Wer prüft das in Deutschland?
Jeder EU-Mitgliedstaat muss mindestens eine nationale Marktüberwachungsbehörde für KI benennen. In Deutschland übernimmt die Bundesnetzagentur diese Rolle zentral, ergänzt um ein neues Koordinierungs- und Kompetenzzentrum, das die Zusammenarbeit mit bestehenden Fachbehörden bündelt – für Bereiche mit bereits etablierter Aufsicht (etwa Finanzaufsicht) bleiben die jeweiligen Fachbehörden zuständig. Bei GPAI-Modellen mit Systemrisiko liegt die Durchsetzung dagegen bei der EU-Kommission über das European AI Office, nicht bei der nationalen Behörde.
Die drei Bußgeldstufen im Detail (Art. 99)
- Höchste Stufe: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes – ausschließlich bei Verstößen gegen die verbotenen Praktiken (Art. 5).
- Mittlere Stufe: bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes – bei Verstößen gegen die meisten übrigen Pflichten (z. B. Hochrisiko-Anforderungen, Transparenzpflichten).
- Niedrigste Stufe: bis zu 7,5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes – bei falschen, unvollständigen oder irreführenden Auskünften gegenüber Behörden.
Die KMU-Verhältnismäßigkeit
Art. 99 Abs. 6 sieht ausdrücklich vor, dass für kleine und mittlere Unternehmen sowie Start-ups jeweils der NIEDRIGERE der beiden Werte (fester Betrag oder Prozentsatz) gilt – ein wirtschaftlich spürbarer Unterschied gegenüber Großkonzernen. Zusätzlich listet Art. 99 Abs. 7 sieben Kriterien, die bei der konkreten Bußgeldbemessung zu berücksichtigen sind: Art und Schwere des Verstoßes, Zahl der betroffenen Personen und Schadenshöhe, Vorsatz oder Fahrlässigkeit, ergriffene Maßnahmen zur Schadensbegrenzung, Kooperationsbereitschaft mit der Behörde, frühere Verstöße und die wirtschaftliche Lage des Unternehmens. Ein Bußgeld ist also keine automatische Formel, sondern das Ergebnis einer Einzelfallabwägung.
Praxis-Teil: Was bei einer Prüfung tatsächlich vorzuzeigen ist
Eine Prüfung verläuft deutlich entspannter, wenn die Hausaufgaben aus diesem Kurs bereits erledigt sind: die dokumentierte Inventur aus „Die Risikopyramide im Detail“, die Rollen-Klärung aus „Anbieter oder Betreiber?“, der Schulungsnachweis aus „Die AI-Kompetenz-Pflicht“, eine Grundrechte-Folgenabschätzung aus „Menschliche Aufsicht und die Grundrechte-Folgenabschätzung“ (falls einschlägig) und der Kennzeichnungsnachweis aus „Transparenzpflichten für Chatbots, Deepfakes & KI-Inhalte“. Zusätzlich gilt: automatisch erzeugte Protokolle müssen mindestens sechs Monate aufbewahrt werden – eine einfache, aber häufig übersehene technische Pflicht. Diese Einordnung ersetzt keine Rechtsberatung im Einzelfall.