AI Act Bußgelder – Was Unternehmen wirklich droht

35 Millionen Euro. Oder 7 % des weltweiten Jahresumsatzes. Das ist die Höchststrafe, die der EU AI Act vorsieht. Zum Vergleich: Die DSGVO-Höchststrafe liegt bei 20 Millionen Euro oder 4 % des Umsatzes.

Die EU meint es ernst mit der KI-Regulierung. Aber was bedeutet das konkret für Ihr Unternehmen? Droht Ihnen wirklich die Millionenstrafe, weil Sie ChatGPT nutzen?

Die ehrliche Antwort: Wahrscheinlich nicht. Aber „wahrscheinlich nicht“ ist keine Compliance-Strategie.

Die drei Bußgeldstufen im Überblick

Der AI Act staffelt die Bußgelder nach Schwere des Verstoßes in drei Stufen:

Stufe 1: Bis zu 35 Mio. € oder 7 % des Jahresumsatzes

Wofür: Einsatz verbotener KI-Praktiken (Art. 5 AI Act)

Das betrifft:

Social Scoring – Menschen anhand ihres Verhaltens in Kategorien einteilen
Manipulative KI – Unterschwellige Beeinflussung, die Schaden verursacht
Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen (mit Ausnahmen)
Biometrische Echtzeit-Überwachung in öffentlichen Räumen (mit Ausnahmen für Strafverfolgung)
Predictive Policing auf Basis persönlicher Merkmale
Ungezieltes Scraping von Gesichtsbildern aus dem Internet
Ab 2. Dezember 2026 zusätzlich: KI-Systeme für nicht einvernehmliche intime Deepfakes („Nudify-Apps“) und für Darstellungen sexuellen Kindesmissbrauchs

Realistisch für KMUs? Sehr unwahrscheinlich – es sei denn, Sie betreiben eine Überwachungs-App oder ein Social-Scoring-System.

Stufe 2: Bis zu 15 Mio. € oder 3 % des Jahresumsatzes

Wofür: Verstoß gegen die operativen Pflichten von Anbietern, Betreibern, Importeuren und Händlern (Art. 99 Abs. 4) – insbesondere:

Fehlende Transparenzkennzeichnung nach Art. 50 (Chatbots, KI-generierte Inhalte, Deepfakes) – gilt seit dem 2. August 2026
Pflichten für Hochrisiko-KI-Systeme, z.B. fehlende Konformitätsbewertung, unzureichende menschliche Aufsicht, mangelhaftes Risikomanagement, fehlende technische Dokumentation oder Registrierung

Realistisch für KMUs? Das ist die Stufe, die die meisten Unternehmen betrifft. Wer einen Chatbot auf der Website hat und nicht als KI kennzeichnet, verstößt gegen die Transparenzpflicht. Die Hochrisiko-Pflichten (z.B. bei KI für Bewerberauswahl, Kreditbewertung oder Versicherungsprämien) gelten nach dem Digital Omnibus erst ab dem 2. Dezember 2027 (Anhang III) bzw. 2. August 2028 (Anhang I).

Stufe 3: Bis zu 7,5 Mio. € oder 1 % des Jahresumsatzes

Wofür: Falsche, unvollständige oder irreführende Angaben gegenüber benannten Stellen oder Behörden, wenn diese Informationen anfordern (Art. 99 Abs. 5).

Realistisch für KMUs? Relevant, sobald eine Behörde nachfragt – etwa nach einer Beschwerde. Wer dann keine saubere Dokumentation hat und „improvisiert“, riskiert ein zusätzliches Bußgeld.

Was die Zahlen für KMUs konkret bedeuten

Für große Unternehmen ist die gesetzliche Obergrenze der höhere der beiden Werte – Festbetrag oder Umsatzprozentsatz. Für KMUs und Start-ups gilt dagegen der niedrigere Wert (Art. 99 Abs. 6). Seit dem Digital Omnibus gilt das bei Stufe 2 und 3 auch für kleine Midcap-Unternehmen (Small Mid-Caps) (Art. 99 Abs. 6a).

Rechenbeispiel Stufe 2 (Transparenzverstoß, 15 Mio. € oder 3 %):

KMU mit 2 Mio. € Umsatz: Theoretisches Maximum = 60.000 € (3 % von 2 Mio. < Festbetrag)
KMU mit 10 Mio. € Umsatz: Theoretisches Maximum = 300.000 € (3 % von 10 Mio. < Festbetrag)
Großunternehmen mit 1 Mrd. € Umsatz: Theoretisches Maximum = 30 Mio. € (3 % > Festbetrag)

Wichtig: Das sind Obergrenzen, keine Regelbußgelder. Art. 99 Abs. 1 verlangt, dass bei Sanktionen die Interessen von KMUs, Start-ups und Small Mid-Caps und ihre wirtschaftliche Überlebensfähigkeit berücksichtigt werden. Das Bußgeld muss „wirksam, verhältnismäßig und abschreckend“ sein – nicht existenzvernichtend. KMUs dürften bei Erstverstößen deutlich niedrigere Strafen erhalten.

Wer kontrolliert und bestraft?

