CompliKI
Schnell-Check starten
// Ratgeber · Art. 99 VO (EU) 2024/1689

Was kostet ein Verstoß gegen den EU AI Act?

Die Verordnung (EU) 2024/1689 nennt in Art. 99 drei gestaffelte Bußgeld-Obergrenzen. Diese Obergrenzen sind im Amtsblatt veröffentlicht und damit eine überprüfbare Tatsache. Die Höhe im Einzelfall ist es nicht. Dieser Beitrag trennt beides sauber.

Autor Christian Baltes Veröffentlicht Aktualisiert Rechtsstand August 2026
AKTE · SANKTIONSRAHMEN Art. 99
Verbotene Praktiken (Art. 5)
35 Mio. € / 7 %
Pflichtverstöße (u.a. Art. 26, Art. 50)
15 Mio. € / 3 %
Falschauskunft an Behörden
7,5 Mio. € / 1 %
KMU und Start-ups (Abs. 6)
jeweils der niedrigere Wert
GPAI-Anbieter (Art. 101)
15 Mio. € / 3 %
Sanktionskapitel anwendbar seit
02.08.2025

Obergrenzen nach Art. 99 und Art. 101 der Verordnung (EU) 2024/1689. Keine Prognose für den Einzelfall.

Ausgangspunkt

Der Rahmen ist eine Tatsache, die Höhe eine Prognose.

Viele Anbieter beantworten die Bußgeldfrage entweder gar nicht oder mit einer Schlagzeile. Beides hilft nicht weiter. Wir machen es anders und trennen zwei Dinge, die regelmäßig vermischt werden.

Erstens der gesetzliche Rahmen. Die Obergrenzen stehen wörtlich in Art. 99 der Verordnung (EU) 2024/1689, veröffentlicht im Amtsblatt der Europäischen Union. Sie zu nennen ist keine Rechtsberatung, sondern die Wiedergabe eines veröffentlichten Gesetzestextes - genauso wie die Nennung der Geltungstermine.

Zweitens die tatsächliche Höhe im Einzelfall. Die legt eine Behörde nach den Kriterien des Art. 99 Abs. 7 fest, und sie hängt von Verstoß, Verhalten, Unternehmensgröße und nationaler Praxis ab. Dazu geben wir bewusst keine Prognose ab. Wer Ihnen sagt, ein bestimmter Verstoß koste einen bestimmten Betrag, rät.

Wichtig für die Einordnung

Die genannten Beträge sind Obergrenzen, keine Regelbußgelder. Sie markieren, was eine Behörde im denkbar schwersten Fall verhängen darf - nicht, was sie üblicherweise verhängt.

Die drei Stufen

Drei Stufen, jeweils der höhere Betrag.

Art. 99 staffelt die Bußgeld-Obergrenzen nach der Schwere des Verstoßes. Jede Stufe nennt zwei Werte: einen festen Eurobetrag und einen Prozentsatz des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres. Maßgeblich ist im Grundsatz der höhere der beiden Werte.

Bußgeld-Obergrenzen nach Art. 99 Abs. 3 bis 5 der Verordnung (EU) 2024/1689
StufeWorum es gehtObergrenze
Art. 99 Abs. 3 Verstoß gegen die verbotenen KI-Praktiken nach Art. 5 bis 35.000.000 € oder bis 7 % des weltweiten Jahresumsatzes
Art. 99 Abs. 4 Verstoß gegen Pflichten von Anbietern (Art. 16), Bevollmächtigten (Art. 22), Einführern (Art. 23), Händlern (Art. 24), Betreibern (Art. 26), notifizierten Stellen (Art. 31, 33, 34) sowie gegen die Transparenzpflichten nach Art. 50 bis 15.000.000 € oder bis 3 % des weltweiten Jahresumsatzes
Art. 99 Abs. 5 Unrichtige, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder nationalen Behörden bis 7.500.000 € oder bis 1 % des weltweiten Jahresumsatzes

Für den Mittelstand ist die mittlere Stufe die praktisch relevanteste. Dort stehen genau die Pflichten, die typische Anwenderunternehmen treffen: die Betreiberpflichten nach Art. 26 und die Transparenzpflichten nach Art. 50, die seit dem 2. August 2026 gelten. Wer wissen will, welche dieser Pflichten das eigene Haus betreffen, klärt zuerst die Akteursrolle - dazu unser Beitrag Provider oder Betreiber: welche Rolle Ihr Unternehmen hat.

Die oberste Stufe betrifft die verbotenen Praktiken nach Art. 5. Sie ist im Mittelstand selten einschlägig, aber nicht theoretisch: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen fällt darunter. Die Änderungsverordnung (EU) 2026/1744 hat den Verbotskatalog zudem um zwei Tatbestände erweitert, die ab dem 2. Dezember 2026 gelten.

KMU-Regel

Für KMU gilt jeweils der niedrigere Wert.

Art. 99 Abs. 6 enthält die Regel, die in Zusammenfassungen fast immer fehlt und für mittelständische Unternehmen den entscheidenden Unterschied macht: Für kleine und mittlere Unternehmen einschließlich Start-ups gilt bei jeder der drei Stufen der niedrigere der beiden Werte, nicht der höhere.

Praktisch heißt das: Bei einem Unternehmen mit 12 Millionen Euro Jahresumsatz liegt die Obergrenze der mittleren Stufe nicht bei 15 Millionen Euro, sondern bei 3 Prozent des Umsatzes, also bei 360.000 Euro. Die oft zitierten 35 Millionen Euro sind für ein solches Unternehmen von vornherein nicht die maßgebliche Zahl.

Hinzu kommt Art. 99 Abs. 1: Die Mitgliedstaaten legen die Sanktionsregeln fest und müssen dabei ausdrücklich die Interessen kleiner und mittlerer Unternehmen und deren wirtschaftliche Lebensfähigkeit berücksichtigen. Das ist eine Vorgabe an die Mitgliedstaaten für die Ausgestaltung und Zumessung - und keine Zusicherung, dass eine Sanktion ein KMU nie existenziell treffen kann.

Was das nicht bedeutet

Die KMU-Regel senkt die Obergrenze, nicht die Pflicht. Wer unter Art. 26 oder Art. 50 fällt, muss die Pflicht erfüllen - unabhängig davon, wie hoch das theoretische Maximum ausfällt.

Sonderfälle

GPAI-Anbieter und die Zuständigkeit in Deutschland.

Art. 101

Geldbußen gegen GPAI-Anbieter

Gegenüber Anbietern von KI-Modellen mit allgemeinem Verwendungszweck kann die Europäische Kommission selbst Geldbußen verhängen: bis zu 3 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres oder 15.000.000 €, je nachdem, welcher Betrag höher ist. Anlass sind unter anderem Verstöße gegen die Pflichten der Verordnung, unrichtige Auskünfte oder die Verweigerung des Modellzugangs für eine Bewertung. Diese Vorschrift betrifft Anbieter der großen Basismodelle, nicht deren Anwender.

KI-MIG

Wer in Deutschland zuständig ist

Das deutsche Durchführungsgesetz (KI-MIG) ist seit dem 29.07.2026 in Kraft und regelt die Zuständigkeiten. Die Bundesnetzagentur koordiniert die KI-Aufsicht und übernimmt die Marktüberwachung, soweit keine sektoralen Zuständigkeiten bestehen. Sie betreibt zudem einen KI-Service-Desk als Anlaufstelle. Belastbare Zahlen zur deutschen Bußgeldpraxis liegen zum Rechtsstand dieser Seite nicht vor - jede Aussage dazu wäre Spekulation.

Ein Datum, das häufig übersehen wird: Das Sanktionskapitel der Verordnung ist bereits seit dem 2. August 2025 anwendbar (Art. 113). Ausgenommen war lediglich Art. 101, der mit dem allgemeinen Geltungsbeginn am 2. August 2026 greift. Die Sanktionsseite ist also nicht erst Zukunftsmusik, auch wenn die Hochrisiko-Pflichten selbst erst später greifen. Welche Pflicht ab wann gilt, zeigt der Beitrag EU-AI-Act-Fristen: was jetzt gilt und was noch kommt.

