Wie hoch sind die Bußgelder im EU AI Act? Für verbotene Praktiken drohen bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist. Für den Mittelstand mildert Artikel 99 Absatz 6 das ab: bei kleinen und mittleren Unternehmen gilt der jeweils niedrigere der beiden Werte.
Stand: 2026-09-15
Das Bußgeld ist die Frage, die in jeder Geschäftsführung als Erstes fällt, sobald der AI Act auf den Tisch kommt. Die Zahl 35 Millionen steht in vielen Schlagzeilen, aber sie beschreibt den Extremfall und nicht den Alltag eines Betriebs mit fünfzig Mitarbeitenden. Wer die drei Stufen kennt und weiß, ab wann sie greifen, kann das eigene Risiko realistisch einordnen statt es zu fürchten.
Die drei Bußgeldstufen des Artikel 99
Der AI Act staffelt die Bußgelder nach der Schwere des Verstoßes. Die Beträge stehen in Artikel 99 der Verordnung (EU) 2024/1689, dem AI Act selbst, und werden im Leitfaden der EU-Kommission zu Artikel 99 erläutert.
Die oberste Stufe trifft die verbotenen Praktiken nach Artikel 5, etwa das Ableiten von Emotionen am Arbeitsplatz oder Social Scoring. Hier sind es bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem welcher Betrag höher ist.
Die mittlere Stufe gilt für Verstöße gegen die meisten anderen Pflichten, also die Anbieter- und Betreiberpflichten bei Hochrisiko-Systemen, die Transparenzpflichten und die Pflichten benannter Stellen. Der Rahmen liegt bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, wieder der jeweils höhere Betrag.
Die unterste Stufe betrifft falsche, unvollständige oder irreführende Angaben gegenüber den Behörden. Dafür sind bis zu 7,5 Millionen Euro oder 1 Prozent des Umsatzes vorgesehen. Wer eine Anfrage der Marktaufsicht schlampig oder beschönigend beantwortet, riskiert also ein eigenes Bußgeld, unabhängig vom eigentlichen Verstoß. Diese Stufe wird in der Debatte oft übersehen, dabei ist sie die, mit der ein Betrieb im Ernstfall zuerst in Berührung kommt.
Entscheidend ist das Wort bis zu. Alle drei Zahlen sind Obergrenzen, keine Regelbeträge. Innerhalb des Rahmens bemisst die Behörde die Höhe nach Artikel 99 Absatz 7, also nach Art, Schwere und Dauer des Verstoßes, danach ob er vorsätzlich oder fahrlässig war, wie kooperativ das Unternehmen war und welche Größe es hat. Ein einmaliges, schnell behobenes Versäumnis liegt am unteren Ende, ein bewusster Dauerverstoß am oberen. Wer die Höchstsumme aus der Schlagzeile für den Regelfall hält, verschätzt sich also systematisch nach oben.
Seit wann Bußgelder möglich sind
Die Sanktionsbefugnis besteht seit dem 2. August 2025. Das regelt Artikel 113 des AI Act: Das Kapitel über die Bußgelder gilt seit diesem Datum, und die Mitgliedstaaten mussten ihre nationalen Sanktionsregeln bis dahin festlegen und der Kommission melden (Artikel 113, EU-Kommission).
Wichtig ist die Unterscheidung zwischen der Befugnis und dem Anlass. Ein Bußgeld setzt voraus, dass eine Pflicht verletzt wird, die selbst schon gilt. Die verbotenen Praktiken nach Artikel 5 sind seit dem 2. Februar 2025 untersagt, hier kann also seit August 2025 sanktioniert werden. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026. Die schweren Pflichten für Hochrisiko-Systeme nach Anhang III wurden dagegen durch den Digital Omnibus, die Verordnung (EU) 2026/1744, auf den 2. Dezember 2027 verschoben, wie wir in unserer Analyse der Hochrisiko-Fristen beschrieben haben. Wo es noch keine Pflicht gibt, gibt es auch kein Bußgeld.
Das entschärft die Lage für den Mittelstand erheblich. Der weitaus größte Teil der Pflichten mit Bußgeldrisiko betrifft Hochrisiko-Systeme, und die meisten Betriebe setzen gar keine solchen Systeme ein. Was heute schon sanktionierbar ist, sind die verbotenen Praktiken und, seit August 2026, die Transparenzpflicht bei Chatbots und KI-Inhalten. Alles Weitere baut sich erst in den nächsten zwei Jahren auf.
Was für den Mittelstand anders gilt
Für kleine und mittlere Unternehmen und für Start-ups gilt eine eigene Regel. Nach Artikel 99 Absatz 6 ist das Bußgeld bei ihnen auf den jeweils niedrigeren der beiden Werte gedeckelt, nicht auf den höheren. Große Unternehmen zahlen den höheren von Festbetrag und Prozentsatz, ein KMU den niedrigeren. Der Unterschied im Wortlaut ist ein einziges Wort, in der Wirkung ist er gewaltig.
Ein Rechenbeispiel macht das greifbar. Ein Betrieb mit 4 Millionen Euro Jahresumsatz: 7 Prozent davon sind 280.000 Euro. Weil für ihn der niedrigere Wert gilt, ist das der Rahmen, nicht die 35 Millionen aus der Schlagzeile. Die Sanktion bleibt damit an die tatsächliche Größe des Unternehmens gekoppelt, was gemäß unserem Verständnis genau der Zweck der Regel ist. Bei einem Konzern mit Milliardenumsatz kehrt sich das Verhältnis um, dort liegen 7 Prozent weit über 35 Millionen, und der Prozentsatz greift.
