Bei Verstoßen gegen den EU AI Act drohen je nach Verstoßart Bußgelder bis 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes. Gemäß Art. 99 der EU-VO 2024/1689 gibt es drei Bußgeldstufen; für Art. 4 zur KI-Kompetenz gibt es dagegen kein eigenes unionsweites Bußgeld, aber erhebliche Haftungs- und Governance-Risiken.
Wie hoch sind die AI-Act-Bußgelder?
Die schnellste Antwort liefert die Bußgeld-Tabelle. Unternehmen sollten dabei beachten, dass die oft genannte "Hochrisiko-Stufe" juristisch breiter ist: Die 15-Mio.-Kategorie erfasst nicht nur Hochrisiko-Pflichten, sondern weitere Anbieter-, Betreiber- und Transparenzpflichten.
| Verstoßart | Rechtslogik nach EU-VO 2024/1689 | Höchstbetrag | Umsatzgrenze | Praxis-Hinweis |
|---|---|---|---|---|
| Verbotene KI-Praktiken | Art. 5, sanktioniert über Art. 99 | bis 35 Mio. EUR | bis 7 % des weltweiten Jahresumsatzes | Die höchste Stufe betrifft verbotene Anwendungen wie bestimmte manipulative oder sozial bewertende Systeme. |
| Pflichten für Anbieter, Betreiber und Transparenz | u. a. Hochrisiko-Pflichten sowie Art. 16, 22-24, 26, 31, 33-34, 50 | bis 15 Mio. EUR | bis 3 % des weltweiten Jahresumsatzes | Diese Stufe wird oft verkuerzt als "Hochrisiko-Verstoß" beschrieben, ist aber weiter gefasst. |
| Falsche, unvollständige oder irrefuehrende Angaben | Informationen gegenüber Behörden | bis 7,5 Mio. EUR | bis 1 % des weltweiten Jahresumsatzes | Schon fehlerhafte Kooperation mit Aufsichtsbehörden kann eine eigene Sanktionsstufe ausloesen. |
| Art. 4 KI-Kompetenz | Kein eigener harmonisierter Bußgeldtatbestand in Art. 99 | kein spezifisches AI-Act-Bußgeld | keine eigene Prozentstufe | Fehlende Schulung bleibt trotzdem riskant, weil Haftung, Sorgfaltspflichten und andere Verstoße dadurch schwerer wiegen können. |
Wenn Sie die Schulungspflicht hinter der Art.-4-Zeile genauer einordnen wollen, ist der Beitrag KI-Schulungspflicht nach Artikel 4 der nächste sinnvolle Schritt. Für typische Praxisfragen zu Nachweis, Rollen und Umfang hilft ausserdem die FAQ-Seite.
Welche Verstoße fallen in die 35-Millionen-Stufe?
Die 35-Millionen-Stufe betrifft Verstoße gegen verbotene KI-Praktiken nach Art. 5 der EU-VO 2024/1689. Dazu gehoeren nicht einfach "riskante" Anwendungen, sondern Nutzungen, die der Gesetzgeber von vornherein aus dem Markt drücken will.
Praktisch relevant ist das für Unternehmen, weil Art. 5 seit dem 2. Februar 2025 gilt. Wer in HR, Sicherheit, Kundenscoring oder biometrischer Analyse mit KI arbeitet, sollte deshalb zuerst prüfen, ob die Nutzung ueberhaupt erlaubt ist, bevor über Dokumentation oder Optimierung gesprochen wird.
Die höchste Bußgeldstufe macht deutlich, wie strikt die Prioritaet der Verordnung gesetzt ist. Der AI Act will nicht nur Transparenz oder bessere Prozesse erzwingen, sondern bestimmte KI-Praktiken vollständig unterbinden. Genau deshalb steht die 35-Mio.-Kategorie über der DSGVO-Spitze von 20 Mio. EUR.
Was steckt wirklich hinter der 15-Millionen-Stufe?
Die 15-Millionen-Stufe wird in vielen Zusammenfassungen als Sanktion für "Hochrisiko-Verstoße" bezeichnet. Gemäß der Systematik von Art. 99 ist das nur teilweise richtig, weil diese Stufe auch weitere Anbieter-, Betreiber- und Transparenzpflichten umfasst.
Für Unternehmen ist der Kern trotzdem klar: Wer Hochrisiko-KI einsetzt oder andere materielle AI-Act-Pflichten verletzt, bewegt sich in der mittleren Bußgeldklasse. Darunter fallen typischerweise Pflichten zur Governance, Dokumentation, menschlichen Aufsicht oder Transparenz, die ab dem 2. August 2026 operativ deutlich schaerfer in den Vordergrund treten.
Die praktische Konsequenz ist wichtig: Ein Unternehmen kann in diese Stufe geraten, ohne eine verbotene KI-Praktik einzusetzen. Es reicht, dass ein erlaubtes System ohne die vorgeschriebenen Prozesse, Informationen oder Kontrollen betrieben wird. Wer die internen Grundlagen dafür erst 2026 aufbauen will, plant zu spät.
Warum Art. 4 kein eigenes Bußgeld hat und trotzdem riskant ist
Art. 4 verpflichtet Anbieter und Betreiber seit dem 2. Februar 2025, für ausreichende KI-Kompetenz ihrer Mitarbeiter und sonstigen eingesetzten Personen zu sorgen. Art. 99 enthaelt aber keinen eigenen unionsweit harmonisierten Bußgeldtatbestand, der isoliert nur auf fehlende KI-Schulung oder fehlende KI-Kompetenz abstellt.
