Einleitung: Warum ein Schulungsanbieter diesen Mythos zerlegt
„Bis zu 35 Millionen Euro Bußgeld, wenn Sie Ihre Mitarbeiter nicht schulen." Dieser Satz steht sinngemäß in Dutzenden LinkedIn-Posts, Webinar-Einladungen und Anbieter-Landingpages. Er ist falsch. Er war auch vor dem Digital Omnibus falsch. Und er wird nicht richtiger dadurch, dass ihn Anbieter von KI-Schulungen besonders gern wiederholen.
Wir verkaufen selbst eine KI-Schulung. Gerade deshalb schreiben wir diesen Beitrag: Wer Ihnen ein erfundenes Bußgeld als Verkaufsargument präsentiert, wird es mit der Genauigkeit auch beim Kursinhalt nicht so genau nehmen. Dieser Artikel zeigt, was Artikel 99 des EU AI Act tatsächlich vorsieht, zerlegt die drei häufigsten Falschbehauptungen (darunter ein frei erfundenes Bundesarbeitsgerichts-Urteil) und erklärt, welche Risiken für deutsche KMU im August 2026 real sind. Jede Zahl in diesem Beitrag lässt sich am amtlichen Verordnungstext nachprüfen.
Die echten Bußgeldstufen des Artikel 99
Der EU AI Act kennt genau drei Bußgeldstufen für Unternehmen. Sie stehen in Artikel 99 der Verordnung, in der seit dem 27. Juli 2026 geltenden konsolidierten Fassung:
| Stufe | Verstoß gegen | Obergrenze |
|---|---|---|
| Artikel 99 Abs. 3 | Verbotene Praktiken nach Artikel 5 (ab 2. Dezember 2026 einschließlich der zwei neuen Verbote) | bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Wert höher ist |
| Artikel 99 Abs. 4 | Bestimmte, abschließend aufgezählte Pflichten: Artikel 16, 22, 23, 24, 26 (Betreiberpflichten bei Hochrisiko-KI), 25 Abs. 2 und 4, 50 (Transparenz) sowie Pflichten notifizierter Stellen | bis zu 15 Mio. € oder 3 %, je nachdem, welcher Wert höher ist |
| Artikel 99 Abs. 5 | Falsche, unvollständige oder irreführende Angaben gegenüber Behörden und notifizierten Stellen | bis zu 7,5 Mio. € oder 1 %, je nachdem, welcher Wert höher ist |
Dazu kommen zwei Regeln, die in kaum einem Angst-Post auftauchen:
Die KMU-Deckelung. Für kleine und mittlere Unternehmen einschließlich Start-ups gilt nach Artikel 99 Absatz 6 in jeder Stufe der jeweils niedrigere der beiden Werte. Ein KMU mit 4 Millionen Euro Umsatz sähe in der zweiten Stufe also maximal 3 % von 4 Millionen, nicht 15 Millionen. Der Digital Omnibus hat diese Logik auf „kleine Midcap-Unternehmen" für die Stufen 2 und 3 ausgeweitet und die Mitgliedstaaten zusätzlich verpflichtet, bei Sanktionen die wirtschaftliche Überlebensfähigkeit von KMU zu berücksichtigen.
Die Bußgelder setzen konkrete Pflichtverstöße voraus. Die 35 Millionen gibt es ausschließlich für Verstöße gegen die verbotenen Praktiken des Artikel 5, etwa Emotionserkennung am Arbeitsplatz oder Social Scoring. Die 15 Millionen knüpfen an einen abschließenden Katalog an, in dem unter anderem die Betreiberpflichten für Hochrisiko-KI (Artikel 26, anwendbar ab 2. Dezember 2027) und die seit August 2026 geltenden Transparenzpflichten (Artikel 50) stehen. Wer eine Bußgeldzahl nennt, ohne die verletzte Pflicht zu nennen, argumentiert nicht juristisch, sondern rhetorisch. Die vollständige Aufschlüsselung finden Sie in unserem Beitrag EU AI Act Bußgelder.
Und der Vollständigkeit halber: Stand August 2026 ist EU-weit kein einziges Bußgeld und kein förmliches Verfahren nach dem EU AI Act belegt. Meldungen über „erste AI-Act-Strafen" haben bisher keiner Prüfung an Primärquellen standgehalten.
Mythos 1: „35 Millionen Euro für fehlende Schulung"
Die Behauptung: Wer seine Mitarbeiter nicht nach Artikel 4 schult, riskiert die Höchststrafe des EU AI Act.
Die Prüfung dauert fünf Minuten: Man lese Artikel 99. Absatz 3 nennt Artikel 5. Absatz 4 zählt die Artikel 16, 22, 23, 24, 25 Abs. 2 und 4, 26, 31, 33, 34 und 50 auf. Absatz 5 betrifft Falschangaben gegenüber Behörden. Artikel 4 steht in keiner der drei Stufen. Er stand dort auch vor dem Digital Omnibus nie. Die Verknüpfung „keine Schulung = 35 Millionen" ist keine Zuspitzung, sondern eine Falschbehauptung.
Heißt das, Artikel 4 sei folgenlos? Nein, und hier lohnt Präzision:
- Die Pflicht gilt seit dem 2. Februar 2025 und wird seit dem 2. August 2026 von den nationalen Marktüberwachungsbehörden beaufsichtigt, in Deutschland federführend von der Bundesnetzagentur.
- Verstöße können über die nationale Sanktionsschiene des Artikel 99 Absatz 1 adressiert werden: wirksame, verhältnismäßige Maßnahmen der Mitgliedstaaten, die seit dem Omnibus ausdrücklich auch Verwarnungen und nicht-monetäre Maßnahmen umfassen können. Der deutsche Bußgeldkatalog in § 15 KI-MIG nennt Artikel 4 allerdings ebenfalls nicht.
- Die realistische Wirkung fehlender KI-Kompetenz ist eine andere: Sie erhöht die Wahrscheinlichkeit, dass im Unternehmen tatsächlich sanktionierte Pflichten verletzt werden, und sie wiegt als Organisationsverschulden schwer, wenn etwas passiert. Die EU-Kommission formuliert es in ihrer FAQ nüchtern: Konsequenzen sind wahrscheinlicher, wenn ein Vorfall nachweislich auf fehlende Schulung zurückgeht.
Fehlende KI-Kompetenz ist also ein Risikoverstärker, kein 35-Millionen-Tatbestand. Wer den Unterschied verwischt, will Ihnen Angst verkaufen. Was Artikel 4 stattdessen konkret verlangt, haben wir im Leitfaden zur Schulungspflicht nach Artikel 4 aufgeschrieben.
Mythos 2: Die „7,5 Millionen oder 1,5 Prozent"-Stufe
In vielen Beiträgen, auch von seriös wirkenden Anbietern, taucht eine angebliche Bußgeldstufe von „7,5 Mio. € oder 1,5 % des Umsatzes" auf, gern direkt mit Artikel 4 verknüpft. Diese Stufe existiert nicht. Die dritte Stufe des Artikel 99 lautet 7,5 Mio. € oder 1 %, und sie gilt ausschließlich für falsche, unvollständige oder irreführende Angaben gegenüber Behörden und notifizierten Stellen. Mit Schulung hat sie nichts zu tun.
Die Zahl „1,5 %" ist ein Kopierfehler, der seit Jahren durch KI-generierte und voneinander abgeschriebene Rechtstexte wandert. Sie ist ein nützlicher Lackmustest: Wo „1,5 %" steht, hat niemand den Verordnungstext gelesen. Dasselbe gilt für frei erfundene „KMU-Faustregeln" wie „10.000 bis 200.000 Euro für kleinere Betriebe", für die es im EU AI Act keinerlei Grundlage gibt.
Mythos 3: Das BAG-Urteil, das es nie gab
Der bemerkenswerteste Fall des Jahres: Durch Fachblogs und Social-Media-Posts geistert ein angebliches Urteil des Bundesarbeitsgerichts vom 27. März 2026, Aktenzeichen 8 AZR 74/25, wonach ein Unternehmen 120.000 Euro Entschädigung wegen algorithmischer Altersdiskriminierung zahlen musste. Die Geschichte wird als Beleg zitiert, dass „KI-Verstöße jetzt richtig teuer werden".
Das Urteil existiert nicht. Die Geschichte stammt aus einem Blogbeitrag, der am 1. April 2026 erschien, als Aprilscherz ohne Kennzeichnung, handwerklich geschickt gemacht, mit korrekten AGG- und AI-Act-Bezügen als Glaubwürdigkeitskulisse. Die Prüfung ist trivial: Die Entscheidungsdatenbank des Bundesarbeitsgerichts kennt kein Verfahren 8 AZR 74/25, der direkte Aufruf der Entscheidungsseite läuft ins Leere, und keine juristische Fachpresse hat je darüber berichtet. Trotzdem wird die Geschichte inzwischen von KI-generierten Zweitverwertungen als Tatsache weitergereicht, samt Aktenzeichen und Entschädigungssumme.
Wir erzählen das nicht, um den Scherz zu adeln, sondern wegen der Lektion dahinter: Ein plausibles Aktenzeichen ist kein Beleg. Der deutschsprachige Rechts-Content zum EU AI Act ist 2026 voll von erfundenen Urteilen, Fundstellen und Bußgeldbeträgen, die durch gegenseitiges Abschreiben den Anschein von Mehrfachbestätigung erzeugen. Drei Prüfgriffe genügen fast immer: Gerichtsdatenbank (bundesarbeitsgericht.de, Landesjustizportale), Gesetzestext (gesetze-im-internet.de, EUR-Lex) und die Frage, ob eine einzige unabhängige Primärquelle die Behauptung trägt.
Zur Einordnung: Ein echtes, wichtiges BAG-Urteil mit KI-Bezug gibt es tatsächlich, nämlich die „Workday"-Entscheidung vom 8. Mai 2025 (8 AZR 209/21) zum Beschäftigtendatenschutz. Sie handelt aber von der Unanwendbarkeit des § 26 BDSG, nicht von einem KI-Bußgeld. Und ein deutsches Urteil zu Diskriminierung durch KI im Recruiting ist bislang nicht auffindbar. Wer eines zitiert bekommt, sollte genau hinsehen.
Was heute wirklich weh tut
Wenn die Millionen-Bußgelder derzeit Theorie sind, was ist dann das reale Risiko eines deutschen KMU im Jahr 2026? Vier Dinge, in absteigender Wahrscheinlichkeit:
1. Wettbewerbsrechtliche Haftung für KI-Aussagen, heute schon. Das Oberlandesgericht Hamm hat am 12. Mai 2026 (Az. 4 UKl 3/25) entschieden, dass die falschen Aussagen eines Kundenservice-Chatbots dem Unternehmen als eigene geschäftliche Handlung zugerechnet werden. Die Verteidigung, das sei eine unvorhersehbare „Halluzination" gewesen, blieb erfolglos, und ein pauschaler Hinweis „KI kann Fehler machen" schützte nicht. Grundlage war das klassische Irreführungsverbot der §§ 3, 5 UWG, nicht der EU AI Act. Das Urteil ist nicht rechtskräftig, die Revision zum Bundesgerichtshof wurde zugelassen. Die Richtung ist trotzdem klar: Für Ihren Chatbot haften Sie jetzt, ganz ohne KI-Verordnung.
2. Abmahnrisiko rund um Artikel 50. Seit dem 2. August 2026 gelten die Transparenzpflichten: Chatbot-Offenlegung, Deepfake-Kennzeichnung, Hinweise bei bestimmten KI-Texten. In der wettbewerbsrechtlichen Literatur wird überwiegend vertreten, dass diese Pflichten Marktverhaltensregeln im Sinne des § 3a UWG sind und Verstöße damit von Wettbewerbern und Verbänden abgemahnt werden können; gerichtlich geklärt ist das nicht. Eine Abmahnwelle ist bisher ausgeblieben, die Wettbewerbszentrale hat aber einen Leitfaden zur KI-Kennzeichnung veröffentlicht und seit Ende Juli 2026 ein eigenes KI-Beschwerdeformular. Das ist ein Risiko, kein Ereignis, aber eines mit sehr niedriger Eintrittsschwelle.
