Volljurist und Compliance-Experte
07 Jan 2026
5 Minuten
.svg)
Die Bußgeldhöhe hängt stark vom Verhalten des Unternehmens im Verfahren ab.
Dokumentierte Compliance kann Sanktionen deutlich reduzieren.
Dokumentierte Compliance kann Sanktionen deutlich reduzieren.
Kooperation mit Behörden wirkt oft stärker als juristische Abwehr.
Stellen Sie sich vor, am Montagmorgen landet ein Brief auf Ihrem Schreibtisch. Der Absender: Die nationale Marktaufsichtsbehörde. Der Inhalt: Ein Anhörungsbogen wegen eines mutmaßlichen Verstoßes Ihres KI-Systems gegen die neuen EU-Regularien.
Die Schlagzeilen kennen wir alle: „Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.“ Diese Zahlen wirken abstrakt, fast wie Drohkulissen aus einem Katastrophenfilm. Doch für Compliance-Verantwortliche und Geschäftsführer liegt die wahre Unsicherheit nicht in der theoretischen Höchststrafe, sondern im „Black Box“-Verfahren dazwischen. Wie wird aus einem Gesetzestext eine konkrete Summe? Würfelt die Behörde?
Die Realität ist weniger willkürlich, aber deutlich komplexer. Während sich die meisten Ratgeber auf das „Was“ (die Verbote) konzentrieren, widmen wir uns heute dem „Wie“: den verfahrensrechtlichen Aspekten der Bußgeldbemessung. Wir lüften den Vorhang und zeigen Ihnen, nach welchen Kriterien Aufsichtsbehörden tatsächlich entscheiden – und an welchen Stellschrauben Sie drehen können, bevor das Urteil fällt.
Der EU AI Act ist nicht nur ein Regelwerk für Technologie, er ist ein massiver Eingriff in die Marktüberwachung. Anders als bei der DSGVO, wo Datenschutzbehörden oft im Fokus stehen, werden beim AI Act oft spezialisierte Marktaufsichtsbehörden aktiv (in Deutschland diskutiert man beispielsweise die Rolle der Bundesnetzagentur oder des BfDI in Doppelunktion).
Das Ziel ist eine Zusammenfassung des EU AI Act, die Sicherheit und Grundrechte schützt, ohne Innovation zu ersticken. Doch wenn diese Balance kippt, greift Artikel 99.
Hier beginnt das Missverständnis vieler Unternehmen: Ein Verstoß führt nicht automatisch zur Höchststrafe. Die Behörden agieren nach dem Opportunitätsprinzip (in einigen Jurisdiktionen) oder dem Legalitätsprinzip, haben aber bei der Höhe des Bußgeldes einen erheblichen Ermessensspielraum. Sie müssen verhältnismäßig, wirksam und abschreckend sanktionieren.
Bevor wir in die Praxis eintauchen, müssen wir das Fundament verstehen. Der Gesetzgeber hat drei Hauptkategorien für Bußgelder festgelegt, abhängig von der Schwere des Vergehens:
Doch diese Zahlen sind nur der Rahmen. Das Bild darin malen die Behörden anhand spezifischer Kriterien aus.
Wie läuft ein solches Verfahren ab? Es ist selten ein kurzer Prozess, sondern eine mehrstufige administrative Reise.
Meist beginnt es nicht mit einem Audit, sondern mit einem „Incident“ oder einer Beschwerde. Ähnlich wie die NIS2-Richtlinie die Meldepflichten bei Sicherheitsvorfällen verschärft, können auch KI-Fehlfunktionen behördliche Untersuchungen auslösen.
Die Behörde sammelt Fakten. Hier zeigt sich der Wert einer soliden AI Act Compliance Software. Wer auf Knopfdruck technische Dokumentationen, Logs und Risikoanalysen vorlegen kann, signalisiert Kontrolle. Wer erst suchen muss, wirkt fahrlässig.
Hier wird es spannend. Die Behörde legt Artikel 99 Absatz 7 zugrunde. Sie prüft nicht nur den Fehler, sondern den Kontext:
Nehmen wir an, zwei Unternehmen nutzen ein Hochrisiko-KI-System ohne korrekte menschliche Aufsicht.
