EU-KI-Gesetz – Bußgelder und Sanktionen: Was riskieren KMU in der EU wirklich?

Die Schlagzeilen-Zahlen sind erschreckend: bis zu 35 Millionen EUR oder 7 % des weltweiten Umsatzes. Doch das sind Obergrenzen für die schwersten Verstöße der größten Unternehmen. Wenn Sie ein KMU führen, enthält das EU-KI-Gesetz eine Regel, die die Rechnung zu Ihren Gunsten umkehrt. Hier erfahren Sie, wie die Sanktionen tatsächlich aussehen und was sie für ein kleines Unternehmen bedeuten.

Neu beim Thema? Beginnen Sie mit unserem vollständigen Leitfaden zum EU AI Act.

Die drei Sanktionsstufen

Das EU-KI-Gesetz (Verordnung (EU) 2024/1689) legt drei Obergrenzen für Geldbußen fest, je nachdem, wogegen verstoßen wurde:

• Bis zu EUR 35M oder 7 % des weltweiten Jahresumsatzes für die Anwendung einer der verbotenen KI-Praktiken, die nach Artikel 5 untersagt sind (Artikel 99 Absatz 3).
• Bis zu EUR 15M oder 3 % für die Verletzung der meisten anderen Pflichten: die Pflichten von Anbietern und Betreibern von Hochrisikosystemen, die Transparenzvorschriften oder die Anforderungen an notifizierte Stellen (Artikel 99 Absatz 4). Seit der Verordnung (EU) 2026/1744 erfasst dieser Rahmen auch ausdrücklich die Pflichten der Wertschöpfungskette nach Artikel 25 — die Kooperation des Erstanbieters mit neuen Anbietern und die schriftlichen Vereinbarungen nach dem Stand der Technik mit Komponentenlieferanten (Artikel 99 Absatz 4 Buchstabe da).
• Bis zu EUR 7.5M oder 1 % für die Erteilung falscher, unvollständiger oder irreführender Auskünfte an Behörden oder notifizierte Stellen (Artikel 99 Absatz 5).

Für ein Unternehmen, das kein KMU ist, gilt für jedes Bußgeld der höhere Betrag aus dem festen Euro-Betrag oder dem Prozentsatz des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – gemessen auf Konzernebene, am Umsatz, nicht am Gewinn.

Die KMU-Regel, die die meisten Schlagzeilen übersehen

Artikel 99 Absatz 6 kehrt diese Regel für kleinere Unternehmen um. Für KMU und Start-ups ist jedes Bußgeld auf den niedrigeren Wert aus Prozentsatz oder festem Betrag begrenzt, nicht auf den höheren. Dieses eine Wort ändert alles für ein kleines Unternehmen.

Nehmen wir die oberste Stufe. Ein großer Konzern riskiert bis zu den höheren Betrag aus EUR 35M oder 7 % des Umsatzes. Ein KMU mit, sagen wir, EUR 2M Jahresumsatz riskiert bis zu den niedrigeren der beiden Beträge: 7 % von EUR 2M sind EUR 140.000, weit unter EUR 35M, sodass EUR 140.000 die Obergrenze bildet. Der Prozentsatz – nicht die schwindelerregende feste Zahl – begrenzt das Risiko eines KMU.

Die Verordnung (EU) 2026/1744 hat diese Logik auf kleine Midcap-Unternehmen ausgeweitet: Nach dem neuen Artikel 99 Absatz 6a sind Bußgelder der Stufen EUR 15M/3 % und EUR 7.5M/1 % (Absätze 4 und 5) ebenfalls auf den niedrigeren Betrag aus Prozentsatz oder Festbetrag begrenzt. Wichtiger Unterschied zur KMU-Regel: Die Stufe der verbotenen Praktiken ist von dieser Erweiterung nicht erfasst.

Dieselbe Verordnung hat auch Artikel 99 Absatz 1 neu gefasst: Nationale Sanktionsregime können neben Bußgeldern auch Verwarnungen und nicht-monetäre Maßnahmen vorsehen, und die Behörden müssen bei der Verhängung von Sanktionen die Interessen und die wirtschaftliche Lebensfähigkeit von KMU, Start-ups und kleinen Midcap-Unternehmen berücksichtigen.

KI-Modelle mit allgemeinem Verwendungszweck: Bußgelder durch die Kommission

Es gibt einen gesonderten Weg für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI). Nach Artikel 101 kann die Europäische Kommission – nicht eine nationale Behörde – gegen einen GPAI-Anbieter bei vorsätzlichen oder fahrlässigen Verstößen ein Bußgeld von bis zu EUR 15M oder 3 % des weltweiten Jahresumsatzes verhängen, je nachdem, welcher Betrag höher ist. Diese Bußgelder können vom Gerichtshof der EU überprüft werden.

