Für EU-KI-Bußgelder werden die fehlenden Verfahrensregeln gerade geschrieben. Die Europäische Kommission hat am 12. Oktober 2026 den Entwurf einer Durchführungsverordnung (Az. Ares(2026)9589403) veröffentlicht, der zwei praktische Fragen zu den Artikeln 75c und 75d der KI-Verordnung konkretisiert: wie die fünfjährige Verjährungsfrist für Bußgelder gegen bestimmte KI-Systeme gezählt wird und wie viel von der Ermittlungsakte ein untersuchtes Unternehmen sehen darf. Stellungnahmen sind bis zum 9. November 2026, 23:59 Uhr Brüsseler Zeit, möglich; die Annahme ist für das vierte Quartal 2026 geplant. Es ist noch ein Entwurf — auf der ersten Seite steht, dass er von der Kommission weder angenommen noch gebilligt wurde und nur die vorläufige Auffassung ihrer Dienststellen wiedergibt. Die Richtung ist trotzdem konkret: In diesen Verfahren arbeitet die Zeit für die Aufsicht.
Nur zwei Systemarten: Systeme auf dem eigenen Modell und KI in sehr großen Plattformen
Die ausschließliche Zuständigkeit der Kommission nach Artikel 75 Absatz 1 erfasst nur zwei Kategorien: KI-Systeme, die auf einem Allzweck-KI-Modell beruhen, wobei Modell und System vom selben Anbieter oder von Anbietern desselben Unternehmens entwickelt wurden, sowie KI-Systeme, die Teil benannter sehr großer Online-Plattformen oder sehr großer Online-Suchmaschinen im Sinne des Gesetzes über digitale Dienste sind oder in sie integriert wurden. Pflichtig sind die Anbieter solcher Systeme und Betreiber, die selbst Anbieter sind oder zum selben Unternehmen gehören. Ein gewöhnliches Unternehmen, das lediglich einen fremden Chatbot aufruft, gerät für diese Nutzung nicht unter die direkte Aufsicht der Kommission; es bleibt bei den Regeln der Mitgliedstaaten. Es ist auch eine andere Spur als der am 14. Oktober 2026 angekündigte erste Durchsetzungsschritt zur KI-Verordnung: Jene Auskunftsersuchen zielten auf die Pflichten der Anbieter von Allzweckmodellen zum systemischen Risiko, dieser Entwurf betrifft Plattform- und Eigenmodell-Systeme — andere Adressaten, andere Artikel.
Sechs Ermittlungsschritte setzen die Fünfjahresfrist neu in Gang, gedeckelt bei zehn Jahren
Artikel 4 des Entwurfs verlangt, dass Bußgelder und Zwangsgelder innerhalb einer fünfjährigen Verjährungsfrist verhängt werden; bei andauernder oder wiederholter Nichteinhaltung beginnt die Frist erst an dem Tag, an dem der Verstoß endet. Jeder von sechs Schritten im Verfahren unterbricht die Frist und lässt sie von vorn laufen: Ersuchen um Unterlagen, Erläuterungen oder sonstige Informationen; Ersuchen um Zugang zur Bewertung eines Systems; Inspektionen; Einladungen zu einem strukturierten Dialog; die Eröffnung eines Verfahrens und seine Wiedereröffnung. Ein Auskunftsersuchen im vierten Jahr stellt die Uhr damit auf null. Die absolute Obergrenze liegt beim Doppelten, also zehn Jahren; danach kann kein Bußgeld mehr verhängt werden. Solange ein Fall jedoch beim Gerichtshof der Europäischen Union anhängig ist oder eine Inspektion vor Ort auf eine gerichtliche Genehmigung wartet, ist die Frist gehemmt — und diese Hemmungszeit kommt zur Zehnjahresgrenze noch hinzu. Für die Vollstreckung nach einer Entscheidung gelten eigene fünf Jahre ab dem Tag, an dem die Entscheidung bestandskräftig wird; ein Beschluss zur Änderung des Betrags oder jeder Schritt zur Beitreibung setzt auch sie neu in Gang. Die Bußgeldhöhen selbst ändert der Entwurf nicht — bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes für verbotene Praktiken, 15 Millionen Euro oder 3 % für sonstige Verstöße und 7,5 Millionen Euro oder 1 % für unrichtige oder irreführende Informationen sind die bestehenden Obergrenzen der KI-Verordnung. Was sich ändert, ist, wie lange diese Obergrenzen einem Unternehmen im Nacken sitzen können.
Die Akte gibt es nicht auf Zuruf: Die ungeschwärzte Fassung sehen nur externe Berater
Die Artikel 2 und 3 des Entwurfs regeln auch die Bedingungen der Verteidigung. Ein untersuchter Betreiber erhält vor der Mitteilung der vorläufigen Feststellungen keinen Aktenzugang; danach bekommt er eine Fassung, die zum Schutz von Geschäftsgeheimnissen geschwärzt ist. Die vollständige, ungeschwärzte Akte geht nur an eine begrenzte Zahl benannter externer Rechts- und Wirtschaftsberater sowie externer technischer Sachverständiger, deren Namen der Kommission vorab mitzuteilen sind — die eigenen Beschäftigten und die interne Rechtsabteilung des Unternehmens dürfen sie nicht direkt lesen. Wechselt ein solcher externer Berater während der Untersuchung oder innerhalb von drei Jahren danach zum Adressaten oder zu einem anderen Unternehmen auf denselben Märkten, müssen beide Seiten die Kommission informieren, und der Berater muss zusichern, keinen Zugang zu dem Material mehr zu haben. Wer Unterlagen einreicht, muss die darin enthaltenen Geschäftsgeheimnisse je Dokument kennzeichnen und nicht vertrauliche Fassungen beilegen; will die Kommission als vertraulich geltend gemachte Informationen offenlegen, bleibt mindestens eine Woche für Einwände. In der Praxis läuft die Verteidigung in einem solchen Fall vom ersten Tag an über ein externes Team, während die Menschen im Unternehmen, die das System am besten kennen, die vollständigen Beweismittel nicht sehen dürfen.
Drei Dinge, die betroffene Unternehmen vor Konsultationsschluss erledigen sollten
Erstens den eigenen Anwendungsbereich prüfen: Inventarisieren Sie, ob eines Ihrer Systeme in die zwei Kategorien fällt — ein System auf Ihrem eigenen Allzweckmodell oder eine KI-Funktion in einer von der EU benannten sehr großen Plattform oder Suchmaschine. Wer darunter fällt, bereitet sich auf ein Verfahren der Kommission vor; wer nicht darunter fällt, folgt dem Verfahren seines Mitgliedstaats — die beiden Spuren dürfen nicht verwechselt werden. Zweitens ein Fristenregister für jeden Behördenkontakt führen: Das Datum jedes Auskunftsersuchens, jeder Bewertungsfreigabe, jeder Inspektion und jeder Verfahrenseröffnung einzeln festhalten, denn jeder dieser Schritte kann die fünf Jahre neu starten; den spätesten Risikopunkt ab dem ursprünglichen Verhalten plus zehn Jahre bemessen, statt anzunehmen, das Risiko ende automatisch nach fünf Jahren. Drittens externe Berater und Vertraulichkeitsstufen vorab festlegen: Die ungeschwärzte Akte sehen nur Externe, wer sie erst im Verfahren sucht, verbrennt Verteidigungszeit; die Kennzeichnung von Geschäftsgeheimnissen und das Erstellen nicht vertraulicher Fassungen von Einreichungen sollten Routine sein, wenn das Einwandfenster nur etwa eine Woche beträgt. Eine letzte Warnung: Dieses Verfahren gilt nur für die direkte Aufsichtsspur der Kommission, nicht für jedes KI-Bußgeld in der EU — wer es auf ein Verfahren eines Mitgliedstaats überträgt, verrechnet sich bei den Fristen genauso.
