AI Act Bußgelder: Was KMU bei Verstößen droht

Drei Bußgeldstufen im AI Act

Art. 99 der EU KI-Verordnung definiert ein abgestuftes Bußgeld-System. Die Höhe richtet sich nach dem Typ des Verstoßes, nicht danach, ob Sie ein großes oder kleines Unternehmen sind. Allerdings sieht Art. 99 Abs. 6 ausdrücklich vor, dass bei KMU und Start-ups die Verhältnismäßigkeit berücksichtigt werden soll. Den Gesamtüberblick über alle KMU-Pflichten bietet der EU-AI-Act-Leitfaden für KMU.

Welche Verstöße KMU konkret betreffen

Die Bußgeld-Stufen klingen abstrakt. Konkreter: Was muss ein Unternehmen konkret falsch machen, damit eine Aufsichtsbehörde aktiv wird?

Verbotene Praktiken: Stufe 1

Stufe 1 betrifft KI-Systeme die komplett verboten sind [Art. 5 KI-VO]. Für normale KMU ist das unwahrscheinlich, es geht um Systeme wie:

• Social-Scoring-Systeme (staatlich oder privat), die Menschen nach sozialem Verhalten bewerten
• Manipulative KI, die Entscheidungen unbewusst beeinflusst (z.B. exploitiert psychische Schwächen)
• Biometrische Echtzeit-Überwachung im öffentlichen Raum (mit engen Ausnahmen)
• KI-Systeme zur Emotionserkennung am Arbeitsplatz (außer Sicherheitsanwendungen)

Betreiber-Pflichten: Stufe 2 (relevant für die meisten KMU)

Hier liegt das reale Risiko für KMU. Art. 26 KI-VO definiert die Pflichten für Betreiber (Deployer). Wer diese verletzt, riskiert Stufe-2-Bußgelder. Die häufigsten Verstöße:

Wann fangen Behörden wirklich an, Bußgelder zu verhängen?

Die ehrliche Antwort: Wahrscheinlich nicht ab Tag 1 nach der Deadline. Erfahrungen aus der DSGVO zeigen, dass Behörden zunächst auf informelle Compliance setzen: Hinweise, Auskunftsersuchen, Fristsetzungen. Bußgelder folgen typischerweise bei:

• Schwerwiegenden Verstößen mit konkretem Schaden (Diskriminierung durch KI, verbotene Praktiken)
• Beschwerden von Betroffenen (Mitarbeiter, Kunden)
• Wiederholten Verstößen nach Hinweisen der Behörde
• Kooperationsverweigerung gegenüber Behörden

Wer ist zuständig? Die Aufsichtsbehörden in Deutschland

Jeder EU-Mitgliedstaat muss eine oder mehrere nationale Aufsichtsbehörden benennen [Art. 70 KI-VO]. In Deutschland ist die Zuständigkeit noch im Aufbau, es zeichnet sich ab, dass sektorspezifische Behörden zuständig sein werden:

• Allgemein: Eine zentrale Marktüberwachungsbehörde (wird noch bestimmt)
• Finanzen: BaFin (für KI in Finanzdienstleistungen)
• Datenschutz: Landesdatenschutzbehörden (soweit DSGVO-Berührung)
• Medizin: BfArM (für Medizinprodukte mit KI)

Die Konsequenz: Beschwerden können aus mehreren Richtungen kommen, von Kunden, von Mitarbeitern, von Wettbewerbern oder aus eigener Initiative der Behörden. Das Risiko ist realer als bei vielen anderen Regulierungen.

Praxisbeispiel: Was ein Verstoß tatsächlich kosten kann

Ein mittelständischer Personaldienstleister mit 8 Millionen Euro Jahresumsatz setzt eine KI-gestützte Bewerbervorauswahl ein, ein klassischer Hochrisiko-Anwendungsfall nach Anhang III Nr. 4 KI-VO. Er hat:

• Keine Risikoklassifizierung durchgeführt
• Keine FRIA (Fundamental Rights Impact Assessment) erstellt
• Keine Schulung der HR-Mitarbeiter dokumentiert
• Keinen Hinweis auf KI-Einsatz im Bewerbungsverfahren gegeben

Bei einer Beschwerde eines abgelehnten Bewerbers prüft die Behörde und stellt alle vier Verstöße fest. Mögliche Konsequenzen: Bußgeld bis zu 240.000 Euro (3 % von 8 Mio. €), plus Untersagung des KI-Systems bis zur Nachbesserung, plus Reputationsschaden durch öffentliche Bekanntmachung.

Prävention: Die FRIA, ein KI-Inventar-Eintrag und eine Mitarbeiterschulung: Gesamtaufwand mit dem Compliance Kit: ein Nachmittag und 349 Euro.

