Frage & Antwort
Was kostet ein KI-Verstoß in der Praxis? Die ehrliche Antwort
Stand: 30. August 2026
Kurz gesagt
Die ehrliche Antwort zuerst: Für den Verstoß gegen die Schulungspflicht aus Art. 4 EU AI Act sieht der AI Act selbst kein eigenes Bußgeld vor. Wer mit einer festen „Bußgeld-Range für fehlende KI-Schulung“ wirbt, erfindet eine Rechtsgröße.
Teuer wird es über die Nachbarschauplätze: DSGVO (Art. 83: Rahmen bis 20 Mio. € oder 4 % des Umsatzes), § 203 StGB (Freiheitsstrafe bis zu einem Jahr) und die zivilrechtliche Haftung, wenn ein KI-Fehler zum Schaden führt — und kein Schulungsnachweis existiert.
Schauplatz 1: DSGVO — der wahrscheinlichste Weg
Geraten identifizierbare Patientendaten in ein KI-Werkzeug ohne Rechtsgrundlage und AVV, ist das ein Datenschutzverstoß mit besonderen Kategorien (Art. 9 DSGVO — Gesundheitsdaten). Der Bußgeldrahmen aus Art. 83 DSGVO reicht bis 20 Mio. € oder 4 % des Jahresumsatzes; gegen Praxen verhängte Beträge liegen in der Aufsichtspraxis meist deutlich darunter. Dazu kommen das Prüfverfahren selbst — Fragenkataloge, Fristen, gegebenenfalls Anordnungen — und Schadensersatzansprüche betroffener Patienten nach Art. 82 DSGVO.
Schauplatz 2: § 203 StGB — der schärfste
Für Heilberufe kommt hinzu, was andere Branchen nicht haben: Die Verletzung der Schweigepflicht ist strafbar, nicht nur bußgeldfähig — Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. § 203 StGB ist ein Antragsdelikt (§ 205 StGB): Es genügt, dass ein einziger Patient Strafantrag stellt. Die Praxis kann das Risiko nicht auf Einzelne abwälzen — primär verantwortlich ist die Praxisleitung, aber auch die ZFA kann als berufsmäßig tätige Gehilfin (§ 203 Abs. 4 StGB) selbst strafbar sein.
Schauplatz 3: Haftung — der unterschätzte
Das realistische Szenario ist oft nicht die Behörde, sondern der Einzelfall: Ein halluzinierter KI-Text gelangt ungeprüft in eine Patientenakte oder ein Anschreiben, es entsteht ein Schaden — und im Verfahren steht die Frage im Raum, ob das Team für den KI-Einsatz geschult war. Ohne dokumentierte Schulung fehlt genau der Nachweis, den Art. 4 EU AI Act und die menschliche Aufsicht aus Art. 26 voraussetzen. Die fehlende Schulung kostet dann nicht als Bußgeld, sondern als Argument der Gegenseite.
Warum „kein Bußgeld im AI Act“ keine Entwarnung ist
Die drei Schauplätze hängen zusammen: Wer das Team nicht schult, produziert mit höherer Wahrscheinlichkeit den DSGVO-Verstoß (Stufe- 1-Werkzeug mit Patientendaten) oder den § 203-Fall (privates ChatGPT-Konto) — und steht dann zusätzlich ohne den Nachweis da, der die Organisation entlastet hätte. Die Schulungspflicht ist insofern weniger eine Bußgelddrohung als eine Versicherungsbedingung.
Was eine Praxis konkret absichert
- KI-Inventur: welche Werkzeuge das Team wirklich nutzt, inklusive privater Konten — aufschreiben.
- AVV-Check: für jedes Werkzeug, das Patientendaten verarbeitet, liegt ein Auftragsverarbeitungs-Vertrag (Art. 28 DSGVO) vor — sonst nicht nutzen.
- Dokumentierte Schulung: Grundbegriffe, Risiken, Praxis-Regeln — mit Datum und Teilnehmenden-Liste in der Schulungs-Akte.