Nationale Aufsichtsbehörden

Jeder EU-Mitgliedstaat muss mindestens eine nationale Marktüberwachungsbehörde benennen. In Deutschland regelt das seit dem 29. Juli 2026 das KI-Marktüberwachungs-und-Innovationsförderungs-Gesetz (KI-MIG): Grundsätzlich zuständig ist die Bundesnetzagentur (BNetzA), für KI im regulierten Finanzsektor die BaFin und für KI in Produkten nach Anhang I Abschnitt A die bestehenden Produktaufsichten. Diese Behörden verhängen auch die Bußgelder; das Verfahren richtet sich nach dem Ordnungswidrigkeitengesetz.

Das KI-MIG ergänzt Art. 99 um eigene nationale Bußgelder bis 50.000 € (§ 15 KI-MIG) – etwa wenn Sie angeforderte Informationen nach Art. 21 AI Act nicht rechtzeitig liefern oder eine erforderliche Grundrechte-Folgenabschätzung unterlassen. Gegen Behörden und öffentliche Stellen werden in Deutschland keine Geldbußen verhängt (§ 17 Abs. 2 KI-MIG).

Österreich hat der EU-Kommission bislang (Stand der Kommissionsliste: 7. September 2026) keine Marktüberwachungsbehörde gemeldet. Die KI-Servicestelle der RTR ist Anlauf- und Informationsstelle, aber keine benannte Aufsichtsbehörde.

Das EU AI Office

Auf EU-Ebene überwacht das AI Office (eingerichtet im Februar 2024) die Einhaltung – insbesondere für General Purpose AI wie GPT-4 oder Claude. Das Office kann direkt Bußgelder gegen Anbieter großer Sprachmodelle verhängen.

Beschwerdemechanismus

Jede Person oder Organisation kann Beschwerde bei der nationalen Aufsichtsbehörde einlegen – in Deutschland zentral bei der Bundesnetzagentur, die sie an die zuständige Stelle weiterleitet (§ 8 KI-MIG). Das heißt: Ein unzufriedener Kunde, ein Ex-Mitarbeiter oder ein Wettbewerber kann eine Prüfung auslösen.

5 Faktoren, die die Bußgeldhöhe beeinflussen

Der AI Act nennt in Art. 99 Abs. 7 konkrete Kriterien:

Art, Schwere und Dauer des Verstoßes
Vorsatz oder Fahrlässigkeit – wer aktiv getäuscht hat, zahlt mehr
Maßnahmen zur Schadensbegrenzung – haben Sie nach Entdeckung sofort gehandelt?
Unternehmensgröße und Marktanteil – KMUs werden milder behandelt
Vorherige Verstöße – Wiederholungstäter zahlen mehr

Kooperationsbereitschaft lohnt sich: Wer freiwillig mit den Behörden zusammenarbeitet und Verstöße selbst meldet, kann mit Milderung rechnen.

DSGVO-Parallele: Was wir daraus lernen können

Die DSGVO gilt seit 2018. Acht Jahre Erfahrung zeigen:

Großunternehmen wurden zuerst und am härtesten bestraft (Amazon: 746 Mio. €, Meta: 1,2 Mrd. €)
KMUs wurden in der Anfangsphase kaum direkt bestraft – aber zunehmend über Beschwerden in den Fokus gerückt
Dokumentationsmängel waren der häufigste Grund für Bußgelder – nicht spektakuläre Datenpannen

Beim AI Act wird es voraussichtlich ähnlich laufen: Die ersten Bußgelder werden Großkonzerne treffen. Aber die Welle erreicht KMUs – spätestens wenn die erste Beschwerde eingeht.

So minimieren Sie Ihr Bußgeldrisiko

Sofort-Maßnahmen (Kosten: 0 €)

KI-Inventar erstellen – Welche KI-Tools setzen Sie ein?
Chatbot als KI kennzeichnen – Ein Satz reicht: „Sie kommunizieren mit einem KI-Assistenten“
KI-generierte Inhalte intern dokumentieren – Wer hat was mit welchem Tool erstellt?

Kurzfristig

Transparenzhinweise auf Website und in der Kundenkommunikation – Pflicht seit dem 2. August 2026
Risikoklassifizierung – In welche Kategorie fallen Ihre KI-Systeme?
Mitarbeiterschulungen – Art. 4 verpflichtet zu Maßnahmen, die die KI-Kompetenz Ihrer Mitarbeiter fördern (seit dem Digital Omnibus ohne Vorgabe eines bestimmten Kompetenzniveaus)

Mittelfristig

Compliance-Prozess etablieren – jährlicher Review, neue KI-Tools prüfen
Dokumentation aufbauen – bei Hochrisiko-Systemen umfassend (Pflicht ab 2. Dezember 2027 bzw. 2. August 2028)

Welche dieser Maßnahmen für Sie gelten, hängt an der Risikoklasse Ihrer Systeme. Der Zusammenhang von Klasse, Pflicht und Frist steht im Leitfaden Risikoklassen, Pflichten und Fristen im Überblick.

Fazit

Die Bußgelder des AI Acts klingen bedrohlich – und das sollen sie auch. Aber für die meisten KMUs ist das Risiko beherrschbar, wenn sie die Grundlagen umsetzen: KI-Inventar, Transparenz, Schulung.

Die größte Gefahr ist nicht die 35-Millionen-Strafe. Die größte Gefahr ist, nichts zu tun und dann unvorbereitet in eine Beschwerde oder Prüfung zu laufen.