Wann kommen die ersten Bußgelder nach Artikel 50 des EU-KI-Gesetzes? Eine datenbasierte Prognose

Die EU-Transparenzvorschriften für KI-generierte Inhalte sind seit drei Wochen durchsetzbar. Kein Unternehmen wurde bislang mit einem Bußgeld belegt — weder nach Artikel 50 noch nach irgendeinem anderen Artikel des KI-Gesetzes. Dieser Beitrag untersucht, was Gesetz, Aufsichtsstrukturen und drei Präzedenzregime darüber verraten, wie sich das ändern wird.

Drei Wochen — und die Bußgeldbilanz ist leer. Diese Tatsache sagt viel aus

Artikel 50 des KI-Gesetzes gilt seit dem 2. August 2026. Seitdem müssen Anbieter generativer KI-Systeme ihre Ausgaben maschinenlesbar und erkennbar kennzeichnen (Art. 50 Abs. 2); Betreiber müssen Deepfakes sichtbar offenlegen (Art. 50 Abs. 4); KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, müssen gekennzeichnet werden, sofern keine echte redaktionelle Kontrolle stattfand; und wer einen Chatbot betreibt, muss Nutzer darüber informieren, dass sie mit einer Maschine sprechen (Art. 50 Abs. 1). Der Digital Omnibus (Verordnung (EU) 2026/1744) ließ all das unangetastet und gewährte nur eine Übergangsfrist: Systeme, die vor dem 2. August bereits auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit, die maschinenlesbare Kennzeichnungspflicht zu erfüllen.

Die Auslegungshilfen sind vollständig. Die 51-seitigen Artikel-50-Leitlinien der Kommission erschienen am 20. Juli 2026; der Verhaltenskodex zur Transparenz KI-generierter Inhalte wurde am 10. Juni finalisiert und am 8./9. Juli für angemessen erklärt — mit rund 190 Unterzeichnern, darunter Anthropic, Google, Meta, Microsoft, Mistral und OpenAI. Die auffällige Ausnahme auf dieser Liste ist xAI. Die Verteidigung „Wir wussten nicht, was Compliance bedeutet“ ist damit vom Tisch.

Und doch ist die aussagekräftigste verfügbare Tatsache diese: Die Verbote des KI-Gesetzes — Artikel 5, die schärfste Stufe der gesamten Verordnung mit 35 Mio. € oder 7 % des Umsatzes, seit über einem Jahr mit Sanktionen durchsetzbar — haben null Bußgelder hervorgebracht. Wenn das anstößigste Verhalten des Gesetzes, mit mehr als dem doppelten Bußgeldrahmen von Artikel 50, achtzehn Monate lang unsanktioniert blieb, ist die Grundwahrscheinlichkeit eines schnellen Artikel-50-Bußgelds gering.

Artikel 50 wird von der am wenigsten vorbereiteten Ebene des Systems durchgesetzt

Wer ein Artikel-50-Bußgeld tatsächlich verhängen kann, ist wichtiger als der Gesetzestext. Das AI Office in Brüssel — die medienbekannte Durchsetzungsinstanz — ist für Artikel 50 nur in engen Konstellationen zuständig: Systeme auf Basis eines GPAI-Modells, bei denen dasselbe Unternehmen Modell und System anbietet, sowie (seit dem Omnibus) KI in sehr großen Online-Plattformen. Für alle anderen — nahezu jeden Betreiber und die meisten Systemanbieter — ist die zuständige Instanz eine nationale Marktüberwachungsbehörde. Und genau dort liegt die Schwachstelle: Nach der letzten offiziellen Zählung hatten nur 8 von 27 Mitgliedstaaten überhaupt ihre zentrale Anlaufstelle notifiziert; im Juni 2026 hatten sechs Mitgliedstaaten noch gar nichts benannt.