Wichtig: "Kein eigenes Bußgeld" bedeutet nicht "keine Folgen". Fehlende KI-Kompetenz kann bei anderen AI-Act-Verstoßen, bei Organisationspflichten und bei zivilrechtlichen Haftungsfragen zum echten Problem werden.
Das Risiko entsteht an drei Stellen. Erstens schwaecht fehlende KI-Kompetenz die Sorgfaltsposition des Unternehmens, wenn Mitarbeiter Systeme falsch einsetzen. Zweitens steigt das Risiko weiterer Verstoße, etwa gegen Transparenzpflichten oder interne Freigaberegeln. Drittens wird die Dokumentationslage im Streitfall schlechter, wenn weder Schulungsstand noch Rollenverständnis nachgewiesen werden können.
Genau deshalb ist die Schulung keine kosmetische Maßnahme. Wer die Pflicht systematisch umsetzt, senkt nicht nur das Haftungsrisiko, sondern reduziert auch die Wahrscheinlichkeit, dass ein späterer AI-Act-Verstoß auf schlechte Organisation zurückgefuehrt wird. Wie so ein Nachweis aufgebaut sein sollte, zeigen wir im Kurs mit Abschlusstest und Schulungszertifikat.
Gilt immer der höhere Betrag?
Für grosse Unternehmen gilt grundsaetzlich der höhere Betrag aus fixer Obergrenze und Umsatzprozentsatz. Bei einem Konzern mit sehr hohem Weltumsatz kann deshalb die prozentuale Grenze von 7 %, 3 % oder 1 % deutlich über den festen Millionenbetraegen liegen.
Für kleine und mittlere Unternehmen gilt gemäß Art. 99 Abs. 6 dagegen eine wichtige Erleichterung. Bei KMU und Start-ups ist der niedrigere der beiden Betraege massgeblich. Diese Sonderregel aendert nichts an der Rechtswidrigkeit eines Verstoßes, sie begrenzt aber die finanzielle Oberkante.
Wer im Mittelstand Verantwortung traegt, sollte daraus zwei Dinge ableiten. Erstens sind die AI-Act-Bußgelder auch mit KMU-Regel nicht banal. Zweitens ist Praevention fast immer guenstiger als spätere Nachruestung, weil neben dem Bußgeld auch Projektstopp, interne Aufarbeitung und externer Beratungsaufwand drohen.
Gibt es bereits AI-Act-Bußgelder?
Stand 16. Maerz 2026 sind noch keine öffentlichen formellen Bußgelder nach dem AI Act bekannt. Das ist keine Entwarnung, sondern spiegelt vor allem wider, dass viele Mitgliedstaaten ihre Durchsetzungsstrukturen noch aufbauen und dass ein Teil der Pflichten erst ab dem 2. August 2026 voll wirksam in die breite Praxis greift.
Der Blick auf die DSGVO ist für Unternehmen trotzdem nuetzlich. Auch dort kamen die ersten grossen Bußgelder nicht am ersten Tag, sondern mit zeitlicher Verzoegerung, nachdem Behörden Verfahren, Prioritaeten und Nachweislogik aufgebaut hatten. Beim AI Act spricht deshalb vieles für eine aehnliche Entwicklung mit Warnungen, Untersuchungen und späteren Leuchtturmfällen.
Das bedeutet für die Praxis: Wer heute nur auf "noch keine Bußgelder" schaut, reagiert zu kurz. Relevanter ist, ob das eigene Unternehmen bis zum Beginn der breiteren Durchsetzung eine belastbare Dokumentation, klare Rollen und nachvollziehbare Nutzungsregeln vorweisen kann. Für einen kompakten Startpunkt finden Sie weitere Einordnungen gesammelt in unserer Wissens-Übersicht.
Was sollten Unternehmen jetzt konkret tun?
Unternehmen sollten AI-Act-Bußgelder nicht erst als Enforcement-Thema behandeln, sondern als Priorisierungshilfe für ihre Governance. Die richtige Reihenfolge lautet: verbotene Nutzungen ausschliessen, AI-Act-Pflichten je System erfassen, Schulung aufsetzen, Nachweise dokumentieren und Verantwortlichkeiten verbindlich machen.
Ein pragmischer Startplan für die nächsten Wochen sieht so aus:
- KI-Inventar erstellen: Listen Sie alle eingesetzten oder geplanten KI-Systeme mit Zweck, Fachbereich und Risikoprofil auf.
- Art.-5-Risiken sofort prüfen: Schliessen Sie verbotene Praktiken aus, bevor über Optimierung gesprochen wird.
- Pflichten je Einsatzfall zuordnen: Trennen Sie allgemeine Nutzungsfälle, Hochrisiko-Szenarien und Transparenzpflichten sauber.
- KI-Kompetenz nachweisbar machen: Schulen Sie betroffene Rollen und dokumentieren Sie Teilnahme, Inhalte und Testergebnisse.
- Eskalationsweg festlegen: Definieren Sie, wer bei neuen Tools, Vorfällen oder Zweifelsfällen entscheidet.
Wenn Sie diese Punkte nicht von null aufbauen wollen, ist unser Kurs für Unternehmen der schnellste Einstieg in eine belastbare Mindestlinie. Für Rueckfragen zu Nachweis, Team-Rollout oder Zertifikat beantwortet die FAQ-Seite bereits die haeufigsten Punkte.