Sanktionen und Bußgelder der KI-VO (Art. 99)

Der Bußgeldrahmen der KI-Verordnung ist gestaffelt, reicht bis in DSGVO-Dimensionen hinein und übertrifft sie in der Spitze sogar. Maßgeblich ist immer der jeweils höhere Betrag aus Festsumme und Umsatzprozentsatz. Wer KI anbietet oder einsetzt, sollte die drei Sanktionsstufen des Art. 99 KI-VO kennen, bevor die Aufsichtsbehörde sie ihm erklärt.

Welche drei Bußgeldstufen kennt Art. 99 KI-VO?

Art. 99 KI-VO staffelt die Geldbußen nach der Schwere des Verstoßes:

Gegen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck verhängt die Kommission Geldbußen, seit dem 2. August 2026 bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes (Art. 101 KI-VO).

In Deutschland gilt seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG). Bußgeldbehörden sind die Marktüberwachungsbehörden (§ 17 KI-MIG), grundsätzlich die Bundesnetzagentur, für KI in Produkten nach Anhang I Abschnitt A die bisherigen Produkt-Marktüberwachungsbehörden und für KI im direkten Zusammenhang mit regulierter Finanztätigkeit die BaFin (§ 2 KI-MIG). Gegen Behörden und öffentliche Stellen werden keine Geldbußen verhängt. Neben Art. 99 KI-VO sieht § 15 KI-MIG nationale Bußgelder bis 50.000 Euro vor, unter anderem für Verstöße gegen Informations- und Zugangspflichten gegenüber Behörden (Art. 21 KI-VO), gegen die Pflichten zur Grundrechte-Folgenabschätzung (Art. 27 Abs. 1 bis 3 KI-VO), gegen Pflichten notifizierter Stellen (Art. 45 KI-VO) und für Betreiber bestimmter Anhang-III-Systeme (Nr. 1, 3, 4, 5), die die Erläuterung nach Art. 86 Abs. 1 KI-VO nicht sicherstellen. Einen Tatbestand zur KI-Kompetenz nach Art. 4 KI-VO enthält § 15 KI-MIG nicht. Wie die deutsche Aufsicht insgesamt aufgebaut ist, erläutert der Beitrag KI-MIG: die Bundesnetzagentur als KI-Aufsicht.

Gilt für KMU und Start-ups eine Erleichterung?

Der Gesetzgeber hat an junge und kleine Unternehmen gedacht. Nach Art. 99 Abs. 6 KI-VO gilt für sie bei jeder Geldbuße der jeweils niedrigere der beiden Beträge, also entweder der Prozentsatz oder die feste Summe, je nachdem, was weniger ist. Seit dem KI-Omnibus (VO (EU) 2026/1744) gilt der niedrigere Betrag nach Art. 99 Abs. 6a KI-VO auch für kleine Midcap-Unternehmen, allerdings nur bei den Stufen des Abs. 4 und 5, nicht bei Verstößen gegen die Verbote nach Abs. 3. Schon Abs. 1 verpflichtet die Mitgliedstaaten, bei der Verhängung von Sanktionen die Interessen von KMU einschließlich Start-ups und von kleinen Midcap-Unternehmen sowie deren wirtschaftliches Überleben zu berücksichtigen; als Sanktionen kommen auch Verwarnungen und nichtmonetäre Maßnahmen in Betracht. Das mildert die Spitzenbeträge für kleinere Akteure spürbar, hebt die Pflicht zur Compliance aber nicht auf.

Wonach richtet sich die Höhe im Einzelfall?

Der Bußgeldrahmen ist eine Obergrenze, kein Automatismus. Nach Art. 99 Abs. 7 KI-VO fließen zahlreiche Kriterien in die konkrete Bemessung ein: Art, Schwere und Dauer des Verstoßes, die Zahl der Betroffenen, Vorsatz oder Fahrlässigkeit, der Grad an Verantwortung unter Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen sowie die Kooperation mit den Behörden. Genau hier zahlt sich gelebte Compliance aus: Dokumentierte Governance und Kooperationsbereitschaft wirken bußgeldmindernd.

Was sollten Sie daraus mitnehmen?

Praktisch entscheidend sind zwei Punkte: Die verbotenen Praktiken des Art. 5 bilden die teuerste Kategorie, weshalb sich der genaue Blick lohnt, ob ein System darunterfällt, und die Bemessungskriterien belohnen Vorsorge. Wer eine KI-Inventur führt, Rollen und Pflichten dokumentiert und im Ernstfall kooperiert, senkt sein Bußgeldrisiko messbar. Die Sanktionsvorschrift ist damit weniger Drohkulisse als Argument für ein sauberes KI-Governance-System, wie es eine laufende KI-Compliance-Begleitung aufbaut.

Welche Pflichten hinter den einzelnen Bußgeldstufen stehen, führt der Leitfaden zum EU AI Act aus.

