Sanktionen der EU-KI-Verordnung: Bußgelder bis zu 35 Millionen Euro erklärt

Die EU-KI-Verordnung (Verordnung 2024/1689) führt eines der bedeutendsten Durchsetzungsregime in der Technologieregulierung ein. Mit Bußgeldern von bis zu 35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes sind die finanziellen Risiken vergleichbar mit — und in manchen Fällen höher als — denen der DSGVO.

Das Verständnis der Sanktionsstruktur ist nicht nur eine juristische Übung. Es ist eine strategische Notwendigkeit für jede Organisation, die KI-Systeme in der Europäischen Union entwickelt, einsetzt oder vertreibt.

Die dreistufige Sanktionsstruktur

Artikel 99 der EU-KI-Verordnung legt ein abgestuftes System von Verwaltungsgeldbußen fest, das an die Schwere des Verstoßes angepasst ist. Die drei Stufen spiegeln den risikobasierten Ansatz der Verordnung wider: Je gefährlicher der Verstoß, desto höher die Strafe.

Stufe 1: Verbotene KI-Praktiken — Bis zu 35 Millionen EUR oder 7 % des Umsatzes

Die höchsten Strafen sind Verstößen gegen Artikel 5 vorbehalten — den vollständig verbotenen KI-Praktiken. Dazu gehören:

Social Scoring durch Behörden
Manipulative oder täuschende KI-Techniken, die Verhalten verzerren und erheblichen Schaden verursachen
Ausnutzung von Schwachstellen bestimmter Gruppen (Alter, Behinderung, soziale oder wirtschaftliche Situation)
Ungezieltes Scraping von Gesichtsbildern aus dem Internet oder von Überwachungskameras für Gesichtserkennungsdatenbanken
Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit begrenzten Ausnahmen)
Biometrische Kategorisierung, die sensible Merkmale wie Rasse, politische Meinungen oder sexuelle Orientierung ableitet
Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen für die Strafverfolgung (mit engen Ausnahmen)

Unacceptable Risk

Für Unternehmen beträgt das Bußgeld bis zu 35 Millionen EUR oder 7 % des weltweiten Gesamtjahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. Dieser Wert wurde bewusst über dem DSGVO-Maximum von 4 % des Umsatzes angesetzt, um die Ernsthaftigkeit zu signalisieren, mit der die EU diese Praktiken behandelt.

Stufe 2: Nichteinhaltung der Kernpflichten — Bis zu 15 Millionen EUR oder 3 % des Umsatzes

Die zweite Stufe deckt Verstöße gegen die meisten anderen materiellen Anforderungen der Verordnung ab. Dies umfasst die Nichteinhaltung von:

Anforderungen an Hochrisiko-KI-Systeme (Artikel 8–15) — Datengovernance, technische Dokumentation, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit
Pflichten der Anbieter von Hochrisiko-KI-Systemen (Artikel 16–22) — Qualitätsmanagement, Konformitätsbewertung, Registrierung, Marktüberwachung
Pflichten der Betreiber (Artikel 26) — Nutzung gemäß Anweisungen, Überwachung und Aufzeichnungen
Anforderungen an KI-Modelle mit allgemeinem Verwendungszweck (Artikel 51–55) — technische Dokumentation, Urheberrechts-Compliance und Management systemischer Risiken
Pflichten der Benannten Stellen und andere verfahrensrechtliche Anforderungen

Für Unternehmen beträgt das Bußgeld bis zu 15 Millionen EUR oder 3 % des weltweiten Gesamtjahresumsatzes, je nachdem, welcher Betrag höher ist.

Stufe 3: Falsche, unvollständige oder irreführende Angaben — Bis zu 7,5 Millionen EUR oder 1 % des Umsatzes

Die niedrigste — aber immer noch erhebliche — Stufe betrifft die Übermittlung falscher, unvollständiger oder irreführender Angaben an nationale zuständige Behörden oder Benannte Stellen. Dies umfasst:

Bereitstellung falscher Daten bei Konformitätsbewertungen
Nichtoffenlegung relevanter Informationen auf behördliche Anfrage
Irreführende Darstellungen in technischer Dokumentation oder EU-Konformitätserklärungen

Für Unternehmen können Bußgelder bis zu 7,5 Millionen EUR oder 1 % des weltweiten Gesamtjahresumsatzes betragen, je nachdem, welcher Betrag höher ist.

