Wie hoch sind die Bußgelder im EU AI Act?

Der EU AI Act sieht drei Bußgeldebenen vor: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen KI-Praktiken, bis zu 15 Millionen Euro oder 3 % bei Verstößen gegen Pflichten für Hochrisiko-KI sowie bis zu 7,5 Millionen Euro oder 1,5 % bei falschen Angaben gegenüber Behörden. Es gilt jeweils der höhere der beiden Werte — für kleine und mittlere Unternehmen werden die prozentualen Grenzen in der Regel maßgeblich sein.

Gelten die EU AI Act Strafen auch für kleine Unternehmen und Selbstständige?

Ja, der EU AI Act gilt grundsätzlich für alle Unternehmen, die KI-Systeme in der EU einsetzen, anbieten oder in Verkehr bringen — unabhängig von der Unternehmensgröße. Für KMU und Kleinstunternehmen sind jedoch verhältnismäßige Bußgelder und vereinfachte Pflichten vorgesehen, wie in Artikel 99 der Verordnung geregelt. Das entbindet dich aber nicht von der Grundpflicht zur Compliance.

Wann beginnt die Strafverfolgung nach dem EU AI Act?

Die ersten Verbote (unzulässige KI-Praktiken) gelten seit dem 2. Februar 2025. Pflichten für Hochrisiko-KI greifen je nach Kategorie ab August 2026 bzw. August 2027. Nationale Marktüberwachungsbehörden sind für die Durchsetzung zuständig — in Deutschland ist die genaue Behördenstruktur noch nicht abschließend gesetzlich fixiert; BSI und Bundesnetzagentur spielen dabei eine zentrale Rolle.

Was passiert, wenn ich unwissentlich gegen den EU AI Act verstoße?

Unwissenheit schützt nicht vor Strafe, kann sie aber unter Umständen mildern. Die zuständigen Behörden können bei fahrlässigen Verstößen geringere Bußgelder verhängen. Entscheidend ist, ob du nachweisen kannst, dass du zumutbare Schritte zur Compliance unternommen hast — etwa eine Bestandsaufnahme deiner KI-Systeme und eine dokumentierte Risikoeinschätzung.

EU AI Act Strafen — was droht bei Verstößen?

Der EU AI Act ist in Kraft — und mit ihm drohen Bußgelder, die selbst solide Mittelständler in ernsthafte Schwierigkeiten bringen können.

Viele Unternehmer wissen, dass da “irgendetwas mit KI-Regulierung” kommt. Aber wie hoch die Strafen wirklich sind, wen sie treffen und was du jetzt konkret tun musst, bleibt oft im Vagen. Dieser Artikel bringt Klarheit — ohne Juristendeutsch, aber mit den Zahlen, die du kennen solltest.

EU AI Act Strafen auf einen Blick: Das sind die Bußgeldgrenzen

Der EU AI Act (Verordnung (EU) 2024/1689) sieht in Artikel 99 ein dreistufiges Bußgeldsystem vor. Entscheidend ist, welche Art von Verstoß vorliegt — nicht pauschal, ob du ein großes oder kleines Unternehmen bist. Für jeden Verstoß gilt der jeweils höhere Wert aus dem absoluten Betrag und dem prozentualen Umsatzanteil.

Die drei Bußgeldebenen im Vergleich

Verstoßkategorie	Maximales Bußgeld (absolut)	Maximales Bußgeld (Umsatz)	Beispiele
Verbotene KI-Praktiken (Art. 5)	35.000.000 €	7 % des weltweiten Jahresumsatzes	Social Scoring, manipulative KI, biometrische Echtzeit-Überwachung im öffentlichen Raum
Verstöße gegen Hochrisiko-Pflichten (Art. 10–50)	15.000.000 €	3 % des weltweiten Jahresumsatzes	Fehlende Dokumentation, mangelnde Transparenz, kein Risikomanagement
Falsche oder irreführende Angaben gegenüber Behörden	7.500.000 €	1,5 % des weltweiten Jahresumsatzes	Fehlerhafte Konformitätserklärungen, falsche Auskünfte

Quelle: Art. 99 Verordnung (EU) 2024/1689, EUR-Lex

Wichtig für KMU: Für kleine und mittlere Unternehmen sowie Kleinstunternehmen sieht Art. 99 Abs. 6 ausdrücklich vor, dass Bußgelder verhältnismäßig zur Marktgröße und wirtschaftlichen Leistungsfähigkeit festzusetzen sind. In der Praxis bedeutet das: Die prozentualen Grenzen werden für dich in der Regel die entscheidende Größe sein — aber sie sind eben nicht null.

Praxisbeispiel

Handelsunternehmen · ca. 40 Mitarbeiter · Jahresumsatz rund 4 Millionen Euro

Ein Einzelhandelsunternehmen setzt seit 2024 ein KI-gestütztes Bewerbermanagementsystem eines Drittanbieters ein, das Lebensläufe automatisch vorselektiert und bewertet. Das System fällt laut EU AI Act in die Hochrisiko-Kategorie (Anhang III, Nr. 4 — KI-Systeme im Beschäftigungsbereich). Das Unternehmen hat vom Anbieter keine technische Dokumentation angefordert, führt keine eigene Risikoprüfung durch und hat keine interne Person benannt, die die Systemausgaben überwacht.

Die nationale Marktüberwachungsbehörde prüft im Rahmen einer Brancheninitiative mehrere Unternehmen. Beim Handelsunternehmen werden fehlende Dokumentation und das Fehlen menschlicher Aufsichtsmaßnahmen festgestellt — beides Pflichten nach Art. 10 ff. EU AI Act. Ein Bußgeld von 3 % des weltweiten Jahresumsatzes wären in diesem Fall bis zu 120.000 Euro.

Realistisch gemildert werden kann das Bußgeld, wenn das Unternehmen nachweist, dass es unverzüglich Nachbesserungen eingeleitet hat. Ohne jegliche Vorarbeit ist diese Verhandlungsposition aber schwach.

Das sagt Olga Reyes-Busch

“Viele meiner Kunden aus dem Mittelstand denken, der EU AI Act betrifft nur Tech-Konzerne. Das stimmt nicht. Wer heute ein Bewerbertool, ein Kreditscoring-System oder eine KI-gestützte Videoüberwachung einsetzt, ist bereits potenziell in der Pflicht — und sollte das nicht auf die lange Bank schieben. Die Bußgelder sind das eine. Der Reputationsschaden, wenn dein Name in einem Behördenverfahren auftaucht, ist das andere.”

— Olga Reyes-Busch, KI-Expertin für KMU · HeadUpHigh GmbH

Wann gelten welche Pflichten? Die Zeitlinie

Bevor du weißt, welche Strafe dir drohen kann, musst du wissen, ab wann du überhaupt in der Pflicht bist. Der EU AI Act ist gestaffelt in Kraft getreten:

Datum	Was gilt?
2. Februar 2025	Verbotene KI-Praktiken (Art. 5) sind untersagt — sofortige Wirkung
2. August 2025	Pflichten für General Purpose AI (GPAI) / KI-Modelle mit allgemeinem Verwendungszweck
2. August 2026	Pflichten für Hochrisiko-KI-Systeme (die meisten Kategorien aus Anhang III)
2. August 2027	Hochrisiko-KI-Systeme in regulierten Produkten (Anhang I)

Quelle: Art. 113 Verordnung (EU) 2024/1689, EUR-Lex

Das bedeutet: Wenn du ein Hochrisiko-System einsetzt, läuft seit August 2026 die Uhr. Wer jetzt noch keine Bestandsaufnahme gemacht hat, bewegt sich in einem Bereich, in dem Bußgelder theoretisch bereits möglich sind.

Wer kontrolliert den EU AI Act in Deutschland?

Die Durchsetzung liegt bei nationalen Marktüberwachungsbehörden. Deutschland befindet sich noch im Prozess der finalen Behördenstruktur, aber folgende Stellen spielen eine zentrale Rolle:

BSI (Bundesamt für Sicherheit in der Informationstechnik): Zuständig für Cybersicherheitsaspekte von KI-Systemen und aktiv an der nationalen Umsetzung beteiligt.
Bundesnetzagentur: Im Gespräch als mögliche federführende nationale Aufsichtsbehörde für den EU AI Act.
BfDI (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit): Relevanter Ansprechpartner bei Schnittmengen zwischen KI und Datenschutz (DSGVO-Verbindung).
Länderbehörden: Je nach Anwendungsbereich (z. B. Justiz, Polizei, Bildung) können auch die Landesbeauftragten für den Datenschutz der Bundesländer involviert sein.

Hinweis: Die genaue Behördenstruktur für Deutschland war zum Zeitpunkt der Aktualisierung dieses Artikels noch nicht abschließend gesetzlich fixiert. Verfolge die Entwicklungen beim BMWK und BSI.

So gehst du jetzt vor: Dein 5-Schritte-Plan zur Bußgeld-Vorsorge

Bestandsaufnahme aller KI-Systeme: Erfasse schriftlich, welche KI-Tools, Softwaresysteme oder automatisierten Entscheidungsprozesse du in deinem Unternehmen nutzt — egal ob eigene Entwicklung oder Drittanbieter.
Risikoklasse bestimmen: Prüfe anhand von Anhang III der Verordnung (EU) 2024/1689, ob eines deiner Systeme als Hochrisiko-KI eingestuft wird. Relevante Bereiche für KMU: Personalentscheidungen, Kreditvergabe, Kundenbonität, Sicherheitskomponenten in Produkten.
Verbotene Praktiken ausschließen: Stelle sicher, dass du kein System einsetzt, das unter Art. 5 fällt — etwa Social Scoring, manipulative Beeinflussung oder unzulässige biometrische Kategorisierung.
Dokumentation aufbauen: Für Hochrisiko-Systeme brauchst du technische Dokumentation, Risikoanalysen und Nachweise zur menschlichen Aufsicht. Fordere diese Unterlagen von deinen Anbietern ein — Anbieter sind nach dem AI Act verpflichtet, entsprechende Informationen bereitzustellen.
Verantwortlichkeit intern klären: Benenne eine Person in deinem Unternehmen, die den Überblick über KI-Compliance behält. Das muss kein Volljurist sein — aber es muss jemanden geben, der bei Behördenanfragen Auskunft geben kann und der Prozess dokumentiert ist.

So bringt dich HeadUpHigh weiter

Wenn du deinem Team die Grundlagen des EU AI Act verständlich vermitteln und gemeinsam eine Bestandsaufnahme eurer KI-Systeme anstoßen willst, ist eine strukturierte Schulung der schnellste Weg. Schau dir an, was die Inhouse-Schulung für euch leisten kann.

Zuletzt geprüft

Dieser Artikel wurde am 11. August 2026 aktualisiert. Alle Angaben zu Bußgeldhöhen basieren auf der Verordnung (EU) 2024/1689 in der zum Zeitpunkt der Aktualisierung geltenden Fassung. Da die nationale Umsetzung in Deutschland sich noch in Teilen im Entwicklungsstadium befindet, empfehle ich, aktuelle Informationen beim BSI (bsi.bund.de) und beim BMWK abzurufen.

Sonnige Grüße, Olga

Fragen? Einfach melden — oder direkt ein kurzes Gespräch buchen.

Kurzes Gespräch buchen →