EU AI Act · Artikel 99
35 Millionen Euro. Diese Zahl steht in fast jedem Beitrag über die KI-Verordnung. Für ein mittelständisches Unternehmen ist sie irreführend, und zwar aus einem Grund, der in den meisten Texten fehlt.
Die Bußgeldvorschriften der KI-Verordnung gelten seit dem 2. August 2025. Seit dem 2. August 2026 führt in Deutschland die Bundesnetzagentur die Marktüberwachung. Damit ist die Frage nach der Bußgeldhöhe von einer theoretischen zu einer praktischen geworden.
Die kurze Antwort: Für die allermeisten deutschen Unternehmen liegt die Obergrenze nicht bei 35 Millionen Euro, sondern bei einem einstelligen Prozentsatz des eigenen Umsatzes. Warum das so ist, steht in Artikel 99 Absatz 6, und diese Regel wird selten mitgenannt.
Die drei Stufen des Bußgeldrahmens
Artikel 99 staffelt die Sanktionen nach der Schwere des Verstoßes. Hinzu kommt ein eigener Rahmen für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, den die Kommission selbst durchsetzt.
Grundregel: Maßgeblich ist der jeweils höhere der beiden Werte. Genau hier setzt die Ausnahme an, um die es im Folgenden geht.
Die Umkehrung für KMU
Artikel 99 Absatz 6 dreht die Regel für kleine und mittlere Unternehmen einschließlich Start-ups um: Für sie gilt der jeweils niedrigere Betrag. Nicht der höhere.
Das ist keine Randnotiz, sondern der Unterschied zwischen einer existenzvernichtenden und einer schmerzhaften Summe. Ein Beispiel mit realistischen Zahlen für einen Mittelständler mit 12 Millionen Euro Jahresumsatz:
Verbotene Praktik
840.000 EUR
7 % von 12 Mio. statt 35 Mio. EUR
Betreiber- oder Art.-50-Pflicht
360.000 EUR
3 % von 12 Mio. statt 15 Mio. EUR
Falsche Auskunft
120.000 EUR
1 % von 12 Mio. statt 7,5 Mio. EUR
Die Beträge bleiben empfindlich. Aber sie liegen in einer Größenordnung, die ein Unternehmen überlebt, und sie sind sämtlich Obergrenzen, keine Regelsätze. Als KMU gilt dabei, wer weniger als 250 Personen beschäftigt und höchstens 50 Millionen Euro Jahresumsatz oder höchstens 43 Millionen Euro Bilanzsumme aufweist.
Neu seit Juli: die Regel für kleine Midcap-Unternehmen
Der Digital Omnibus hat Artikel 99 einen Absatz 6a hinzugefügt. Er überträgt die Umkehrung auf kleine Midcap-Unternehmen, also auf Unternehmen, die keine KMU mehr sind, aber weniger als 750 Personen beschäftigen und höchstens 150 Millionen Euro Umsatz oder 129 Millionen Euro Bilanzsumme erreichen. Für Deutschland betrifft das rund 18.000 Unternehmen, die bislang wie Großkonzerne behandelt wurden.
Der Unterschied im Detail
Die neue Regel für kleine Midcaps verweist nur auf die Absätze 4 und 5, nicht auf Absatz 3. Bei verbotenen KI-Praktiken bleibt es für diese Unternehmen also beim höheren Betrag und damit potenziell bei 35 Millionen Euro. Für KMU gilt die Umkehrung dagegen auf allen drei Stufen. Wer die beiden Kategorien gleichsetzt, unterschätzt das Risiko der größeren Mittelständler an der empfindlichsten Stelle.
Zusätzlich verpflichtet Absatz 1 die Mitgliedstaaten, bei der Verhängung von Sanktionen die Interessen von KMU, Start-ups und kleinen Midcaps sowie deren wirtschaftliches Überleben zu berücksichtigen.
Was tatsächlich sanktioniert wird, und was nicht
Nicht jede Pflicht der KI-Verordnung hat einen Bußgeldtatbestand. Der Katalog in Absatz 4 ist abschließend, und zwei Punkte daraus verdienen Aufmerksamkeit.
Neu im Katalog: Artikel 25
Der Omnibus hat die Pflichten aus Art. 25 Abs. 2 und 4 in den Bußgeldkatalog aufgenommen. Das betrifft den Fall, dass ein Unternehmen entlang der Wertschöpfungskette selbst in die Anbieterrolle rutscht, etwa durch Anbieten unter eigenem Namen oder wesentliche Änderung des Zwecks.
Nicht im Katalog: Artikel 4
Die Pflicht zur KI-Kompetenz hat keinen eigenen Bußgeldtatbestand. Sanktionierbar ist sie nur über nationales Recht, und sie wird praktisch relevant, wenn ein Vorfall auf fehlende Schulung zurückgeht.