Die „je nachdem, welcher Betrag höher ist"-Klausel ist entscheidend. Für ein Unternehmen mit 5 Milliarden EUR Jahresumsatz könnte ein Verstoß der Stufe 1 zu einer Geldbuße von 350 Millionen EUR führen — zehnmal so hoch wie die nominale Obergrenze von 35 Millionen EUR. Die prozentuale Berechnung gilt für den gesamten Konzern, nicht nur für die Tochtergesellschaft, die das KI-System betreibt.

Wie Bußgelder berechnet werden

Artikel 99 Absatz 3 legt die Faktoren fest, die nationale zuständige Behörden bei der Entscheidung über die Verhängung eines Bußgeldes und die Festlegung seiner Höhe berücksichtigen müssen. Diese Faktoren stellen Verhältnismäßigkeit sicher und wahren gleichzeitig die Abschreckungswirkung:

Erschwerende Faktoren

Art, Schwere und Dauer des Verstoßes
Vorsätzlicher oder fahrlässiger Charakter des Verstoßes
Frühere Verstöße desselben Betreibers
Erlangte finanzielle Vorteile oder vermiedene Verluste infolge des Verstoßes
Anzahl der betroffenen Personen und Ausmaß des erlittenen Schadens
Größe des Unternehmens — größere Unternehmen werden mit proportional höheren Bußgeldern belegt

Mildernde Faktoren

Maßnahmen zur Minderung des Schadens für betroffene Personen
Grad der Zusammenarbeit mit den Aufsichtsbehörden
Art und Weise, wie der Verstoß bekannt wurde — Selbstanzeige wird positiv bewertet
Grad der Verantwortlichkeit unter Berücksichtigung der implementierten technischen und organisatorischen Maßnahmen
Einhaltung genehmigter Verhaltenskodizes oder genehmigter Zertifizierungsmechanismen

Behörden müssen sicherstellen, dass Bußgelder in jedem Einzelfall „wirksam, verhältnismäßig und abschreckend" sind. Das bedeutet, dass ein kleines Unternehmen und ein multinationaler Konzern für denselben Verstoß nicht gleich behandelt werden — aber keines den Konsequenzen entgehen wird.

Besondere Bestimmungen für KMU und Start-ups

In Anerkennung dessen, dass das Sanktionsregime kleinere Organisationen unverhältnismäßig belasten könnte, führt Artikel 99 Absatz 6 wichtige Schutzbestimmungen für KMU einschließlich Start-ups ein:

Bei der Berechnung von Bußgeldern müssen die wirtschaftliche Lebensfähigkeit des KMU und sein Jahresumsatz berücksichtigt werden
Verwaltungsgeldbußen für KMU sollten verhältnismäßig zu ihrer finanziellen Leistungsfähigkeit sein
Die Mitgliedstaaten werden ermutigt, KMU Anleitung und Unterstützung beim Verständnis und bei der Erfüllung ihrer Pflichten zu bieten
Das Europäische KI-Büro ist beauftragt, Vorlagen und vereinfachte Verfahren für kleinere Organisationen zu entwickeln

Der Durchsetzung voraus sein

Ctrl AI hilft Organisationen, prüfungssichere KI-Systeme mit vollständigen Ausführungsnachweisen, Expertenverifikation und Compliance-Dokumentation aufzubauen — bevor die Aufsichtsbehörden kommen.

Ctrl AI entdecken

Wer setzt die EU-KI-Verordnung durch?

