Was bei KI verboten ist — und was Verstöße kosten
Die Bußgeldrahmen von KI-Verordnung und DSGVO im Überblick — und die Fehler, die im Mittelstand tatsächlich passieren.
Zwei Regelwerke können bei KI-Projekten teuer werden: die DSGVO, wenn personenbezogene Daten falsch verarbeitet werden, und die KI-Verordnung, wenn ein System in einen verbotenen oder streng regulierten Bereich fällt.
Die abschreckend hohen Zahlen sind Obergrenzen, keine Standardstrafen — bemessen wird nach Schwere, Vorsatz und Kooperation. Trotzdem lohnt der Blick, weil die häufigsten Fehler im Mittelstand nicht exotisch sind, sondern banal.
Verbotene KI-Praktiken (Artikel 5 KI-Verordnung)
Diese Anwendungen sind seit dem 2. Februar 2025 unabhängig von der Unternehmensgröße untersagt. Zwei davon sind für normale Betriebe durchaus erreichbar:
- Emotionserkennung am Arbeitsplatz — Software, die aus Stimme, Gesicht oder Verhalten von Mitarbeitern Emotionen ableitet, ist am Arbeitsplatz und in Bildungseinrichtungen verboten (eng begrenzte Ausnahmen für Sicherheit und Medizin). Manche Callcenter-Analysetools werben genau damit.
- Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachung zum Aufbau von Gesichtserkennungs-Datenbanken.
- Social Scoring — Bewertung von Personen anhand ihres sozialen Verhaltens mit benachteiligenden Folgen in anderen Lebensbereichen.
- Biometrische Kategorisierung zur Ableitung sensibler Merkmale wie politischer Einstellung, Religion oder sexueller Orientierung.
- Manipulative Techniken, die unterschwellig das Verhalten beeinflussen und erheblichen Schaden verursachen können — ebenso das gezielte Ausnutzen von Schwächen aufgrund Alter, Behinderung oder sozialer Lage.
- Vorhersage von Straftaten allein auf Basis von Persönlichkeitsprofilen.
Für die allermeisten Mittelständler ist davon nur der erste Punkt praktisch relevant — und zwar dann, wenn Analysewerkzeuge für Kundengespräche oder Bewerbungsvideos eingekauft werden, ohne genau hinzusehen, was sie messen.
Die Bußgeldrahmen
| Regelwerk | Verstoß | Obergrenze |
|---|---|---|
| KI-Verordnung | Verbotene Praktiken (Art. 5) | bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes |
| KI-Verordnung | Verstoß gegen sonstige Pflichten (z. B. Hochrisiko-Anforderungen) | bis 15 Mio. € oder 3 % |
| KI-Verordnung | Falsche oder irreführende Angaben gegenüber Behörden | bis 7,5 Mio. € oder 1 % |
| DSGVO | Schwere Verstöße (z. B. fehlende Rechtsgrundlage, unzulässige Drittlandübermittlung) | bis 20 Mio. € oder 4 % |
| DSGVO | Formale Verstöße (z. B. fehlendes Verarbeitungsverzeichnis) | bis 10 Mio. € oder 2 % |
Maßgeblich ist jeweils der höhere Betrag — bei kleinen und mittleren Unternehmen sieht die KI-Verordnung dagegen den niedrigeren der beiden Werte als Obergrenze vor. Zusätzlich zum Bußgeld drohen praktisch relevantere Folgen: Untersagung des Systems, Schadenersatzforderungen und Reputationsschaden.
Die Fehler, die im Mittelstand wirklich passieren
In der Praxis führen selten spektakuläre Verbote zu Problemen, sondern diese fünf Alltagsfehler:
Schatten-KI
Mitarbeiter nutzen private KI-Accounts für Kundendaten, Kalkulationen und Verträge. Niemand weiß, welche Daten das Haus verlassen haben. Abhilfe: freigegebenes Werkzeug plus schriftliche Nutzungsregel.
Vollautomatische Entscheidungen
Ein System sortiert Bewerbungen oder lehnt Anfragen selbstständig ab. Art. 22 DSGVO setzt hier enge Grenzen. Abhilfe: menschliche Freigabe im Ablauf verankern.
