Wie hoch sind die Bußgelder nach der EU-KI-Verordnung wirklich, und wen treffen sie in welcher Höhe?
August 2026
Im Netz kursieren derzeit viele Beiträge über Millionenstrafen nach der EU-KI-Verordnung. Die genannten Zahlen sind nicht falsch, aber sie erzählen nur einen Teil der Geschichte. Das Sanktionssystem des Art. 99 KI-Verordnung ist deutlich differenzierter, als es die meisten Beiträge vermuten lassen, und das sowohl für die Höhe der Beträge als auch für die Frage, wen sie in dieser Höhe überhaupt treffen können.
Das dreistufige Sanktionssystem
Die Verordnung teilt Bußgelder in drei Stufen ein.
Erste Stufe: Verbotene KI-Praktiken
Die erste Stufe betrifft verbotene KI-Praktiken, also Anwendungen, die grundsätzlich nicht erlaubt sind, wie etwa KI-Systeme, die Menschen über ihre wahrnehmbare Einflussnahme hinaus psychologisch manipulieren und dabei nachweislich Schaden anrichten. Hier drohen Bußgelder von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes.
Zweite Stufe: Verstöße gegen Compliance-Pflichten
Die zweite Stufe betrifft Verstöße gegen Compliance-Pflichten, etwa das Fehlen eines vorgeschriebenen Risikomanagements beim Einsatz von Hochrisiko-KI. Hier sieht das Gesetz Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes vor.
Dritte Stufe: Falsche oder unvollständige Angaben gegenüber Aufsichtsbehörden
Die dritte Stufe betrifft falsche oder unvollständige Angaben gegenüber Aufsichtsbehörden und ist mit bis zu 7,5 Millionen Euro oder einem Prozent des weltweiten Jahresumsatzes belegt.
Gesetzliche Obergrenzen, keine automatischen Pauschalen
Was dabei besonders oft übersehen wird, ist dass diese Beträge gesetzliche Obergrenzen darstellen und keine automatisch anfallenden Pauschalen sind. Aufsichtsbehörden sind gesetzlich verpflichtet, die Verhältnismäßigkeit zu beachten, die im Gesetz selbst verankert ist.
Bei der Bemessung des konkreten Bußgelds berücksichtigen die Behörden die Art, die Schwere und die Dauer des Verstoßes sowie seine konkreten Auswirkungen. Sie beziehen außerdem die finanzielle Leistungsfähigkeit des Unternehmens ein und prüfen, ob der Verstoß vorsätzlich begangen wurde oder auf Fahrlässigkeit zurückzuführen ist. Darüber hinaus spielen der Grad an Eigenverantwortung des Unternehmens, ergriffene Schadensminderungsmaßnahmen und die Intensität der Kooperation mit der Behörde eine Rolle. Schließlich wird auch berücksichtigt, ob vergleichbare Verstöße in der Vergangenheit bereits festgestellt wurden.
Ein Unternehmen, das einen Verstoß frühzeitig erkennt, ihn transparent kommuniziert und aktiv an der Behebung mitwirkt, steht damit in einer grundlegend anderen Position als eines, das auf die Untersuchung der Behörde gewartet und keine Gegenmaßnahmen ergriffen hat. Das tatsächlich verhängte Bußgeld kann in der Praxis also erheblich unter der gesetzlichen Obergrenze liegen.
Differenzierung nach Unternehmensgröße
Die oft zitierten Millionenbeträge gelten zudem nicht für jedes Unternehmen in gleicher Weise. Das Gesetz hat die Sanktionen für verschiedene Unternehmensgrößen ausdrücklich unterschiedlich ausgestaltet.
Großunternehmen
Bei Großunternehmen wird stets der höhere Betrag aus Festsumme und Umsatzprozentsatz angewendet, was bei entsprechend großen Konzernen schnell weit über die gesetzlichen Festbeträge hinausführt.
Kleine und mittlere Unternehmen sowie Start-ups
Für kleine und mittlere Unternehmen einschließlich Start-ups mit bis zu 249 Mitarbeitern und bis zu 50 Millionen Euro Jahresumsatz gilt hingegen der jeweils niedrigere Betrag.
Ein KMU mit fünf Millionen Euro Jahresumsatz zahlt bei einem Compliance-Verstoß der zweiten Stufe daher maximal drei Prozent seines Umsatzes, also 150.000 Euro, und nicht die häufig zitierten 15 Millionen Euro.
Bei verbotenen KI-Praktiken der ersten Stufe wären es in demselben Beispiel maximal sieben Prozent des Umsatzes, also 350.000 Euro, statt 35 Millionen Euro.
Small Mid-Caps: Ausweitung durch den Digital Omnibus
Durch den Digital Omnibus, der am 27. Juli 2026 in Kraft getreten ist, wurde eine vergleichbare Schutzwirkung auf sogenannte Small Mid-Caps ausgeweitet, also Unternehmen mit bis zu 750 Mitarbeitern und bis zu 150 Millionen Euro Umsatz. Auch sie profitieren bei Verstößen der zweiten und dritten Stufe von der niedrigeren Bußgeldkappung. Ein Unternehmen mit beispielsweise 80 Millionen Euro Umsatz zahlt bei einem Compliance-Verstoß der zweiten Stufe maximal 2,4 Millionen Euro statt des sonst geltenden Festbetrags von 15 Millionen Euro.
Wichtige Einschränkung bei verbotenen KI-Praktiken der ersten Stufe
An dieser Stelle ist eine wichtige Einschränkung zu beachten. Wer verbotene KI-Praktiken der ersten Stufe einsetzt, wird unabhängig davon, ob er als Small Mid-Cap einzustufen ist, wie ein Großunternehmen behandelt. Für dasselbe Unternehmen mit 80 Millionen Euro Umsatz würde dann nicht der günstigere Umsatzprozentsatz, sondern der volle Festbetrag von bis zu 35 Millionen Euro als Obergrenze gelten.
Fazit
Ein Verstoß bleibt in nahezu jedem denkbaren Szenario teurer als eine frühzeitige Auseinandersetzung mit den eigenen Pflichten. Das gilt erst recht, wenn man berücksichtigt, dass neben den Bußgeldern auch behördliche Anordnungen, Marktzugangsbeschränkungen und Reputationsschäden drohen, die sich in keiner Bußgeldtabelle ablesen lassen. Wer wissen möchte, welche konkreten Pflichten ihn tatsächlich treffen, ist herzlich eingeladen, sich direkt bei uns zu melden.
