Strafen gemäß dem EU-KI-Gesetz

Die EU-AI-Verordnung-Strafen bilden den Durchsetzungsrahmen des Gesetzes über künstliche Intelligenz der Europäischen Union (Verordnung (EU) 2024/1689), das am 1. August 2024 in Kraft getreten ist. Die Strafen sollen die Einhaltung der weltweit ersten umfassenden horizontalen Regulierung von Systemen der künstlichen Intelligenz sicherstellen. Sie etablieren ein abgestuftes System von Verwaltungsgeldbußen, das von 7,5 Millionen Euro oder 1,5 % des weltweiten Jahresumsatzes für geringfügige Verstöße bis zu 35 Millionen Euro oder 7 % für die schwerwiegendsten Verstöße reicht, abhängig von der Kategorie der Zuwiderhandlung und der Größe des Unternehmens. Diese Strafen gelten für Anbieter, Bereitsteller, Importeure, Händler und bevollmächtigte Vertreter von KI-Systemen auf dem EU-Markt, unabhängig davon, wo sie ihren Hauptsitz haben, was die extraterritoriale Reichweite der Verordnung widerspiegelt.

Die Strafstruktur ist auf den risikobasierten Ansatz der EU-KI-Verordnung kalibriert, der KI-Anwendungen in vier Kategorien einteilt: verboten, hohes Risiko, begrenztes Risiko und minimales Risiko. Die höchsten Geldbußen sind für Verstöße gegen verbotene KI-Praktiken vorgesehen, wie etwa Social Scoring durch Regierungen, Echtzeit-Fernidentifizierung von Biometrie in öffentlich zugänglichen Räumen (mit engen Ausnahmen) sowie manipulative oder ausbeuterische KI-Systeme. Die Verordnung führt auch spezifische Geldbußen für die Übermittlung falscher Informationen an benannte Stellen oder nationale zuständige Behörden ein sowie für die Nichteinhaltung von Transparenzpflichten für generative KI-Systeme, einschließlich großer Sprachmodelle und allgemeiner KI-Modelle.

Verbotene KI-Praktiken und Höchststrafen

Gemäß Artikel 5 der EU-KI-Verordnung gelten bestimmte KI-Praktiken als inakzeptabel und sind vollständig verboten. Verstöße gegen diese Verbote ziehen die höchste Strafstufe nach sich: bis zu 35 Millionen Euro oder 7 % des gesamten weltweiten Jahresumsatzes des verstoßenden Unternehmens für das vorangegangene Geschäftsjahr, je nachdem, welcher Betrag höher ist. Dieser Schwellenwert gilt sowohl für Anbieter als auch für Bereitsteller. Verbotene Praktiken umfassen:

• Einsatz von KI-Systemen, die subliminale Techniken verwenden oder Schwachstellen bestimmter Gruppen (z. B. Kinder oder Personen mit Behinderungen) ausnutzen, um Verhalten in einer Weise materiell zu verzerren, die Schaden verursacht.
• Ausnutzung von Schwachstellen im Zusammenhang mit Alter, Behinderung oder sozioökonomischer Situation.
• Bewertung oder Klassifizierung von Personen auf der Grundlage von Sozialverhalten oder vorhergesagten persönlichen Merkmalen (Social Scoring), die zu nachteiliger Behandlung führt.
• Einsatz von Echtzeit-Fernidentifizierung von Biometrie in öffentlich zugänglichen Räumen für Strafverfolgungszwecke, außer in eng definierten Situationen (z. B. Suche nach vermissten Personen, Abwehr unmittelbarer terroristischer Bedrohungen) mit vorheriger gerichtlicher Genehmigung.

Die 7-%-Obergrenze ist deutlich höher als die Höchststrafen gemäß der Datenschutz-Grundverordnung (DSGVO) der EU, die bei 20 Millionen Euro oder 4 % des globalen Umsatzes liegen. Dies spiegelt die Entschlossenheit der EU wider, KI-Sicherheit und Grundrechte durchzusetzen.

