Sanktionen & Verantwortung

EU AI Act: Wie hoch sind die Bußgelder und wer haftet im Unternehmen?

Die Verordnung (EU) 2024/1689 sieht Bußgelder bis 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen KI-Praktiken vor und bis 15 Mio. Euro oder 3 Prozent bei Verstößen gegen Anbieter- und Betreiberpflichten. Adressat ist das Unternehmen; die Organisationsverantwortung liegt bei der Geschäftsleitung. Für KMU gilt jeweils der niedrigere Betrag.

Die Verordnung staffelt die Bußgelder nach der Schwere des Verstoßes. Die höchste Stufe betrifft die verbotenen Praktiken aus Artikel 5 — etwa Social Scoring oder manipulative Systeme, die Schwächen ausnutzen. Diese Fälle sind im Mittelstand selten. Die mittlere Stufe trifft Pflichtverstöße von Anbietern und Betreibern und ist die praktisch relevante Kategorie.

Wichtig für die Einordnung: Der genannte Rahmen ist ein Maximum, kein Regelfall. Die Bemessung erfolgt nach nationalem Recht und berücksichtigt Art, Schwere und Dauer des Verstoßes, die Unternehmensgröße, den Vorsatz, frühere Verstöße und die Zusammenarbeit mit der Behörde. Ein mittelständisches Unternehmen, das eine Lücke bei erster Nachfrage zügig schließt, befindet sich in einer anderen Lage als eines, das eine Prüfung behindert.

Adressat der Verordnung ist das Unternehmen in seiner Rolle als Anbieter oder Betreiber. Nach innen wird daraus eine Frage der Organisationsverantwortung: Die Geschäftsleitung muss dafür sorgen, dass Pflichten erkannt, zugewiesen und überwacht werden. Diese Pflicht lässt sich delegieren, aber nicht abgeben — die Auswahl, Instruktion und Kontrolle des Verantwortlichen bleibt Leitungsaufgabe.

Praktisch bedeutet das: Eine benannte Zuständigkeit für KI-Compliance, eine dokumentierte Richtlinie und ein Nachweis über Schulung sind nicht nur Verordnungserfüllung. Sie sind auch die Unterlagen, mit denen eine Geschäftsführung belegt, dass sie ihre Organisationspflicht erfüllt hat.

Artikel 4 formuliert eine Bemühenspflicht: Maßnahmen sind nach besten Kräften zu ergreifen. Das ist milder als eine harte Erfolgspflicht, aber es ist keine Empfehlung. Wer überhaupt keine Maßnahmen belegen kann, erfüllt auch die Bemühenspflicht nicht.

Der wahrscheinlichere Effekt eines fehlenden Nachweises ist mittelbar. In einem Schadensfall — falsche KI-generierte Auskunft, unzulässig verarbeitete Personaldaten, diskriminierende Vorauswahl — verschiebt fehlende Schulung die Bewertung des Organisationsverschuldens deutlich zulasten des Unternehmens. Genau hier entstehen die praktisch teuren Fälle, nicht im Bußgeldbescheid.

Der EU AI Act tritt neben bestehende Regelungen, er ersetzt sie nicht. Verarbeitet ein KI-System personenbezogene Daten, greifen zusätzlich die Vorgaben der DSGVO mit ihrem eigenen Sanktionsrahmen von bis zu 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes. In der Praxis ist die Datenschutzaufsicht der wahrscheinlichere erste Kontakt, weil sie eingespielt ist und Beschwerden von Betroffenen dort auflaufen.

Dazu kommen wettbewerbsrechtliche Risiken: Nicht gekennzeichnete KI-Inhalte oder ein nicht als KI erkennbarer Chatbot können als irreführende geschäftliche Handlung angegriffen werden — abmahnbar, schnell und ohne Behörde.

Große Auftraggeber haben KI-Governance in ihre Einkaufs- und Compliance-Prozesse aufgenommen. Die Frage nach dokumentierter KI-Kompetenz steht heute in Lieferantenfragebögen, Ausschreibungsunterlagen und Auditchecklisten. Wer sie nicht beantworten kann, verliert kein Verfahren, sondern einen Auftrag.

Dieser Effekt tritt früher, häufiger und mit direkterer wirtschaftlicher Wirkung ein als jede behördliche Prüfung. Für die meisten mittelständischen Unternehmen ist er das eigentliche Argument, die Dokumentation jetzt herzustellen — nicht die Sorge vor Millionenbußgeldern.

Es braucht keine Compliance-Abteilung. Vier Dinge decken den größten Teil des Risikos ab: eine benannte Zuständigkeit, ein aktuelles Systeminventar, eine bekannte Richtlinie und dokumentierte Schulung. Alles vier ist in wenigen Wochen herstellbar.

Das zweitägige Zündstoff-Seminar liefert Schulung und Nachweis in einem Schritt und behandelt Regulatorik so, dass Führungskräfte danach Freigabeentscheidungen treffen können. [Platzhalter: Konditionen und Leistungsumfang vor Livegang prüfen.] Dieser Text ist eine Einordnung aus der Beratungspraxis und keine Rechtsberatung.