EU AI Act: Wie teuer kann es für euer Unternehmen werden?

Der EU AI Act bringt für Unternehmen nicht nur neue Pflichten, sondern auch spürbare finanzielle Risiken. Viele Diskussionen drehen sich dabei schnell um die großen Maximalbeträge: 35 Millionen Euro, 15 Millionen Euro oder bestimmte Prozentsätze des weltweiten Jahresumsatzes. Diese Zahlen wirken auf den ersten Blick wie ein Thema für Konzerne. Für kleine und mittelständische Unternehmen wäre das jedoch ein gefährlicher Irrtum.

Denn die eigentliche Frage lautet nicht nur: „Wie hoch kann ein Bußgeld maximal sein?“ Die wichtigere Frage ist: „Welche KI-Systeme setzen wir ein, welche Rolle haben wir dabei, welche Pflichten treffen uns und welche Nachweise können wir im Ernstfall vorlegen?“

Genau hier entstehen in der Praxis die größten Risiken.

Die Bußgelder im Überblick

Der EU AI Act arbeitet mit abgestuften Sanktionen. Der höchste Rahmen betrifft verbotene KI-Praktiken. Verstöße gegen solche Verbote können mit bis zu 35 Millionen Euro oder bis zu 7 Prozent des weltweiten Jahresumsatzes sanktioniert werden. Entscheidend ist grundsätzlich der höhere Betrag. Für KMU und Start-ups gelten im Rahmen des Artikels 99 besondere Regeln, bei denen der niedrigere Wert maßgeblich sein kann.

Eine zweite wichtige Stufe betrifft Verstöße gegen sonstige Pflichten, etwa Pflichten von Anbietern, Betreibern oder Transparenzpflichten. Hier kann der Rahmen bei bis zu 15 Millionen Euro oder bis zu 3 Prozent des weltweiten Jahresumsatzes liegen.

Eine dritte Stufe betrifft falsche, unvollständige oder irreführende Angaben gegenüber zuständigen Stellen oder benannten Stellen. Hier kann der Rahmen bei bis zu 7,5 Millionen Euro oder bis zu 1 Prozent des weltweiten Jahresumsatzes liegen.

Zusätzlich gibt es eigene Regelungen für Anbieter von General-Purpose-AI-Modellen. Auch hier können erhebliche Sanktionen relevant werden, wenn Pflichten nicht eingehalten, Informationen nicht bereitgestellt oder Anordnungen nicht befolgt werden.

Wichtig ist: Diese Beträge sind Höchstgrenzen. Die tatsächliche Sanktion hängt vom Einzelfall ab. Behörden berücksichtigen unter anderem Art, Schwere und Dauer des Verstoßes, betroffene Personen, mögliche Schäden, Unternehmensgröße, Kooperation, Vorsatz oder Fahrlässigkeit sowie vorhandene technische und organisatorische Maßnahmen.

Warum der weltweite Jahresumsatz relevant ist

Viele Unternehmen unterschätzen den Umsatzbezug. Bei größeren Unternehmen kann der prozentuale Anteil schnell über den festen Eurobeträgen liegen. Bei kleineren Unternehmen können bereits niedrigere Prozentwerte wirtschaftlich empfindlich sein.

Ein einfaches Beispiel: Bei 10 Millionen Euro weltweitem Jahresumsatz entsprechen 3 Prozent bereits 300.000 Euro. Bei 100 Millionen Euro Umsatz wären 3 Prozent 3 Millionen Euro. Bei 1 Milliarde Euro Umsatz wären 7 Prozent bereits 70 Millionen Euro.

Diese Rechnungen sagen noch nicht, welches Bußgeld tatsächlich verhängt würde. Sie zeigen aber, warum KI-Compliance nicht erst dann relevant wird, wenn ein Unternehmen sehr groß ist oder hochkomplexe KI entwickelt. Auch der Einsatz externer KI-Tools kann Pflichten auslösen, wenn sie in sensiblen Prozessen, mit personenbezogenen Daten oder in Bereichen mit erhöhtem Risiko genutzt werden.

Das größte Risiko ist oft nicht „verbotene KI“

Viele Unternehmen denken beim EU AI Act zuerst an extreme Szenarien: Social Scoring, unzulässige Manipulation oder problematische biometrische Anwendungen. Diese Themen sind wichtig, aber sie sind nicht der einzige Risikobereich.

Für viele Organisationen liegen die realistischen Risiken an anderer Stelle. Zum Beispiel, wenn ein Hochrisiko-System nicht als solches erkannt wird. Oder wenn ein Unternehmen seine eigene Rolle falsch einschätzt. Wer glaubt, nur Nutzer eines Systems zu sein, kann unter bestimmten Umständen zusätzliche Pflichten auslösen, etwa wenn Zweck, Einsatzweise oder Integration wesentlich verändert werden.

Auch fehlende Nachweise können problematisch werden. Ein Unternehmen kann gute Absichten haben und trotzdem schlecht vorbereitet sein, wenn Dokumentation, Logs, Schulungen, Anbieterunterlagen oder interne Freigaben nicht auffindbar sind. Gerade gegenüber Behörden zählt nicht nur, was intern behauptet wird, sondern was nachvollziehbar belegt werden kann.

