Definition: Bußgelder (EU-KI-Verordnung)
Bußgelder nach der EU-KI-Verordnung sind finanzielle Sanktionen, die nationale Behörden gegen Organisationen verhängen, die Pflichten aus der EU-KI-Verordnung verletzen, von wenigen Millionen Euro bis zu zweistelligen Millionenbeträgen, je nach Schwere des Verstoßes.
Kernmerkmale von Bußgeldern
Je stärker ein Verstoß Grundrechte oder Sicherheit gefährdet, desto höher der Strafrahmen.
- Drei gesetzliche Stufen, jeweils mit festem Euro-Höchstbetrag und Umsatzprozentsatz
- Der höhere der beiden Werte gilt für große Unternehmen, der niedrigere für KMU
- Bußgelder treffen Anbieter, Betreiber, Importeure, Händler und Bevollmächtigte
- Nationale Behörden legen den tatsächlichen Betrag innerhalb des Höchstrahmens fest
Bußgelder (EU-KI-Verordnung) vs. zivilrechtliche KI-Haftung
Bußgelder sind öffentlich-rechtliche Sanktionen, die an den Staat gezahlt werden; zivilrechtliche KI-Haftung ist ein privatrechtlicher Schadensersatzanspruch einer geschädigten Person, über den ein Gericht entscheidet. Ein diskriminierender Bewerber-Algorithmus kann sowohl ein Bußgeld für den zugrunde liegenden Verstoß gegen ein Hochrisiko-KI-System als auch eine separate zivilrechtliche Klage der betroffenen Person auslösen.
Bedeutung von Bußgeldern im Enterprise-KI-Umfeld
Der Höchstrahmen für verbotene Praktiken übersteigt die DSGVO, die Bußgelder nach Artikel 83 der Verordnung (EU) 2016/679 auf 4 % des Umsatzes oder 20 Millionen Euro begrenzt. Eine Bitkom-Umfrage aus 2024 ergab, dass sich weniger als ein Drittel der deutschen Unternehmen auf die Pflichten der KI-Verordnung gut vorbereitet fühlte.
Methoden und Verfahren für Bußgelder
Wer weiß, wie ein Bußgeld berechnet wird, kann Compliance-Aufwand gezielt priorisieren.
Die drei Bußgeldstufen
Artikel 99 legt drei Höchstrahmen fest, jeweils mit festem Betrag und Prozentsatz des weltweiten Umsatzes.
- Bis zu 35 Millionen Euro oder 7 % des Umsatzes für verbotene KI-Praktiken nach Artikel 5
- Bis zu 15 Millionen Euro oder 3 % des Umsatzes für Pflichten zu Hochrisiko-Systemen oder Allzweck-KI-Modellen
- Bis zu 7,5 Millionen Euro oder 1 % des Umsatzes für irreführende Angaben gegenüber Behörden oder benannten Stellen
KMU- und Start-up-Deckel
Für KMU, einschließlich Start-ups, gilt bei jedem Bußgeld der niedrigere der beiden Werte, fester Betrag oder Prozentsatz, nicht der höhere. Das verhindert, dass eine für Konzernumsätze gedachte Formel unverändert auf ein kleineres Unternehmen angewendet wird.
Nationale Durchsetzung und Marktüberwachung
Jeder EU-Mitgliedstaat benennt Marktüberwachungsbehörden, die Beschwerden prüfen, KI-Systeme kontrollieren und Bußgelder verhängen. In Deutschland liegt diese Rolle vor allem bei der Bundesnetzagentur, ergänzt durch Branchenregulierer wie die BaFin für Finanzdienstleistungen.
Wichtige Kennzahlen für Bußgelder
Unternehmen verfolgen eine Mischung aus Bereitschafts- und Risikokennzahlen, um das Bußgeldrisiko für die Geschäftsführung sichtbar zu machen.
