EU AI Act: Unternehmen riskieren hohe Bußgelder

5 Min. Lesezeit

Unternehmen müssen beim Einsatz künstlicher Intelligenz bereits geltende Verbote beachten. Für Verstöße gegen diese Verbote sieht der EU AI Act Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor. Für kleine und mittlere Unternehmen gilt dabei der niedrigere Betrag. Die wesentlichen Regeln für Hochrisiko-Systeme folgen später – je nach System ab Dezember 2027 oder August 2028. Stand: 3. November 2026.

Welche KI-Praktiken bereits verboten sind

Die KI-Verordnung untersagt bestimmte Anwendungen wegen ihrer Risiken für Menschen. Die ersten Verbote gelten seit dem 2. Februar 2025. Dazu zählt unter anderem Social Scoring, wenn Menschen anhand ihres sozialen Verhaltens oder persönlicher Merkmale bewertet werden und daraus eine ungerechtfertigte oder unverhältnismäßige Schlechterstellung in den im Gesetz beschriebenen Zusammenhängen folgt. Das Verbot ist nicht auf staatliche Stellen beschränkt.

Auch Systeme zur Ableitung von Emotionen am Arbeitsplatz sind grundsätzlich untersagt. Die Verordnung nimmt Anwendungen aus, die aus medizinischen Gründen oder aus Sicherheitsgründen eingesetzt oder in Betrieb genommen werden. Ob ein konkretes Produkt unter das Verbot fällt, hängt von seiner Funktion und seinem Einsatzzweck ab. Eine pauschale Aussage über alle Recruiting- oder Callcenter-Produkte lässt sich daraus nicht ableiten.

Weitere Verbote betreffen unter anderem bestimmte manipulative oder täuschende Techniken sowie die Ausnutzung von Schutzbedürftigkeit. Entscheidend sind die jeweiligen Voraussetzungen des Artikels 5. Auch für biometrische Anwendungen enthält der Artikel differenzierte Regeln und Ausnahmen.

Wann die Regeln für Hochrisiko-Systeme greifen

Die Verordnung unterscheidet mehrere Gruppen von Hochrisiko-Systemen. Anhang III nennt bestimmte Einsatzbereiche, darunter einzelne Anwendungen bei der Auswahl von Bewerbern und in der Beschäftigung. Der Einsatz im Personalbereich allein macht jedoch nicht jede KI-Anwendung automatisch zu einem Hochrisiko-System. Maßgeblich sind die genaue Zweckbestimmung und die gesetzlichen Voraussetzungen.

Für Hochrisiko-Systeme nach Artikel 6 Absatz 2 und Anhang III gelten die wesentlichen Anforderungen grundsätzlich ab dem 2. Dezember 2027. Für Hochrisiko-Systeme nach Artikel 6 Absatz 1 und Anhang I, die mit bestimmten regulierten Produkten zusammenhängen, gilt grundsätzlich der 2. August 2028. Der Rat der EU bestätigt diese Staffelung. Für bereits in Verkehr gebrachte Systeme sind die jeweiligen Übergangsregelungen gesondert zu prüfen.

Was Anbieter und Betreiber vorbereiten sollten

Was ist ein Betreiber? Der AI Act bezeichnet damit grundsätzlich eine Person oder Organisation, die ein KI-System in eigener Verantwortung verwendet. Eine rein persönliche und nicht berufliche Nutzung ist davon ausgenommen. Anbieter entwickeln ein System oder lassen es entwickeln und bringen es unter eigenem Namen oder eigener Marke in Verkehr oder nehmen es in Betrieb.

Für Hochrisiko-Systeme sieht die Verordnung unterschiedliche Aufgaben vor. Anbieter müssen unter anderem Anforderungen an Risikomanagement, technische Dokumentation und Konformitätsbewertung erfüllen. Betreiber müssen unter den jeweiligen gesetzlichen Voraussetzungen etwa für menschliche Aufsicht sorgen und die Nutzung anhand der Gebrauchsanweisung überwachen. Welche Konformitätsbewertung erforderlich ist, hängt vom System ab. Eine pauschale Pflicht zur externen Zertifizierung aller Hochrisiko-Systeme ergibt sich daraus nicht.

Als Vorbereitung bietet sich eine Bestandsaufnahme an: Welche KI-Funktionen werden genutzt? Wofür sind sie bestimmt? Wer stellt sie bereit und wer entscheidet über ihren Einsatz? Bei möglichen Hochrisiko-Anwendungen sollten Unternehmen die Einordnung und die Unterlagen des Anbieters prüfen. Die Rolle kann sich durch bestimmte Änderungen an einem System oder seiner Zweckbestimmung verändern.

Unabhängig von den späteren Hochrisiko-Fristen gilt bereits die Pflicht, Maßnahmen für ein ausreichendes Maß an KI-Kompetenz der Personen zu treffen, die im Auftrag des Unternehmens mit KI-Systemen umgehen. Welche Maßnahmen angemessen sind, hängt unter anderem von ihren Kenntnissen und dem Einsatzkontext ab.

Welche Bußgelder drohen

Für Verstöße gegen die Verbote nach Artikel 5 sieht der AI Act Geldbußen von bis zu 35 Millionen Euro oder bis zu 7 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor. Bei Unternehmen gilt grundsätzlich der höhere Wert. Für kleine und mittlere Unternehmen einschließlich Start-ups gilt hingegen der niedrigere der beiden Höchstbeträge.

Andere Verstöße fallen unter andere Bußgeldrahmen. Bei der Entscheidung über eine Geldbuße sind die Umstände des Einzelfalls zu berücksichtigen. Aus dem gesetzlichen Höchstwert lässt sich daher keine konkrete Strafe für ein einzelnes Unternehmen ableiten.

Häufige Fragen

Bildquelle: KI-generiert (November 2026)