Eine Deckelung ist trotzdem kein Freibrief. Auch 280.000 Euro treffen einen mittelständischen Betrieb hart, und die Behörde bemisst innerhalb des Rahmens nach Schwere, Dauer und Vorsatz. Die KMU-Regel senkt die Obergrenze, sie schafft den Verstoß nicht aus der Welt. Wer eine verbotene Praktik einsetzt, bleibt in der teuersten Kategorie, nur eben mit einer Grenze, die zu seiner Größe passt.
Wer die Bußgelder verhängt
Die Bußgelder verhängen nicht Brüssel, sondern die nationalen Behörden. In Spanien ist das die Agencia Española de Supervisión de la Inteligencia Artificial, die AESIA, die schon 2023 durch das Real Decreto 729/2023 geschaffen wurde und damit früher stand als in den meisten Mitgliedstaaten. In Deutschland sieht der Regierungsentwurf eines KI-Marktüberwachungs- und Innovationsförderungsgesetzes, vom Bundeskabinett im Februar 2026 beschlossen, die Bundesnetzagentur als zentrale Marktüberwachungsbehörde vor. Der Entwurf ist noch nicht in Kraft, die genaue Behördenstruktur kann sich also noch ändern.
Eine Ausnahme bildet Artikel 101. Bußgelder gegen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, den großen Sprachmodellen also, verhängt die EU-Kommission selbst, mit einem Rahmen von bis zu 15 Millionen Euro oder 3 Prozent. Diese Regel gilt seit dem 2. August 2026 (Artikel 101, EU-Kommission). Für einen Betrieb, der ein fertiges oder offenes Modell nur einsetzt, ist das nicht einschlägig: Artikel 101 zielt auf die Hersteller der Modelle, nicht auf ihre Nutzer.
Wie man das Risiko senkt
Das Bußgeldrisiko sinkt nicht durch Sorge, sondern durch zwei nüchterne Schritte. Der erste ist die richtige Rolleneinordnung. Wer nur einsetzt, ist Betreiber und hat einen überschaubaren Pflichtenkatalog, wer umbaut oder unter eigenem Namen weitergibt, wird zum Anbieter. Diese Weiche haben wir in Betreiber oder Anbieter ausführlich beschrieben, und sie entscheidet, welche der sanktionierbaren Pflichten überhaupt für Sie gelten.
Der zweite Schritt ist die Dokumentation. Die untere Bußgeldstufe trifft ausgerechnet falsche oder lückenhafte Angaben gegenüber der Behörde. Wer sauber dokumentiert, welche Systeme im Haus laufen, wofür sie genutzt werden und wer verantwortlich ist, beantwortet eine Anfrage der Marktaufsicht ruhig und belegbar. Eine einfache Bestandsliste reicht als Anfang: ein Blatt je System mit Zweck, Datenquelle und verantwortlicher Person, gepflegt und datiert. Lokale KI auf dem eigenen Server macht diesen Nachweis oft einfacher, weil Datenflüsse und Modellherkunft im Haus bleiben und nicht bei einem externen Dienst rekonstruiert werden müssen.
Am günstigsten prüft man zuerst die verbotenen Praktiken nach Artikel 5, denn sie liegen im teuersten Rahmen und gelten bereits heute. Welche Systeme im Betrieb überhaupt darunterfallen könnten, ist in den meisten Fällen schnell geklärt, und die Antwort lautet erfahrungsgemäß: keine. Dann bleibt als aktuell sanktionierbare Pflicht vor allem die Transparenz bei Chatbots und veröffentlichten KI-Inhalten.
Dieser Text ordnet die Rechtslage gemäß unserem Verständnis ein, er ersetzt keine Rechtsberatung im Einzelfall. Was der Bußgeldrahmen für Ihren Betrieb konkret bedeutet, klären wir am besten anhand Ihrer tatsächlichen Systeme in einem Pilotprojekt.
Häufige Fragen
Wie hoch sind die Bußgelder im EU AI Act?
Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene Praktiken nach Artikel 5, bis zu 15 Millionen Euro oder 3 Prozent für die meisten anderen Pflichten und bis zu 7,5 Millionen Euro oder 1 Prozent für falsche Angaben gegenüber den Behörden.
Gilt für kleine Unternehmen ein niedrigerer Rahmen?
Ja. Nach Artikel 99 Absatz 6 gilt für KMU und Start-ups der jeweils niedrigere von Festbetrag und Prozentsatz, während große Unternehmen den höheren zahlen. Bei kleinem Umsatz greift damit meist der Prozentsatz.
Seit wann kann der AI Act Bußgelder verhängen?
Die Sanktionsbefugnis besteht nach Artikel 113 seit dem 2. August 2025. Ein Bußgeld setzt aber voraus, dass eine bereits geltende Pflicht verletzt wird, etwa das Verbot bestimmter Praktiken seit dem 2. Februar 2025.
Wer verhängt die Bußgelder in Deutschland und Spanien?
Die nationalen Marktüberwachungsbehörden. In Spanien die AESIA, in Deutschland nach dem Regierungsentwurf von Februar 2026 die Bundesnetzagentur. Bußgelder gegen Anbieter großer KI-Modelle verhängt dagegen die EU-Kommission nach Artikel 101.