Compliance-Bereitschaftskennzahlen
- KI-Nutzungsinventar: 100 % der Systeme nach Risikostufe klassifiziert
- Dokumentationsgrad: technische Unterlagen für jedes Hochrisiko-System bereit
- Reaktionszeit bei Vorfällen: unter 72 Stunden von Erkennung bis Meldung
- Schulungsquote: 100 % der KI-nahen Rollen geschult
Risiko- und Finanzkennzahlen
Finanz- und Rechtsabteilungen modellieren das Worst-Case-Bußgeldrisiko als Anteil des Umsatzes, dieselbe Grundlage, die Behörden verwenden. Risikoberater empfehlen zunehmend, dies neben dem Cyberrisiko im Risikoregister zu führen.
Qualität der Aufsicht
Die interne Revision prüft, bei wie vielen Hochrisiko-Einsätzen ein benannter Prüfer, ein dokumentierter Eskalationsweg und ein getesteter Eingriffsmechanismus vorhanden sind, denn Lücken hier prüft ein Inspektor zuerst.
Risikofaktoren und Kontrollen bei Bußgeldern
Die meisten Bußgelder gehen auf wenige wiederkehrende Fehlerquellen zurück, nicht auf vorsätzliches Fehlverhalten.
Falsche Risikoeinstufung von KI-Systemen
Unternehmen unterschätzen oft, welche ihrer Tools als Hochrisiko gelten, besonders bei Personal-, Kredit- und sicherheitsnahen Anwendungsfällen.
- Ein Anbieter-Tool als “nur Software” behandeln, ohne die KI-Verordnungs-Kategorie zu prüfen
- Eine Neueinstufung verpassen, wenn sich der Anwendungsfall nach dem Einsatz ändert
- Kein eindeutiger Verantwortlicher für das Risikoklassifizierungsregister
Schwache KI-Compliance-Programme
Ein fragmentiertes KI-Compliance-Programm, das zwischen IT und Rechtsabteilung wechselt, ist eine häufige Ursache für verpasste Fristen. Behörden suchen nach einem laufenden Prozess, nicht nach einer Checkliste vor einer Prüfung.
Unterversicherte Haftungsrisiken
Auch gut geführte Unternehmen tragen Restrisiken, die keine Kontrolle vollständig ausschließt. Eine KI-Haftpflichtversicherung deckt Bußgelder selbst in den meisten Märkten nicht, federt aber Rechtskosten und Ansprüche Dritter ab, die einer Untersuchung oft folgen.
Praxisbeispiel
Ein 160-Personen-Präzisionsteile-Hersteller in Baden-Württemberg nutzte ein KI-Tool eines Drittanbieters zur Vorauswahl von Bewerbern. Eine interne Prüfung ergab, dass das Tool als Hochrisiko-System nach Anhang III einzustufen war, aber die erforderliche Dokumentation fehlte. Das Unternehmen klassifizierte das Tool korrekt, erstellte technische Unterlagen, benannte einen Compliance-Verantwortlichen und führte eine Testprüfung durch, bevor der Betriebsrat informiert wurde.
- Risikoklassifizierungs-Workshop für jedes KI-Tool vor dem Rollout
- Technische Dokumentationsvorlage, abteilungsübergreifend wiederverwendet
- Benannter Compliance-Verantwortlicher mit Befugnis, nicht konforme Tools zu stoppen
- Vierteljährlicher Überprüfungszyklus, abgestimmt mit HR und Einkauf
Aktuelle Entwicklungen und Auswirkungen
Die Durchsetzung nimmt zu, während Behörden Kapazitäten aufbauen und erste Leitlinien veröffentlichen.
Frühe Durchsetzungssignale
Die meisten Mitgliedstaaten haben ihre Bußgeldregime erst 2025 fertiggestellt, daher gibt es wenig Rechtsprechung, doch Behörden priorisieren verbotene Praktiken sowie Hochrisiko-Anwendungen in Personal und Kredit.
