AI Act Strafen: Welche Bußgelder drohen bei Verstößen? [2026]

AI Act Strafen im Überblick

Der EU AI Act (Verordnung (EU) 2024/1689) ist seit August 2024 in Kraft und enthält eines der schärfsten Sanktionsregime im europäischen Digitalrecht. Die Bußgelder übertreffen sogar die der DSGVO — und das ist kein Zufall [1].

Die EU hat aus der DSGVO gelernt: Ohne empfindliche Strafen bleiben Regeln zahnlos. Deshalb sieht Article 99 des AI Act ein dreistufiges Sanktionssystem vor, das sich nach der Schwere des Verstoßes richtet [2].

Entscheidend: Es gilt immer der höhere Betrag. Für einen Konzern mit 1 Milliarde Euro Jahresumsatz bedeutet die Höchststrafe also nicht 35 Millionen, sondern 70 Millionen Euro (7 %) [2].

Die drei Strafstufen erklärt

Das Sanktionssystem des AI Act funktioniert nach einem einfachen Prinzip: Je gefährlicher der Verstoß für Menschen, desto höher die Strafe. Die drei Stufen spiegeln die Risikokategorien der Verordnung wider [2].

Stufe 1 — Verbotene Praktiken (Article 5)

Die höchste Strafstufe betrifft KI-Systeme, die in der EU grundsätzlich verboten sind. Wer sie trotzdem einsetzt, riskiert bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes.

Stufe 2 — Pflicht-Verstöße (Articles 6-50)

Die mittlere Stufe betrifft Verstöße gegen die Hauptpflichten: Transparenz nach Article 50, Hochrisiko-Anforderungen, GPAI-Regeln. Bis zu 15 Millionen Euro oder 3 %.

Stufe 3 — Falsche Angaben (Article 99 Abs. 4)

Die niedrigste Stufe gilt für falsche oder irreführende Angaben gegenüber Aufsichtsbehörden. Bis zu 7,5 Millionen Euro oder 1 %.

Stufe 1: Verbotene KI-Praktiken (bis 35 Mio. € / 7 %)

Article 5 des AI Act definiert KI-Anwendungen, die in der EU ausnahmslos verboten sind. Diese Verbote gelten bereits seit dem 2. Februar 2025 — sie sind die ersten AI-Act-Regeln, die durchsetzbar wurden [3].

Verboten sind unter anderem:

• Soziales Scoring: KI-Systeme, die Menschen auf Basis ihres Sozialverhaltens bewerten und daraus Nachteile ableiten — vergleichbar mit dem chinesischen Sozialkreditsystem [3]
• Unterschwellige Manipulation: KI, die menschliches Verhalten unbewusst beeinflusst und dabei Schaden verursachen kann — etwa durch unterschwellige Techniken in Werbung oder politischer Kommunikation [3]
• Ausnutzung von Schwächen: KI-Systeme, die gezielt Alter, Behinderung oder soziale Lage ausnutzen, um Verhalten zu manipulieren [3]
• Biometrische Echtzeit-Überwachung: Gesichtserkennung in Echtzeit im öffentlichen Raum — mit engen Ausnahmen für Strafverfolgung [3]
• Emotionserkennung am Arbeitsplatz: KI, die Emotionen von Beschäftigten oder Schülern erkennt — außer aus Sicherheits- oder medizinischen Gründen [3]
• Biometrische Kategorisierung: Rückschlüsse auf Rasse, politische Meinung, Gewerkschaftszugehörigkeit, Religion oder sexuelle Orientierung aus biometrischen Daten [3]

Stufe 2: Transparenz- und Hochrisiko-Verstöße (bis 15 Mio. € / 3 %)

Die zweite Strafstufe betrifft die Pflichten, die für die meisten Unternehmen relevant sind. Sie umfasst zwei große Bereiche:

Transparenzpflichten (Article 50)

Die Transparenzpflichten nach Article 50 gelten für praktisch jedes Unternehmen, das KI einsetzt. Sie fordern:

