Was kostet ein Verstoß gegen den EU AI Act?

Die Bußgelder sind gestaffelt: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis 15 Mio. € oder 3 % für die meisten anderen Pflichtverstöße. Maßgeblich ist jeweils der höhere Betrag.

Die drei Sanktionsstufen nach Artikel 99

Die Verordnung (EU) 2024/1689 legt in Artikel 99 ein dreistufiges Bußgeldsystem fest. Die Höhe richtet sich danach, welche Pflicht verletzt wurde — nicht nur danach, wie schwer der Einzelfall wiegt.

• Stufe 1 — verbotene KI-Praktiken (Art. 5): bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Betrag höher ist. Dies betrifft die in Artikel 5 untersagten Anwendungen, etwa Social Scoring oder bestimmte biometrische Fernidentifizierung.
• Stufe 2 — Verstöße gegen sonstige Pflichten: bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes. Diese Stufe trifft Provider, Deployer, Importeure, Händler und Konformitätsbewertungsstellen, die ihre jeweiligen Pflichten nicht erfüllen — etwa bei Hochrisiko-Systemen nach Annex III.
• Stufe 3 — falsche Angaben gegenüber Behörden: bis zu 7,5 Mio. € oder 1 % des weltweiten Jahresumsatzes für unrichtige, unvollständige oder irreführende Auskünfte an benannte Stellen oder Marktüberwachungsbehörden.

Für GPAI-Modelle gilt ein eigener Rahmen: Nach Artikel 101 kann die EU-Kommission gegen Anbieter von General-Purpose-AI-Modellen Geldbußen bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes verhängen.

Warum "bis zu" wichtig ist

Die genannten Beträge sind gesetzliche Obergrenzen, keine Regelstrafen. Die Behörden bemessen die konkrete Höhe nach Kriterien wie Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, Kooperation und früheren Verstößen (Art. 99(7)). Ein erstmaliger, kooperativ behobener Formfehler wird anders behandelt als eine systematische verbotene Praxis.

Wenn-dann: typische Sonderfälle

• KMU und Start-ups: Für sie gilt jeweils der niedrigere der beiden Werte (Prozentsatz oder Festbetrag) als Obergrenze — Art. 99(6). Die Kappung wirkt also zu ihren Gunsten.
• Mehrere Verstöße gleichzeitig: Die Stufen schließen sich nicht aus; verschiedene Pflichtverletzungen können getrennt bewertet werden.
• Öffentliche Stellen: Mitgliedstaaten können für Behörden und EU-Organe abweichende oder eigene Sanktionsregeln vorsehen (Art. 99(8) sowie Art. 100 für EU-Organe).
• Ab wann durchsetzbar: Die Sanktionsregelungen sind seit dem 02.08.2025 anwendbar. Das Forcing Event für konsistente EU-weite Enforcement ist der 02.12.2027 (Digital Omnibus).

Weiterführend

Eine laufend gepflegte Übersicht dokumentierter Enforcement-Fälle und Aufsichts-Aktionen findet sich im Bußgeld-Tracker auf ki-bussgeld.de. Den vollständigen Kontext zu Pflichten und Stichtagen liefert der Leitfaden zum EU AI Act auf eu-ai-verordnung.de.

AEGIRA AI Navigator hilft, das eigene Risiko-Exposure nachweisbar und audit-ready abzuleiten: aegira.ai.