Strafen und Bußgelder der EU-KI-Verordnung

Artikel 99 kennt drei Stufen. Wer ein KI-System, das unter die Verbote des Artikels 5 fällt, in Verkehr bringt, in Betrieb nimmt oder verwendet, riskiert bis zu 35 Millionen Euro oder 7 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 3). Die meisten übrigen Pflichten liegen bei bis zu 15 Millionen Euro oder 3 Prozent (Artikel 99 Absatz 4): Anbieter nach Artikel 16, Bevollmächtigte nach Artikel 22, Einführer nach Artikel 23, Händler nach Artikel 24, Betreiber nach Artikel 26 und die Transparenzpflichten des Artikels 50.

Falsche, unvollständige oder irreführende Angaben gegenüber einer notifizierten Stelle oder einer nationalen Behörde kosten bis zu 7,5 Millionen Euro oder 1 Prozent (Artikel 99 Absatz 5). Das sind Obergrenzen, keine Preisliste. Artikel 99 Absatz 1 verlangt wirksame, verhältnismäßige und abschreckende Sanktionen, die die Interessen von KMU einschließlich Start-ups und deren wirtschaftliche Überlebensfähigkeit berücksichtigen. Der Prozentsatz bemisst sich am weltweiten Umsatz, nicht am EU- oder Inlandsumsatz.

Bei KI-Systemen national. Artikel 99 Absatz 1 verpflichtet jeden Mitgliedstaat, Vorschriften über Sanktionen und andere Durchsetzungsmaßnahmen festzulegen und der Kommission mitzuteilen (Artikel 99 Absatz 2). Je nach Rechtsordnung verhängen die zuständigen nationalen Gerichte oder andere Stellen die Geldbußen (Artikel 99 Absatz 9), und jeder Mitgliedstaat entscheidet gesondert, inwieweit gegen die eigenen Behörden überhaupt Geldbußen verhängt werden können (Artikel 99 Absatz 8). Ermittelt wird durch die nach Artikel 70 benannten Marktüberwachungsbehörden.

Bei KI-Modellen mit allgemeinem Verwendungszweck führt der Weg über Brüssel. Nach Artikel 101 kann die Kommission gegen den Anbieter bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Zuvor teilt sie ihre vorläufigen Feststellungen mit und gibt Gelegenheit zur Stellungnahme (Artikel 101 Absatz 2); der Gerichtshof kann die Geldbuße aufheben, herabsetzen oder erhöhen (Artikel 101 Absatz 5). Artikel 113 hat Artikel 101 vom Starttermin 2. August 2025 ausgenommen: Er gilt ab 2. August 2026.

Artikel 99 Absatz 7 nennt, was die Behörde abwägt: Art, Schwere und Dauer des Verstoßes und seiner Folgen, einschließlich der Zahl der betroffenen Personen; ob bereits eine andere Behörde denselben Akteur für denselben Verstoß sanktioniert hat; Größe, Jahresumsatz und Marktanteil des Akteurs; erzielte finanzielle Vorteile oder vermiedene Verluste; den Grad der Zusammenarbeit mit den Behörden; die getroffenen technischen und organisatorischen Maßnahmen; wie die Behörde von dem Verstoß erfahren hat, insbesondere ob der Akteur ihn gemeldet hat; Vorsatz oder Fahrlässigkeit; sowie Maßnahmen zur Minderung des Schadens.

Zwei davon lassen sich vorab aufbauen. Dokumentierte technische und organisatorische Maßnahmen zählen nach Artikel 99 Absatz 7 Buchstabe g, die freiwillige Meldung nach Buchstabe h. Ein datiertes Verzeichnis der eingesetzten KI-Systeme, eine schriftliche Risikobewertung und ein Nachweis der Maßnahmen zur KI-Kompetenz nach Artikel 4 wiegen im Verfahren daher mehr als eine ungelesene Richtlinie. Artikel 99 Absatz 10 stellt klar, dass diese Befugnisse Verfahrensgarantien unterliegen, einschließlich wirksamer Rechtsbehelfe.

Ja, durch eine Umkehrung der Regel. Handelt es sich beim Zuwiderhandelnden um ein KMU einschließlich Start-ups, ist jede Geldbuße nach Artikel 99 auf den niedrigeren der beiden Werte begrenzt, nicht auf den höheren (Artikel 99 Absatz 6). Ein Unternehmen mit 4 Millionen Euro Jahresumsatz riskiert in der Stufe des Artikels 99 Absatz 4 also 3 Prozent dieses Betrages und nicht 15 Millionen Euro. Die Verordnung (EU) 2026/1744 hat Artikel 99 Absatz 6a ergänzt: dieselbe Obergrenze für kleine Midcaps, aber nur für die Stufen nach Artikel 99 Absatz 4 und 5.

Nach Artikel 85 kann jede natürliche oder juristische Person, die Grund zur Annahme eines Verstoßes hat, bei der zuständigen Marktüberwachungsbehörde Beschwerde einlegen. Solche Beschwerden werden bei der Marktüberwachung berücksichtigt und nach der Verordnung (EU) 2019/1020 behandelt. Hat die Behörde hinreichenden Grund zu der Annahme, dass ein System ein Risiko für Gesundheit, Sicherheit oder Grundrechte darstellt, bewertet sie es anhand aller Anforderungen der Verordnung, und die betroffenen Akteure müssen mitwirken (Artikel 79 Absatz 2).

Das erste Ergebnis ist kein Bußgeld. Stellt die Behörde einen Verstoß fest, fordert sie unverzüglich Korrekturmaßnahmen, die Rücknahme vom Markt oder den Rückruf innerhalb einer gesetzten Frist (Artikel 79 Absatz 2). Erst wenn der Akteur nicht angemessen handelt, ergreift sie vorläufige Maßnahmen, um das System zu verbieten oder einzuschränken, und unterrichtet die Kommission und die anderen Mitgliedstaaten (Artikel 79 Absatz 5). Ein Bußgeld tritt neben dieses Verfahren, es ersetzt es nicht.

Artikel 99 Absatz 1 spricht von Sanktionen und anderen Durchsetzungsmaßnahmen, die auch Verwarnungen und nicht-monetäre Maßnahmen umfassen können. In der Praxis begegnen Unternehmen zuerst einem begründeten Auskunftsverlangen, der Aufforderung zu Korrekturmaßnahmen, einer Rücknahme oder einem Rückruf nach Artikel 79 oder einer Beschränkung der Bereitstellung. Das kann härter treffen als ein Bußgeld, weil das Produkt nicht mehr verkauft werden darf, während über die Höhe noch gestritten wird. Österreich hatte seine Sanktionsregeln im September 2026 noch nicht erlassen; unmittelbar geltende Pflichten werden dadurch nicht ausgesetzt. Unser Leitfaden zu Österreich hat die Einzelheiten.