• KI-Interaktionen kennzeichnen: Nutzer müssen wissen, dass sie mit einer KI sprechen — etwa bei Chatbots oder KI-Telefonsystemen [1]
• KI-generierte Inhalte markieren: Texte, Bilder, Audio und Video müssen maschinenlesbar als KI-generiert gekennzeichnet werden [1]
• Deepfakes offenlegen: Synthetische Medien, die reale Personen darstellen, müssen deutlich als KI-erzeugt markiert werden [1]
• Emotionserkennung transparent machen: Wenn ein System Emotionen erkennt, müssen Betroffene informiert werden [1]

Hochrisiko-KI-Pflichten (Articles 6-27)

Für KI-Systeme in kritischen Bereichen — etwa Personalauswahl, Kreditvergabe, Strafverfolgung oder medizinische Diagnose — gelten zusätzliche Anforderungen [5]:

• Risikobewertung und -management
• Datenqualität und Dokumentation
• Menschliche Aufsicht (Human-in-the-Loop)
• Genauigkeit, Robustheit und Cybersicherheit
• Konformitätsbewertung vor Markteintritt

Wer diese Pflichten nicht erfüllt, riskiert bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.

GPAI-Modelle (Articles 51-56)

Anbieter von General-Purpose AI-Modellen (wie GPT, Claude, Gemini) haben eigene Pflichten: technische Dokumentation, Copyright-Compliance und Transparenz über Trainingsdaten. Für GPAI-Modelle mit systemischem Risiko gelten zusätzliche Auflagen [6].

Stufe 3: Falsche Angaben (bis 7,5 Mio. € / 1 %)

Die dritte Stufe betrifft ein spezifisches Vergehen: Wer gegenüber Aufsichtsbehörden falsche, unvollständige oder irreführende Angaben macht, riskiert bis zu 7,5 Millionen Euro oder 1 % des Jahresumsatzes [2].

Das betrifft konkret:

• Falsche Angaben bei der Konformitätsbewertung
• Unvollständige technische Dokumentation
• Irreführende Informationen über die Fähigkeiten eines KI-Systems
• Verschweigen von bekannten Risiken oder Vorfällen

Auch wenn 7,5 Millionen Euro vergleichsweise moderat klingen: Falsche Angaben können zusätzlich als Ordnungswidrigkeit oder Straftat gewertet werden — und die Behörden werden genau hinschauen, ob ein Unternehmen kooperiert [2].

Sonderregeln für KMU und Startups

Der AI Act berücksichtigt die besondere Situation kleiner und mittlerer Unternehmen. Article 99 Absatz 6 enthält eine wichtige Schutzklausel [2]:

Zusätzlich sieht der AI Act vor [7]:

• Verhältnismäßigkeit: Behörden müssen Unternehmensgröße, Marktanteil und wirtschaftliche Leistungsfähigkeit berücksichtigen
• Regulatory Sandboxes: KMU können in Testräumen KI-Systeme entwickeln, ohne sofort alle Pflichten erfüllen zu müssen (Article 57-62)
• Vereinfachte Compliance: Für bestimmte Hochrisiko-KI-Systeme sollen vereinfachte Verfahren für KMU gelten
• Unterstützung: Die EU-Kommission und nationale Behörden sollen Leitlinien und Hilfestellungen für KMU bereitstellen

Trotz dieser Erleichterungen: Die Pflichten selbst gelten für KMU genauso wie für Konzerne. Nur die Strafen sind proportional niedriger. Eine strukturierte Checkliste hilft beim Einstieg in die Compliance.

Ab wann gelten die Strafen?

Der AI Act tritt gestaffelt in Kraft. Die Fristen im Überblick [8]:

Für die meisten Unternehmen ist der 2. August 2026 der entscheidende Stichtag. Ab dann müssen Transparenzpflichten nach Article 50 umgesetzt sein — also KI-Chatbots gekennzeichnet, KI-generierte Inhalte markiert und Deepfakes offengelegt [8].

