Article 99 — Sanktionen (EU-KI-Gesetz)

Article 99 der Verordnung (EU) 2024/1689 — Sanktionen. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.

Offizieller Textüberblick

Article 99 der Verordnung (EU) 2024/1689 legt den Rahmen für Verwaltungssanktionen bei Verstößen gegen das EU-KI-Gesetz fest. Er sieht eine dreistufige Bußgeldstruktur vor, die auf die Schwere des Verstoßes abgestimmt ist.

Die schwerwiegendsten Verstöße — Verletzungen der in Article 5 aufgeführten verbotenen KI-Praktiken — ziehen Bußgelder von bis zu 35 Millionen Euro oder 7 % des gesamten weltweiten Jahresumsatzes nach sich, je nachdem, welcher Betrag höher ist. Verstöße gegen andere Pflichten von Anbietern, Betreibern, Importeuren und Händlern — einschließlich solcher zu Hochrisiko-KI-Systemen, Transparenzpflichten und GPAI-Modellen — unterliegen Bußgeldern von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes. Die Übermittlung falscher, unvollständiger oder irreführender Informationen an notifizierte Stellen oder nationale zuständige Behörden wird mit bis zu 7,5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes geahndet.

Für GPAI-Modellanbieter verweist Article 99(3) auf die Bußgeldgrenzen, die für Pflichten gemäß Kapitel V (Articles 53–56) gelten, einschließlich der Systemrisikopflichten für Anbieter von GPAI-Modellen mit Systemrisiko. Ist die verstoßende Partei ein KMU oder Start-up, gilt die prozentuale Umsatzobergrenze, wenn sie einen niedrigeren absoluten Betrag ergibt als die Festbetragsobergrenze. Nationale zuständige Behörden sind für die Verhängung und Durchsetzung von Bußgeldern in ihrem Zuständigkeitsbereich verantwortlich, während das KI-Büro auf Unionsebene über Durchsetzungszuständigkeit gegenüber GPAI-Modellanbietern verfügt.

Was dies in der Praxis bedeutet

Article 99 ist das Durchsetzungsrückgrat des EU-KI-Gesetzes. Seine abgestufte Struktur beeinflusst direkt, wie Organisationen ihre Compliance-Programme priorisieren sollten.

Für Anbieter von Hochrisiko-KI-Systemen gilt die Stufe von 3 %/15 Millionen Euro für Versäumnisse wie unzureichende Konformitätsbewertungen, fehlende technische Dokumentation, nicht konforme Qualitätsmanagementsysteme oder die Unterlassung der Registrierung von Systemen in der EU-Datenbank gemäß Article 71. Ein Hersteller von Medizinprodukten, der ein KI-gestütztes Diagnosewerkzeug einsetzt, ohne die erforderliche Konformitätsbewertung gemäß Annex VI abzuschließen, ist beispielsweise dieser Stufe ausgesetzt.

Für jeden Betreiber, der verbotene KI-Anwendungen einsetzt — wie Echtzeit-Biometrie-Identifikation in öffentlichen Räumen außerhalb der engen Ausnahmen, Social Scoring durch Behörden oder subliminale Manipulationstechniken — gilt die Stufe von 7 %/35 Millionen Euro. Dies sind die harten Verbote des Gesetzes, und die Höhe der Strafe signalisiert, dass kein geschäftlicher Grund einen Verstoß ausgleichen kann.

Für GPAI-Modell-Entwickler und Betreiber gelten Bußgelder der 3-%-Stufe für Versäumnisse bei der technischen Dokumentation, Urheberrechtstransparenz und — bei Systemrisikomodellen — Meldepflichten für Vorfälle und Anforderungen zu adversarialem Testen.

Für alle Betreiber löst die Fehlinformation von Regulatoren während Marktüberwachungsuntersuchungen die 1-%-Stufe aus. Dies ist operativ bedeutsam: Es bedeutet, dass internes Dokumentenmanagement, Prüfpfade und Kooperationsprotokolle mit Behörden robust sein müssen, bevor Regulatoren anklopfen.

Verhältnismäßigkeitsfaktoren — einschließlich der Dauer des Verstoßes, des Grades der Kooperation und früherer Verstöße — leiten Behörden bei der Festsetzung der tatsächlichen Geldbuße innerhalb der anwendbaren Obergrenze.

