Bußgeld KI-Verordnung: Welche Strafen drohen bei Verstoß gegen die Schulungspflicht?

Die KI-Verordnung hat Zähne

Wer bei „EU-Verordnung" an zahnlose Empfehlungen denkt, irrt. Die EU-KI-Verordnung (Verordnung (EU) 2024/1689) enthält ein Sanktionsregime, das dem der DSGVO in nichts nachsteht. Für Verstöße gegen die Schulungspflicht nach Art. 4 KI-VO können Bußgelder in Millionenhöhe verhängt werden.

Dieser Artikel erklärt die konkreten Bußgeldrahmen, wer die Strafen verhängt, wie realistisch eine Durchsetzung ist — und wie Unternehmen sich schützen.

Die Bußgeldrahmen im Überblick

Die KI-Verordnung unterscheidet drei Bußgeldstufen, abhängig von der Schwere des Verstoßes:

Stufe 1: Verbotene KI-Praktiken (Art. 5)

• Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes
• Betrifft: Einsatz von Social-Scoring-Systemen, manipulativer KI, biometrischer Echtzeitüberwachung in öffentlichen Räumen

Stufe 2: Pflichten für Hochrisiko-KI (u. a. Art. 6–51)

• Bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes
• Betrifft: Fehlende Konformitätsbewertungen, unzureichendes Risikomanagement, Verstöße gegen Transparenzpflichten

Stufe 3: Sonstige Verstöße — einschließlich Art. 4

• Bis zu 7,5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes
• Betrifft: Verstöße gegen die KI-Kompetenzpflicht (Art. 4), unvollständige Dokumentation, fehlerhafte Informationen gegenüber Behörden

Wichtig: Für KMU und Start-ups sieht Art. 99 Abs. 6 KI-VO verhältnismäßig niedrigere Obergrenzen vor. Dennoch können auch hier Bußgelder empfindlich ausfallen — die Obergrenze liegt bei der jeweils niedrigeren der beiden Alternativen (Festbetrag oder Umsatzanteil).

Was bedeutet das konkret für Art. 4?

Verstöße gegen die Schulungspflicht fallen unter die dritte Bußgeldstufe: bis zu 7,5 Millionen Euro oder 1 % des Jahresumsatzes. Das klingt nach „nur" der niedrigsten Stufe — ist aber für die meisten Unternehmen eine erhebliche Summe.

Ein Beispiel: Ein mittelständisches Unternehmen mit 50 Millionen Euro Jahresumsatz riskiert bei einem Verstoß gegen Art. 4 KI-VO ein Bußgeld von bis zu 500.000 Euro. Bei einem Unternehmen mit 10 Millionen Euro Umsatz sind es immer noch bis zu 100.000 Euro.

Vergleich: DSGVO-Bußgelder als Orientierung

Die DSGVO hat gezeigt, wie Bußgelder in der Praxis aussehen. Einige Beispiele aus Deutschland:

Unternehmen	Verstoß	Bußgeld
H&M	Überwachung von Mitarbeitenden	35,3 Mio. €
Deutsche Wohnen	Fehlende Löschkonzepte	14,5 Mio. €
1&1 Telecom	Mangelnder Kundendatenschutz	9,55 Mio. €
Verschiedene KMU	Fehlende technische Maßnahmen	5.000–50.000 €

Die KI-Verordnung wird von denselben oder vergleichbaren Behörden durchgesetzt. Es ist davon auszugehen, dass die Durchsetzungspraxis der DSGVO als Blaupause dient.

Wer setzt die Bußgelder durch?

Jeder EU-Mitgliedstaat muss eine oder mehrere nationale Aufsichtsbehörden für die KI-Verordnung benennen (Art. 70 KI-VO). In Deutschland wird diese Rolle voraussichtlich von der Bundesnetzagentur übernommen, möglicherweise in Zusammenarbeit mit den Datenschutzaufsichtsbehörden der Länder.

Die Durchsetzung wird schrittweise aufgebaut:

1. Ab 2025: Aufbau der Aufsichtsstrukturen, erste Orientierungshilfen
2. Ab August 2026: Vollständige Durchsetzungsbefugnis, erste Kontrollen erwartet
3. Ab 2027: Routinemäßige Aufsicht, anlassbezogene Prüfungen

Bußgeld ist nicht das einzige Risiko

Haftungsrechtliche Konsequenzen

Fehlt eine dokumentierte KI-Schulung und verursacht ein KI-System einen Schaden, wird ein Gericht prüfen, ob das Unternehmen angemessene Vorsorgemaßnahmen getroffen hat. Eine fehlende Schulung kann als Organisationsverschulden gewertet werden und die Beweislast zulasten des Unternehmens verschieben.

Das betrifft insbesondere:

• Diskriminierende KI-Entscheidungen im Recruiting oder bei Kreditvergabe
• Datenschutzverletzungen durch unkontrollierten KI-Einsatz
• Wirtschaftliche Schäden durch fehlerhafte KI-Outputs (z. B. Halluzinationen in Kundenberatung)

Vertragliche Risiken

Immer mehr Unternehmen verlangen von ihren Geschäftspartnern den Nachweis, dass regulatorische Pflichten eingehalten werden. Wer keine dokumentierte KI-Schulung vorweisen kann, riskiert den Verlust von Aufträgen oder die Nichtverlängerung von Verträgen — besonders im B2B-Bereich und bei öffentlichen Ausschreibungen.

Reputationsschaden

Ein öffentlich bekannt gewordenes Bußgeldverfahren wegen KI-Compliance-Verstößen ist ein PR-Risiko. In Zeiten, in denen Verbraucher und Geschäftspartner zunehmend auf verantwortungsvollen KI-Einsatz achten, kann das nachhaltig schaden.

So minimieren Unternehmen ihr Bußgeldrisiko

1. Schulungspflicht ernst nehmen

Der effektivste Schutz ist die Erfüllung der Pflicht: Dokumentierte Schulungsmaßnahmen für alle Mitarbeitenden, die KI-Systeme nutzen.

2. Nachweise revisionssicher aufbewahren

Im Ernstfall muss das Unternehmen belegen können, wann welche Mitarbeitenden welche Schulung absolviert haben. Zertifikate mit eindeutiger Identifikation (Name, Datum, Prüfungsergebnis, Zertifikats-ID) sind der Goldstandard.

3. KI-Inventar pflegen

Dokumentieren Sie, welche KI-Systeme eingesetzt werden und wer sie nutzt. Das ist die Grundlage für eine bedarfsgerechte Schulung — und ein wichtiges Dokument für jede Behördenprüfung.

4. Verantwortlichkeiten festlegen

Bestimmen Sie eine Person oder Funktion, die für die KI-Compliance verantwortlich ist — typischerweise der Datenschutzbeauftragte, der Compliance-Officer oder die Geschäftsführung direkt.

5. Regelmäßig aktualisieren

Die KI-Landschaft und die Rechtslage entwickeln sich weiter. Planen Sie Nachschulungen ein — mindestens bei Einführung neuer KI-Tools, bei Personalwechseln und spätestens zum Stichtag im August 2026.

Fazit: Die Kosten der Untätigkeit übersteigen die Kosten der Schulung

Eine dokumentierte KI-Schulung kostet einen Bruchteil dessen, was ein Bußgeldverfahren kosten kann — von den indirekten Kosten (Rechtsberatung, Reputationsschaden, Auftragsverluste) ganz zu schweigen. Unternehmen, die jetzt handeln, schützen sich nicht nur vor Sanktionen, sondern positionieren sich als verantwortungsvolle KI-Nutzer in einem zunehmend regulierten Markt.