EU AI Act Fristen: Was wann gilt — der Zeitplan

Bei den Fristen des EU AI Act kursieren derzeit viele veraltete Angaben. Kein Wunder: Die Verordnung tritt seit 2024 in Stufen in Kraft, und im Juli 2026 — nur wenige Tage vor dem wichtigsten Stichtag — hat eine Änderungsverordnung zentrale Termine noch einmal verschoben. Wer heute eine Übersicht von 2025 liest, plant mit falschen Daten.

Dieser Artikel zeigt den vollständigen Zeitplan auf dem Stand von September 2026: welche Pflichten bereits gelten, was der sogenannte Digital Omnibus verschoben hat und was nicht, welche Termine als Nächstes anstehen und was das für die Planung in kleinen und mittleren Unternehmen bedeutet. Herzstück ist eine Fristentabelle, die alle Termine von Februar 2025 bis August 2030 zusammenfasst.

Warum es kein einheitliches Startdatum gibt

Der EU AI Act (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten — aber „in Kraft“ heißt nicht „anwendbar“. Die EU hat die Pflichten bewusst gestaffelt: Zuerst greifen die Verbote der gefährlichsten Praktiken, dann die Regeln für große KI-Modelle, dann der breite Rest, zuletzt die aufwendigen Hochrisiko-Anforderungen.

Die Logik dahinter: Verbote lassen sich sofort befolgen, ein vollständiges Konformitätsbewertungssystem für Hochrisiko-KI braucht dagegen Normen, Prüfstellen und Behördenstrukturen, die erst aufgebaut werden mussten. Genau an diesem Aufbau hakte es — einer der Gründe, warum die EU die Hochrisiko-Fristen im Sommer 2026 verlängert hat. Für Unternehmen bedeutet die Staffelung: Es gibt nicht die eine Deadline, sondern eine Serie von Terminen, von denen einige bereits verstrichen sind.

Was bereits gilt: die Stufen 2025

Zwei Fristen sind lange verstrichen und werden trotzdem oft übersehen:

• Seit 2. Februar 2025 — Verbote und KI-Kompetenz: Die verbotenen Praktiken nach Artikel 5 (unter anderem Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz) sind untersagt. Gleichzeitig gilt Artikel 4: Anbieter und Betreiber müssen die KI-Kompetenz ihrer Mitarbeitenden fördern. Diese Pflicht trifft praktisch jedes Unternehmen, das KI beruflich einsetzt.
• Seit 2. August 2025 — GPAI und Governance: Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (etwa große Sprachmodelle) müssen technische Dokumentation, Urheberrechts-Strategie und eine Trainingsdaten-Zusammenfassung liefern. Außerdem stehen seit diesem Datum die Aufsichtsstrukturen und der Sanktionsrahmen der Verordnung.

Wer die Schulungspflicht aus Artikel 4 bis heute nicht angegangen ist, holt das am besten kurzfristig nach — sie ist mit überschaubarem Aufwand erfüllbar und der wahrscheinlichste Prüfpunkt bei einer behördlichen Anfrage.

Der 2. August 2026: der große Geltungsbeginn

Seit dem 2. August 2026 gilt der Großteil der Verordnung. Für die betriebliche Praxis am wichtigsten sind die Transparenzpflichten nach Artikel 50:

• Chatbots und KI-Assistenten müssen sich als KI zu erkennen geben.
• KI-generierte oder manipulierte Inhalte — Bilder, Videos, Audio, Texte — müssen maschinenlesbar gekennzeichnet werden.
• Deepfakes müssen offengelegt werden.

Ebenfalls seit diesem Datum anwendbar: die Vorschriften zu Reallaboren, weite Teile der Governance- und Registrierungsregeln sowie die Bußgeldbewehrung der geltenden Pflichten. Ursprünglich hätten am 2. August 2026 auch die Hochrisiko-Anforderungen greifen sollen — dazu kam es nicht.

Die Wende im Juli 2026: der Digital Omnibus

Am 24. Juli 2026 wurde die Änderungsverordnung (EU) 2026/1744 — bekannt als Digital Omnibus on AI — im EU-Amtsblatt veröffentlicht; am 27. Juli 2026 trat sie in Kraft, keine Woche vor dem ursprünglichen Hochrisiko-Stichtag. Die wichtigsten Änderungen:

• Hochrisiko verschoben: Die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Für Hochrisiko-Systeme, die für Behörden bestimmt sind, gilt eine Sonderfrist bis zum 2. August 2030.
• Artikel 4 entschärft: Die KI-Kompetenz-Pflicht bleibt, verlangt aber nur noch Maßnahmen zur Förderung — kein garantiertes Kompetenzniveau je Person.
• Neue Verbote: Ab dem 2. Dezember 2026 sind zusätzlich Systeme verboten, die nicht einvernehmliche intime Darstellungen oder Missbrauchsmaterial von Kindern erzeugen.
• Erleichterungen: Vereinfachte Dokumentation und günstigere Bußgeldberechnung für KMU sowie für die neue Kategorie der Small Mid-Caps (unter 750 Beschäftigte, bis 150 Millionen Euro Umsatz).

Wichtig: Die neuen Fristen sind feste Kalendertermine. Sie hängen nicht davon ab, wann harmonisierte Normen verfügbar sind — eine weitere automatische Verschiebung ist im Gesetzestext nicht angelegt.

Alle Fristen in einer Tabelle

Der komplette Zeitplan nach dem Digital Omnibus (Stand: September 2026):

Sonderfall Bestandssysteme: Was gilt für KI, die schon läuft?

Für Systeme, die vor den jeweiligen Stichtagen auf dem Markt waren, gelten differenzierte Übergangsregeln:

• GPAI-Modelle: Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, müssen die GPAI-Pflichten bis zum 2. August 2027 erfüllen.
• Hochrisiko-Systeme: Systeme, die vor dem jeweiligen Geltungsbeginn in Verkehr gebracht wurden, werden grundsätzlich erst erfasst, wenn ihre Konzeption später erheblich verändert wird. Ein reines Weiterlaufen löst die Pflichten in der Regel nicht aus.
• Kennzeichnung synthetischer Inhalte: Anbieter von Generierungssystemen, die vor dem 2. August 2026 auf den Markt kamen, haben bis zum 2. Dezember 2026 Zeit, die maschinenlesbare Markierung technisch umzusetzen.

Verlassen sollte man sich auf den Bestandsschutz nicht blind: Updates, neue Einsatzzwecke oder wesentliche Funktionsänderungen können ihn beenden. Wer dokumentiert, welche Version eines Systems seit wann läuft, ist im Zweifel klar im Vorteil.

Und Deutschland? Die Aufsicht steht seit Juli 2026

Parallel zu den EU-Fristen hat auch der deutsche Gesetzgeber geliefert — später als geplant, aber noch rechtzeitig zum Geltungsbeginn: Am 11. Juni 2026 beschloss der Bundestag das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), am 29. Juli 2026 trat es in Kraft.

Damit ist klar, wer die Fristen durchsetzt: Die Bundesnetzagentur ist zentrale Marktüberwachungsbehörde, soweit keine Fachbehörde zuständig ist, und dient zugleich als Anlauf- und Beschwerdestelle. Für Unternehmen heißt das: Seit Sommer 2026 gibt es eine konkrete Behörde, die Verstöße gegen die bereits geltenden Pflichten verfolgen kann — und zugleich eine Anlaufstelle für Beratung und ein geplantes KI-Reallabor, das gerade KMU beim Testen neuer Anwendungen unterstützen soll.

Was der Zeitplan für KMU praktisch bedeutet

Aus den Fristen ergibt sich eine klare Prioritätenfolge:

1. Sofort erledigen (Pflichten gelten bereits): KI-Inventar aufbauen, verbotene Einsatzformen ausschließen, Mitarbeitende nachweisbar schulen, Chatbots und KI-Inhalte kennzeichnen.
2. Bis Ende 2026 prüfen: Erzeugt eines Ihrer Systeme synthetische Inhalte? Dann Kennzeichnungstechnik bis zum 2. Dezember 2026 sicherstellen — beziehungsweise beim Softwareanbieter einfordern.
3. 2027 vorbereiten: Wer Anhang-III-Systeme anbietet oder betreibt (etwa Recruiting- oder Bonitäts-KI), nutzt die gewonnene Zeit bis Dezember 2027 für Gap-Analyse, Dokumentation und Lieferantengespräche — nicht zum Abwarten.

Für die organisatorische Seite dieser Aufgaben hat sich ISO/IEC 42001 als Rahmen etabliert: Die Norm für KI-Managementsysteme verlangt genau die Bausteine, die der AI Act voraussetzt — Inventar, Risikobewertung, Schulungskonzept, Verantwortlichkeiten, dokumentierte Prozesse. Zur Wahrheit gehört: Ein ISO-42001-Zertifikat ist kein Konformitätsnachweis nach der KI-Verordnung; die Konformitätsbewertung für Hochrisiko-Systeme bleibt ein eigenes Verfahren. Aber wer die Norm umsetzt, arbeitet die Fristenliste nicht als Einzelaktionen ab, sondern mit einem System, das auch die nächste Rechtsänderung verkraftet.

Häufige Fragen

Begriffe in diesem Artikel

Verwandte Beiträge