Hochrisiko-KI-Systeme und Geldbußen bei Nichteinhaltung

Für Verstöße gegen Pflichten im Zusammenhang mit Hochrisiko-KI-Systemen (Anhang III der Verordnung), zu denen KI in kritischer Infrastruktur, Bildung, Beschäftigung, wesentlichen Diensten, Strafverfolgung, Migration und Justiz gehört, sind Geldbußen von bis zu 15 Millionen Euro oder 3 % des globalen Jahresumsatzes festgelegt, je nachdem, welcher Betrag höher ist. Hochrisikosysteme müssen strenge Anforderungen erfüllen, darunter Risikomanagement, Datenverwaltung, technische Dokumentation, Aufzeichnungspflichten, Transparenz, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit. Die Nichterfüllung dieser Pflichten, wie etwa das Unterlassen von Konformitätsbewertungen oder die Nichtregistrierung des Systems in der EU-Datenbank, löst diese Strafstufe aus.

Transparenzpflichten und Strafen der unteren Stufe

KI-Systeme, die mit Menschen interagieren, wie Chatbots, Deepfakes und Emotionserkennungssysteme, müssen den Nutzern ihre KI-Natur offenlegen. Die Nichteinhaltung dieser Transparenzpflichten führt zu Geldbußen von bis zu 7,5 Millionen Euro oder 1,5 % des globalen Umsatzes, je nachdem, welcher Betrag höher ist. Diese Stufe gilt auch für Verstöße von Bereitstellern, die Hochrisikosysteme nicht gemäß den Anweisungen verwenden oder solche Systeme ohne angemessene Schutzmaßnahmen einsetzen.

Geldbußen für falsche Informationen

Die Übermittlung falscher, unvollständiger oder irreführender Informationen an benannte Stellen oder nationale Behörden als Reaktion auf eine Anfrage kann zu Geldbußen von bis zu 5 Millionen Euro oder 1 % des globalen Umsatzes führen. Dies ist eine separate Zuwiderhandlung, die die Integrität der Konformitätsbewertungs- und Marktüberwachungsprozesse sicherstellen soll.

Berechnung und Aggregation von Geldbußen

Die Geldbußen werden auf der Grundlage des gesamten weltweiten Jahresumsatzes des Unternehmens für das vorangegangene Geschäftsjahr berechnet. Für Unternehmen, die Teil einer Gruppe sind, wird der Umsatz der gesamten Gruppe berücksichtigt. Bei mehreren Verstößen werden die Geldbußen aggregiert, aber der Gesamtbetrag darf das höchste Maximum für die schwerwiegendste Zuwiderhandlung nicht überschreiten. Die Strafen gelten unbeschadet anderer Rechtsbehelfe nach EU- oder nationalem Recht, einschließlich Schadensersatzansprüchen betroffener Personen.

Durchsetzungszeitplan und Übergangsfristen

Die EU-KI-Verordnung enthält gestaffelte Anwendungsdaten. Das Verbot verbotener Praktiken gilt ab dem 2. Februar 2025. Pflichten für allgemeine KI, einschließlich der für OpenAIs GPT-Modelle, Anthropics Claude und Google DeepMinds Gemini, werden ab dem 2. August 2025 anwendbar. Anforderungen an Hochrisikosysteme gelten ab dem 2. August 2026 für die meisten Systeme, mit einigen Ausnahmen für Produkte, die bereits unter bestehende EU-Gesetzgebung fallen (z. B. Medizinprodukte, Maschinen), bis zum 2. August 2027. Die Mitgliedstaaten müssen nationale zuständige Behörden benennen und wirksame, verhältnismäßige und abschreckende Strafen bis zum 2. August 2025 festlegen. Das Europäische KI-Büro, das innerhalb der Europäischen Kommission eingerichtet wurde, koordiniert die Durchsetzung auf EU-Ebene.

Governance und Aufsichtsbehörden

Die EU-KI-Verordnung etabliert eine Governance-Struktur, die den Europäischen Ausschuss für künstliche Intelligenz umfasst, der aus Vertretern der Mitgliedstaaten und dem Europäischen Datenschutzbeauftragten besteht. Nationale Marktüberwachungsbehörden sind für die Durchsetzung der Strafen in ihren Hoheitsgebieten verantwortlich. Sie haben die Befugnis, Untersuchungen durchzuführen, Dokumentation anzufordern und Geldbußen zu verhängen. Für KI-Systeme, die ein ernstes Risiko darstellen, können die Behörden deren Rücknahme vom Markt oder Rückruf anordnen. Bei grenzüberschreitenden Fällen kooperieren die Behörden über den Ausschuss, um eine einheitliche Anwendung zu gewährleisten.