Wie die Höhe im Einzelfall zustande kommt
Die Zahlen aus der Tabelle sind Decken, keine Preisschilder. Artikel 99 Absatz 7 listet zehn Kriterien, die über den tatsächlichen Betrag entscheiden. Vier davon kann ein Unternehmen selbst beeinflussen, und zwar bevor etwas passiert.
Die ergriffenen technischen und organisatorischen Maßnahmen
Der Grad der Verantwortung wird ausdrücklich unter Berücksichtigung dessen bewertet, was das Unternehmen vorbeugend getan hat. Eine gepflegte Systemerfassung mit dokumentierten Zuständigkeiten ist damit kein Selbstzweck, sondern ein Faktor in der Bemessung.
Wie die Behörde von dem Verstoß erfahren hat
Ausdrücklich zählt, ob und in welchem Umfang das Unternehmen den Verstoß selbst gemeldet hat. Eigenmeldung wirkt mildernd, Entdeckung durch Dritte nicht.
Der Grad der Zusammenarbeit mit der Behörde
Wer auf ein Auskunftsersuchen innerhalb von Tagen strukturiert antworten kann, steht anders da als ein Unternehmen, das erst wochenlang zusammensuchen muss, welche KI überhaupt im Einsatz ist.
Vorsatz oder Fahrlässigkeit
Ein dokumentierter, wenn auch unvollständiger Compliance-Prozess spricht gegen Vorsatz. Das Fehlen jeglicher Befassung mit dem Thema spricht dafür, dass der Verstoß billigend in Kauf genommen wurde.
Hinzu kommen Kriterien, die außerhalb des eigenen Einflusses liegen: Art, Schwere und Dauer des Verstoßes, die Zahl der betroffenen Personen, Größe und Marktanteil des Unternehmens sowie erlangte finanzielle Vorteile.
Wer in Deutschland zuständig ist
Das KI-Marktüberwachungs- und Innovationsförderungsgesetz, kurz KI-MIG, ist am 29. Juli 2026 in Kraft getreten. Der Bundestag hatte es am 11. Juni beschlossen, der Bundesrat verzichtete am 10. Juli auf den Vermittlungsausschuss.
Zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle ist die Bundesnetzagentur. Sie führt die Marktüberwachung seit dem 2. August 2026 und ist insbesondere für branchenneutrale Anwendungen zuständig, ausdrücklich auch für KI im Personalmanagement, in kritischer Infrastruktur und im Bildungsbereich. Bei ihr angesiedelt ist das Koordinierungs- und Kompetenzzentrum KoKIVO. Sektoral bleiben BaFin, BSI, BfArM und BfDI zuständig.
Praktischer Hinweis: Die Bundesnetzagentur betreibt einen kostenlosen Service-Desk für Unternehmen. Wer bei der Einordnung eines Systems unsicher ist, kann dort fragen, statt zu raten. Für KMU ist das die günstigste verfügbare Auskunft.
Das Bußgeld ist oft nicht die teuerste Folge
Marktüberwachungsbehörden können mehr als Geld verlangen. Sie können Abhilfemaßnahmen anordnen, das Inverkehrbringen einschränken und die Nutzung eines Systems untersagen.
Für ein Unternehmen, dessen Kundenservice über einen KI-Assistenten läuft oder dessen Angebotserstellung an einem Modell hängt, ist eine angeordnete Abschaltung wirtschaftlich meist gravierender als ein Bußgeld im mittleren fünfstelligen Bereich. Dazu kommt, dass ein Verfahren öffentlich werden kann und dass Wettbewerber und Betroffene über die Beschwerdestelle seit August einen offiziellen Weg haben, auf Verstöße hinzuweisen.
Der eigentliche Punkt
Die Frage „wie hoch ist das Bußgeld" führt in die Irre, weil sie eine feste Zahl unterstellt. Tatsächlich hängt der Betrag von der Unternehmensgröße, der verletzten Norm und einer Liste von zehn Kriterien ab, von denen mehrere direkt an der eigenen Dokumentation hängen.
Wer belegen kann, welche KI-Systeme im Einsatz sind, welche Rolle das Unternehmen dabei einnimmt und wer verantwortlich ist, verbessert seine Position gleich dreifach: bei der Frage nach Vorsatz, beim Grad der Zusammenarbeit und bei der Bewertung der ergriffenen Maßnahmen. Das ist der Unterschied zwischen dem oberen und dem unteren Ende desselben Rahmens.
Mit SimpleAct
Auskunftsfähig sein, bevor gefragt wird.
EU AI Act und DSGVO in einer Plattform: KI-Systeme zentral erfassen, regelbasiert einstufen, Verantwortlichkeiten festlegen und jederzeit audit-fähige Nachweise exportieren. Made in Germany, gehostet in Deutschland.
KI-Systeme jetzt erfassen →Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Stand: 9. September 2026.
Tags
EU AI Act Compliance in Ihrem Unternehmen umsetzen?
SimpleAct hilft Ihnen, KI-Systeme zu erfassen, Risiken einzustufen und die geforderte Dokumentation automatisch zu erstellen.
Yannick | SimpleAct Team
Autor · SimpleAct Team