Die Durchsetzungsarchitektur der EU-KI-Verordnung ist mehrschichtig und spiegelt die Komplexität des KI-Ökosystems wider:

Nationale zuständige Behörden

Jeder EU-Mitgliedstaat muss eine oder mehrere nationale zuständige Behörden benennen, die die Anwendung und Umsetzung der Verordnung überwachen (Artikel 70). Diese Behörden sind zuständig für:

Marktüberwachung von KI-Systemen in ihrem Hoheitsgebiet
Untersuchung von Beschwerden und potenziellen Verstößen
Verhängung von Verwaltungsgeldbußen und anderen Korrekturmaßnahmen
Zusammenarbeit mit Behörden in anderen Mitgliedstaaten

Jeder Mitgliedstaat muss außerdem eine nationale Aufsichtsbehörde benennen — in der Regel die Datenschutzbehörde oder eine eigene KI-Regulierungsbehörde — als zentrale Kontaktstelle.

Das Europäische KI-Büro

Das gemäß Artikel 64 eingerichtete Europäische KI-Büro spielt eine zentrale koordinierende Rolle:

Es beaufsichtigt direkt Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (einschließlich großer Sprachmodelle)
Es kann potenzielle Verstöße gegen die GPAI-Regeln untersuchen
Es kann Bußgelder gegen GPAI-Modellanbieter auf EU-Ebene verhängen
Es erleichtert die Zusammenarbeit zwischen nationalen Behörden und stellt technische Expertise bereit

Der Europäische KI-Ausschuss

Der KI-Ausschuss (Artikel 65) bringt Vertreter aus jedem Mitgliedstaat zusammen, um eine konsistente Anwendung der Verordnung in der gesamten EU sicherzustellen. Er gibt Empfehlungen ab, teilt Best Practices und berät die Kommission zu aufkommenden Fragen.

Für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck wird die Durchsetzung in erster Linie auf EU-Ebene vom KI-Büro gehandhabt — nicht von einzelnen Mitgliedstaaten. Dies schafft eine einzige regulatorische Anlaufstelle für Modelle wie GPT, Claude oder Gemini.

Korrekturmaßnahmen über Bußgelder hinaus

Bußgelder sind nur ein Instrument im Durchsetzungsinstrumentarium. Nationale zuständige Behörden haben auch die Befugnis, eine Reihe von Korrekturmaßnahmen gemäß Artikel 16 und den Marktüberwachungsbestimmungen zu verhängen:

Forderung von Korrekturmaßnahmen innerhalb einer festgelegten Frist
Einschränkung oder Verbot der Bereitstellung eines KI-Systems auf dem Markt
Anordnung des Rückrufs eines KI-Systems vom Markt
Ausgabe öffentlicher Warnungen über nicht-konforme KI-Systeme oder Anbieter
Forderung an Anbieter, Informationen bereitzustellen und Zugang zu Systemen für Untersuchungen zu gewähren

Diese nicht-finanziellen Maßnahmen können für eine Organisation ebenso schädlich sein. Eine öffentliche Rückrufanordnung oder Warnung kann erheblichen Reputationsschaden und Vertrauensverlust bei Kunden verursachen — Folgen, die den finanziellen Schaden eines Bußgeldes übersteigen können.

Der Durchsetzungszeitplan

Nicht alle Bestimmungen der EU-KI-Verordnung werden gleichzeitig durchsetzbar. Die Verordnung folgt einem gestaffelten Umsetzungszeitplan:

Zusammenwirken mit der DSGVO und anderen Verordnungen

Artikel 99 Absatz 8 behandelt ausdrücklich die Überschneidung zwischen der KI-Verordnung und der DSGVO. Wenn eine einzige Handlung oder Unterlassung gegen beide Verordnungen verstößt:

Darf das Gesamtbußgeld den für den schwersten Verstoß vorgesehenen Höchstbetrag nicht überschreiten
Müssen die Behörden koordinieren, um Doppelbestrafung für dasselbe Verhalten zu vermeiden
Können jedoch separate Verstöße gegen separate Vorschriften weiterhin unabhängig bestraft werden

Diese Koordinierungsanforderung ist besonders relevant für Hochrisiko-KI-Systeme, die personenbezogene Daten verarbeiten — was bei der überwiegenden Mehrheit der Fall ist.