Wer verhängt die Strafen?

Das Durchsetzungssystem des AI Act ist zweistufig [9]:

Nationale Ebene: Marktüberwachungsbehörden

Jeder EU-Mitgliedstaat muss mindestens eine Marktüberwachungsbehörde für den AI Act benennen. In Deutschland wird voraussichtlich die Bundesnetzagentur (BNetzA) diese Rolle übernehmen — analog zu ihrer Zuständigkeit für den Digital Services Act [9].

Diese Behörden sind zuständig für:

• Überwachung der Einhaltung des AI Act im jeweiligen Land
• Durchführung von Marktüberwachungsmaßnahmen
• Verhängung von Bußgeldern
• Bearbeitung von Beschwerden

EU-Ebene: Das AI Office

Das AI Office (eingerichtet im Februar 2024 als Teil der Europäischen Kommission) koordiniert die EU-weite Durchsetzung. Es ist besonders zuständig für [9]:

• GPAI-Modelle und deren Anbieter (OpenAI, Google, Meta etc.)
• Koordination zwischen nationalen Behörden
• Erarbeitung von Leitlinien und Standards
• Überwachung systemischer Risiken

Praxisbeispiele: Was kostet ein Verstoß?

Abstrakte Millionenbeträge sagen wenig. Hier konkrete Szenarien, die zeigen, welche Strafen in der Praxis drohen könnten:

Szenario 1: Chatbot ohne Kennzeichnung

Szenario 2: KI-generierte Produktbilder

Szenario 3: KI im Recruiting ohne Risikobewertung

Szenario 4: Emotionserkennung in Bewerbungsgesprächen

So schützt du dich vor Strafen

Die gute Nachricht: Die meisten Unternehmen können mit überschaubarem Aufwand compliant werden. Der AI Act bestraft nicht den Einsatz von KI — er bestraft mangelnde Transparenz und fehlende Sorgfalt [10].

5-Schritte-Plan zur Compliance

1. KI-Inventar erstellen: Welche KI-Systeme setzt dein Unternehmen ein? Chatbots, Content-Generierung, Datenanalyse, Entscheidungssysteme? Liste alles auf.
2. Risikoeinstufung vornehmen: Prüfe für jedes System, ob es unter verbotene Praktiken (Article 5), Hochrisiko (Anhang III) oder Transparenzpflichten (Article 50) fällt.
3. Transparenzpflichten umsetzen: Kennzeichne KI auf deiner Webseite, markiere KI-generierte Inhalte, informiere Nutzer über KI-Interaktionen.
4. Dokumentation aufbauen: Technische Dokumentation, Risikobewertung und Compliance-Nachweise erstellen — vor allem für Hochrisiko-Systeme.
5. Monitoring einrichten: Regelmäßig prüfen, ob neue KI-Systeme eingeführt werden und ob bestehende Systeme noch compliant sind.

Mildernde Faktoren bei Verstößen

Article 99 Absatz 7 nennt Faktoren, die zu einer niedrigeren Strafe führen können [2]:

• Geringe Schwere und kurze Dauer des Verstoßes
• Fahrlässigkeit statt Vorsatz
• Eigene Maßnahmen zur Schadensbegrenzung
• Aktive Kooperation mit den Behörden
• Freiwillige Meldung des Verstoßes
• Erstverstoß (kein Wiederholungstäter)

Im Umkehrschluss: Wer Verstöße vertuscht, nicht kooperiert oder wiederholt gegen Regeln verstößt, muss mit der Höchststrafe rechnen.

AI Act vs. DSGVO: Strafen im Vergleich

Der ausführliche Vergleich AI Act vs. DSGVO zeigt: Beide Verordnungen können gleichzeitig gelten. Wer einen KI-Chatbot betreibt, der personenbezogene Daten verarbeitet, muss sowohl DSGVO als auch AI Act einhalten — und riskiert Strafen nach beiden Regelwerken [4].

Häufige Fragen zu AI Act Strafen

Quellen