KI-Sanktionen im Vergleich: EU AI Act, UK und Schweiz

Ein Unternehmen, das KI-Systeme in Deutschland, dem übrigen EU27-Raum, dem Vereinigten Königreich und der Schweiz einsetzt, trifft auf drei grundverschiedene Sanktionslogiken – nicht auf eine gemeinsame Linie mit lokalen Abweichungen. Wer nur die EU-Regeln kennt, unterschätzt leicht, was in London oder Bern gilt. Ein Überblick, der Klarheit schafft, wo Compliance-Teams oft nur Vermutungen haben.

EU AI Act: Ein dreistufiges Bußgeldsystem

Der EU AI Act (Verordnung (EU) 2024/1689) regelt Sanktionen in Artikel 99 abschließend und gestuft nach Schwere des Verstoßes.

Die höchste Stufe betrifft ausschließlich verbotene KI-Praktiken nach Art. 5 – etwa Social Scoring durch Behörden, manipulative Systeme mit subliminalen Techniken oder biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum außerhalb enger Ausnahmen. Hier drohen Bußgelder bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Die zweite Stufe erfasst Verstöße gegen die materiellen Pflichten für Hochrisiko-KI – Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht und die übrigen Vorgaben aus Art. 9 bis 27. Der Rahmen liegt bei bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes.

Die dritte Stufe betrifft irreführende oder unvollständige Angaben gegenüber Behörden und notifizierten Stellen: bis zu 7,5 Millionen Euro oder 1 Prozent des Umsatzes. Für KMU und Start-ups gilt nach Art. 99 Abs. 6 die Umkehrregel – hier ist jeweils der niedrigere der beiden Beträge die Obergrenze.

Wichtig für die Zeitplanung: Der Digital Omnibus hat die materiellen Pflichten für Hochrisiko-KI inhaltlich nicht verändert, aber den Anwendungsbeginn für eigenständige Hochrisiko-Systeme nach Annex III (Personalauswahl, Kreditwürdigkeitsprüfung, Versicherungsrisiko, Bildungsbewertung, Biometrie) auf spätestens den 02.12.2027 verschoben – vorbehaltlich einer früheren Bestätigung der Verfügbarkeit unterstützender Normen und Werkzeuge durch die Kommission. Für in regulierte Produkte eingebettete Hochrisiko-KI nach Annex I gilt der 02.08.2028. Das Sanktionsregime selbst bleibt unverändert bestehen – nur die Uhr, ab wann es greift, wurde neu gestellt.

Vereinigtes Königreich: Aufsicht ohne eigenes KI-Gesetz

Das UK verfolgt einen fundamental anderen Ansatz: Es gibt kein horizontales KI-Gesetz und keine zentrale KI-Aufsichtsbehörde. Auch mit Stand Mitte 2026 liegt kein KI-Gesetzentwurf im Parlament vor. Das Department for Science, Innovation and Technology (DSIT) setzt die politische Richtung, hat aber keine eigene Durchsetzungsbefugnis gegenüber Unternehmen.

Stattdessen wenden bestehende Regulierungsbehörden ihre jeweiligen Befugnisse auf KI-Sachverhalte an: die ICO im Rahmen des UK GDPR in der durch den Data (Use and Access) Act 2025 geänderten Fassung, die FCA im Finanzsektor über das FSMA-Regime und die Consumer Duty, Ofcom über den Online Safety Act 2023, dazu sektorspezifische Stellen wie die MHRA im Gesundheitswesen. Sanktionshöhen richten sich damit nicht nach einem einheitlichen KI-Bußgeldrahmen, sondern nach dem jeweils einschlägigen Fachrecht – im Fall des UK GDPR etwa nach dessen eigenen Bußgeldobergrenzen.

