AI Act Sanktionen 2026: Bußgelder, Vollzug und Zuständigkeiten

Artikel 99 arbeitet mit gestuften Bußgeldrahmen

Artikel 99 unterscheidet mehrere Verstoßskategorien. Verstöße gegen Verbote nach Artikel 5 können mit dem höchsten allgemeinen Rahmen belegt werden: bis zu 35 Millionen Euro oder, bei Unternehmen, bis zu sieben Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Bei Verstößen gegen die in Artikel 99 Absatz 4 aufgezählten Pflichten liegt der Rahmen bei bis zu 15 Millionen Euro oder drei Prozent; für unrichtige, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder nationalen zuständigen Behörden bei bis zu 7,5 Millionen Euro oder einem Prozent.

Für Unternehmen gelten die umsatzbezogenen Vergleichsregeln; bei KMU gilt innerhalb der jeweiligen Kategorie die niedrigere der absoluten und der umsatzbezogenen Obergrenze. Diese Zahlen sind gesetzliche Obergrenzen und keine Standardtarife. GPAI-Verstöße der Anbieter unterliegen dem gesonderten Artikel 101; auch neue Befugnisse des AI Office sind von nationalen Artikel-99-Verfahren zu trennen. Welche Kategorie einschlägig ist, hängt von verletzter Norm, Rolle, zuständiger Stelle und Sachverhalt ab.

• Verletzte Pflicht und Akteursrolle zuerst bestimmen.
• Höchstbetrag nicht mit voraussichtlicher Geldbuße gleichsetzen.
• Unionsrechtliche und nationale Tatbestände getrennt erfassen.

Quellen: [1] [2] [3]

Bemessung verlangt eine Einzelfallprüfung

Bei der Entscheidung über eine Geldbuße und ihre Höhe sind gesetzliche Faktoren zu berücksichtigen. Dazu zählen insbesondere Art, Schwere und Dauer des Verstoßes, Folgen und Zahl betroffener Personen, ergriffene Abhilfemaßnahmen, Verantwortungsgrad, frühere einschlägige Verstöße, Zusammenarbeit mit Behörden und die Art, wie der Verstoß bekannt wurde. Auch Vorteile oder vermiedene Verluste können relevant sein. Der Vollzug soll wirksam, verhältnismäßig und abschreckend sein.

Für Unternehmen enthält Artikel 99 umsatzbezogene Obergrenzen und besondere Regeln. Bei kleineren Unternehmen kann je nach Tatbestand die gesetzlich vorgesehene Vergleichslogik anders wirken als bei großen Unternehmen. Die konkrete Berechnung verlangt aktuelle Unternehmens- und Konzerninformationen sowie eine rechtliche Prüfung des Begriffs Unternehmen. Frühzeitige Sachverhaltsaufklärung, Beweissicherung und Abhilfe sind wichtig, begründen aber keine Zusage eines bestimmten Ergebnisses. Auch andere aufsichtsrechtliche Anordnungen können neben einer Geldbuße relevant werden.

• Schwere, Dauer, Betroffene und Abhilfe dokumentieren.
• Umsatz- und Unternehmensbezug rechtlich prüfen.
• Kooperation geordnet und beweissicher organisieren.

Quellen: [1] [3]

Art. 4 ist nicht pauschal sanktionslos

Der Digital Omnibus hat Artikel 4 neu gefasst. Anbieter und Betreiber müssen angemessene Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz des einschlägig befassten Personals und sonstiger in ihrem Auftrag handelnder Personen zu unterstützen. Die Verordnung verlangt kein garantiertes individuelles Kompetenzniveau, keine einheitliche Standardausbildung und kein bestimmtes Zertifikat. Umgekehrt ist die Aussage, Artikel 4 sei generell sanktionslos, nach der geänderten Rechtslage zu weitgehend.

Artikel 99 Absatz 1 verpflichtet die Mitgliedstaaten, Regeln für Sanktionen und andere Durchsetzungsmaßnahmen bei Verstößen gegen die Verordnung festzulegen. Für Artikel 4 gibt es jedoch keinen eigenen unionsrechtlichen Bußgeldtatbestand mit einem automatisch geltenden festen Betrag. Ob und wie ein konkreter Verstoß in Österreich sanktioniert oder mit anderen Maßnahmen verfolgt werden kann, hängt vom nationalen Durchführungssystem und der zuständigen Stelle ab. Dieser Status ist unmittelbar vor jeder Veröffentlichung neu zu kontrollieren.

• Kompetenzmaßnahmen kontextbezogen dokumentieren.
• Keinen festen EU-Betrag für Artikel 4 behaupten.
• Österreichische Regeln vor einer Sanktionsaussage aktualisieren.

