Bei einem KI-Compliance-Verstoß im Unternehmen drohen empfindliche Bußgelder, zivilrechtliche Haftungsansprüche, strafrechtliche Konsequenzen und erhebliche Reputationsschäden. Die genauen Folgen hängen davon ab, welches Regelwerk verletzt wurde, ob es sich um ein Hochrisiko-KI-System handelt und ob der Verstoß vorsätzlich oder fahrlässig begangen wurde. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um KI-Compliance-Risiken und zeigen, wie Unternehmen sich schützen können.

Welche Strafen drohen bei einem Verstoß gegen den EU AI Act?

Verstöße gegen den EU AI Act können mit Bußgeldern von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Diese Höchststrafe gilt für besonders schwerwiegende Verstöße, etwa den Einsatz verbotener KI-Praktiken. Für weniger schwere Verstöße sieht die Verordnung gestaffelte Sanktionen vor.
Die Bußgeldrahmen des EU AI Act sind risikostufenbasiert aufgebaut:

• Verbotene KI-Praktiken (z. B. manipulative Systeme, Social Scoring): bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes
• Verstöße bei Hochrisiko-KI-Systemen (z. B. fehlende Dokumentation, keine menschliche Aufsicht): bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes
• Falsche oder irreführende Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1,5 % des Jahresumsatzes

Neben den direkten Bußgeldern aus dem AI Act drohen parallel weitere rechtliche Konsequenzen. Nach dem Gesetz gegen unlauteren Wettbewerb (UWG) können Wettbewerber oder Verbände Abmahnungen aussprechen, die zur Abgabe einer strafbewehrten Unterlassungserklärung zwingen. Bei Vorsatz oder Fahrlässigkeit greift zusätzlich die Schadensersatzpflicht nach § 9 UWG. Schwere Verstöße, etwa irreführende KI-Aussagen oder Geheimnisverrat, können sogar strafrechtliche Folgen nach §§ 16 bis 20 UWG nach sich ziehen, einschließlich Geld- oder Freiheitsstrafen von bis zu fünf Jahren.
Auch das Bürgerliche Gesetzbuch spielt eine Rolle: Liefert ein KI-System falsche Ergebnisse, kann das Betreiberunternehmen nach § 280 BGB wegen Pflichtverletzung haften. Verursacht die KI Schäden, greift die deliktische Haftung nach § 823 BGB.

Wer haftet im Unternehmen für KI-Compliance-Verstöße?

Die Haftung für KI-Compliance-Verstöße liegt grundsätzlich beim Betreiberunternehmen, nicht beim Hersteller des KI-Systems. Führungskräfte und Verantwortliche können persönlich haftbar gemacht werden, wenn sie ihrer Sorgfaltspflicht nicht nachgekommen sind. KI kann rechtlich keine eigenständige Verantwortung tragen.
Im deutschen Recht gilt ein klares Prinzip: Das Unternehmen trägt die Verantwortung für den Einsatz von KI-Systemen. Konkret bedeutet das:

• Geschäftsführung und Vorstand haften für das Versäumnis, ein funktionierendes KI-Compliance-Management einzurichten.
• IT-Verantwortliche und Projektleiter haften, wenn sie Hochrisiko-KI-Systeme ohne vorgeschriebene Dokumentation oder menschliche Aufsicht betreiben.
• HR-Abteilungen haften, wenn KI-gestützte Personalentscheidungen gegen das Allgemeine Gleichbehandlungsgesetz (AGG) verstoßen. Das AGG schützt Arbeitnehmer vor Diskriminierung, auch wenn diese durch KI erfolgt.

Besonders heikel ist der Einsatz von KI-Systemen, die als Blackbox funktionieren. Beim maschinellen Lernen sind Entscheidungen oft nicht transparent nachvollziehbar, was die Haftungsfrage bei Schäden erheblich verschärft. Betreiber von Hochrisiko-KI-Systemen sind daher verpflichtet, menschliche Überwachungsmechanismen zu implementieren und automatisierte Protokolle mindestens sechs Monate lang aufzubewahren. Wer diese Pflichten vernachlässigt, riskiert persönliche Haftung.

Was passiert nach der Entdeckung eines KI-Compliance-Verstoßes?