Für Unternehmen bedeutet das: Statt einer Anlaufstelle mit klarer Bußgeldtabelle entsteht ein Flickenteppich aus fünf bis sechs überlappenden Regimen, die parallel geprüft werden müssen – je nachdem, in welchem Sektor und mit welchen Daten das KI-System arbeitet. Ob und in welcher Form daraus doch noch ein horizontales KI-Gesetz wird, bleibt nach aktuellem Stand offen; für die laufende Planung ist das bestehende Regulierungsbehörden-Geflecht die verlässlichere Referenz als eine mögliche künftige Regelung.

Schweiz: Konvention statt eigener Verordnung

Die Schweiz hat sich gegen eine EU-AI-Act-Kopie und für einen völkerrechtlichen Weg entschieden. Der Bundesrat traf am 12. Februar 2025 einen Grundsatzentscheid: Die Schweiz soll die KI-Konvention des Europarats ratifizieren, die Bundesrat Albert Rösti in Straßburg unterzeichnet hat. Das Eidgenössische Justiz- und Polizeidepartement wurde beauftragt, bis Ende 2026 gemeinsam mit weiteren Departementen eine Vernehmlassungsvorlage auszuarbeiten – mit Schwerpunkten auf Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht.

Der Ansatz bleibt bewusst sektoral: Gesetzesanpassungen sollen primär in den jeweiligen Fachgesetzen erfolgen, eine sektorübergreifende Regelung nur für grundrechtsrelevante Kernbereiche. Ergänzend sollen rechtlich nicht bindende Leitfäden und Absichtserklärungen die Umsetzung der Konvention unterstützen. Ein eigenständiges Bußgeldregime nach EU-Vorbild existiert damit in der Schweiz bislang nicht – wohl aber gilt der EU AI Act über das Marktortprinzip direkt für Schweizer Anbieter und Betreiber, sobald sie KI-Systeme auf dem EU-Markt bereitstellen oder deren Output in der EU wirkt.

Was das für grenzüberschreitend tätige Unternehmen bedeutet

Wer nur in Deutschland oder dem übrigen EU27-Raum tätig ist, kann sich auf ein einziges, kodifiziertes Bußgeldsystem einstellen: Art. 99 EU AI Act mit klaren Schwellen. Sobald UK-Aktivitäten hinzukommen, tritt an die Stelle einer Zahl eine Landkarte aus Regulierungsbehörden – die Risikobewertung wird sektorabhängig statt KI-spezifisch. Und bei Schweizer Aktivitäten bleibt zunächst die Marktort-Frage entscheidend: Betrifft das System EU-Endnutzer, greift der EU AI Act unabhängig vom Sitz des Anbieters; rein binnenschweizerische Anwendungen unterliegen bis zur Vernehmlassungsvorlage Ende 2026 keinem vergleichbaren horizontalen Bußgeldregime.

Für die Praxis folgt daraus: Ein einheitliches internes Kontrollsystem, das nur auf Art. 99 EU AI Act ausgelegt ist, deckt weder das UK- noch das Schweiz-Risiko ab. Wer in DE, EU27-Rest, UK und CH aktiv ist, sollte je Rechtsraum getrennt dokumentieren, welche Regeln greifen – und diese Zuordnung mit dem Digital-Omnibus-Zeitplan bis zum 02.12.2027 synchron halten. Mehr zum direkten Vergleich der Aufsichtsstrukturen siehe ki-regulierung.ch.

Diese Zuordnung ist kein einmaliger Compliance-Akt, sondern eine laufende Aufgabe: DSIT-Positionspapiere im UK, die Schweizer Vernehmlassungsvorlage und künftige Durchführungsrechtsakte zum EU AI Act ändern die Zuordnung regelmäßig neu. Wer sie nur einmal jährlich prüft, läuft Gefahr, Fristen und Zuständigkeiten zu verpassen, lange bevor eine Behörde überhaupt tätig wird.

Genau diese Art von belastbarer, rechtsraum-übergreifender Evidenz – wer wann welche Pflicht wie erfüllt hat – ist der Kern von Trust-Infrastructure. Mehr zur AEGIRA Trust-Platform: aegira.ai