Drei Sanktionsstufen, ein Prinzip: Schwere entscheidet über die Höhe
Art. 99 KI-VO staffelt die Sanktionen nach der Schwere des Verstoßes. Die höchste Stufe betrifft Verstöße gegen die verbotenen KI-Praktiken nach Art. 5: Hier drohen Geldbußen von bis zu 35.000.000 EUR oder bis zu 7 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres – es gilt jeweils der höhere Betrag (Art. 99 Abs. 3).
Die zweite Stufe (Art. 99 Abs. 4) erfasst eine ganze Reihe konkret benannter Pflichten: Anbieterpflichten nach Art. 16, Pflichten von Bevollmächtigten (Art. 22), Einführern (Art. 23) und Händlern (Art. 24), Betreiberpflichten nach Art. 26, Anforderungen an notifizierte Stellen (Art. 31, Art. 33 Abs. 1, 3 und 4, Art. 34) sowie die Transparenzpflichten für Anbieter und Betreiber nach Art. 50. Hier liegt der Rahmen bei bis zu 15.000.000 EUR oder bis zu 3 % des weltweiten Jahresumsatzes.
Die dritte Stufe betrifft falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder zuständigen nationalen Behörden auf deren Auskunftsersuchen hin: bis zu 7.500.000 EUR oder bis zu 1 % des weltweiten Jahresumsatzes (Art. 99 Abs. 5).
In der Praxis bedeutet das: Ein Verstoß gegen ein Verbot nach Art. 5 wiegt rechtlich deutlich schwerer als eine unvollständige technische Dokumentation – die Bußgeldhöhe folgt dieser Logik konsequent.
KMU-Privileg: Der niedrigere Wert zählt
Für kleine und mittlere Unternehmen, einschließlich Start-ups, gilt eine Sonderregel: Nach Art. 99 Abs. 6 wird bei jeder der drei genannten Geldbußen jeweils der niedrigere Betrag aus Prozentsatz oder Festsumme angewendet. Ein KMU zahlt also nie mehr als den Prozentsatz seines Umsatzes verlangt, selbst wenn die Festsumme rechnerisch niedriger wäre. Das nimmt Start-ups zwar keine Haftung, begrenzt aber das wirtschaftliche Risiko im Vergleich zu Großunternehmen.
Was Behörden bei der Bemessung berücksichtigen
Art. 99 Abs. 7 listet die Kriterien, die Behörden bei der Entscheidung über Höhe und „Ob“ einer Geldbuße im Einzelfall abwägen müssen. Dazu zählen unter anderem:
- Art, Schwere und Dauer des Verstoßes sowie die Zahl betroffener Personen (lit. a)
- ob bereits andere Behörden für denselben oder einen zusammenhängenden Sachverhalt gebüßt haben (lit. b, c)
- Größe, Umsatz und Marktanteil des Akteurs (lit. d)
- der Grad der Kooperation mit den Behörden, um den Verstoß abzustellen (lit. f)
- Vorsatz oder Fahrlässigkeit (lit. i)
- bereits ergriffene Maßnahmen zur Schadensminderung (lit. j)
Für die Praxis heißt das: Dokumentierte technische und organisatorische Maßnahmen (lit. g) sowie eine kooperative Haltung im Falle eines Verstoßes wirken sich messbar auf die Bußgeldhöhe aus. Wer nachweisen kann, dass er Risiken ernst genommen hat, steht besser da als jemand, der erst auf Druck reagiert.
Der Praxisfall: Transparenzpflichten aus Art. 50
Besonders relevant für viele Unternehmen ist lit. g in Art. 99 Abs. 4: Verstöße gegen die Transparenzpflichten nach Art. 50 fallen in die zweite Bußgeldstufe – bis zu 15.000.000 EUR oder 3 % des Jahresumsatzes. Diese Pflichten gelten ab dem 02.08.2026, für Systeme, die bereits vorher in Verkehr waren, greift eine Schonfrist bis zum 02.12.2026.
Wer also KI-Systeme mit Kennzeichnungs- oder Informationspflichten betreibt – etwa Chatbots, die als solche erkennbar sein müssen, oder synthetische Medieninhalte, die als KI-generiert markiert werden müssen – sollte diesen Stichtag im Blick haben. Die Schonfrist verschafft Bestandssystemen zusätzliche Zeit, ändert aber nichts an der grundsätzlichen Bußgeldrelevanz ab dem regulären Stichtag.
Fazit
Der Bußgeldrahmen des Art. 99 ist gestaffelt, aber in der Spitze empfindlich: 35 Millionen Euro oder 7 % des weltweiten Umsatzes sind kein Pappenstiel. Wichtiger als die reine Höhe ist für die Praxis oft die Frage, welche Pflichten überhaupt greifen und ab wann – gerade bei den Transparenzpflichten nach Art. 50 mit ihrem gestaffelten Anwendungsbeginn.
Wenn Sie noch nicht wissen, welche Pflichten für Ihre KI-Systeme relevant sind und welches Bußgeldrisiko daraus folgt, hilft Ihnen unser kostenloser Risiko-Check unter /einstufung bei der ersten Einordnung.