Die Einsatzbereitschaft in den relevanten Märkten, Stand August 2026:

• Deutschland — Bundesnetzagentur (KI-MIG seit 29. Juli 2026 in Kraft). Kann heute Bußgelder verhängen: Sanktionsregime aktiv und personell besetzt — vier Tage vor der Frist.
• Italien — ACN (nationales KI-Gesetz seit Oktober 2025 in Kraft). Fast: Die Sanktionsdekrete passierten am 4. August 2026 das Kabinett und warten nur noch auf die amtliche Veröffentlichung; ein paralleler strafrechtlicher Deepfake-Tatbestand (1–5 Jahre) gilt bereits.
• Spanien — AESIA, die erste dedizierte KI-Agentur der EU. Noch nicht: Das Organgesetz mit den Sanktionsbefugnissen liegt noch im Parlament — und es will ungekennzeichnete KI-Inhalte als schweren Verstoß mit bis zu 35 Mio. €/7 % ahnden.
• Polen — KRBSI (Gesetz veröffentlicht am 27. Juli 2026). Noch nicht: Das Sanktionskapitel gilt erst ab Ende Oktober 2026, der Vorsitz der Kommission soll bis Mitte Oktober besetzt sein.
• Irland — AI Office of Ireland koordiniert ~15 sektorale Behörden (Gesetz seit 31. Juli 2026 in Kraft). Ja — aber jedes Bußgeld muss vom High Court bestätigt werden, und zwei zentrale Regulierer stehen noch außerhalb des Sanktionsmechanismus.
• Frankreich — DGCCRF koordiniert, ARCOM reguliert KI-Inhalte mit. Unklar: Der formale Benennungsstatus ist weiterhin strittig.
• Niederlande — AP / RDI. Nein: Das Durchführungsgesetz befand sich im Juni 2026 noch in der öffentlichen Konsultation.
• Finnland — Traficom plus sektorale Behörden, mit eigenem Sanktionsausschuss (Gesetz seit 1. Januar 2026 in Kraft). Ja — das vollständigste Regime der EU, mit ausdrücklicher Artikel-50-Bußgeldnorm.
• Dänemark — nur ein enges Gesetz von 2025. Für Artikel 50: nein. Das vollständige KI-Gesetz verfiel mit der Parlamentsauflösung zur Wahl im März 2026, und für Transparenz ist keine Behörde benannt.
• Österreich, Belgien, Griechenland — überhaupt keine Behörde benannt.

Ein strukturelles Detail wirkt in die Gegenrichtung — und wird unterschätzt: Das KI-Gesetz kennt keinen One-Stop-Shop. Unter der DSGVO kann eine aggressive nationale Aufsicht durch eine Niederlassung des Unternehmens in Irland jurisdiktionell ausgehebelt werden — genau so wurde Italiens 15-Mio.-€-Bußgeld gegen OpenAI im März 2026 aufgehoben. Im Marktüberwachungsmodell des KI-Gesetzes kann jede nationale Behörde gegen jedes Produkt auf ihrem Markt vorgehen. Eine einzige motivierte Behörde kann allein handeln.

Jedes neue EU-Regime folgt derselben Kurve

• DSGVO (anwendbar Mai 2018): erste kleine Bußgelder von Amts wegen nach 2–4 Monaten (ein portugiesisches Krankenhaus, ein österreichisches Wettbüro); erstes Schlagzeilen-Bußgeld nach 8 Monaten (50 Mio. € gegen Google, ausgelöst durch NGO-Beschwerden vom ersten Tag).
• DMA (Pflichten ab März 2024): erste Bußgelder nach ~13 Monaten (500 Mio. € Apple, 200 Mio. € Meta, April 2025).
• DSA (VLOP-Pflichten ab August 2023): erstes Bußgeld nach ~27 Monaten (120 Mio. € gegen X, Dezember 2025) — dann rasche Eskalation auf 200 Mio. € (Temu) und 550 Mio. € (AliExpress) binnen acht Monaten.
• KI-Gesetz Artikel 5 (anwendbar Februar 2025): über 18 Monate, null Bußgelder.

Zwei Details dieser Bilanz sind für Artikel 50 besonders relevant. Erstens: Die frühesten DSGVO-Bußgelder entstanden aus Routineprüfungen gegen unbekannte Adressaten — die Videoüberwachung eines Wettbüros, die Zugriffskontrollen eines Krankenhauses —, während das Schlagzeilen-Bußgeld erst Monate später aus strategischen Beschwerden folgte. Zweitens: Als die Kommission X schließlich mit 120 Mio. € unter dem DSA sanktionierte, ließ sie die ambitionierten Desinformationsvorwürfe fallen und behielt nur die drei technisch verifizierbaren Transparenzpunkte. Behörden sanktionieren, was sie messen können. Artikel-50-Compliance — trägt die Datei eine erkennbare Markierung, legt der Chatbot offen, ist der Deepfake gekennzeichnet — ist so messbar wie kaum ein anderes EU-Technologierecht. Das verkürzt die Zeitachsen, sobald eine Behörde sich zum Handeln entschließt.