Quellen: [1] [2]

AI Office und nationale Behörden unterscheiden

Der Vollzug ist mehrstufig. Nationale Marktüberwachungsbehörden und notifizierende Behörden haben Aufgaben nach dem AI Act, während sektorspezifische Behörden in regulierten Bereichen zuständig sein können. Das AI Office verfügt insbesondere im Bereich der GPAI-Modelle über unionsweite Aufsichtsbefugnisse. Der Digital Omnibus erweitert seine Zuständigkeit unter gesetzlichen Voraussetzungen auch auf bestimmte KI-Systeme, die auf GPAI-Modellen beruhen und vom selben Anbieter oder derselben Unternehmensgruppe entwickelt werden, sowie auf bestimmte Systeme großer Onlineplattformen oder Suchmaschinen.

Welche Stelle einen konkreten Sachverhalt verfolgt, lässt sich daher nicht nur aus dem Standort des Unternehmens ableiten. Maßgeblich sind unter anderem Akteursrolle, Modell oder System, Produktsektor, Bereitstellungsform und mögliche Sonderzuständigkeit. Bei Systemen von Organen und Einrichtungen der Union kann der Europäische Datenschutzbeauftragte eine Rolle haben. Unternehmen brauchen einen Behördenplan, der Kontakt, Zuständigkeit, Informationsfreigabe und Fristen abbildet, ohne vorschnell eine einzige Universalbehörde anzunehmen.

• Modellaufsicht, Systemaufsicht und Sektoraufsicht trennen.
• Zuständigkeit vor jeder Meldung oder Antwort prüfen.
• Grenzüberschreitende und unionsweite Konstellationen einplanen.

Quellen: [1] [2] [3]

Österreichische Zuständigkeit nicht aus der Servicefunktion ableiten

Österreich verfügt über die gesetzlich eingerichtete RTR KI-Servicestelle als Informations-, Beratungs- und Koordinierungsstelle. Ihre Aufgaben ergeben sich insbesondere aus § 194a TKG 2021 und § 20c KOG. Aus dieser Service- und Koordinierungsfunktion folgt für sich allein keine allgemeine österreichische Marktüberwachungs-, Bußgeld- oder Beschwerdezuständigkeit.

Das bedeutet weder, dass der AI Act in Österreich unanwendbar wäre, noch dass keine Behörde handeln könnte. Sektorspezifische Marktüberwachungs- und Aufsichtsbehörden können aufgrund des AI Act und des einschlägigen Produkt- oder Finanzmarktrechts zuständig sein; bestimmte Zuständigkeiten liegen beim AI Office. Vor einer Beschwerde, Meldung oder Behördenkommunikation sind Bundesgesetzblatt, RIS, die von der Kommission veröffentlichten Behördenangaben und sektorspezifische Informationen aktuell zu prüfen.

• RTR als Servicestelle, nicht als Universalaufsicht bezeichnen.
• Sektorale Zuständigkeiten und AI Office mitprüfen.
• Bundesgesetzblatt und amtliche Listen vor Vollzugsschritten aktualisieren.

Quellen: [1] [4] [3]

Vollzugsfest vorbereiten ohne Garantieclaims

Rechtsstand 16. September 2026: Der unionsrechtliche Sanktionsrahmen ist anwendbar, doch einzelne Pflichten beginnen erst später. Die spezifischen Hochrisikoanforderungen für Anhang-III-Systeme gelten ab 2. Dezember 2027, jene für Anhang-I-Produktfälle ab 2. August 2028. Ein Vorwurf muss deshalb immer mit dem Anwendungsdatum der konkret verletzten Pflicht abgeglichen werden. Bereits anwendbare Verbote, Transparenzpflichten und GPAI-Regeln dürfen nicht wegen der Hochrisikofristen übersehen werden.

Unternehmen sollten Pflichteninventar, Rollenmatrix, Nachweise, Vorfalltriage und Behördenkommunikation vorbereiten. Bei einem möglichen Verstoß sind relevante Versionen, Logs, Entscheidungen, bekannte Auswirkungen und Abhilfemaßnahmen rechtmäßig zu sichern. Interne Untersuchung und Kommunikation benötigen klare Befugnisse und Datenschutzvorgaben. Solche Maßnahmen unterstützen einen geordneten Umgang mit Aufsicht, bieten aber keine Gewähr für ein bestimmtes Vollzugsergebnis. Unmittelbar vor Veröffentlichung sind österreichisches Durchführungsgesetz, Behördenzuweisung, Beschwerdestellen und Sanktionsregeln erneut amtlich zu verifizieren.

• Anwendungsdatum der konkret verletzten Pflicht prüfen.
• Beweissicherung und Abhilfe nach einem Vorfall steuern.
• Rechtsstand vor jeder externen Aussage aktualisieren.

Quellen: [1] [2] [3] [4]

Häufige Fragen