Nach der Entdeckung eines KI-Compliance-Verstoßes muss das Unternehmen unverzüglich handeln: Schwerwiegende Vorfälle sind den zuständigen nationalen Behörden zu melden, betroffene Systeme dürfen unter Umständen nicht weiter betrieben werden, und eine lückenlose Dokumentation des Vorfalls ist sicherzustellen.
Der EU AI Act schreibt für Betreiber von Hochrisiko-KI-Systemen eine Meldepflicht bei schwerwiegenden Verdachtsfällen und Vorfällen gemäß Art. 73 KI-VO vor. Parallel dazu gilt ein Verwendungsverbot für das betroffene System, bis der Vorfall aufgeklärt ist. Die Zusammenarbeit mit den zuständigen nationalen Behörden ist dabei keine Option, sondern eine gesetzliche Pflicht.
In der Praxis läuft ein typischer Prozess nach einem Verstoß in mehreren Phasen ab:

1. Sofortmaßnahmen: Betroffenes KI-System identifizieren, ggf. außer Betrieb nehmen, interne Eskalation einleiten.
2. Dokumentation: Alle Protokolldaten sichern, den Vorfall lückenlos aufzeichnen.
3. Meldung: Behörden informieren, bei datenschutzrelevanten Vorfällen zusätzlich die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO prüfen.
4. Ursachenanalyse: Technische und organisatorische Ursachen des Verstoßes ermitteln.
5. Korrekturmaßnahmen: Prozesse, Systeme oder Richtlinien anpassen, um einen erneuten Verstoß zu verhindern.

Unternehmen, die bei automatisierten Entscheidungen die Informationspflicht gegenüber Betroffenen verletzt haben, müssen diese nachträglich informieren und auf deren Recht auf Erläuterung der Entscheidungsfindung hinweisen.

Welche Branchen tragen das höchste KI-Compliance-Risiko?

Das höchste KI-Compliance-Risiko tragen Branchen, die Hochrisiko-KI-Systeme einsetzen, also KI in sicherheitskritischen oder grundrechtsrelevanten Bereichen. Dazu zählen insbesondere das Gesundheitswesen, Finanzdienstleistungen, das Personalwesen, Strafverfolgung und kritische Infrastrukturen wie Energie und Transport.
Der EU AI Act klassifiziert KI-Systeme in diesen Bereichen als hochriskant, weil fehlerhafte oder diskriminierende Entscheidungen unmittelbar Menschenleben, Grundrechte oder gesellschaftliche Stabilität beeinflussen können. Konkrete Beispiele für besonders risikobehaftete Anwendungen:

• Gesundheitswesen: KI-gestützte Diagnose, medizinische Geräte mit KI-Komponenten
• Personalwesen: Automatisierte Bewerbungsauswahl, KI-basierte Leistungsbewertung von Mitarbeitern
• Finanzdienstleistungen: Kreditwürdigkeitsprüfung, automatisierte Anlageentscheidungen
• Öffentliche Verwaltung: KI-gestützte Verwaltungsentscheidungen, biometrische Identifizierung
• Kritische Infrastruktur: Energie, Transport, Wasserversorgung mit KI-gesteuerter Steuerung

Unternehmen in diesen Sektoren sind nach dem BSIG und der CER-Richtlinie zusätzlich zu umfassenden Risikomanagement- und Sicherheitsmaßnahmen verpflichtet. Das Informationssicherheitsrecht ergänzt damit die KI-spezifischen Pflichten aus dem EU AI Act um eine weitere Compliance-Ebene.

Wie können Unternehmen KI-Compliance-Verstöße präventiv vermeiden?

