35.000.000 Euro Bußgeld für eine fehlende Schulung? Diese Zahl gilt, nur für etwas anderes.

„Bis zu 35.000.000 Euro Bußgeld, wenn Sie Ihre Mitarbeiter nicht in KI schulen." Der Satz taucht in Ratgebern, auf LinkedIn und gelegentlich in Angeboten von Beratern auf. Er verbindet zwei Dinge, die im Gesetz nichts miteinander zu tun haben: die Höchststrafe der KI-Verordnung und die Pflicht aus Artikel 4, die KI-Kompetenz der Mitarbeiter zu fördern. Wer im Bußgeldkatalog nachschlägt, findet Artikel 4 dort nicht.

Der Bußgeldkatalog steht in Artikel 99

Artikel 99 der KI-Verordnung listet abschließend auf, welche Pflichtverletzungen mit Geldbuße belegt werden können. Absatz 4 nennt sieben Gruppen von Vorschriften:

• Pflichten der Anbieter (Artikel 16)
• Pflichten der Bevollmächtigten (Artikel 22)
• Pflichten der Einführer (Artikel 23)
• Pflichten der Händler (Artikel 24)
• Pflichten der Betreiber von Hochrisiko-Systemen (Artikel 26)
• Anforderungen an notifizierte Stellen (Artikel 31, 33 Absätze 1, 3 und 4, Artikel 34)
• Transparenzpflichten für Anbieter und Betreiber (Artikel 50)

Seit dem Digital Omnibus ist eine achte Gruppe dazugekommen: Pflichten der Anbieter und Akteure nach Artikel 25 Absätze 2 und 4. Artikel 4, die Pflicht zur KI-Kompetenz, steht in keiner dieser Aufzählungen. Ein eigener Bußgeldtatbestand dafür existiert im Gesetzestext nicht.

Die drei tatsächlichen Stufen

Wo Bußgelder vorgesehen sind, unterscheidet Artikel 99 drei Höhen, gestaffelt nach der Art des Verstoßes:

„Bei Missachtung des Verbots der in Artikel 5 genannten KI-Praktiken werden Geldbußen von bis zu 35 000 000 EUR oder — im Falle von Unternehmen — von bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt, je nachdem, welcher Betrag höher ist." Verordnung (EU) 2024/1689, Artikel 99 Absatz 3

Das ist die Zahl, die in den Ratgebern zitiert wird, und sie gehört zu Artikel 5: den verbotenen Praktiken. Dazu zählen unter anderem Social Scoring durch Behörden, manipulative Techniken, die eine Person unterschwellig beeinflussen sollen, und bestimmte Formen biometrischer Kategorisierung. Für die sieben Pflichtengruppen aus Artikel 99 Absatz 4, einschließlich der Transparenzpflicht in Artikel 50, gilt die zweite Stufe: bis zu 15.000.000 € oder 3 % des weltweiten Jahresumsatzes. Wer einer Behörde falsche, unvollständige oder irreführende Auskünfte gibt, riskiert die dritte Stufe nach Absatz 5: bis zu 7.500.000 € oder 1 %.

Der eingebaute Schutz für kleinere Unternehmen

Artikel 99 behandelt kleinere Unternehmen von vornherein anders. Absatz 6 legt fest, dass für jede Geldbuße nach diesem Artikel bei KMU und Start-ups automatisch der jeweils niedrigere der beiden möglichen Beträge gilt, also der Prozentsatz oder die feste Summe, je nachdem, welcher niedriger ausfällt. Absatz 1 verlangt außerdem, dass Sanktionen wirksam, verhältnismäßig und abschreckend sein müssen und dabei die Interessen von KMU und deren wirtschaftliches Überleben berücksichtigen.

Der Digital Omnibus hat diesen Schutz im Juli 2026 erweitert. Absatz 1 nennt seither ausdrücklich auch „kleine Midcap-Unternehmen", eine neue Größenklasse knapp oberhalb der KMU-Schwelle. Und ein neuer Absatz 6a überträgt die Regel des niedrigeren Betrags auf genau diese Gruppe, allerdings nur für Verstöße nach den Absätzen 4 und 5, nicht für die verbotenen Praktiken nach Absatz 3.

Was wirklich zählt, wenn kein Bußgeld direkt droht

Dass Artikel 4 keinen eigenen Bußgeldtatbestand hat, heißt nicht, dass fehlende Schulung folgenlos bleibt. Zwei andere Mechanismen wirken unabhängig vom Bußgeldkatalog.

Der erste ist die Haftung. Setzt ein Betrieb KI ein und entsteht dadurch ein Schaden, geht es im Streitfall um Organisationsverschulden: Hat der Betrieb getan, was von ihm erwartet werden konnte? Das Oberlandesgericht Hamm hat im Mai 2026 entschieden, dass ein Unternehmen für die Falschaussagen seines Chatbots voll einsteht und ein allgemeiner Hinweis „KI kann Fehler machen" nicht schützt (Urteil vom 12.05.2026, Az. 4 UKl 3/25, Revision zugelassen). Wer eine Schulung dokumentiert hat, steht in so einem Verfahren anders da als jemand, der nur behauptet, vorbereitet gewesen zu sein.

Der zweite Mechanismus ist Wettbewerbsrecht, und der betrifft weniger Artikel 4 als Artikel 50. Wer sein Chat-Widget nicht als KI kennzeichnet, riskiert eine Abmahnung durch Mitbewerber oder die Wettbewerbszentrale, nicht in erster Linie ein Verfahren vor der KI-Marktüberwachungsbehörde. Was Artikel 50 im Einzelnen verlangt, steht im eigenen Beitrag dazu.

Für die Praxis

Ein Betrieb, der prüft, ob er etwas dokumentieren soll, sollte die Frage nicht an der Bußgeldhöhe aufhängen. Die Pflicht aus Artikel 4 besteht unabhängig davon, ob ein Verstoß sanktionsbewehrt ist, und der Nachweis einer Maßnahme wird im Zweifel woanders relevant: bei einem Schaden, bei einer Datenschutzbeschwerde, bei einer Frage des eigenen Betriebsrats. 35.000.000 € sind für die allermeisten kleinen und mittleren Betriebe ohnehin eine theoretische Zahl, weil sie an eine ganz andere Art von Verstoß gebunden ist. Die Dokumentationspflicht bleibt trotzdem die Aufgabe, die zuerst erledigt gehört.