- Erste förmliche Untersuchungen in Branchen mit verbraucherorientierten Scoring-Tools
- Behörden veröffentlichen Branchenleitlinien vor der Verhängung von Bußgeldern
- Zunehmende Abstimmung zwischen Datenschutz- und KI-Marktüberwachungsbehörden
Konvergenz mit anderen Regelwerken
Behörden gleichen zunehmend DSGVO und Branchenregeln ab, sodass eine Untersuchung parallele Verfahren nach mehreren Gesetzen auslösen kann.
Steigende Nachfrage nach Beratung und Versicherung
Rechts- und Versicherungsmärkte bieten inzwischen eigene Beratungsleistungen zur KI-Verordnung an, ein Zeichen dafür, wie ernst Unternehmen dieses Risiko mittlerweile nehmen.
Fazit
Bußgelder nach der EU-KI-Verordnung machen KI-Governance zu einem finanziellen Risiko auf Geschäftsführungsebene, mit Höchstrahmen, die DSGVO-Strafen übersteigen können. Mittelstandsunternehmen, die ihre Systeme korrekt einstufen, Entscheidungen dokumentieren und Verantwortung klar zuweisen, tragen ein deutlich geringeres Durchsetzungsrisiko als solche, die Compliance als Nebensache behandeln. Der KMU-Deckel mildert die Härte, befreit aber nicht von der Pflicht zur Einhaltung. Frühe, strukturierte Compliance-Arbeit bleibt der verlässlichste Schutz, während die Durchsetzung europaweit reift.
Häufig gestellte Fragen
Wie hoch ist das maximale Bußgeld nach der EU-KI-Verordnung?
Die höchste Stufe betrifft verbotene KI-Praktiken und reicht bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes, je nachdem, welcher Betrag höher ist. Verstöße gegen Hochrisiko-Pflichten sind niedriger gedeckelt, bei bis zu 15 Millionen Euro oder 3 % des Umsatzes.
Wie unterscheiden sich Bußgelder für KMU?
Artikel 99 deckelt jedes Bußgeld für KMU und Start-ups auf den niedrigeren der beiden Werte, fester Betrag oder Umsatzanteil, und kehrt damit die für große Unternehmen geltende Regel um, sodass eine auf Konzernumsätze zugeschnittene Formel nicht unverändert auf ein Mittelstandsunternehmen angewendet wird.
Gilt die EU-KI-Verordnung auch für ein Unternehmen mit 50 Mitarbeitenden?
Ja. Die Pflichten hängen von der Rolle des Unternehmens und der Risikokategorie des eingesetzten KI-Systems ab, nicht von der Mitarbeiterzahl. Ein Unternehmen mit 50 Mitarbeitenden, das ein Hochrisiko-HR-Tool nutzt, trägt dieselben Pflichten wie ein größeres, nur mit einem niedrigeren Bußgelddeckel.
Was kostet die Vorbereitung auf mögliche Bußgelder?
Die Kosten hängen davon ab, wie viele Systeme als Hochrisiko gelten, doch ein fokussiertes Klassifizierungs- und Dokumentationsprojekt für ein mittelständisches Unternehmen bewegt sich meist im niedrigen fünfstelligen Eurobereich, nicht im Rahmen einer eigenen Abteilung.
Wie lange dauert es, konform zu werden und Bußgelder zu vermeiden?
Die meisten Unternehmen schließen eine erste Risikoeinstufung und die dringendsten Dokumentationslücken innerhalb von zwei bis drei Monaten ab, auch wenn die volle Konformität für mehrere Hochrisiko-Systeme länger dauert. Früh anzufangen zählt mehr als groß anzufangen.
Wie unterstützt Superkind dabei, Compliance-Lücken zu vermeiden, die zu Bußgeldern führen?
Superkind baut KI-Mitarbeiter auf dem eigenen Wissen und den Systemen eines Unternehmens auf, mit menschlicher Freigabe im Arbeitsablauf, was es einfacher macht zu dokumentieren, wer was wann geprüft hat. Das ersetzt keine Rechtsberatung zur Einstufung nach der KI-Verordnung, verringert aber die operativen Lücken, aus denen häufig bußgeldrelevante Verstöße entstehen.
