Kurzdefinition: Die KI-Verordnung gibt den Mitgliedstaaten gestaffelte Sanktionsrahmen vor. Art. 99 KI-VO sieht drei Geldbußenstufen vor — von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei den verbotenen Praktiken bis zu 7,5 Millionen Euro oder 1 Prozent bei falschen, unvollständigen oder irreführenden Auskünften. [N-KI-VO-99]
Der Normwortlaut
Art. 99 KI-VO gibt den Mitgliedstaaten die Sanktions- und Bußgeldrahmen vor. Die Höchstbeträge gelten nach dem Schema „je nachdem, welcher Betrag höher ist“ — der feste Eurobetrag oder der prozentuale Anteil am weltweiten Jahresumsatz; für KMU und Start-ups gilt nach der Paketquelle der jeweils niedrigere Betrag. [N-KI-VO-99]
Wie hoch sind die Bußgelder der KI-Verordnung?
Drei Stufen. Erstens: Verstöße gegen die verbotenen Praktiken des Art. 5 KI-VO — bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Zweitens: Verstöße gegen sonstige Pflichten der Verordnung, etwa Anbieter- oder Betreiberpflichten — bis zu 15 Millionen Euro oder 3 Prozent. Drittens: die Erteilung falscher, unvollständiger oder irreführender Auskünfte — bis zu 7,5 Millionen Euro oder 1 Prozent. Maßgeblich ist grundsätzlich der höhere Betrag; bei KMU und Start-ups der niedrigere. [N-KI-VO-99]
Gilt für kleinere Unternehmen ein anderer Maßstab?
Ja. Für kleine und mittlere Unternehmen sowie Start-ups gilt bei den prozentualen und festen Höchstbeträgen jeweils der niedrigere der beiden Werte. Das Größenprivileg mildert die Sanktion, hebt sie aber nicht auf. [N-KI-VO-99]
Wie verhält sich das zu den DSGVO- und BSIG-Bußgeldern?
Es steht daneben. Die Bußgelder der KI-Verordnung sind ein eigenes Sanktionsregime mit eigenen Rahmen. Ein und derselbe Sachverhalt kann zugleich das Datenschutzrecht (Art. 83 DSGVO) und das NIS-2-Recht (§ 65 BSIG) berühren; die Regime sind getrennt zu prüfen. Die Formel „je nachdem, welcher Betrag höher ist“ teilt die KI-VO mit dem DSGVO-Bußgeldrecht — nicht mit dem BSIG. [N-KI-VO-99]
Nach welchem Prinzip bemessen sich die Höchstbeträge?
Nach dem höheren Betrag. Die Sanktionsrahmen des Art. 99 KI-VO gelten nach dem Schema, dass jeweils der höhere von zwei Werten maßgeblich ist: ein fester Eurobetrag oder ein prozentualer Anteil am weltweiten Jahresumsatz. [N-KI-VO-99]
Was gilt für kleine und mittlere Unternehmen?
Der niedrigere Betrag. Für kleine und mittlere Unternehmen sowie Start-ups gilt nach der zugrunde gelegten Quelle jeweils der niedrigere der beiden Beträge. Der Rahmen wird damit an die Unternehmensgröße angepasst. [N-KI-VO-99]
Wer setzt die Sanktionen um?
Die Mitgliedstaaten. Art. 99 KI-VO gibt den Rahmen für Sanktionen und Bußgelder vor; die konkrete Ausgestaltung und Durchsetzung obliegt den Mitgliedstaaten. [N-KI-VO-99]
Häufige Fehlannahmen
- „Es gibt einen einheitlichen Bußgeldrahmen.“ Nein. Art. 99 KI-VO kennt drei Stufen mit 7, 3 und 1 Prozent. [N-KI-VO-99]
- „Die Prozentgrenze gilt immer.“ Nein. Maßgeblich ist der höhere von festem Betrag und Prozentsatz; für KMU der jeweils niedrigere. [N-KI-VO-99]
- „Selbst bei verbotenen KI-Praktiken drohen nur kleine Bußgelder.“ Nein. Für Verstöße gegen die verbotenen Praktiken des Art. 5 KI-VO drohen bis zu 35 000 000 Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. [N-KI-VO-99]
- „Alle anderen Verstöße werden gleich hoch geahndet.“ Nein. Für die meisten sonstigen Pflichtverstöße gelten bis zu 15 000 000 Euro oder 3 Prozent, für falsche Angaben bis zu 7 500 000 Euro oder 1 Prozent. [N-KI-VO-99]
- „KI-VO-, DSGVO- und BSIG-Bußgelder sind dasselbe.“ Nein. Es sind getrennte Regime mit eigenen Rahmen. [N-KI-VO-99]
Was die Geschäftsleitung tun sollte
- Verbotene Praktiken meiden. Sie stehen an der Spitze mit 35 Millionen Euro oder 7 Prozent.
- Pflichtenprogramm erfüllen. Sonstige Verstöße kosten bis 15 Millionen Euro oder 3 Prozent.
- Wahrheitsgemäß auskunft geben. Falsche Auskünfte kosten bis 7,5 Millionen Euro oder 1 Prozent.
- Regime trennen. KI-VO, DSGVO und BSIG parallel prüfen.
Für die Geschäftsleitung
Die KI-Verordnung hat scharfe Zähne: 35 Millionen Euro oder 7 Prozent für die verbotenen Praktiken, 15 Millionen oder 3 Prozent für sonstige Pflichtverstöße, 7,5 Millionen oder 1 Prozent für falsche Auskünfte — maßgeblich ist der höhere Betrag. Für kleinere Unternehmen gilt der jeweils niedrigere Wert. Und das Regime steht neben DSGVO und BSIG: Derselbe Vorfall kann mehrere Regelungswelten berühren; ob tatsächlich mehrere Bußgelder in Betracht kommen, ist gesondert zu prüfen.
Quellen
- [N-KI-VO-99] Art. 99 KI-VO (Sanktionen), Bußgeldrahmen (35 Mio./7 %, 15 Mio./3 %, 7,5 Mio./1 %). Verordnung (EU) 2024/1689, CELEX 32024R1689. Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32024R1689