Beispiel: Der Beirat fragt nach der Bußgeldhöhe

Denkbar ist etwa folgender Fall. Ein Personaldienstleister mit rund 220 Mitarbeitenden nutzt KI für Stellenanzeigen, für einen Chatbot im Bewerbungsprozess und zur Vorauswahl von Bewerbungen. Der Beirat fragt die Geschäftsführung, mit welchem Bußgeld das Unternehmen rechnen müsse. Eine seriöse Zahl gibt es darauf nicht, denn der Rahmen ist eine Obergrenze, und die Höhe hängt von Art, Schwere und Dauer eines Verstoßes, vom Verschulden und von den getroffenen Maßnahmen ab. Geklärt wird zuerst, welches System in welche Stufe fallen könnte und ob das Unternehmen als KMU oder als kleines Midcap-Unternehmen gilt, weil davon der niedrigere Betrag abhängt.

Jetzt kommt es auf das einzelne System an. Werkzeuge, die nur Texte entwerfen, kommen mit Nutzungsregeln in die KI-Inventur. Für den Chatbot sind die Transparenzpflichten zu prüfen, für die Vorauswahl die Pflichten als Betreiber eines Hochrisiko-Systems, die ab dem 2. Dezember 2027 gelten; Verstöße fallen dann in die mittlere Stufe. Reicht eine Funktion an ein Verbot heran, gilt die obere Stufe; das wird gesondert geprüft. Heraus kommt eine Übersicht je System mit möglicher Stufe, offenen Pflichten und der Dokumentation, die bei der Bemessung zählt. Diese Prioritäten setzt das Rechtliche Audit.

Meine Einschätzung

Das Bußgeldrisiko ordne ich für KMU nüchtern ein. Die Höchstbeträge aus den Schlagzeilen, bis 35 Mio. Euro oder 7 % des Umsatzes, betreffen verbotene Praktiken. Für KMU gilt ohnehin der niedrigere der beiden Beträge. Wer KI im Alltag einsetzt, hat es eher mit Transparenz- und Betreiberpflichten zu tun. Bei der Höhe zählt, was dokumentiert ist: Eine nachvollziehbare KI-Governance kann mindernd wirken. Die KI-Kompetenz nach Art. 4 ist nach einer Literaturansicht nicht unmittelbar bußgeldbewehrt. Sie zählt aber, wenn etwas schiefgeht. Den meisten Druck spüren KMU ohnehin früher von ihren Kunden: In Verträgen, Ausschreibungen und Lieferantenprüfungen werden Nachweise zum AI Act verlangt.

Häufige Fragen

Wie hoch können Bußgelder unter der KI-Verordnung ausfallen?

Nach Art. 99 KI-VO reicht der Rahmen bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes, wobei stets der höhere der beiden Beträge maßgeblich ist. Diese Höchststufe betrifft die Missachtung des Verbots verbotener KI-Praktiken nach Art. 5 KI-VO, während zentrale Pflichtverstöße bis 15 Mio. EUR oder 3 % und Falschauskünfte gegenüber Behörden bis 7,5 Mio. EUR oder 1 % erreichen.

Gilt für KMU und Start-ups ein milderer Bußgeldrahmen?

Ja. Nach Art. 99 Abs. 6 KI-VO gilt für kleine und mittlere Unternehmen einschließlich Start-ups bei jeder Geldbuße der jeweils niedrigere der beiden Beträge. Für kleine Midcap-Unternehmen gilt das nach Art. 99 Abs. 6a KI-VO bei den Stufen des Abs. 4 und 5. Das mildert die Spitzenbeträge für kleinere Akteure spürbar, hebt die Pflicht zur Compliance aber nicht auf.

Wonach bemisst die Behörde die konkrete Bußgeldhöhe?

Der Rahmen ist eine Obergrenze und kein Automatismus. Nach Art. 99 Abs. 7 KI-VO fließen Art, Schwere und Dauer des Verstoßes, die Zahl der Betroffenen, Vorsatz oder Fahrlässigkeit, die getroffenen technischen und organisatorischen Maßnahmen sowie die Kooperation mit den Behörden in die Bemessung ein, sodass gelebte Compliance mindernd wirkt.

Wie lässt sich das Bußgeldrisiko senken?

Wer eine KI-Inventur führt, Rollen und Pflichten dokumentiert und im Ernstfall mit der Behörde kooperiert, senkt sein Risiko messbar, weil diese Vorsorge in die Bemessungskriterien einfließt. Besondere Aufmerksamkeit verdient die Frage, ob ein System unter die verbotenen Praktiken des Art. 5 KI-VO fällt, weil dies die teuerste Sanktionskategorie bildet.

Die Frage nach dem Bußgeldrisiko landet bei der Geschäftsführung, oft ohne Überblick, welche KI-Systeme im Einsatz sind. Das Rechtliche Audit schafft diesen Überblick und ordnet offene Punkte nach Risiko in einen Maßnahmenplan. Rechtliches Audit: Risiken priorisieren statt schätzen

Sie wollen Ihr Bußgeldrisiko unter dem AI Act realistisch einschätzen? In einem 60-minütigen Strategiegespräch ordnen wir Ihre KI-Systeme und Ihre Governance ein.