3. Der nationale Bußgeldrahmen: § 15 KI-MIG. Deutschlands Durchführungsgesetz, in Kraft seit dem 29. Juli 2026, bewehrt bestimmte Verstöße mit Bußgeldern bis 50.000 Euro: verweigerte Auskünfte und Zugänge gegenüber Behörden, später auch Verstöße gegen die Grundrechte-Folgenabschätzung und gegen die Pflicht, betroffenen Personen Einzelfallentscheidungen von Hochrisiko-KI zu erläutern. Das sind realistische Größenordnungen für den Mittelstand, und sie belohnen genau eines: auskunftsfähig zu sein.
4. Eine Aufsicht mit offener Tür. Die Bundesnetzagentur ist seit dem 2. August 2026 zentrale KI-Marktüberwachungsbehörde, und über die Beschwerdestelle nach § 8 KI-MIG kann jeder, vom Wettbewerber bis zum Ex-Mitarbeiter, kostenlos und online einen vermuteten Verstoß melden. Behördenkontakt entsteht damit künftig weniger durch anlasslose Prüfungen als durch konkrete Hinweise. Wer dann eine geordnete Dokumentation vorlegen kann, beendet die meisten Vorgänge, bevor sie welche werden.
Das Muster hinter allen vier Punkten: Die reale Rechtslage bestraft nicht das Fehlen eines Zertifikats, sondern unbelegbare Behauptungen, fehlende Kennzeichnung und Sprachlosigkeit gegenüber Behörden. Dagegen hilft keine Panik, sondern Dokumentation.
Warum wir das schreiben
Angst ist im Compliance-Markt ein Geschäftsmodell. Es funktioniert kurzfristig, und es vergiftet langfristig das Vertrauen in alle, die mit KI-Recht arbeiten. Wir halten es lieber mit dem Gesetzgeber selbst: Erwägungsgrund 8 des Digital Omnibus stellt fest, dass KI-Kompetenz eine strategische Priorität sein sollte, unabhängig von regulatorischen Pflichten und möglichen Sanktionen. Die EU-Kommission ergänzt in ihrer FAQ ausdrücklich, dass für Artikel 4 kein Zertifikat erforderlich ist; interne Aufzeichnungen über Schulungen genügen.
Beides sagen wir offen, obwohl wir Schulungen mit Zertifikat verkaufen. Denn das ehrliche Argument ist stärker als das erfundene: Ihr Team nutzt KI längst. Die Frage ist nicht, ob Sie ein Bußgeld von 35 Millionen fürchten müssen (müssen Sie nicht), sondern ob Ihre Leute mit KI gut, sicher und nachweisbar arbeiten. Gute Dokumentation schlägt Panik, und zwar in jedem der vier oben beschriebenen Szenarien. Wie ein belastbarer Nachweis aussieht, zeigt unser Leitfaden KI-Kompetenz nachweisen für KMU.
Fazit: Rechnen Sie nach, nicht hoch
Die echten Bußgeldstufen des EU AI Act sind streng, aber präzise: 35 Millionen für verbotene Praktiken, 15 Millionen für einen abschließenden Pflichtenkatalog, 7,5 Millionen für Falschangaben gegenüber Behörden, für KMU jeweils gedeckelt auf den niedrigeren Wert. Fehlende Schulung steht in keiner dieser Stufen. Die realen Risiken deutscher KMU heißen 2026 UWG-Haftung, Kennzeichnungspflichten und Auskunftsfähigkeit, und alle drei lassen sich mit kompetenten Mitarbeitern und geordneter Dokumentation beherrschen. Prüfen Sie jede Bußgeldzahl, die Ihnen begegnet, gegen Artikel 99, und jedes Aktenzeichen gegen die Gerichtsdatenbank. Auch unsere.
Wenn Sie den nüchternen Weg gehen wollen, unterstützt Forefront AI Sie mit vier Bausteinen: einer rollenbasierten KI-Schulung auf dem aktuellen Rechtsstand, dem AI Lab mit über 160 Prompts und Anleitungen für produktive KI-Nutzung im Alltag, der monatlichen AI-Sprechstunde für alle Fragen aus Ihrer Praxis und dem Nachweis-Center, das dokumentiert, wer wann was gelernt hat. Kein Alarm, keine erfundenen Millionen, sondern ein Angebot, das Sie sich in Ruhe ansehen können, oder ein direktes Gespräch mit uns.