EU-KI-VO Bußgelder: Sanktionen nach Artikel 99 im Überblick

Die Sanktionen der Verordnung (EU) 2024/1689 sind in Artikel 99 geregelt. Die Vorschrift verpflichtet die Mitgliedstaaten, wirksame, verhältnismäßige und abschreckende Sanktionen vorzusehen, und gibt zugleich europaweit einheitliche Obergrenzen vor. Die Bußgelder zählen zu den höchsten im europäischen Wirtschaftsrecht und übertreffen in der Spitze sogar den Rahmen der Datenschutz-Grundverordnung.

Die Höhe der Sanktion richtet sich nach der Schwere des Verstoßes. Die Verordnung unterscheidet drei Stufen, die jeweils einen festen Höchstbetrag und alternativ einen prozentualen Anteil am weltweiten Jahresumsatz vorsehen. Maßgeblich ist jeweils der höhere der beiden Beträge, bei kleinen und mittleren Unternehmen hingegen der niedrigere.

Die Sanktionsregeln sind gestaffelt anwendbar. Entscheidend ist stets, welche konkrete Pflicht verletzt wurde. Insbesondere darf der Höchstrahmen für verbotene Praktiken nicht als allgemeines Bußgeld für fehlende KI-Schulung oder Artikel 4 dargestellt werden.

Die schwerste Sanktionsstufe betrifft Verstöße gegen das Verbot bestimmter KI-Praktiken nach Artikel 5. Dazu zählen etwa manipulative Techniken, Social Scoring oder bestimmte Formen der biometrischen Echtzeit-Fernidentifizierung. Hier drohen Bußgelder von bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres.

Die mittlere Stufe erfasst in Artikel 99 benannte Verstöße gegen andere Pflichten der Verordnung, etwa bestimmte Anforderungen an Hochrisiko-KI-Systeme, Transparenzpflichten oder Pflichten von Anbietern und Betreibern. Diese Verstöße können mit bis zu 15 Mio. Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden.

Eine eigene, niedrigere Stufe gilt für die Erteilung falscher, unvollständiger oder irreführender Auskünfte gegenüber benannten Stellen oder zuständigen Behörden. Hier liegt der Rahmen bei bis zu 7,5 Mio. Euro oder 1 Prozent des weltweiten Jahresumsatzes. Für kleine und mittlere Unternehmen sowie Start-ups gilt jeweils der niedrigere der beiden Werte als Obergrenze.

Adressaten der Bußgelder sind in erster Linie die Anbieter und Betreiber von KI-Systemen als juristische Personen. Das Unternehmen selbst trägt damit die primäre wirtschaftliche Last einer Sanktion. Da die Obergrenzen an den weltweiten Konzernumsatz anknüpfen können, treffen sie vor allem große Unternehmen empfindlich.

Artikel 99 begründet keine pauschale persönliche Haftung der Geschäftsleitung. Ob Organmitglieder oder andere Personen persönlich haften, richtet sich nach der konkreten Pflichtverletzung, dem anwendbaren Gesellschafts- und Zivilrecht sowie den Umständen des Einzelfalls.

Artikel 4 schreibt seit 27. Juli 2026 Maßnahmen zur Unterstützung der Kompetenzentwicklung vor, aber keinen bestimmten Kurs. Fehlende Kompetenz kann praktische Fehler begünstigen; ein Bußgeld setzt jedoch einen einschlägigen, konkret festgestellten Sanktionstatbestand voraus.

Artikel 99 gibt den Behörden für die Bemessung der Geldbuße eine Reihe von Kriterien vor. Berücksichtigt werden unter anderem die Art, Schwere und Dauer des Verstoßes, die Zahl der betroffenen Personen und das Ausmaß des erlittenen Schadens. Auch die vorsätzliche oder fahrlässige Begehung fließt in die Bewertung ein.

Mildernd können sich Maßnahmen zur Schadensminderung sowie der Grad der Zusammenarbeit mit der Behörde auswirken. Welche technischen oder organisatorischen Maßnahmen im Einzelfall berücksichtigt werden, beurteilt die zuständige Stelle; eine Schulung garantiert keine bestimmte Reduzierung.

Erschwerend wirken hingegen frühere Verstöße, die Erzielung finanzieller Vorteile oder die Vermeidung von Verlusten durch den Verstoß sowie eine mangelnde Kooperationsbereitschaft. Die Bemessung erfolgt stets im Einzelfall unter Wahrung des Grundsatzes der Verhältnismäßigkeit.

Ein anschauliches Beispiel für die schwerste Stufe wäre der Einsatz eines KI-Systems zur unzulässigen emotionalen Manipulation von Verbrauchern oder ein nach Artikel 5 verbotenes Social-Scoring-System. Solche Praktiken können das volle Bußgeld von bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes nach sich ziehen.

In die mittlere Stufe fällt etwa der Betrieb eines Hochrisiko-KI-Systems in der Personalauswahl ohne die vorgeschriebene menschliche Aufsicht und ohne ausreichende Dokumentation. Auch das Verschweigen, dass Inhalte oder Entscheidungen durch KI erzeugt wurden, kann gegen Transparenzpflichten verstoßen und Bußgelder von bis zu 15 Mio. Euro oder 3 Prozent des Jahresumsatzes auslösen.

Ein praxisnahes Risiko für viele Unternehmen ist der ungeschulte Einsatz generativer KI. Geben Beschäftigte vertrauliche Daten in öffentliche Tools ein oder übernehmen fehlerhafte Ergebnisse ungeprüft, können daraus Datenschutzverstöße und Folgeschäden entstehen. Eine dokumentierte KI-Kompetenz-Schulung senkt dieses Risiko und stärkt die Position im Falle einer behördlichen Prüfung.