Sechs Prognosen

1. Die ersten Durchsetzungsmaßnahmen kommen diesen Winter — und es werden keine Bußgelder sein

(Konfidenz: hoch.) Rechnen Sie mit den ersten formellen Artikel-50-Aktivitäten — Auskunftsersuchen, Compliance-Anordnungen, einer koordinierten Prüfaktion gegen nicht offengelegte Chatbots oder ungekennzeichnete Deepfake-Werbung — zwischen Q4 2026 und Q2 2027. Das Auslösedatum ist der 2. Dezember 2026: Die Kennzeichnungs-Übergangsfrist für Bestandssysteme läuft ab, das Argument „die Übergangszeit ist noch nicht vorbei“ stirbt, und das neue Verbot von Nudify-Apps tritt in Kraft. Bis dahin dürften die ersten Durchsetzungsschlagzeilen Mitgliedstaaten betreffen, nicht Unternehmen: Vertragsverletzungsschreiben der Kommission an die mehr als sechs Länder, die nie eine Behörde benannt haben.

2. Das erste Bußgeld kommt im zweiten Halbjahr 2027

(Konfidenz: mittel bis hoch.) Zwischen der DSGVO-Kurve (dezentral, kleine Bußgelder binnen Monaten) und der DMA/DSA-Kurve (13–27 Monate), abgezinst um Behörden, die größtenteils erst seit Juli 2026 existieren, liegt das wahrscheinlichste Fenster für das erste Artikel-50-Bußgeld zwischen Mitte 2027 und Anfang 2028 — rund 12 bis 18 Monate nach Geltungsbeginn. Unsere kumulierten Wahrscheinlichkeitsschätzungen, dass mindestens ein Bußgeld verhängt wurde: 5 % bis zum 2. Dezember 2026, 35 % bis August 2027, 60 % bis Dezember 2027, 85 % bis August 2028.

3. Deutschland, Italien oder Spanien — in dieser Reihenfolge

(Konfidenz: mittel.) Die deutsche Bundesnetzagentur ist die einzige Aufsicht eines großen Marktes, die im August 2026 mit vollständigem Rechtsrahmen, eigenem Personal und einer Verwaltungsbußgeld-Tradition antrat, die routinemäßig unspektakuläre Sanktionen produziert. Italien steht kurz davor aufzuschließen: Die Sanktionsdekrete passierten am 4. August 2026 endgültig das Kabinett; sobald sie im Amtsblatt stehen, ist die aggressivste KI-Aufsichtskultur der EU voll bewaffnet — wobei die Staatsanwaltschaft Artikel 50 womöglich gar nicht braucht, denn nicht offengelegte schädliche Deepfakes sind bereits eine Straftat mit bis zu fünf Jahren Haft. Spaniens AESIA wird in dem Moment zur motiviertesten Durchsetzungsinstanz, in dem ihr Organgesetz das Parlament passiert — sie ist die einzige Agentur, deren Gründungsstatut ungekennzeichnete KI-Inhalte ausdrücklich adressiert, mit doppelt so hoher Bußgeldstufe wie das KI-Gesetz selbst. Der Außenseiter ist Finnland: der einzige Mitgliedstaat mit einem vollständigen, einsatzbereiten Artikel-50-Sanktionsregime seit Januar 2026, gebremst vor allem durch eine zurückhaltende Aufsichtskultur.

4. Ein kleiner, unbekannter Betreiber — kein Frontier-Lab

(Konfidenz: hoch.) Die ~190 Unterzeichner des Verhaltenskodex, darunter alle großen Modellanbieter, haben sich eine Aufsicht erkauft, die sich auf die „Einhaltung des Kodex“ konzentriert — plus einen ausdrücklichen Milderungsgrund bei der Bußgeldbemessung. Die realistischen ersten Adressaten, der Reihe nach: ein Werbetreibender mit nicht offengelegten KI-Avatar- oder Deepfake-Testimonial-Anzeigen (ein sichtbarer, beweisbarer Verstoß gegen Art. 50 Abs. 4); eine Content-Website, die KI-geschriebene Nachrichten ohne Kennzeichnung und ohne echte redaktionelle Kontrolle publiziert; und ein Verbraucher-Chatbot ohne KI-Offenlegung. Zu erwarten sind fünf- bis sechsstellige Beträge, keine Millionen — die KMU-Obergrenze kehrt sich zu „der niedrigere Wert“ um —, und die Entscheidung wird angefochten und möglicherweise aufgehoben werden, wie es ersten Bußgeldern neuer Regime oft ergeht.