Das „Wie“ der Reaktion ist oft teurer als das „Was“ des Fehlers.
Wissen ist gut, Handeln ist besser. Wenn Sie verstehen, wie Behörden messen, können Sie Ihre Verteidigungslinie aufbauen, lange bevor ein Brief eintrifft.
Aufsichtsbehörden honorieren Transparenz. Ein AI Act Compliance System, das Ihre Prozesse lückenlos dokumentiert, dient als Beweis für Ihre Sorgfaltspflicht ("Accountability"). Wenn Sie nachweisen können, dass Sie technische und organisatorische Maßnahmen (TOMs) implementiert hatten und der Verstoß ein Ausreißer war, sinkt der Vorwurf der Fahrlässigkeit massiv.
Ein oft übersehener Punkt: Behörden prüfen, ob Sie durch den Verstoß Geld gespart oder verdient haben. Haben Sie durch den Verzicht auf Tests den Marktstart beschleunigt? Dieser „erlangte wirtschaftliche Vorteil“ wird oft auf das Bußgeld aufgeschlagen. Eine saubere Compliance-Kalkulation zeigt hier oft: Compliance ist günstiger als die Gewinnabschöpfung.
Der Blick auf die verfahrensrechtlichen Aspekte zeigt: Bußgelder sind keine mathematische Zwangsläufigkeit, sondern das Ergebnis eines Bewertungsprozesses. In diesem Prozess haben Unternehmen mehr Einfluss, als sie oft glauben.
Die beste Strategie zur Bußgeldvermeidung ist nicht, zu hoffen, dass nichts passiert, sondern beweisen zu können, dass man alles getan hat, damit nichts passiert. Automatisierung und saubere Prozesse sind dabei Ihre stärksten Argumente im Dialog mit den Behörden.
Möchten Sie tiefer in die Welt der automatisierten Compliance eintauchen und verstehen, wie Sie Ihre Haftungsrisiken minimieren? Erkunden Sie unsere Ressourcen weiter oder sprechen Sie mit uns über Ihre Compliance-Architektur.
Der AI Act sieht vor, dass bei KMU und Start-ups die Geldbußen verhältnismäßig sein müssen und ihre wirtschaftliche Leistungsfähigkeit berücksichtigt wird. Die absoluten Obergrenzen sind für sie oft niedriger angesetzt als für Großkonzerne.
Die Durchsetzung und Bußgeldverhängung obliegt den nationalen Aufsichtsbehörden der Mitgliedstaaten. Das neu geschaffene "AI Office" auf EU-Ebene unterstützt und koordiniert, verhängt aber in der Regel keine direkten Bußgelder gegen einzelne Betreiber, es sei denn, es geht um General Purpose AI Models (GPAI).
Ja, wie bei jedem Verwaltungsakt steht Ihnen der Rechtsweg offen. Dies beginnt meist mit einer Anhörung vor Erlass des Bescheids und führt über den Widerspruch bis hin zur Klage vor den zuständigen Verwaltungsgerichten.
Zertifizierungen und die Einhaltung harmonisierter Normen indizieren Konformität. Sie wirken im Bußgeldverfahren stark entlastend, da sie gegen den Vorwurf der Fahrlässigkeit sprechen.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Die häufigsten Fragen zum Thema
Viele Unternehmen entwickeln leistungsstarke KI, doch beim Nachweis von Fairness und Datenqualität scheitern sie oft. Erfahren Sie, wie Sie Daten-Bias in Hochrisiko-KI-Systemen nach dem EU AI Act
ISMS aufbauen in 7 Schritten: von Geltungsbereich und Risikoanalyse bis zur Zertifizierung, inklusive PDCA-Zyklus, Standard-Wahl und den häufigsten Fehlern.
DORA und NIS2 gelten für Finanzunternehmen parallel. Der Artikel erklärt das Lex-Specialis-Verhältnis, Meldefristen (4h vs. 24h), das Register of Information und was NIS2 ergänzend fordert.
.svg)
.svg)
.svg){kind=small}