Bußgelder sind Obergrenzen, keine Festbeträge

Jede der oben genannten Zahlen ist ein Höchstwert: Das Gesetz sagt „bis zu.“ Es gibt kein festes Bußgeld und keine Mindeststrafe. Wenn eine Behörde einen konkreten Betrag festlegt, muss sie nach Artikel 99 Absatz 7 unter anderem folgende Faktoren abwägen:

• Art, Schwere und Dauer des Verstoßes sowie seine Folgen;
• Größe, Umsatz und Marktanteil des Akteurs;
• ob der Verstoß vorsätzlich oder fahrlässig begangen wurde;
• in welchem Umfang der Akteur kooperiert hat und welche technischen und organisatorischen Maßnahmen er getroffen hatte;
• ob der Akteur das Problem selbst gemeldet und Maßnahmen zur Begrenzung des Schadens ergriffen hat.

Mit anderen Worten: Ein dokumentierter, in gutem Glauben unternommener Compliance-Aufwand senkt unmittelbar das Bußgeld, das eine Behörde voraussichtlich verhängen wird.

Wer das Bußgeld verhängt

Die Durchsetzung ist dreigeteilt: nationale Marktüberwachungsbehörden verhängen die Bußgelder nach Artikel 99 gegen Unternehmen; die Europäische Kommission verhängt über das KI-Büro Bußgelder gegen Anbieter von GPAI-Modellen nach Artikel 101; und der Europäische Datenschutzbeauftragte verhängt Bußgelder gegen EU-Institutionen nach Artikel 100 (begrenzt auf EUR 1.5M oder EUR 750.000).

Ab wann greifen die Bußgelder?

Einige gelten bereits. Die Verbote nach Artikel 5 sind seit dem 2. Februar 2025 durchsetzbar. Die GPAI-Pflichten gelten ab dem 2. August 2025, die Sanktionsbefugnis der Kommission ab dem 2. August 2026. Die Hochrisiko-Pflichten – die größte Risikoquelle für die meisten KMU – wurden durch das Digital-Omnibus-Paket auf den 2. Dezember 2027 für Anhang-III-Systeme verschoben (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026). Siehe unseren Leitfaden zu den Fristen für den vollständigen Zeitplan.

Prüfen Sie das Gesetz selbst

Die Bußgelder sind der Teil dieser Verordnung, den alle aus dem Gedächtnis zitieren — und im Gedächtnis bleibt meist die Schlagzeilen-Zahl und nicht die Regel, die tatsächlich für Sie gilt. Artikel 99 ist zwei Seiten lang. Wenn eine der Zahlen auf dieser Seite für Ihre Entscheidung zählt, lesen Sie ihn nach:

• Artikel 99 — Sanktionen, im konsolidierten Text in geänderter Fassung, Stand 27. Juli 2026
• Verordnung (EU) 2026/1744 — der Digital Omnibus on AI, der Artikel 99 Absatz 6a eingefügt hat

Zwei Dinge sollten Sie am Text prüfen und nicht an einer Zusammenfassung. Erstens, ob Sie ein KMU oder ein kleines Midcap-Unternehmen im Sinne der Empfehlung 2003/361/EC sind — die Deckelung auf den jeweils niedrigeren Betrag erfasst bei dem einen alle drei Stufen, bei dem anderen nur zwei, und Wagniskapital kann Sie unbemerkt zu einem verbundenen Unternehmen machen. Zweitens, dass es sich dabei um Obergrenzen handelt: Artikel 99 Absatz 7 verpflichtet die Behörden, die Art des Verstoßes und seine Dauer abzuwägen, ob Sie ihn selbst gemeldet haben und wie groß der Akteur ist. Niemand bekommt für eine erste Dokumentationslücke ein Bußgeld in Höhe der Schlagzeilen-Zahl.

So senken Sie Ihr Risiko

Der günstigste Weg, das Sanktionsrisiko zu verringern, besteht darin, einen Compliance-Nachweis vorlegen zu können: Klassifizierung, eine technische Dokumentation, menschliche Aufsicht und Überwachung, denn genau das sind die mildernden Faktoren, die Artikel 99 Absatz 7 belohnt. Sie sind nicht sicher, welche Ihrer Systeme überhaupt in den Anwendungsbereich fallen? Beginnen Sie mit dem kostenlosen EU AI Act Snapshot – zwei Minuten, ohne Anmeldung – und arbeiten Sie dann unsere 9-Schritte-Compliance-Checkliste durch. Tarife beginnen bei EUR 0.