Was Sie jetzt tun können, in 3 Schritten

Der praktische Schutz vor Bußgeldern ist einfacher als die Zahlen vermuten lassen. Drei Maßnahmen decken den Großteil des KMU-Risikos ab:

1. KI-Inventar anlegen: Alle KI-Systeme erfassen, Einsatzzweck dokumentieren, Risikoklasse bestimmen. Zeigt der Behörde: Sie wissen, was Sie einsetzen. Anleitung dazu →
2. Schulungen dokumentieren: Art. 4 KI-VO gilt seit Februar 2025. Wer einschlägige Mitarbeiter noch nicht geschult hat, verletzt diese Pflicht. Sanktionsfähig (Art. 99 KI-VO) sind Verstöße seit 02.08.2025. Nachholen und schriftlich festhalten: Name, Datum, Inhalt.
3. Hochrisiko prüfen: Setzen Sie KI in Bereichen ein, die in Anhang III der KI-Verordnung stehen? Dann gelten erhöhte Anforderungen. Für die meisten KMU die Antwort: Nein, aber das muss dokumentiert sein.

Was kostet Compliance vs. was kostet ein Bußgeld?

Häufige Fragen zu AI Act Bußgeldern

Werden KMU wirklich bestraft oder gilt das nur für Großkonzerne?

Das Gesetz unterscheidet nicht zwischen groß und klein. Art. 99 Abs. 6 KI-VO verlangt lediglich, dass bei der Festsetzung des konkreten Bußgeldes die Verhältnismäßigkeit gegenüber KMU und Start-ups berücksichtigt wird. Das schützt vor existenzgefährdenden Strafen, aber nicht vor Bußgeldern an sich. Die DSGVO hat gezeigt: Auch kleine Unternehmen werden sanktioniert, besonders nach Beschwerden.

Was gilt wenn ich ein ausländisches KI-Tool (USA, China) nutze, kann die EU-Behörde trotzdem zugreifen?

Ja. Die KI-Verordnung gilt für alle, die KI-Systeme in der EU einsetzen oder auf EU-Märkten anbieten, unabhängig davon, wo der Anbieter sitzt [Art. 2 Abs. 1 KI-VO]. Als EU-Betreiber sind Sie für die Compliance Ihres Einsatzes verantwortlich, auch wenn der Anbieter in den USA sitzt.

Gibt es eine Möglichkeit, Bußgelder durch Selbstmeldung zu reduzieren?

Die KI-Verordnung sieht keine formelle Selbstmeldung mit Bußgeldreduktion vor, wie es sie im Kartellrecht gibt. Allerdings ist aktive Kooperation mit der Behörde ein strafmildernder Faktor bei der Bemessung [Art. 99 Abs. 6 lit. b KI-VO]. Wer auf Anfrage schnell, vollständig und kooperativ reagiert, kann den konkreten Betrag erheblich senken.

Gilt die KI-Verordnung schon jetzt oder erst ab Dezember 2027?

Differenziert. Das Verbot verbotener KI-Praktiken gilt seit dem 2. Februar 2025. Die Kompetenzpflicht (Art. 4) gilt ebenfalls seit Februar 2025. Transparenzpflichten (Art. 50) greifen ab August 2026, einschließlich der maschinenlesbaren Kennzeichnung durch Anbieter (Art. 50 Abs. 2); für generative Systeme, die vorher schon am Markt waren, läuft eine Übergangsfrist bis Dezember 2026. Hochrisiko-Pflichten (Anhang III) ab Dezember 2027, jeweils durch den Digital Omnibus (VO (EU) 2026/1744, in Kraft seit 27.07.2026) verschoben. Die Kompetenzpflicht nach Art. 4 gilt dagegen unverändert seit Februar 2025 – seit dem 27.07.2026 als Bemühenspflicht. Wer keine Maßnahmen dokumentiert hat, steht im Beschwerdefall ohne Nachweis da. Alle Fristen im Überblick →

Wie vermeide ich Bußgelder durch den EU AI Act?

In drei Schritten: (1) KI-Kompetenz nach Art. 4 dokumentieren (Schulungsnachweis mit Datum, Inhalt, Teilnehmern), (2) ein KI-Inventar anlegen und jedes Tool einer Risikoklasse zuordnen, (3) Transparenzpflichten nach Art. 50 umsetzen (Chatbot- und KI-Inhalte-Kennzeichnung ab August 2026). Wer diese Nachweise führt, ist im Behördenkontakt verteidigungsfähig, das senkt das Bußgeldrisiko am stärksten. Kostenloser Selbst-Audit: Wo stehen Sie?

Wie hoch sind die Bußgelder nach dem AI Act konkret?

Art. 99 KI-VO sieht drei Stufen vor: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken (Art. 5); bis 15 Mio. € oder 3 % bei Verstößen gegen die meisten anderen Pflichten (u. a. Art. 16, 26, 50); bis 7,5 Mio. € oder 1 % bei Falschauskünften. Für KMU gilt jeweils der niedrigere der beiden Werte [Art. 99 Abs. 1–6 KI-VO].

Weiterführende Artikel:
AI Act Pflichten für KMU 2026: Der vollständige Überblick
KI-Inventar erstellen: Schritt-für-Schritt Anleitung
AI Act Fristen 2025, 2026, 2027, alle Deadlines