Auswirkungen auf die globale KI-Industrie

Die Strafen haben erhebliche Auswirkungen auf globale Technologieunternehmen, darunter Amazon Web Services, Microsoft Azure, Google Cloud und Alibaba Cloud, die KI-Infrastruktur bereitstellen. Unternehmen wie Intel, AMD, Nvidia und Qualcomm, die KI-Chips liefern, können betroffen sein, wenn ihre Produkte in Hochrisikosystemen verwendet werden. Die extraterritoriale Reichweite bedeutet, dass jeder Anbieter oder Bereitsteller, der KI-Dienste für EU-Nutzer anbietet, die Vorschriften einhalten muss, unabhängig vom Standort. Dies hat zu globalen Compliance-Bemühungen geführt, wobei viele Unternehmen KI-Governance-Rahmenwerke etabliert und Audits durchgeführt haben. Die Strafen gelten als Maßstab für andere Rechtsordnungen wie die USA, China und Kanada, die ihre eigenen KI-Regulierungen entwickeln.

Die Geldbußen sind darauf ausgelegt, abschreckend zu wirken, zielen aber auch darauf ab, Innovation durch klare Regeln zu fördern. Kleine und mittlere Unternehmen (KMU) und Start-ups unterliegen denselben Strafen, aber die Verordnung enthält Bestimmungen für regulatorische Sandkästen und reduzierte Geldbußen für KMU in bestimmten Fällen, wobei die genauen Reduzierungen den Mitgliedstaaten überlassen bleiben. Stand 2025 wurden noch keine Geldbußen verhängt, da die Durchsetzungstermine noch in der Zukunft liegen. Die Androhung von Strafen hat jedoch bereits viele Organisationen dazu veranlasst, mit Compliance-Vorbereitungen zu beginnen, einschließlich Risikobewertungen und Dokumentation.

Vergleich mit anderen regulatorischen Geldbußen

Die Strafen der EU-KI-Verordnung gehören zu den höchsten in der EU-Digitalregulierung. Das Maximum der DSGVO von 20 Millionen Euro oder 4 % ist niedriger, während das Gesetz über digitale Märkte (DMA) Geldbußen von bis zu 10 % des globalen Umsatzes für systemische Verstöße und bis zu 20 % für wiederholte Verstöße verhängen kann. Die 7-%-Obergrenze der KI-Verordnung ist höher als die der DSGVO, aber niedriger als die des DMA, was die unterschiedlichen politischen Ziele widerspiegelt. Die Strafen sind auch für ihre umsatzbasierte Berechnung bemerkenswert, die sicherstellt, dass große Konzerne erhebliche Geldbußen zahlen, während kleinere Einheiten möglicherweise niedrigere absolute Beträge zahlen.

Zukünftige Entwicklungen und Herausforderungen

Mit dem Näherrücken der Durchsetzungstermine bleiben Fragen zur praktischen Anwendung der Strafen offen. Die Definition des „globalen Jahresumsatzes“ ist klar, aber die Auslegung von „Inverkehrbringen“ und „Inbetriebnahme“ könnte zu rechtlichen Herausforderungen führen. Die Europäische Kommission wird voraussichtlich Leitlinien zur Umsetzung der Strafen herausgeben. Darüber hinaus ermöglicht die Verordnung Zwangsgelder zur Erzwingung der Einhaltung, die bis zu 5 % des durchschnittlichen Tagesumsatzes betragen können. Die Wirksamkeit der Strafen wird von den Ressourcen und der Fachkompetenz der nationalen Behörden abhängen. Die EU arbeitet auch an einem Verhaltenskodex für allgemeine KI, der die Pflichten und möglichen Strafen weiter klären wird.

Zusammenfassend stellen die EU-AI-Verordnung-Strafen einen robusten Durchsetzungsmechanismus dar, der sicherstellen soll, dass KI-Systeme in einer Weise entwickelt und verwendet werden, die Grundrechte und Sicherheit respektiert. Die abgestuften Geldbußen, die von 5 Millionen Euro bis 35 Millionen Euro oder bis zu 7 % des globalen Umsatzes reichen, signalisieren das Engagement der EU, Organisationen zur Rechenschaft zu ziehen. Da sich die KI-Landschaft weiterentwickelt, werden diese Strafen wahrscheinlich in der Praxis getestet und das Verhalten von KI-Entwicklern und -Bereitstellern weltweit prägen.