EU AI Act Bußgelder: Was KMU realistisch riskieren

Der EU AI Act nennt Bußgelder bis zu 35 Millionen Euro. Das klingt nach einem Risiko für Großkonzerne, nicht für den Mittelstand. Tatsächlich schützt Art. 99 Abs. 6 des Gesetzes KMU ausdrücklich mit einer eigenen Rechenregel: Für kleine und mittlere Unternehmen gilt immer das niedrigere der beiden Elemente. Für ein KMU mit einer Million Euro Jahresumsatz bedeutet das bei den ab August geltenden Pflichten einen realistischen Höchstrahmen von 15.000 bis 30.000 Euro, nicht von Millionen.

Die drei Bußgeldstufen nach Art. 99 EU AI Act

Das Sanktionssystem des EU AI Act besteht aus drei Stufen, die je nach Schwere des Verstoßes greifen. Ausschlaggebend ist nicht, ob ein Schaden entstanden ist, sondern welche Pflicht verletzt wurde.

Konkrete Zahlen: Was riskiert ein KMU tatsächlich?

Drei Beispielunternehmen und ihr theoretischer Höchstrahmen bei einer Pflichtverletzung nach Art. 99 Abs. 2 (die für KMU ab August 2026 relevanteste Kategorie):

Diese Zahlen sind Höchstgrenzen, keine typischen Bußgelder. Behörden orientieren sich an Verhältnismäßigkeit, Schwere des Verstoßes, Vorsatz oder Fahrlässigkeit und ob das Unternehmen kooperiert hat. In der Praxis liegen tatsächlich verhängte Sanktionen bei erstmaligen, weniger schwerwiegenden Verstößen erheblich darunter.

Welche Pflichten betreffen KMU ab dem 2. August 2026?

Ab dem 2. August 2026 sind für die Mehrheit der KMU genau zwei Pflichtenkreise durchsetzbar:

• Art. 4 (KI-Kompetenz): Betreiber müssen sicherstellen, dass ihr Personal im Umgang mit KI-Systemen angemessen geschult ist. Ein Nachweis in Form einer schriftlichen KI-Nutzungsrichtlinie und dokumentierter Schulungen ist zu empfehlen. Verstöße fallen unter Stufe 2.
• Art. 50 (Transparenz): Chatbots müssen als KI gekennzeichnet sein, Deepfakes und KI-generierte Bilder mit Personen müssen offengelegt werden. Details im Artikel zu Art. 50. Verstöße fallen ebenfalls unter Stufe 2.

Hochrisiko-Pflichten nach Art. 10 bis 49 (Anhang III) greifen für die meisten KMU erst ab Dezember 2027. Verbotene Praktiken nach Art. 5 (Stufe 1) sind für reguläre Geschäftsanwendungen wie ChatGPT, Copilot oder Bildgeneratoren in der Regel nicht relevant, solange keine manipulative oder diskriminierende KI eingesetzt wird.

Wer kontrolliert die Einhaltung in Deutschland?

Die nationale Marktaufsichtsbehörde für den EU AI Act in Deutschland ist die Bundesnetzagentur. Sie wurde durch das KI-Aufsichtsgesetz (KI-Gesetz) mit dieser Aufgabe betraut und nimmt Beschwerden entgegen, führt Untersuchungen durch und kann Sanktionen verhängen. Daneben bestehen sektorale Zuständigkeiten: für Banken und Versicherungen etwa die BaFin, für Gesundheitsanwendungen das BfArM.

Die Bundesnetzagentur baut ihre KI-Aufsichtsstruktur derzeit auf. Sie hat angekündigt, sich in der Anfangsphase auf besonders schwerwiegende Verstöße und Beschwerden zu konzentrieren. Eine flächendeckende Routineprüfung aller KMU ist in den nächsten Jahren nicht zu erwarten.

Wie wird der EU AI Act in der Praxis durchgesetzt werden?

Die DSGVO bietet einen realistischen Vergleich: Die Verordnung gilt seit 2018, doch die ersten substanziellen Bußgelder gegen kleine und mittlere Unternehmen kamen erst Jahre später, meist nach konkreten Beschwerden oder Datenpannen. Ähnliches ist beim EU AI Act zu erwarten.

Durchsetzung folgt erfahrungsgemäß einem Muster:

1. Beschwerden: Wettbewerber, Verbraucher oder Mitarbeiter melden einen Verstoß.
2. Untersuchung: Die Behörde prüft, bittet um Stellungnahme und gibt die Möglichkeit zur Abhilfe.
3. Sanktion: Nur wenn kein Einlenken erfolgt oder der Verstoß besonders schwer ist, wird ein formelles Bußgeld verhängt.

Wer die ab August geltenden Pflichten (Art. 4 und Art. 50) aktiv umgesetzt hat, dokumentiert und im Zweifelsfall belegen kann, hat auch bei einer Beschwerde eine starke Ausgangsposition. Entscheidend ist nicht Perfektion, sondern der nachweisliche Wille zur Compliance.

Häufige Fragen

Gilt die KMU-Schutzregel automatisch?

Ja. Art. 99 Abs. 6 EU AI Act legt fest, dass für KMU einschließlich Start-ups das jeweils niedrigere der beiden Elemente als Höchstgrenze gilt. Ein Antrag ist nicht nötig; die Behörde muss die Unternehmensgröße bei der Bußgeldbemessung von Amts wegen berücksichtigen.

Welche Verstöße sind ab dem 2. August 2026 für KMU relevant?

Vor allem Verstöße gegen Art. 4 (KI-Kompetenz) und Art. 50 (Transparenz). Beide fallen unter die mittlere Bußgeldstufe nach Art. 99 Abs. 2. Hochrisiko-Pflichten nach Anhang III gelten für die meisten KMU erst ab Dezember 2027.

Wann wird die Bundesnetzagentur erste Bußgelder verhängen?

Konkrete Zeitpläne gibt es nicht. Die Behörde baut ihre KI-Aufsichtsstruktur auf. Erste Jahre werden durch Beschwerden und Hinweise geprägt sein, nicht durch flächendeckende Kontrollen. KMU, die Art. 4 und Art. 50 aktiv umgesetzt haben, haben kaum etwas zu befürchten.