EU AI Act Strafen für KMU 2026: Bussgelder bei Verstössen — was wirklich droht

Die Bussgeld-Beträge im EU AI Act sind beeindruckend hoch — und genau das macht vielen KMU Angst. Wir zeigen, was rechtlich tatsächlich gilt und wo die KMU-Schutzmechanismen liegen.

Der Strafrahmen nach Art. 99

Drei Stufen:

Stufe 1: Verbotene Praktiken (Art. 5) - **Bis zu 35 Mio. EUR oder 7% des weltweiten Jahresumsatzes** des vorangegangenen Geschäftsjahres - **Höherer Wert ist anwendbar** (Standardregel)

Stufe 2: Pflichtverletzungen bei Hochrisiko-KI - **Bis zu 15 Mio. EUR oder 3% des Jahresumsatzes** - Verstoss gegen Art. 8–22, 26, 50

Stufe 3: Falsche Informationen an Behörden - **Bis zu 7,5 Mio. EUR oder 1% des Jahresumsatzes** - Verstoss gegen Auskunftspflichten

Der KMU-Schutz: Art. 99 Abs. 6

Für KMU und Startups (definiert nach EU-Empfehlung 2003/361/EG: <250 Mitarbeiter, <50 Mio. EUR Umsatz oder <43 Mio. EUR Bilanzsumme) gilt eine entscheidende Sonderregel:

"Bei Geldbußen für KMU einschließlich Start-ups gelten jeweils die Beträge oder Prozentsätze nach den Absätzen 3, 4 und 5, wobei der jeweils niedrigere Wert maßgeblich ist."

Das bedeutet konkret: Statt "höherer Wert" gilt für KMU "niedrigerer Wert" — was die Maximalstrafe stark reduziert.

Verhältnismäßigkeit (Art. 99 Abs. 7)

Selbst innerhalb des Maximalrahmens müssen die Behörden bei der Strafzumessung folgende Faktoren berücksichtigen:

In der Praxis bedeutet das: Ein KMU, das aktiv kooperiert und Mängel sofort behebt, wird selten die volle Strafe erhalten.

Wer setzt die Strafen fest?

Deutschland: Bundesnetzagentur (BNetzA) als KI-Marktaufsichtsbehörde, plus sektorale Aufsichten (BaFin für Finanzbereich, BfArM für Medizinprodukte, BSI für Cybersicherheit).

Österreich: RTR-GmbH, plus sektorale Aufsichten.

Schweiz: Aktuell keine direkte AI-Act-Aufsicht (Schweiz ist Drittland). Aber: Schweizer Unternehmen mit EU-Geschäft fallen unter die EU-Aufsicht des jeweiligen Marktortes.

Reale Beispiele aus DSGVO als Referenz

Da der EU AI Act erst ab 2. August 2026 vollumfänglich anwendbar ist (ausser Art. 5 ab 2. Februar 2025), gibt es noch keine spezifischen AI-Act-Strafen. Vergleichbare DSGVO-Fälle:

In KMU-Größenordnungen sind die meisten DSGVO-Strafen unter 100.000 EUR, oft im 5- bis 20-stelligen Bereich.

Was kann ein KMU tun, um Strafen zu vermeiden?

1. Risikoklassifikation früh und sauber Klar: Gilt der EU AI Act für mein System? Welche Klasse? Was sind die Pflichten?

2. Lückenlose Dokumentation Bei Audits gilt: was nicht dokumentiert ist, gilt als nicht durchgeführt. Technische Dokumentation, Logs, Schulungsnachweise, Konformitätserklärungen.

3. Schulungen (Art. 4 KI-Kompetenz) Personal, das KI nutzt oder betreibt, muss angemessen geschult sein. Pflicht ab 2. Februar 2025.

4. Vertragsklauseln mit Anbietern Klauseln, die Konformität, Haftung, Auskunftspflicht und Update-Pflichten regeln.

5. Vorfall-Meldekette etablieren Bei schwerwiegenden Vorfällen (Art. 73): innerhalb von 15 Tagen melden. Klare Eskalationspfade müssen vor dem ersten Vorfall stehen.

6. Aktive Behördenkooperation Wer kooperiert, fährt besser. Behörden bewerten Zusammenarbeit positiv bei der Strafzumessung.

Versicherungsschutz?

Klassische D&O-Versicherungen decken nicht regulatorische Bussgelder. Manche Cyber-Versicherungen bieten neue Bausteine für AI-Act-Risiken — Stand 2026 noch in Entwicklung. Mit ein paar Versicherern kann man individuelle Klauseln vereinbaren.

Die wahre Strafe: Reputation und Auftragsverlust

Statistisch sind die finanziellen Strafen oft kleiner als der Reputationsschaden. Ein KMU, das öffentlich als nicht-konform bekannt wird, verliert Aufträge — speziell bei B2B-Geschäft mit grossen Konzernen, die compliance-konforme Lieferanten verlangen.

Fazit

Die schreckenerregenden 35-Mio.-Beträge sind für KMU realistisch nicht relevant — die KMU-Regel und Verhältnismäßigkeit greifen. Aber: Reputation, Auftragsverlust und Folgekosten (Re-Audits, Anwaltskosten) machen Compliance-Prävention auch für kleine Unternehmen wirtschaftlich sinnvoll.