Betriebsrat übergangen
Ein System, das Leistung oder Verhalten messen könnte, wird ohne Beteiligung eingeführt. Das kann die Nutzung nachträglich blockieren. Abhilfe: früh einbinden.
Eingekaufte Funktion ungeprüft
Ein Tool wirbt mit „Stimmungsanalyse im Kundengespräch" — und fällt damit womöglich unter das Verbot der Emotionserkennung. Abhilfe: vor dem Kauf prüfen, was gemessen wird.
Keine Dokumentation
Es gibt kein Verzeichnis, welches System welche Daten wofür verarbeitet. Bei einer Prüfung ist das der erste Befund. Abhilfe: von Anfang an mitschreiben — das ist Fleißarbeit, keine Kunst.
Wie sich das technisch entschärfen lässt
Drei Konstruktionsentscheidungen nehmen einem Großteil dieser Risiken die Schärfe — und sie sind ohnehin gute Praxis:
- Mensch entscheidet, Maschine bereitet vor. Wo kein automatisierter Entscheid ergeht, greift Art. 22 DSGVO nicht, und der Hochrisiko-Bereich wird meist gar nicht erst berührt.
- Verarbeitung im Haus. Kein Drittlandtransfer, keine Standardvertragsklauseln, kein Transfer Impact Assessment. Ein eigener KI-Server löst den aufwendigsten Prüfblock strukturell.
- Alles protokollieren. Wer bei einer Prüfung zeigen kann, welcher Vorgang wann von wem freigegeben wurde, diskutiert über Details statt über Grundsätzliches.
Häufige Fragen
Wie hoch sind die Bußgelder beim EU AI Act wirklich?
Die Obergrenzen liegen bei 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, 15 Mio. € oder 3 % für sonstige Pflichtverstöße und 7,5 Mio. € oder 1 % für falsche Angaben gegenüber Behörden. Für KMU gilt jeweils der niedrigere der beiden Werte als Obergrenze. Die tatsächliche Höhe richtet sich nach Schwere, Vorsatz und Kooperation.
Ist Emotionserkennung wirklich verboten?
Am Arbeitsplatz und in Bildungseinrichtungen ja — mit engen Ausnahmen für Sicherheits- und medizinische Zwecke. Praktisch relevant wird das, wenn Analysewerkzeuge für Kundengespräche oder Bewerbungsvideos eingekauft werden, die Stimmungen auswerten.
Wer haftet, wenn unsere KI einen Fehler macht?
Gegenüber Kunden bleiben Sie als Unternehmen verantwortlich — eine KI ist kein Haftungssubjekt. Im Innenverhältnis kommt es auf die vertragliche Gestaltung mit dem Dienstleister an. Genau deshalb ist die menschliche Freigabe vor jeder Außenwirkung so wichtig.
Wurden schon Bußgelder nach dem AI Act verhängt?
Die Sanktionsvorschriften gelten seit August 2025, die Aufsichtsstrukturen in den Mitgliedstaaten befinden sich im Aufbau. Ein breites Vollzugsbild gibt es noch nicht. Auf die DSGVO gestützte Verfahren im KI-Kontext gab es dagegen bereits — die ist seit 2018 in Kraft und wird aktiv durchgesetzt.
Was ist der schnellste Weg, auf der sicheren Seite zu sein?
Drei Dinge: eine schriftliche Regel, welche Daten in welches Werkzeug dürfen; menschliche Freigabe vor allem, was nach außen geht; und eine Liste, welches System welche Daten verarbeitet. Damit sind die häufigsten Befunde erledigt — den Rest klärt Ihr Datenschutzbeauftragter.
Verwandte Leistungen
EU AI Act
Fristen, Risikoklassen, Pflichten
KI & Datenschutz
Künstliche Intelligenz DSGVO-konform einsetzen
Eigener KI-Server
DSGVO-konform auf Ihrer Infrastruktur
DSGVO-konforme Website
Was auf der Website geprüft gehört
30 Minuten, kostenfrei, ohne Verkaufsdruck
Wir schauen uns Ihren Prozess an und klären, ob sich KI dafür überhaupt lohnt. Wenn nicht, sage ich das.