Ein weiterer Kostenhebel ist schlechte Behördenkommunikation. Falsche, unvollständige oder widersprüchliche Angaben haben einen eigenen Bußgeldrahmen. Deshalb sollte klar sein, wer Auskünfte vorbereitet, wer sie prüft und auf welcher Dokumentation sie beruhen.

Was Unternehmen jetzt konkret prüfen sollten

Der erste Schritt ist ein KI-Inventar. Viele Unternehmen wissen nicht vollständig, wo KI bereits eingesetzt wird. Fachbereiche nutzen Chatbots, Marketingtools, Analysefunktionen, Automatisierungen oder KI-Funktionen in bestehender Software. Ohne Übersicht ist keine belastbare Risikobewertung möglich.

Ein gutes KI-Inventar beantwortet mindestens diese Fragen: Welches System wird eingesetzt? In welchem Fachbereich? Zu welchem Zweck? Mit welchen Daten? Von welchem Anbieter? In welchem Prozess? Und wer ist intern verantwortlich?

Im zweiten Schritt sollte für jedes relevante System die Rolle geklärt werden. Seid ihr Anbieter, Betreiber, Händler, Einführer oder nachgelagerter Anbieter? Diese Einordnung ist entscheidend, weil Pflichten stark von der Rolle abhängen.

Danach folgt die Risikoklassifizierung. Berührt ein System verbotene Praktiken? Könnte es in einen Hochrisiko-Bereich fallen, etwa im Personalbereich, in Bildung, kritischer Infrastruktur oder bei sensiblen Entscheidungsprozessen? Bestehen Transparenzpflichten gegenüber Nutzenden, Kunden, Bewerbenden oder Mitarbeitenden?

Erst auf dieser Grundlage lässt sich sinnvoll entscheiden, welche Maßnahmen priorisiert werden müssen.

Nachweise sind euer Schutzschild

Ein zentraler Punkt im EU-AI-Act-Kontext ist Nachweisfähigkeit. Unternehmen sollten nicht nur Maßnahmen umsetzen, sondern diese auch dokumentieren. Dazu gehören Anbieterunterlagen, technische Dokumentation, Konformitätsinformationen, Logging-Konzepte, Schulungsnachweise, Datenschutzprüfungen, Rollenbeschreibungen, Freigabeprozesse und Risikobewertungen.

Besonders wichtig ist menschliche Aufsicht. KI-Ausgaben sollten nicht blind übernommen werden, wenn sie relevante Auswirkungen haben können. Es braucht klare Zuständigkeiten, Eingriffsmöglichkeiten und Eskalationswege.

Auch Schulung wird wichtiger. Personen, die mit KI-Systemen umgehen, müssen deren Möglichkeiten und Grenzen angemessen verstehen. Das betrifft nicht nur IT-Teams, sondern auch Fachbereiche, Führungskräfte und Mitarbeitende, die KI-Ergebnisse bewerten oder weiterverarbeiten.

Wie ihr das Risiko pragmatisch reduziert

KI-Compliance muss nicht mit einem riesigen Bürokratieprojekt starten. Sinnvoller ist ein pragmatischer 30-Tage-Ansatz.

In der ersten Phase wird ein KI-Inventar erstellt. Danach werden Rollen und Risikoklassen vorläufig bestimmt. Anschließend sollten für kritische Systeme Nachweise angefordert und Lücken dokumentiert werden. Danach geht es um die Operationalisierung: menschliche Aufsicht, Schulung, Logs, Informationspflichten und Meldewege. Zum Schluss sollte die Geschäftsführung eine priorisierte Risikoliste mit Verantwortlichen, Fristen und konkreten Maßnahmen erhalten.

Wichtig ist, nicht auf perfekte Vollständigkeit zu warten. Ein unvollständiges, aber aktiv gepflegtes KI-Inventar ist besser als gar keine Übersicht. Eine dokumentierte Annahme ist besser als eine mündliche Entscheidung ohne Nachweis. Ein klarer Owner ist besser als diffuse Verantwortung.

Fazit: Der EU AI Act ist ein Managementthema

Die Bußgelder des EU AI Acts sind hoch genug, um Aufmerksamkeit zu erzeugen. Doch der eigentliche Wert einer guten Vorbereitung liegt nicht nur in der Vermeidung von Sanktionen. Es geht auch darum, KI sicherer, transparenter und steuerbarer einzusetzen.

Unternehmen sollten die Bußgeldfrage deshalb nicht isoliert betrachten. Relevanter ist die Kombination aus KI-Inventar, Rollenklärung, Risikobewertung, Dokumentation, Schulung, Aufsicht und klaren Entscheidungswegen.

Wer heute weiß, welche KI-Systeme im Unternehmen genutzt werden, welche Pflichten relevant sein können und welche Nachweise fehlen, kann Risiken gezielt reduzieren. Wer erst im Ernstfall beginnt zu suchen, verliert Zeit, Kontrolle und Vertrauen.

Der EU AI Act macht KI-Compliance damit nicht zu einem Randthema für Juristen, sondern zu einer Führungsaufgabe. Unternehmen, die früh strukturiert vorgehen, schaffen nicht nur Rechtssicherheit, sondern auch eine bessere Grundlage für wirksame KI-Projekte.