Die Zahl 35 Millionen Euro steht in fast jedem Beitrag zum Thema. Sie gilt für eine Verstoßart, die die meisten Unternehmen nie begehen werden – und für kleine Unternehmen gilt sie ohnehin nicht. Die drei Stufen im Einzelnen, mit dem, was praktisch daraus folgt.
Die drei Stufen
Die KI-Verordnung staffelt Sanktionen nach der Art des Verstoßes. Maßgeblich ist jeweils der höhere der beiden genannten Werte – außer bei kleinen und mittleren Unternehmen einschließlich Start-ups, für die der niedrigere Wert die Obergrenze bildet.
| Stufe | Verstoß | Höchstbetrag |
|---|---|---|
| Art. 99 Abs. 3 | Verbotene Praktiken (Art. 5) Social Scoring, unterschwellige Manipulation, Emotionserkennung am Arbeitsplatz, ungezieltes Gesichts-Scraping |
35 Mio. EUR oder 7 % |
| Art. 99 Abs. 4 | Sonstige Pflichtverstöße Anbieter- und Betreiberpflichten, Hochrisiko-Anforderungen, Transparenzpflichten nach Art. 50 |
15 Mio. EUR oder 3 % |
| Art. 99 Abs. 5 | Falsche Angaben gegenüber Behörden Irreführende oder unvollständige Auskünfte, unterlassene Antwort auf Auskunftsersuchen |
7,5 Mio. EUR oder 1 % |
Der Prozentsatz bezieht sich auf den weltweiten Jahresumsatz des vorangegangenen Geschäftsjahres.
Die wichtigste Einschränkung
Bei kleinen und mittleren Unternehmen einschließlich Start-ups bildet der niedrigere der beiden Werte die Obergrenze, nicht der höhere. Aus „15 Millionen Euro oder 3 Prozent“ wird damit für ein Unternehmen mit 8 Mio. Euro Umsatz eine Obergrenze von 240.000 Euro – nicht 15 Millionen.
Das relativiert die Schlagzeilenzahl erheblich, entwertet das Risiko aber nicht. 240.000 Euro sind für einen Mittelständler existenzrelevant, und die Sanktion ist nur eine von drei Folgen. Die anderen beiden werden seltener genannt und treffen früher.
Seit dem Omnibus
Der Digital Omnibus hat die bestehenden KMU-Erleichterungen auf eine neue Zwischenkategorie ausgeweitet: Small Mid-Cap Companies – Unternehmen, die die KMU-Schwelle bereits überschritten haben, aber noch keine Großunternehmen sind. Sie erhalten vereinfachte technische Dokumentation, verhältnismäßige Anforderungen an das Qualitätsmanagement, bevorzugten Zugang zu Reallaboren und eine stärkere Berücksichtigung wirtschaftlicher Auswirkungen bei der Sanktionsbemessung.
Die Schwellenwerte sind noch nicht abschließend. Die Kommission schlug ursprünglich unter 750 Beschäftigte, bis 150 Mio. Euro Umsatz und bis 129 Mio. Euro Bilanzsumme vor. Der Rat beschloss im September eine weitere Fassung mit bis zu 1.000 Beschäftigten, bis 200 Mio. Euro Umsatz oder bis 172 Mio. Euro Bilanzsumme. Wer sich in diesem Korridor bewegt, sollte die endgültige Fassung abwarten, bevor er sich auf eine Einstufung verlässt.
Sonderfall
Die KI-Kompetenzpflicht nach Artikel 4 ist im Bußgeldkatalog des Artikels 99 nicht eigenständig aufgeführt. Ihre Sanktionierung richtet sich nach nationalem Recht und ist je Mitgliedstaat unterschiedlich ausgestaltet. Einzelne Anbieter ordnen sie dennoch der zweiten Stufe zu und nennen 15 Mio. Euro oder 3 Prozent – diese Einordnung ist fachlich umstritten.
Praktisch relevant wird die Pflicht auf einem anderen Weg: als Nachweis, wenn eine Behörde einen anderen Sachverhalt prüft, und als Sorgfaltsmaßstab im Haftungsfall.
Nächster Schritt
Der sinnvolle Einstieg ist eine Compliance-Gap-Analyse: Welche KI-Systeme sind im Einsatz, in welcher Rolle steht das Unternehmen, welche Pflichten greifen bereits – und was davon ist bislang undokumentiert. Erst daraus ergibt sich, was zu tun ist.
Wir führen diese Analyse durch und setzen die Maßnahmen anschließend um – technisch über ABD GENIE mit Quellenbindung und Audit Trail, organisatorisch über die ABD KI-Akademie.
Rechtsstand: 27. Juli 2026. Grundlage sind die Verordnung (EU) 2024/1689 (KI-Verordnung) in der Fassung der Verordnung (EU) 2026/1744 (Digital Omnibus, in Kraft seit 27.07.2026). Dieser Beitrag gibt den Stand der öffentlich zugänglichen Rechtslage wieder und dient der Orientierung. Er ersetzt keine Rechtsberatung im Einzelfall. Weiterführend: EU AI Act Compliance – was jetzt schon gilt.
Weiter im Thema