5. Deepfake- und Chatbot-Offenlegung werden vor der maschinenlesbaren Kennzeichnung sanktioniert

(Konfidenz: mittel bis hoch.) Die Deepfake-Kennzeichnung nach Art. 50 Abs. 4 und die Chatbot-Offenlegung nach Art. 50 Abs. 1 sind für Menschen sichtbar: Ein Screenshot beweist den Verstoß, und die Leitlinien der Kommission stellen ausdrücklich klar, dass maschinenlesbare Markierung eine sichtbare Deepfake-Kennzeichnung nicht ersetzen kann. Die Kennzeichnungspflicht nach Art. 50 Abs. 2 ist dagegen in Vorbehalte wie „technisch machbar, Stand der Technik“ gehüllt, hat keine harmonisierte Norm hinter sich — es wird nicht einmal an einer gearbeitet, denn Inhaltskennzeichnung liegt komplett außerhalb des EU-Normungsauftrags für KI — und ihr Interoperabilitätsgerüst kommt erst am 2. Februar 2027. Die erste Durchsetzungswelle wählt den Kampf, den sie auf dem Papier gewinnen kann. Die Kennzeichnungsdurchsetzung reift später — dafür härter, denn Compliance ist binär und in großem Maßstab automatisiert prüfbar.

6. Die erste große Sanktion für synthetische Inhalte wird Artikel 50 gar nicht zitieren

(Konfidenz: mittel.) Die Kommission verfolgt den eklatantesten Fall synthetischer Inhalte in Europa — Groks massenhaft generierte sexualisierte Bilder — bereits unter dem DSA, wo sie zentralisierte Befugnisse, eine 6-%-Obergrenze und Momentum besitzt (drei Bußgelder über insgesamt 870 Mio. € in acht Monaten). xAI ist der einzige große Anbieter außerhalb des Transparenzkodex und unterliegt einer Datenaufbewahrungsanordnung bis Ende 2026. Die wahrscheinlichste Abfolge: eine DSA-Entscheidung gegen X im Jahr 2027, die als Europas Präzedenzfall für synthetische Inhalte wirkt, mit Artikel 50 als Kontext; das erste neunstellige, spezifisch auf Artikel 50 gestützte Bußgeld folgt — wenn überhaupt — 2028 oder später.

Wegmarken, die diese Daten verschieben würden

• September–Oktober 2026 — Die Kodex-Taskforces konstituieren sich; das AI Office schließt seine Einstellungsrunde von ~40 Durchsetzungskräften ab; Italiens Sanktionsdekrete erreichen das Amtsblatt; Polens Sanktionskapitel wird aktiv.
• Herbst 2026 — Beobachten Sie die monatlichen Vertragsverletzungspakete der Kommission auf Schreiben an säumige Mitgliedstaaten — und Spaniens Organgesetz auf seinem Weg durchs Parlament.
• 2. Dezember 2026 — Die Kennzeichnungs-Übergangsfrist für Bestandssysteme endet; das Verbot von Nudify-/CSAM-Generierung tritt mit der 35-Mio.-€/7-%-Stufe in Kraft. Das wahrscheinlichste Datum für die Ankündigung einer ersten förmlichen Untersuchung.
• 2. Februar 2027 — Kodex-Unterzeichner müssen eine interoperable Wasserzeichen-Erkennung betreiben: die erste objektiv prüfbare technische Compliance-Frist.
• Im Laufe von 2027 — Vorläufige DSA-Feststellungen zu Grok/X; die erste öffentlich gemachte Art.-85-Beschwerde einer NGO (die Beschwerdekanäle öffneten am 2. August 2026 — und der DSGVO-Präzedenzfall zeigt: strategische Beschwerden kommen früh und detonieren später).

Was das bedeutet, wenn Sie compliant sein müssen

Die rationale Lesart von „noch keine Bußgelder“ ist nicht „noch kein Risiko“. Das Muster aller Präzedenzregime ist eine lange stille Phase, die abrupt endet — mit ersten Adressaten, die nach Beweisbarkeit statt Schwere ausgewählt werden, und mit Auskunftsersuchen, Anordnungen und Reputationsschäden lange vor den Sanktionen.

Das erste Bußgeld wird klein und national sein und jemanden treffen, der all das ignoriert hat. Die spannende Frage war nie, ob es kommt — sondern ob Sie so aufgestellt sind, dass Sie uninteressant sind, wenn es kommt.