Das Bußgeld nach dem EU-KI-Gesetz hängt von der verletzten Vorschrift, dem verantwortlichen Akteur und den Tatsachen ab, die zur Bemessung der Sanktion herangezogen werden. Artikel 99 kennt drei wesentliche Stufen für Verwaltungsbußgelder: 35 Millionen EUR oder 7 %, 15 Millionen EUR oder 3 % sowie 7,5 Millionen EUR oder 1 %. Der Prozentsatz bezieht sich auf den gesamten weltweiten Jahresumsatz eines Unternehmens im vorangegangenen Geschäftsjahr. Jede Zahl ist eine Obergrenze. Die Behörde muss weiterhin die Verhältnismäßigkeitsfaktoren der Verordnung und das nationale Verfahren anwenden. Diese Übersicht berücksichtigt die Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744, die am 27. Juli 2026 in Kraft getreten ist. Diese Informationen sind allgemeiner Natur. Dieser Artikel stellt keine Rechtsberatung dar.
Sanktionsstufen des Artikels 99 im Überblick
Der Festbetrag gilt für eine Person oder Stelle, die bei der Umsatzberechnung nicht als Unternehmen behandelt wird. Bei einem Unternehmen verwendet die Behörde den höheren Betrag aus Festbetrag und Umsatzprozentsatz, vorbehaltlich der nachstehenden Sondergrenzen für kleinere Unternehmen.
| Verstoß | Höchstbußgeld | Verantwortliche Rollen | Obergrenze für kleinere Unternehmen |
|---|---|---|---|
| Nichteinhaltung der in Artikel 5 verbotenen KI-Praktiken | 35 Millionen EUR oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist | Der für die verbotene Praxis verantwortliche Akteur | KMU einschließlich Start-ups: der niedrigere Betrag. Keine Sonderregelung für kleine Midcap-Unternehmen in dieser Stufe. |
| Nichteinhaltung der in Artikel 99 Absatz 4 aufgeführten Pflichten | 15 Millionen EUR oder 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist | Anbieter, Bevollmächtigte, Einführer, Händler, Betreiber, benannte Stellen sowie Anbieter oder Betreiber, die Artikel 25 Absatz 2 oder 4 unterliegen | KMU einschließlich Start-ups und kleine Midcap-Unternehmen: der niedrigere Betrag |
| Unrichtige, unvollständige oder irreführende Informationen, die einer benannten Stelle oder einer nationalen zuständigen Behörde auf eine Anfrage hin übermittelt werden | 7,5 Millionen EUR oder 1 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist | Die auf die Anfrage antwortende Person oder das antwortende Unternehmen | KMU einschließlich Start-ups und kleine Midcap-Unternehmen: der niedrigere Betrag |
Ein Höchstbußgeld ist eine Obergrenze
Artikel 99 verlangt wirksame, verhältnismäßige und abschreckende Sanktionen. Mitgliedstaaten können außerdem Verwarnungen und nichtfinanzielle Maßnahmen einsetzen. Das nationale Recht regelt die konkreten Sanktionsregeln, Ermittlungsbefugnisse und Verfahrensgarantien.
Bei der Festsetzung der Höhe berücksichtigt eine Behörde Art, Schwere und Dauer des Verstoßes, seine Folgen und die Zahl der betroffenen Personen, Größe, Umsatz und Marktanteil der Organisation, erzielte Vorteile oder vermiedene Verluste, Kooperation, Verantwortung und Abhilfemaßnahmen, Offenlegung, Vorsatz oder Fahrlässigkeit sowie mildernde Umstände. Sie berücksichtigt außerdem Bußgelder, die andere Behörden für denselben Verstoß oder dieselbe Tätigkeit bereits verhängt haben.
Der Verwaltungsbußgeldkatalog entscheidet nicht über zivilrechtliche oder strafrechtliche Haftung, Schadensersatz oder eine Haftung nach einem anderen Gesetz. Öffentliche Stellen und Einrichtungen können den nationalen Sanktionsregeln unterliegen, soweit der jeweilige Mitgliedstaat dies festlegt.
35 Millionen EUR oder 7 %: verbotene KI-Praktiken
Die höchste Stufe des Artikels 99 betrifft die Nichteinhaltung von Artikel 5. Sie erfasst den Akteur, der eine verbotene Praxis ausführt oder in Verkehr bringt. Beispiele im ursprünglichen Gesetz sind schädliche Manipulation, die Ausnutzung von Schutzbedürftigkeit, die soziale Bewertung von Personen, bestimmte Formen der vorausschauenden Polizeiarbeit, das unterschiedslose Auslesen von Gesichtsbildern, Emotionserkennung am Arbeitsplatz und in Schulen, bestimmte Formen biometrischer Kategorisierung sowie die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen außerhalb der ausdrücklich genannten Ausnahmen.
Die ursprünglichen Verbote des Artikels 5 gelten seit dem 2. Februar 2025. Die Verordnung (EU) 2026/1744 ergänzt Verbote für KI-Systeme, die dazu bestimmt sind, Material des sexuellen Missbrauchs von Kindern zu erzeugen, sowie für KI-Systeme, die dazu bestimmt sind, intime Inhalte ohne Einwilligung zu erzeugen oder zu manipulieren. Diese Ergänzungen gelten ab dem 2. Dezember 2026.
Eine vertragliche Bezeichnung entscheidet nicht darüber, welcher gesetzliche Akteur verantwortlich ist. Teams sollten die tatsächliche Tätigkeit, die sie ausführende Partei und jede durch das Gesetz begründete Rolle als Anbieter, Betreiber, Einführer, Händler oder Produkthersteller bestimmen.
15 Millionen EUR oder 3 %: aufgezählte Pflichten und verantwortliche Rollen
Artikel 99 Absatz 4 enthält eine abschließende Aufzählung. Er ordnet die nachstehenden Pflichten der mittleren Stufe zu. Ein Anbieter und ein Betreiber können im selben System jeweils wegen ihrer eigenen Pflichten verfolgt werden. Die Haftung folgt der verletzten Pflicht und dem Akteur, dem diese Pflicht oblag.
| Verantwortliche Rolle | Vorschrift | Erfasste Pflicht |
|---|---|---|
| Anbieter | Artikel 16 | Die Anbieterpflichten für Hochrisiko-KI-Systeme |
| Bevollmächtigter | Artikel 22 | Die dem Bevollmächtigten zugewiesenen Pflichten zu Mandat, Dokumentation, Kooperation und Überprüfung |
| Einführer | Artikel 23 | Prüfungen und Pflichten zu Korrekturmaßnahmen des Einführers |
| Händler | Artikel 24 | Prüfungen und Pflichten zu Korrekturmaßnahmen des Händlers |
| Anbieter und Betreiber nach Artikel 25 | Artikel 25 Absatz 2 und 4 | Die durch die Verordnung (EU) 2026/1744 dieser Stufe hinzugefügten Kooperations- und Informationspflichten |
| Betreiber | Artikel 26 | Die Betreiberpflichten für Hochrisiko-KI-Systeme |
| Benannte Stelle | Artikel 31, 33 Absatz 1, 33 Absatz 3, 33 Absatz 4 und 34 | Pflichten zu Eignung, Informationen, Dokumenten, Zugang und Betrieb |
| Anbieter oder Betreiber | Artikel 50 | Anwendbare Transparenzpflichten für interaktive KI und KI für synthetische Inhalte |
Artikel 27 und Pflichten außerhalb der Liste der mittleren Stufe
Die Grundrechte-Folgenabschätzung nach Artikel 27 wird in der Liste des Artikels 99 Absatz 4 nicht genannt. Artikel 99 Absatz 1 verpflichtet die Mitgliedstaaten weiterhin, Sanktionen und andere Durchsetzungsmaßnahmen für Verstöße gegen die Verordnung festzulegen. Die anwendbare nationale Maßnahme muss in der jeweiligen Rechtsordnung geprüft werden. Dieselbe Sorgfalt gilt für jede Pflicht außerhalb der aufgezählten mittleren Stufe.
Nutzen Sie den Leitfaden zu den Betreiberpflichten nach Artikel 26 und die FRIA-Vorlage, um die zugrunde liegenden Pflichten zu trennen, bevor Sie eine Sanktionsstufe zuweisen.
7,5 Millionen EUR oder 1 %: Informationen auf eine Anfrage hin
Die niedrigste Stufe des Artikels 99 ist präzise. Sie betrifft die Übermittlung unrichtiger, unvollständiger oder irreführender Informationen an eine benannte Stelle oder eine nationale zuständige Behörde auf eine Anfrage hin. Für ein Unternehmen beträgt das Höchstmaß 7,5 Millionen EUR oder 1 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Die Anfragebedingung ist Teil des Verstoßes. Teams sollten die eingegangene Anfrage, ihren Umfang, die Frist, die übermittelte Antwort, unterstützende Aufzeichnungen, die prüfende Person und jede Korrektur aufbewahren. Diese Aufzeichnung hilft festzustellen, was die Behörde verlangt und was die Organisation übermittelt hat.
Die Verordnung (EU) 2026/1744 verleiht dem KI-Büro außerdem in bestimmten Fällen unmittelbare Aufsichtsbefugnisse. Sein neuer Rahmen wendet die Regeln des Artikels 99 Absatz 3 bis 7 mit den erforderlichen Anpassungen an und ordnet unrichtige, unvollständige oder irreführende Informationen, die auf eine Anfrage des KI-Büros hin übermittelt werden, der Informationsstufe zu.
Risiko für Anbieter, Betreiber, GPAI und öffentliche Stellen
Ein einzelner KI-Dienst kann Pflichten für mehrere Akteure begründen. Die Tabelle trennt die wichtigsten Sanktionswege.
| Akteur | Risiko nach Artikel 99 | Separat zu prüfender Weg |
|---|---|---|
| Anbieter eines Hochrisiko-KI-Systems | Artikel 5 bei Verantwortung für eine verbotene Praxis; Artikel 16 in der mittleren Stufe; Informationsstufe, wenn seine Antwort Artikel 99 Absatz 5 erfüllt | Eine nachträgliche Änderung kann nach Artikel 25 eine Anbieterrolle begründen oder übertragen |
| Betreiber eines Hochrisiko-KI-Systems | Artikel 5 bei Verantwortung für eine verbotene Praxis; Artikel 26 in der mittleren Stufe; Informationsstufe, wenn seine Antwort Artikel 99 Absatz 5 erfüllt | Nationale Durchsetzung nach Artikel 27, wenn eine Grundrechte-Folgenabschätzung erforderlich ist |
| Anbieter oder Betreiber nach Artikel 50 | Die anwendbaren Transparenzpflichten aus Artikel 50 liegen in der mittleren Stufe | Artikel 50 gilt ab dem 2. August 2026 |
| Anbieter eines KI-Modells mit allgemeinem Verwendungszweck | Artikel 99 kann auf Handlungen in seinem Anwendungsbereich anwendbar sein | Artikel 101 erlaubt der Kommission gesondert, Anbieter von GPAI-Modellen ab dem 2. August 2026 mit bis zu 15 Millionen EUR oder 3 % zu belegen |
| Organ, Einrichtung, Amt oder Agentur der Union | Artikel 100 enthält einen eigenen Katalog, der vom Europäischen Datenschutzbeauftragten verwaltet wird | Bis zu 1,5 Millionen EUR für Artikel 5 und 750.000 EUR für andere Verstöße |
| Nationale Behörde oder Stelle | Das Recht des Mitgliedstaats bestimmt, in welchem Umfang ein Verwaltungsbußgeld verhängt werden kann | Das Umsetzungs- und Verfahrensrecht des jeweiligen Mitgliedstaats prüfen |
Wie die Verordnung (EU) 2026/1744 Artikel 99 verändert
Die Änderung von 2026 ist am 27. Juli 2026 in Kraft getreten. Sie behält die drei zentralen Bußgeldstufen bei und verändert gezielt deren Anwendungsbereich.
- Artikel 99 Absatz 1 nennt Verwaltungsbußgelder, Verwarnungen und nichtfinanzielle Maßnahmen nun ausdrücklich als verfügbare Sanktionsformen für jeden Verstoß.
- Ausgewählte Kooperations- und Informationspflichten aus Artikel 25 Absatz 2 und 4 werden der Stufe von 15 Millionen EUR oder 3 % zugeordnet.
- Die Regel zur Bemessung der Sanktion nennt neben KMU und Start-ups nun auch kleine Midcap-Unternehmen, wenn Behörden die wirtschaftliche Tragfähigkeit berücksichtigen.
- Kleine Midcap-Unternehmen erhalten für die mittlere Stufe und die Informationsstufe den niedrigeren Betrag aus Festbetrag und Prozentsatz. Diese Sonderregelung gilt nicht für die Artikel-5-Stufe.
- Die Änderung verknüpft den dreistufigen Katalog mit der festgelegten Aufsicht des KI-Büros und mit Informationen, die auf eine Anfrage des KI-Büros hin übermittelt werden.
Zeitplan für die Durchsetzung nach der Änderung von 2026
Eine Bußgeldvorschrift kann in Kraft sein, bevor die zugrunde liegende Pflicht gilt. Eine Behörde benötigt eine anwendbare materielle Pflicht und einen Verstoß gegen diese Pflicht. Die folgenden Daten halten diese beiden Fragen getrennt.
| Datum | Was gilt |
|---|---|
| 2. Februar 2025 | Die ursprünglichen verbotenen Praktiken nach Artikel 5 |
| 2. August 2025 | Sanktionen des Kapitels XII einschließlich Artikel 99, mit Ausnahme der aufgeschobenen Bußgeldbefugnis für GPAI nach Artikel 101 |
| 27. Juli 2026 | Die Verordnung (EU) 2026/1744 tritt in Kraft und ändert Artikel 99 |
| 2. August 2026 | Transparenzpflichten nach Artikel 50 und die Bußgeldbefugnis der Kommission nach Artikel 101 für Anbieter von GPAI-Modellen |
| 2. Dezember 2026 | Die neuen Verbote nach Artikel 5 und der Übergangszeitpunkt für die maschinenlesbare Kennzeichnung bestimmter Ausgaben generativer Systeme |
| 2. Dezember 2027 | Pflichten des Kapitels III Abschnitte 1 bis 3 für eigenständige Hochrisiko-KI-Systeme nach Anhang III |
| 2. August 2028 | Pflichten des Kapitels III Abschnitte 1 bis 3 für Hochrisiko-KI-Systeme, die in Produkte nach Anhang I eingebettet sind |
Nachweise aufbauen, bevor eine Behörde fragt
Beginnen Sie mit einem Register für Rollen und Pflichten. Halten Sie für jedes System fest, ob die Organisation Anbieter, Betreiber, Einführer, Händler, Bevollmächtigter, Produkthersteller oder ein anderer Akteur nach Artikel 25 ist. Verknüpfen Sie jede anwendbare Pflicht mit einer verantwortlichen Person, einer Kontrolle, einem Betriebsnachweis und einem Prüfturnus. Bewahren Sie Anfragen von Behörden und benannten Stellen als gesteuerte Vorgänge mit den eingereichten Antworten und unterstützenden Aufzeichnungen auf.
Die KLA Control Plane kann einen Teil dieses Kontrolldesigns für Aktionen von KI-Agenten operationalisieren. Die KLA Policy Engine bewertet eine Aktion und gibt allow, warn, require approval oder block zurück. Ein Ergebnis require approval erzeugt einen Decision Request im Decision Desk. Jeder gesteuerte Lauf erzeugt einen Lineage Record mit Policy-Version, Urteil, zutreffenden Regeln, Begründung und Aktionskontext. Evidence Room und Sealed Evidence Bundles unterstützen die Prüfung und den Export dieser Aufzeichnungen, während Control Mapping Kontrollen mit Rahmenwerksanforderungen verknüpft.
KLA bestimmt nicht die rechtliche Rolle einer Organisation, entscheidet nicht, ob eine Pflicht gilt, setzt kein Bußgeld fest und garantiert keine Konformität. Rechtsanalyse und die weitergehenden Compliance-Aufzeichnungen der Organisation bleiben erforderlich.
Offizielle Quellen und ergänzende Leitfäden zum KI-Gesetz
Primärrecht: Verordnung (EU) 2024/1689 im Amtsblatt und die ändernde Verordnung (EU) 2026/1744 im Amtsblatt. Offizielle Begleitmaterialien: Artikel 99 beim AI Act Service Desk der Kommission und der Annahmebeschluss des Rates zur Änderung von 2026.
Für Einordnung und Geltungsbereich nutzen Sie den Hub zum EU-KI-Gesetz, den Leitfaden zu den Anforderungen von 2026, den Leitfaden für Anbieter und Betreiber und den Leitfaden zur Hochrisiko-Klassifizierung.
Für Pflichtaufgaben verwenden Sie die Dokumentationsanleitung zu Anhang IV, die Checkliste zum Artikel 17, die Anleitung zum Implementierer des Artikels 26, die FRIA-Vorlage, die Registrierungsanleitung, die Checkliste zum Artikel 50 und den Plan zur Nachmarktaufwachung von KI-Agenten.
Für die geänderten Termine lesen Sie den Leitfaden zu den neuen Fristen des Digital Omnibus und den Leitfaden zum 2. August 2026.
Häufig gestellte Fragen
Wie hoch ist das maximale Bußgeld nach dem EU-KI-Gesetz?
Die höchste Obergrenze des Artikels 99 beträgt 35 Millionen EUR oder 7 % des gesamten weltweiten Jahresumsatzes eines Unternehmens im vorangegangenen Geschäftsjahr, je nachdem, welcher Betrag höher ist. Sie gilt bei Nichteinhaltung der verbotenen KI-Praktiken nach Artikel 5.
Wann gilt das Bußgeld von 7 % nach dem EU-KI-Gesetz?
Die 7-%-Stufe gilt bei Nichteinhaltung der verbotenen KI-Praktiken nach Artikel 5. Die Behörde wendet weiterhin die Verhältnismäßigkeitsfaktoren des Artikels 99 und das einschlägige nationale Verfahren an.
Können Anbieter und Betreiber beide mit einem Bußgeld belegt werden?
Ja. Ein Anbieter und ein Betreiber können jeweils wegen der ihrer Rolle zugewiesenen Pflichten verfolgt werden. Die Behörde muss die anwendbare Pflicht, den Akteur, dem sie oblag, und dessen Verstoß bestimmen.
Was löst die Stufe von 7,5 Millionen EUR oder 1 % aus?
Sie betrifft unrichtige, unvollständige oder irreführende Informationen, die einer benannten Stelle oder einer nationalen zuständigen Behörde auf eine Anfrage hin übermittelt werden. Die Verordnung (EU) 2026/1744 erweitert den Rahmen auf Informationen, die auf bestimmte Anfragen des KI-Büros hin übermittelt werden.
Haben KMU und kleine Midcap-Unternehmen niedrigere Obergrenzen?
KMU einschließlich Start-ups erhalten in allen drei Stufen des Artikels 99 den niedrigeren Betrag aus Festbetrag und Prozentsatz. Kleine Midcap-Unternehmen erhalten diese niedrigere Obergrenze für die Stufe von 15 Millionen EUR oder 3 % und für die Informationsstufe von 7,5 Millionen EUR oder 1 %. Für die Artikel-5-Stufe gilt sie nicht.
Gehören Bußgelder für Anbieter von GPAI-Modellen zu Artikel 99?
Artikel 101 begründet eine gesonderte Bußgeldbefugnis der Kommission für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, begrenzt auf 15 Millionen EUR oder 3 % des weltweiten Jahresumsatzes. Sie gilt ab dem 2. August 2026.
Seit wann gilt Artikel 99?
Kapitel XII einschließlich Artikel 99 gilt seit dem 2. August 2025. Die Verordnung (EU) 2026/1744 hat Artikel 99 geändert und ist am 27. Juli 2026 in Kraft getreten. Ein Bußgeld hängt weiterhin davon ab, dass die zugrunde liegende Pflicht zum Zeitpunkt des Verstoßes anwendbar war.
Die wichtigsten Erkenntnisse
Betrachten Sie die Tabelle zu Artikel 99 als Ausgangspunkt der Analyse. Bestätigen Sie den Akteur, die anwendbare Pflicht, den Anwendungstermin, das Verfahren des Mitgliedstaats und die Tatsachen, die die Verhältnismäßigkeit beeinflussen. Bewahren Sie die Nachweise auf, die zeigen, wie jede Kontrolle funktioniert hat und wie jede angeforderte Antwort vorbereitet wurde.