Praktische Schritte zur Minimierung des Strafrisikos

Das Verständnis der Sanktionsstruktur ist wichtig, aber das Ziel sollte sein, niemals mit einer Durchsetzungsmaßnahme konfrontiert zu werden. Hier sind konkrete Schritte, die Organisationen unternehmen sollten:

1. Klassifizieren Sie Ihre KI-Systeme korrekt

Das Fundament der Compliance ist zu wissen, in welche Stufe Ihre Systeme fallen. Führen Sie eine gründliche Bestandsaufnahme und Risikoklassifizierung aller KI-Systeme durch, die Sie entwickeln, einsetzen oder vertreiben. Fehlklassifizierung — ob absichtlich oder fahrlässig — ist selbst ein Compliance-Verstoß.

2. Implementieren Sie robuste Dokumentation

Technische Dokumentation, Risikobewertungen und Konformitätserklärungen sind zentrale Anforderungen für Hochrisiko-KI-Systeme. Unvollständige oder ungenaue Dokumentation kann sowohl Bußgelder der Stufe 2 (für Nichteinhaltung) als auch der Stufe 3 (für irreführende Angaben) auslösen.

3. Etablieren Sie interne Governance

Legen Sie klare Verantwortlichkeiten für die KI-Compliance innerhalb Ihrer Organisation fest. Stellen Sie sicher, dass die für KI-Systeme verantwortlichen Personen ihre Pflichten unter der Verordnung verstehen und über die Ressourcen verfügen, diese zu erfüllen.

4. Bauen Sie Audit-Trails auf

Regulierungsbehörden werden nicht nur die Compliance zu einem bestimmten Zeitpunkt bewerten, sondern die Prozesse und Kontrollen, die Sie implementiert haben. Automatische Protokollierung, Versionskontrolle und Rückverfolgbarkeit von Entscheidungen für KI-Systeme liefern die Grundlage, die eine laufende Compliance belegt.

5. Verfolgen Sie regulatorische Leitlinien

Das KI-Büro, nationale Behörden und der KI-Ausschuss werden im Laufe der Jahre 2025 und 2026 Durchführungsrechtsakte, Leitlinien und Verhaltenskodizes herausgeben. Bleiben Sie in dieser sich entwickelnden Landschaft auf dem aktuellen Stand.

Organisationen, die proaktive Compliance-Bemühungen nachweisen — dokumentierte Risikobewertungen, interne Audits, Zusammenarbeit mit Behörden — erhalten mit deutlich größerer Wahrscheinlichkeit gemilderte Strafen im Falle eines Verstoßes. Die Verordnung belohnt ausdrücklich Compliance-Bemühungen in gutem Glauben.

Fazit

Das Sanktionsregime der EU-KI-Verordnung ist darauf ausgelegt, verhältnismäßig, aber wirkungsvoll zu sein. Mit Bußgeldern von bis zu 7 % des weltweiten Umsatzes für die schwerwiegendsten Verstöße sendet die Verordnung eine klare Botschaft: KI-Governance ist nicht optional.

Die abgestufte Struktur — von 7,5 Millionen EUR für Informationsverstöße bis 35 Millionen EUR für verbotene Praktiken — spiegelt ein differenziertes Verständnis der verschiedenen Arten wider, wie KI-Systeme Schaden verursachen können. In Kombination mit nicht-finanziellen Korrekturmaßnahmen und einer mehrschichtigen Durchsetzungsarchitektur gibt das Regime den Regulierungsbehörden erhebliche Instrumente zur Sicherstellung der Compliance an die Hand.

Für Organisationen, die auf dem EU-Markt tätig sind, lautet die Frage nicht, ob sie die Verordnung einhalten sollen, sondern wie schnell und gründlich sie die Systeme, Prozesse und Kultur aufbauen können, die die Compliance erfordert. Die Durchsetzungsuhr tickt bereits.