondere die Pflichten für "Deployer", also Betreiber von KI-Systemen, je nach Risikoklasse des eingesetzten Systems. AISI Deutschland ersetzt diese Pflichten nicht, und es ist auch keine Konformitätsbewertungsstelle im Sinne des AI Act. Die Existenz des Instituts ändert also nichts an Ihren bestehenden Transparenz- und Dokumentationspflichten, die sich aus dem AI Act ergeben.

Was das für Ihre Agenten-Auswahl im Alltag konkret bedeutet

Die wichtigste Klarstellung zuerst: AISI Deutschland richtet sich an die staatliche Bewertung fortgeschrittener, "frontier" KI-Modelle auf nationaler Sicherheitsebene. Es begründet keine direkten neuen Pflichten für einzelne mittelständische Unternehmen, die KI-Agenten einsetzen oder anbieten – egal, ob es um einen Kundenservice-Agenten geht, der E-Mails beantwortet, um einen Terminplanungs-Agenten mit Zugriff auf Ihren Kalender oder um einen Agenten, der Angebote erstellt und dabei auf Kundendaten zugreift. Der Unterschied zwischen "Modellprüfung auf Systemebene" und "Haftung und Pflichten des einsetzenden Unternehmens" ist entscheidend, um hier nicht in unnötigen Alarmismus zu verfallen.

Weil es aber – wie oben beschrieben – kein öffentlich einsehbares Prüf-Siegel gibt, brauchen Sie für die Anbieterauswahl praktikablere Anhaltspunkte. Vier Fragen haben sich dafür als sinnvoll erwiesen:

1. Nimmt der Anbieter am freiwilligen EU GPAI Code of Practice teil? Diese Teilnahme ist öffentlich als Signatarliste bei der EU-Kommission einsehbar und ein konkretes, nachprüfbares Signal – anders als eine bloße Eigenaussage im Marketing.

2. Handelt es sich um ein GPAI-Modell mit systemischem Risiko nach EU AI Act? Dann greifen seit dem 2. August 2026 konkrete Pflichten zu Evaluierung, Risikomanagement und Vorfallmeldung gegenüber dem AI Office – auch das ist eine belastbarere Grundlage als eine ungeprüfte Werbeaussage.

3. Legt der Anbieter Sicherheitsdokumentation und Modellkarten transparent offen? Wer bereit ist, Testmethoden, Grenzen und bekannte Schwächen seines Modells offenzulegen, zeigt ein grundsätzlich anderes Maß an Prüfbereitschaft als ein Anbieter, der auf Nachfrage ausweicht.

4. Arbeitet der Anbieter freiwillig mit BSI, BNetzA oder vergleichbaren ausländischen AISI-Stellen zusammen? Auch das ist informell und kein Gütesiegel, aber ein plausibles Indiz: Wer sich proaktiv extern prüfen lässt, hat in der Regel wenig zu verbergen.

Diese vier Fragen ersetzen kein Zertifikat – aber sie geben Ihnen etwas Konkretes in die Hand, das Sie bei einem Anbietergespräch tatsächlich stellen können, statt sich auf den vagen Verweis "wir sind sicher" zu verlassen. Gerade wenn Ihre Agenten Zugriff auf sensible Bereiche haben – E-Mail-Postfächer, Zahlungsvorgänge, Kundendaten – lohnt sich diese zusätzliche Sorgfalt bei der Auswahl deutlich mehr als das Warten auf ein staatliches Siegel, das es noch nicht gibt.

Ein Beispiel aus der Praxis verdeutlicht das: Stellen Sie sich einen Kundenservice-Agenten vor, der eingehende Anfragen liest, in Ihrem CRM nachschlägt und selbstständig Antworten formuliert – oder einen Agenten, der Rechnungen prüft und Zahlungen anstößt. In beiden Fällen fragen Geschäftsführung und IT-Verantwortliche zu Recht: Wie sicher ist das Modell dahinter? Die naheliegende, aber falsche Antwort lautet "Es gibt ja jetzt ein staatliches Institut, das wird schon geprüft haben". Die belastbare Antwort lautet: Prüfen Sie, ob der Modell-Anbieter transparent dokumentiert, welche Daten verarbeitet werden, welche Grenzen das System hat und welche menschlichen Freigabeschritte bei kritischen Aktionen eingebaut sind. Diese Fragen können Sie heute schon stellen – unabhängig davon, wie weit AISI Deutschland in seinem Aufbau bereits ist.

Genauso wichtig ist der Blick auf die eigene Systemarchitektur: Ein gut konzipierter Agent gibt selbst dann keine unkontrollierten Aktionen frei, wenn das zugrunde liegende Modell irgendwann Schwächen zeigt, die noch niemand geprüft hat. Klare Berechtigungsstufen, Protokollierung jeder Aktion und definierte Eskalationspfade an einen Menschen sind Schutzmechanismen, die Sie selbst in der Hand haben – unabhängig davon, ob und wann ein staatliches Institut das zugrunde liegende Modell irgendwann einmal bewertet. Genau diese Kombination aus sorgfältiger Anbieterauswahl und durchdachter Systemarchitektur entscheidet in der Praxis über die tatsächliche Vertrauenswürdigkeit eines Agenten – nicht die bloße Existenz einer staatlichen Prüfstelle im Hintergrund.

Fazit: ein Signal für die Richtung, kein Werkzeug für morgen

AISI Deutschland ist in erster Linie ein Signal: Der Staat baut Kapazität auf, um fortgeschrittene KI-Modelle systematisch zu bewerten, und positioniert sich für eine künftige internationale Vernetzung. Das ist grundsätzlich eine gute Entwicklung, gerade mit Blick auf mehr Transparenz und Standardisierung in einem Markt, der sich sehr schnell bewegt.

Gleichzeitig ist das Institut noch klar im Aufbau: kein eigenes Gebäude, kein bestätigter Personal- oder Budgetaufwuchs, keine gesetzliche Testpflicht für Anbieter, und für die tägliche Anbieterauswahl im Mittelstand aktuell kein direkt nutzbares Nachschlage-Tool. Wer Ihnen jetzt erzählt, ein bestimmter Agent sei "AISI-zertifiziert" oder "staatlich geprüft und sicher", sollte diese Aussage kritisch hinterfragen – belastbare, öffentlich nachprüfbare Nachweise dafür gibt es nach aktuellem Recherchestand nicht.

Für Sie als Unternehmen heißt das: Verlassen Sie sich bei der Auswahl vertrauenswürdiger KI-Agenten nicht auf die Existenz einer staatlichen Institution allein, sondern auf konkrete, nachprüfbare Kriterien – Teilnahme am Code of Practice, transparente Dokumentation, Einhaltung der für Sie geltenden AI-Act-Pflichten als Betreiber. Diese Kriterien sind heute schon greifbar, während sich staatliche Prüfstrukturen erst noch entwickeln.

Hinweis zur Sorgfalt: Die in diesem Artikel genannten Fakten stammen aus einer Recherche mit Stand 5. September 2026 und wurden nicht abschließend im Volltext gegen alle Primärquellen (Bundesregierung, BMDS, BSI) geprüft. Insbesondere zu Budget, Personalstärke und Zeitplan von AISI Deutschland liegen keine verifizierten offiziellen Zahlen vor – entsprechende Angaben wurden bewusst nicht erfunden.