Zumessung

Woran sich die Höhe im Einzelfall bemisst.

Art. 99 Abs. 7 zählt die Umstände auf, die eine Behörde bei der Festsetzung berücksichtigt. Die Liste ist der eigentliche Grund, warum pauschale Betragsangaben nicht seriös sind - und zugleich die beste Argumentationshilfe für strukturierte Vorarbeit. Zu den genannten Kriterien gehören unter anderem:

  • Art, Schwere und Dauer des Verstoßes und seine Folgen
  • ob bereits andere Behörden für denselben Verstoß Geldbußen verhängt haben
  • Größe, Jahresumsatz und Marktanteil des betroffenen Akteurs
  • erschwerende oder mildernde Umstände, etwa erlangte finanzielle Vorteile
  • der Grad der Zusammenarbeit mit den zuständigen Behörden
  • ob der Verstoß vorsätzlich oder fahrlässig begangen wurde
  • Maßnahmen zur Minderung des entstandenen Schadens

Drei dieser Kriterien lassen sich durch Dokumentation unmittelbar beeinflussen: Kooperationsbereitschaft, die Abgrenzung von Vorsatz und Fahrlässigkeit und der Nachweis ergriffener Maßnahmen. Ein Unternehmen, das auf Nachfrage binnen eines Tages ein datiertes Inventar, eine begründete Einstufung und eine Maßnahmenliste vorlegt, steht in jedem dieser drei Punkte anders da als eines, das erst anfangen muss zu suchen.

Einordnung

Was das für ein mittelständisches Unternehmen realistisch bedeutet.

Der EU AI Act ist kein Gesetz, das mit Millionenbußgeldern gegen Handwerksbetriebe und Maschinenbauer durchgesetzt werden soll. Die mit Abstand wahrscheinlichere Berührung mit dem Thema läuft anders: über den Lieferantenfragebogen eines Großkunden, über eine Ausschreibung, über die Due Diligence beim Unternehmensverkauf oder über eine Nachfrage des Betriebsrats. In all diesen Fällen entscheidet nicht die Bußgeldhöhe, sondern ob Sie innerhalb weniger Tage etwas Vorzeigbares liefern können.

Deshalb ist die nüchterne Antwort auf die Frage "Was kostet ein Verstoß?" für die meisten mittelständischen Unternehmen: weniger, als der verlorene Auftrag kostet, für den Sie den Nachweis nicht liefern konnten. Das ist keine Verharmlosung der Sanktionen, sondern eine Priorisierung nach Eintrittswahrscheinlichkeit.

Was wir hier ausdrücklich nicht tun

  • Keine Rechtsberatung: Dieser Beitrag gibt den veröffentlichten Gesetzestext wieder und ersetzt keine individuelle juristische Würdigung des Einzelfalls.

  • Keine Prognose zur Bußgeldhöhe: Die genannten Beträge sind gesetzliche Obergrenzen, keine Erwartungswerte für einen konkreten Fall.

  • Keine Aussage zur nationalen Praxis: Zur deutschen Bußgeldpraxis nach dem KI-MIG liegen zum Rechtsstand dieser Seite keine belastbaren Daten vor.

  • Keine Garantie der Tagesaktualität: Verordnung und Anwendungspraxis entwickeln sich weiter. Maßgeblich sind die offiziellen Quellen.

Quellen

Belege zu diesem Beitrag.

Weiterlesen.

Ratgeber EU-AI-Act-Fristen im Überblick 02.08.2026 · 02.12.2027 · 02.08.2028 Beitrag lesen Ratgeber Provider oder Betreiber? Art. 3, Art. 25, Art. 26 Beitrag lesen Ratgeber Was ein prüffestes Dossier enthält Anhang IV, Art. 12, Art. 26 Beitrag lesen
Nächster Schritt

Erst die Einstufung, dann die Sorge.

Ob Art. 26 und Art. 50 Ihr Haus überhaupt betreffen, klärt der kostenlose Schnell-Check in fünf Fragen - ohne Login und ohne E-Mail-Adresse.

Kostenlosen Schnell-Check starten EU AI Act im Überblick