Wesentliche Pflichten

• Verbotene Praktiken vermeiden (Article 5): Jeder Einsatz oder jedes Inverkehrbringen von KI-Systemen, die in Article 5 aufgeführte Praktiken ausüben — einschließlich Echtzeit-Fernbiometrie-Identifikation in öffentlich zugänglichen Räumen (außerhalb aufgeführter Ausnahmen), Social Scoring, subliminaler Manipulation und Ausnutzung von Schwachstellen — setzt den Betreiber der höchsten Sanktionsstufe aus.
• Anbieterpflichten für Hochrisiko-KI-Systeme erfüllen: Anbieter müssen Konformitätsbewertungen, technische Dokumentation, Qualitätsmanagementsysteme und Marktüberwachung nach dem Inverkehrbringen aufrechterhalten. Versäumnisse in einem dieser Bereiche unterliegen dem mittleren Bußgeld.
• GPAI-Modellpflichten einhalten (Kapitel V): Anbieter von Allzweck-KI-Modellen müssen Transparenz-, Dokumentations- und Urheberrechtspolitikpflichten erfüllen; Anbieter von GPAI-Modellen mit Systemrisiko haben zusätzliche Anforderungen zu Vorfallsberichten, Modellbewertungen und Cybersicherheitsmaßnahmen.
• Genaue Informationen an Behörden liefern: Alle Betreiber müssen mit nationalen Marktüberwachungsbehörden und dem KI-Büro kooperieren und dürfen während Untersuchungen oder Konformitätsverfahren keine falschen oder irreführenden Informationen übermitteln.
• KMU-verhältnismäßige Compliance sicherstellen: Obwohl KMU von der Verhältnismäßigkeitsbetrachtung bei der Bußgeldfestsetzung profitieren, sind sie nicht von materiellen Pflichten befreit — sie müssen weiterhin die anwendbaren Anforderungen einhalten und unterliegen der Durchsetzung.
• Interne Prüfpfade aufrechterhalten: Da Bußgelder durch den Grad der Kooperation und ergriffene Korrekturmaßnahmen moduliert werden können, sollten Organisationen Nachweise über Compliance-Schritte, Vorfallsreaktionsverfahren und den gutgläubigen Umgang mit Regulatoren aufrechterhalten.

Bezug zu anderen Artikeln

Article 99 kann nicht isoliert gelesen werden — es ist der Durchsetzungsausdruck von Pflichten, die in der gesamten Verordnung definiert sind.

Die direktesten Verbindungen bestehen zu Article 5 (verbotene Praktiken, die die höchste Sanktionsstufe auslösen) und Articles 8–15 (Anforderungen an Hochrisiko-KI-Systeme, die primäre Quelle von Verstößen der mittleren Stufe). Articles 53–56 (GPAI-Pflichten) fließen in die Strafstruktur für Anbieter von Grundlagenmodellen ein. Article 71 (EU-Datenbank für Hochrisiko-KI-Systeme) ist eine Registrierungspflicht, deren Verletzung von der mittleren Stufe erfasst wird.

Article 100 ist die Schwesterbestimmung für Organe und Einrichtungen der Union und wendet ein paralleles Sanktionsregime an, das vom Europäischen Datenschutzbeauftragten statt von nationalen Behörden verwaltet wird.

Article 98 (Sanktionen bei Nichtkonformität notifizierter Stellen) und Article 101 (Befugnisübertragung bezüglich Bußgelder für GPAI-Anbieter) befinden sich unmittelbar nebenan im Sanktionskapitel und sollten zusammen mit Article 99 gelesen werden, um ein vollständiges Bild der Durchsetzungsarchitektur des Gesetzes zu erhalten. Articles 74–79 (Marktüberwachung und Durchsetzung) definieren den Verfahrensrahmen, in dem Bußgelder gemäß Article 99 verhängt werden.

Compliance-Zeitplan

Das EU-KI-Gesetz trat am 2. August 2024 (zwanzig Tage nach der Veröffentlichung im Amtsblatt) in Kraft. Article 99 selbst wurde am 2. August 2025 anwendbar, nach der zwölfmonatigen Übergangsfrist gemäß Article 113(2).

Der gestaffelte Anwendungszeitplan ist entscheidender Kontext für das Verständnis, wann das Bußgeldrisiko an verschiedene Pflichten anknüpft:

• 2. Februar 2025 — Verbotsbestimmungen (Article 5) wurden anwendbar, was bedeutet, dass Verstöße gegen verbotene KI-Praktiken seit diesem Datum der Bußgeldstufe von 7 %/35 Millionen Euro unterliegen.
• 2. August 2025 — Allgemeines Anwendbarkeitsdatum für den Großteil des Gesetzes, einschließlich Article 99 selbst, GPAI-Modellpflichten (Kapitel V) und den Governance-Rahmen. Die Bußgeldstufen von 3 %/15 Millionen Euro und 1 %/7,5 Millionen Euro wurden ab diesem Datum wirksam.
• 2. Dezember 2026 — Hochrisiko-KI-Systeme gemäß Annex I (bestehende Harmonisierungsrechtsvorschriften der Union) müssen die vollständigen Hochrisikoanforderungen einhalten, wodurch Anbieterpflichten gemäß Articles 8–15 mit Bußgeldrisiko durchsetzbar werden.
• 2. August 2027 — Hochrisiko-KI-Systeme gemäß Annex III, die vor dem 2. August 2024 bereits auf dem Markt waren, müssen compliant sein, womit das Einführungsphasing für bestehende Hochrisiko-Einsätze abgeschlossen wird.

Organisationen sollten ihr KI-Portfolio diesen Daten zuordnen, um das aktuelle und zukunftsorientierte Bußgeldrisiko gemäß Article 99 zu bestimmen.