KI-Compliance-Verstöße lassen sich präventiv vermeiden, indem Unternehmen ein strukturiertes KI-Governance-System etablieren, das Risikoklassifizierung, interne Richtlinien, Mitarbeiterschulungen und kontinuierliche Überwachung umfasst. Ein proaktiver Ansatz ist deutlich kostengünstiger als reaktives Krisenmanagement nach einem Verstoß.
Die wichtigsten Präventionsmaßnahmen im Überblick:

• KI-Risikobewertung: Alle eingesetzten KI-Systeme systematisch nach Risikoklassen des EU AI Act einordnen.
• Interne KI-Richtlinien: Klare Regeln für den zulässigen Einsatz von KI-Tools im Unternehmen festlegen und kommunizieren.
• Menschliche Aufsicht sicherstellen: Für Hochrisiko-KI-Systeme verbindliche Überwachungsprozesse einrichten.
• Dokumentationspflichten erfüllen: Betriebsanleitungen einhalten, Protokolldaten aufbewahren, Datenschutz-Folgenabschätzungen durchführen.
• Mitarbeiter schulen: KI-Kompetenz im gesamten Unternehmen aufbauen, damit alle Beteiligten Risiken erkennen und regelkonform handeln.
• Betriebsrat einbinden: Bei KI-Einsatz am Arbeitsplatz die Mitbestimmungsrechte nach dem Betriebsverfassungsgesetz (BetrVG) frühzeitig berücksichtigen.

Besonders wichtig ist die Einrichtung eines ISO 42001 Audits als Grundlage für ein zertifizierbares KI-Managementsystem. Die ISO 42001 gibt Unternehmen einen strukturierten Rahmen für verantwortungsvolle KI-Governance und hilft, Compliance-Anforderungen systematisch zu erfüllen.

Welche Rolle spielen Zertifizierungen bei der KI-Compliance?

Zertifizierungen spielen bei der KI-Compliance eine zentrale Rolle: Sie belegen gegenüber Behörden, Kunden und Partnern, dass ein Unternehmen KI-Systeme verantwortungsvoll und regelkonform einsetzt. Anerkannte Zertifizierungen reduzieren Haftungsrisiken und schaffen nachweisbare Compliance-Strukturen.
Die ISO 42001 ist derzeit der international relevanteste Standard für KI-Managementsysteme. Sie definiert Anforderungen an die Einführung, den Betrieb und die kontinuierliche Verbesserung eines KI-Managementsystems und adressiert dabei direkt die Anforderungen des EU AI Act. Für Fach- und Führungskräfte, die KI-Compliance-Aufgaben übernehmen, schafft eine persönliche Zertifizierung nach ISO 42001 klare Kompetenz- und Verantwortungsnachweise.
Zertifizierungen wirken auf zwei Ebenen:

• Organisationsebene: Eine ISO 42001 Zertifizierung des Unternehmens demonstriert gegenüber Aufsichtsbehörden, dass Prozesse und Strukturen für KI-Governance vorhanden sind.
• Personenebene: Zertifizierte KI-Compliance-Beauftragte oder KI-Manager können nachweisen, dass sie die rechtlichen Anforderungen kennen und umsetzen können.

Für Mitarbeiter, die im Unternehmen Verantwortung für KI-Themen tragen, steigern Zertifizierungen über ICO-Cert als anerkannten Zertifizierungspartner für KI-Themen den Marktwert auf dem Arbeitsmarkt konkret und stärken gleichzeitig die Compliance-Kompetenz im Unternehmen.

Wie mITSM Unternehmen bei KI-Compliance unterstützt

Wir bei mITSM bieten spezialisierte Trainings und Zertifizierungen, die Fach- und Führungskräfte gezielt auf die Anforderungen der KI-Compliance vorbereiten. Unser Angebot umfasst:

• KI-Compliance-Schulungen: Praxisnahe Trainings zu den Anforderungen des EU AI Act, zur ISO 42001 und zu den rechtlichen Grundlagen des KI-Einsatzes im Unternehmen
• KI-Manager-Ausbildung: Modulare Ausbildungsprogramme mit den Schwerpunkten KI-Governance, KI-Compliance und KI-Managementsysteme
• ISO 42001 Vorbereitung: Trainings, die auf die Zertifizierung nach ISO 42001 vorbereiten
• Flexible Formate: Präsenztraining, Online-Live-Schulungen und Firmen-Inhouse-Schulungen an 11 Standorten deutschlandweit

Alle unsere Trainer sind zertifizierte Experten, die KI-Compliance nicht nur aus der Theorie, sondern aus der täglichen Praxis kennen. Wer KI-Compliance-Risiken im Unternehmen systematisch angehen möchte, findet bei uns das passende Schulungsangebot für den nächsten Schritt.

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.