«Bis 35 Millionen» gilt für Sie wahrscheinlich nicht
Die Zahl steht in jeder Übersicht, die entscheidende Ausnahme in fast keiner: Für kleine und mittlere Unternehmen und für Start-ups gilt jeweils der niedrigereder beiden Werte, nicht der höhere. Wer nur die Schlagzeile liest, überschätzt sein Risiko um Größenordnungen — und übersieht darüber, was im Verfahren wirklich zählt.
Die drei Stufen des Artikels 99
Verbotene Praktiken
Verstoß gegen Artikel 5- Regelfall
- 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
- KMU und Start-ups
- der niedrigere der beiden Werte
Der höchste Rahmen der Verordnung. Betrifft die acht untersagten Anwendungen — im Unternehmensalltag praktisch nur die Emotionserkennung im Beschäftigungskontext.
Pflichten von Anbietern und Betreibern
unter anderem Artikel 16, 26 und 50- Regelfall
- 15 Mio. € oder 3 % des weltweiten Jahresumsatzes
- KMU und Start-ups
- der niedrigere der beiden Werte
Der Rahmen, der Anwenderunternehmen tatsächlich betrifft: fehlende Transparenz nach Artikel 50, fehlende menschliche Aufsicht, fehlende Dokumentation bei Hochrisiko-Systemen.
Falsche Angaben gegenüber Behörden
Auskunft im Verfahren- Regelfall
- 7,5 Mio. € oder 1 % des weltweiten Jahresumsatzes
- KMU und Start-ups
- der niedrigere der beiden Werte
Unrichtige, unvollständige oder irreführende Auskünfte gegenüber der Marktüberwachungsbehörde. Der niedrigste Rahmen — und der am leichtesten vermeidbare.
Was im Verfahren tatsächlich zählt
Ein Bußgeldrahmen ist keine Bußgelderwartung. Artikel 99 verpflichtet die Behörden ausdrücklich, bei der Bemessung Art und Schwere des Verstoßes, die Größe des Unternehmens, die Dauer und die getroffenen Maßnahmen zu berücksichtigen — und an dieser Stelle entscheidet sich mehr als an der Frage, gegen welchen Artikel verstoßen wurde.
Zwischen «wir haben geprüft, dokumentiert und uns begründet für diese Einordnung entschieden» und «darüber hat bei uns nie jemand nachgedacht» liegt im Ergebnis mehr Unterschied als zwischen zwei Verstoßarten. Deshalb ist die dokumentierte Bestandsaufnahme kein Formalismus, sondern die eigentliche Risikovorsorge: Sie kostet wenige Tage und verschiebt im Ernstfall die gesamte Ausgangslage.
Hinzu kommt, wie Verfahren praktisch entstehen. Anlasslose Kontrollen sind die Ausnahme; den Anstoß geben Beschwerden, Vorfälle und Hinweise — in Deutschland über die Anlauf- und Beschwerdestelle bei der Bundesnetzagentur. Der Zeitpunkt ist damit unvorhersehbar, was die Vorbereitung nicht weniger wichtig macht, sondern gerade deshalb.
Wer prüft in Deutschland und Österreich?
Deutschland: die Bundesnetzagentur. Das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) ist am 29. Juli 2026 in Kraft getreten und bündelt die nationale Aufsicht dort — als Marktüberwachungsbehörde, als zentrale Anlaufstelle und als Beschwerdestelle. Zusätzlich entsteht dort ein Koordinierungs- und Kompetenzzentrum.
Österreich: die KI-Servicestelle bei der Rundfunk und Telekom Regulierungs-GmbH als zentrale Anlaufstelle, während die Marktüberwachung auf sektorale Behörden verteilt bleibt.
Für ein Unternehmen mit Sitz in einem und Kunden im anderen Land heißt das: zwei Zuständigkeitsordnungen bei einem Regelwerk. Die Pflichten sind dieselben, die Ansprechpartner nicht.
Häufige Fragen
Wie hoch sind die Bußgelder nach dem EU AI Act?+
Artikel 99 kennt drei Stufen: bis 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken nach Artikel 5; bis 15 Millionen Euro oder 3 % bei Verstößen gegen Anbieter-, Betreiber- und Transparenzpflichten; bis 7,5 Millionen Euro oder 1 % bei falschen Angaben gegenüber Behörden. Bei größeren Unternehmen gilt jeweils der höhere der beiden Werte.
Gilt das für ein mittelständisches Unternehmen genauso?+
Nein, und dieser Punkt fehlt in den meisten Übersichten. Für kleine und mittlere Unternehmen und für Start-ups gilt jeweils der niedrigere der beiden Werte. Die Rechnung dreht sich also um: Ein Betrieb mit 20 Millionen Euro Umsatz riskiert bei einem Verstoß gegen Artikel 50 nicht 15 Millionen, sondern 3 % davon — 600 000 Euro als Obergrenze des Rahmens, nicht als zu erwartendes Bußgeld.
Seit wann können Bußgelder verhängt werden?+
Die Sanktionsvorschriften gelten seit dem 2. August 2025. Verhängt werden kann ein Bußgeld aber nur für den Verstoß gegen eine Pflicht, die zum fraglichen Zeitpunkt bereits anwendbar war — also seit Februar 2025 für die Verbote und die KI-Kompetenz, seit August 2026 für die Transparenzpflichten. Die Hochrisiko-Anforderungen sind erst ab Dezember 2027 verletzbar.
Wer verhängt das Bußgeld in Deutschland?+
Die Bundesnetzagentur. Das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz — kurz KI-MIG — ist am 29. Juli 2026 in Kraft getreten und bündelt die nationale KI-Aufsicht dort. Die Bundesnetzagentur ist zugleich Anlauf- und Beschwerdestelle, und über diesen Weg werden Verfahren in der Praxis häufiger ausgelöst als durch anlasslose Kontrollen.
Und in Österreich?+
Die KI-Servicestelle bei der Rundfunk und Telekom Regulierungs-GmbH ist die zentrale Anlaufstelle; die Marktüberwachung ist auf mehrere sektorale Behörden verteilt. Für ein Unternehmen mit Sitz in Österreich und Kunden in Deutschland heißt das: zwei Zuständigkeitsordnungen, ein Regelwerk.
Was macht im Ernstfall den Unterschied?+
Ob eine dokumentierte Einordnung und ein Schulungsnachweis vorliegen. Artikel 99 verlangt von den Behörden ausdrücklich, Art und Schwere des Verstoßes, die Unternehmensgröße und die getroffenen Maßnahmen zu berücksichtigen. Zwischen «wir haben geprüft und uns begründet anders entschieden» und «wir haben nie darüber nachgedacht» liegt im Bußgeldrahmen mehr als zwischen zwei Verstoßarten.
Drohen daneben zivilrechtliche Folgen?+
Die Verordnung selbst begründet keinen eigenen Schadenersatzanspruch. Praktisch relevanter sind die üblichen Wege: Ansprüche aus der DSGVO, wettbewerbsrechtliche Abmahnungen bei fehlender Kennzeichnung und vertragliche Haftung gegenüber Kunden, denen gegenüber Konformität zugesichert wurde. Die letzte Variante wird in Lieferantenverträgen zunehmend ausdrücklich geregelt.
Zuletzt aktualisiert: