Kaum eine Vorschrift wird so oft falsch zitiert wie der Sanktionsartikel der KI-Verordnung. Die Zahlen stimmen meist, die Zuordnung fast nie. Hier steht der Katalog vollständig — einschließlich der Pflichten, für die es ausdrücklich keine Geldbuße gibt.
Artikel 99 der Verordnung staffelt die Geldbußen nach der Schwere des Verstoßes. Wer nur eine Zahl nennt, hat den Artikel nicht gelesen.
| Norm | Betrifft | Rahmen |
|---|---|---|
| Art. 99 Abs. 3 | Verstoß gegen das Verbot bestimmter KI-Praktiken nach Artikel 5 | bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres |
| Art. 99 Abs. 4 | Verstoß gegen die dort abschließend genannten Pflichten | bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes |
| Art. 99 Abs. 5 | Falsche, unvollständige oder irreführende Auskünfte gegenüber Behörden | bis 7,5 Mio. € oder 1 % des weltweiten Jahresumsatzes |
Maßgeblich ist jeweils der höhere der beiden Werte — mit einer wichtigen Ausnahme, die gleich folgt.
Artikel 99 Absatz 6 stellt klar: Bei kleinen und mittleren Unternehmen einschließlich Start-ups entspricht jede Geldbuße dem in den Absätzen 3 bis 5 genannten Prozentsatz oder Betrag, je nachdem, welcher Wert niedriger ist.
Praktisch heißt das: Ein Betrieb mit fünf Millionen Euro Umsatz sieht sich bei einem Verstoß gegen Artikel 50 nicht einem Rahmen von 15 Millionen Euro gegenüber, sondern von 3 Prozent — also 150.000 Euro. Das ist immer noch viel. Es ist aber ein anderer Satz als der, mit dem geworben wird.
Dies ist der Kern des Artikels und zugleich die Stelle, an der die meisten Darstellungen ungenau werden. Absatz 4 zählt abschließend auf, welche Pflichten mit bis zu 15 Millionen Euro oder 3 Prozent bewehrt sind:
| Buchstabe | Norm | Worum es geht | Trifft wen |
|---|---|---|---|
| a | Art. 16 | Pflichten der Anbieter von Hochrisiko-Systemen | Anbieter |
| b | Art. 22 | Pflichten der Bevollmächtigten | Bevollmächtigte |
| c | Art. 23 | Pflichten der Einführer | Einführer |
| d | Art. 24 | Pflichten der Händler | Händler |
| e | Art. 26 | Pflichten der Betreiber von Hochrisiko-Systemen | Betreiber |
| f | Art. 31, 33 Abs. 1, 3 und 4, Art. 34 | Anforderungen an notifizierte Stellen | notifizierte Stellen |
| g | Art. 50 | Transparenzpflichten für Anbieter und Betreiber | auch normale Anwenderbetriebe |
Für ein Unternehmen, das KI nutzt und nicht entwickelt, sind damit genau zwei Buchstaben relevant: e, sobald ein Hochrisiko-System im Einsatz ist, und g für die Transparenzpflichten. Alles Übrige adressiert Rollen entlang der Lieferkette, die im Mittelstand selten vorkommen.
Die KI-Kompetenzpflicht aus Artikel 4 — die sogenannte Schulungspflicht — ist in Artikel 99 Absatz 4 nicht genannt. Die Aufzählung ist abschließend. Für einen Verstoß allein gegen Artikel 4 sieht die Verordnung damit keine eigene Geldbuße vor.
Das ist keine Auslegungsfrage, sondern Lesearbeit: Der Katalog nennt die Artikel 16, 22, 23, 24, 26, 31, 33, 34 und 50. Artikel 4 ist nicht dabei. Sie können das im amtlichen Text nachschlagen, der unten verlinkt ist — und wir empfehlen ausdrücklich, es zu tun.
Wer mit „bis zu 15 Millionen Euro für fehlende KI-Schulungen“ wirbt, zitiert einen Rahmen, der für andere Pflichten gilt. Warum Schulung dennoch sinnvoll und rechtlich relevant ist — über Artikel 32 DSGVO und die Organhaftung —, steht unter KI-Schulungspflicht.
Artikel 99 Absatz 7 nennt die Kriterien, die die Behörde zu berücksichtigen hat. Sie sind der eigentliche Hebel, weil sie zwischen Rahmen und tatsächlicher Höhe stehen:
Zwei dieser Punkte kann jeder Betrieb aktiv beeinflussen: die Zusammenarbeit und den Grad des Verschuldens. Wer eine dokumentierte Einstufung, eine Richtlinie und einen Schulungsnachweis vorlegt, argumentiert gegen Vorsatz und für Kooperation — beides senkt die Bemessung erheblich. Das ist der praktische Wert von Dokumentation, unabhängig vom Rahmen.
Adressat ist das Unternehmen als Rechtsträger, nicht die einzelne Person. Eine persönliche Geldbuße gegen eine benannte KI-Verantwortliche sieht die Verordnung nicht vor.
Hier verschiebt sich das Bild. Geschäftsführer einer GmbH haben nach § 43 GmbHG die Sorgfalt eines ordentlichen Geschäftsmanns anzuwenden; für Vorstände gilt § 93 AktG entsprechend. Wer KI einsetzen lässt, ohne Regeln aufzustellen, Zuständigkeiten zu klären und Einhaltung zu überwachen, riskiert den Vorwurf des Organisationsverschuldens — mit Innenhaftung gegenüber der Gesellschaft.
Die Vorschrift sanktioniert die Verletzung der Aufsichtspflicht im Betrieb. Sie wird in Marketingtexten regelmäßig mit einem Betrag von „bis zu einer Million Euro“ zitiert. Das ist in diesem Zusammenhang irreführend: Dieser erhöhte Rahmen setzt voraus, dass die zugrunde liegende Pflichtverletzung mit Strafe bedroht ist. Verstöße gegen die KI-Verordnung und die DSGVO sind das nicht — sie sind Ordnungswidrigkeiten beziehungsweise unionsrechtlich sanktionierte Verstöße. Nennen Sie die Norm, wenn Sie sie brauchen, aber nicht diese Zahl.
Drei Fehler wiederholen sich:
Zuständig sind die nationalen Marktüberwachungsbehörden. In Deutschland ist die Bundesnetzagentur als zentrale Stelle vorgesehen; sie betreibt bereits einen KI-Service-Desk für kleine und mittlere Unternehmen. Die abschließende nationale Ausgestaltung der Zuständigkeiten und Verfahren war zum Redaktionsschluss dieses Beitrags noch nicht in allen Punkten geregelt — prüfen Sie den aktuellen Stand, bevor Sie sich auf Zuständigkeiten verlassen.
Realistischer Ablauf: Eine Behörde beginnt nicht mit einer Geldbuße, sondern mit einem Auskunftsersuchen. Darauf folgen bei Bedarf eine Anordnung zur Abhilfe mit Frist und erst danach Sanktionen. Wer beim Auskunftsersuchen liefern kann, ist in aller Regel durch.
Beachten Sie dabei Artikel 99 Absatz 5: Falsche, unvollständige oder irreführende Auskünfte sind selbst bußgeldbewehrt. Eine unbeantwortete Frage ist besser als eine ausgedachte Antwort.
Wer nach dem realen finanziellen Risiko fragt, findet es meist nicht bei Artikel 99.
| Risiko | Grundlage | Praktische Häufigkeit |
|---|---|---|
| Verlorene Aufträge | Lieferantenfragebogen ohne Nachweis | hoch — siehe KI-Lieferantenfragebogen |
| Datenschutz-Bußgeld | Art. 83 DSGVO, u. a. wegen Art. 28 und 32 | mittel — reale Verfahren existieren seit Jahren |
| Verlust des Geheimnisschutzes | § 2 GeschGehG | mittel — Details hier |
| Wettbewerbsrechtliche Abmahnung | irreführende Angaben, unterlassene Kennzeichnung | steigend seit August 2026 |
| Produkthaftung | Richtlinie (EU) 2024/2853, Umsetzung bis 09.12.2026 | künftig — Software und KI gelten als Produkte |
| Vertragsstrafen | Zusagen aus Rahmenverträgen | mittel — oft übersehen |
Wenn Ihnen jemand eine Zahl nennt — in einer Werbemail, einem Webinar oder einem Angebot —, stellen Sie diese vier Fragen. Sie klären den Sachverhalt in zwei Minuten:
Sie können diese Prüfung auch einer KI stellen. Fragen Sie wörtlich: „Nennt Artikel 99 Absatz 4 der Verordnung (EU) 2024/1689 den Artikel 4 dieser Verordnung?“ Die Antwort ist Nein, und Sie brauchen dafür weder uns noch einen Berater. Dass wir Ihnen diese Frage aufschreiben, ist Absicht.
Welche dieser Punkte bei Ihnen offen sind, zeigt der kostenlose Quick-Check in zwei Minuten — ohne Anmeldung und mit ehrlichem Ergebnis.
Es gibt drei Rahmen. Verbotene Praktiken nach Artikel 5: bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Die in Artikel 99 Absatz 4 abschließend genannten Pflichten, darunter Artikel 50: bis 15 Millionen Euro oder 3 Prozent. Falsche Auskünfte gegenüber Behörden: bis 7,5 Millionen Euro oder 1 Prozent.
Nein. Artikel 99 Absatz 4 zählt die bußgeldbewehrten Pflichten abschließend auf und nennt die Artikel 16, 22, 23, 24, 26, 31, 33, 34 und 50. Artikel 4 ist nicht darunter. Für einen Verstoß allein gegen die KI-Kompetenzpflicht sieht die Verordnung keine eigene Geldbuße vor.
Ja. Nach Artikel 99 Absatz 6 gilt für kleine und mittlere Unternehmen einschließlich Start-ups stets der niedrigere der beiden Werte — also der Prozentsatz, wenn er unter dem absoluten Betrag liegt. Bei fünf Millionen Euro Umsatz bedeutet das für Artikel-50-Verstöße einen Rahmen von 150.000 Euro statt 15 Millionen.
Nicht nach der KI-Verordnung — dort ist das Unternehmen Adressat. Im Innenverhältnis gilt § 43 GmbHG beziehungsweise § 93 AktG: Wer KI einsetzen lässt, ohne Regeln, Zuständigkeiten und Kontrolle zu organisieren, riskiert den Vorwurf des Organisationsverschuldens. Zusätzlich knüpft § 130 OWiG an die Verletzung der Aufsichtspflicht an.
In diesem Zusammenhang nicht. Der erhöhte Rahmen des § 130 OWiG setzt voraus, dass die zugrunde liegende Pflichtverletzung mit Strafe bedroht ist. Verstöße gegen die KI-Verordnung und die DSGVO sind das nicht. Die Norm bleibt einschlägig, die Zahl ist es nicht.
Realistisch beginnt es mit einem Auskunftsersuchen, dann folgt bei Bedarf eine Anordnung zur Abhilfe mit Frist, erst danach kommen Sanktionen in Betracht. Wer beim Auskunftsersuchen liefern kann, ist in aller Regel durch. Achten Sie darauf, dass falsche oder unvollständige Auskünfte nach Artikel 99 Absatz 5 selbst bußgeldbewehrt sind.
Zwei: Artikel 50 (Transparenzpflichten) über Buchstabe g und Artikel 26 (Betreiberpflichten bei Hochrisiko-Systemen) über Buchstabe e. Hinzu kommt Artikel 5, das Verbot bestimmter Praktiken, mit dem höchsten Rahmen — im Mittelstand vor allem relevant beim Verbot der Emotionserkennung am Arbeitsplatz.
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlos