Zeitplan des EU AI Act 2026, 2027 und 2028: was wann gilt
Die Verordnung (EU) 2024/1689 mit den Fristen in der Fassung des Digital-Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026). Jedes Datum unten ist auf den Artikel zurückgeführt, der es festlegt.
Die KI-Verordnung tritt nicht auf einen Schlag in Kraft. Artikel 113 staffelt sie über sechs Jahre, und der Digital-Omnibus hat 2026 zwei dieser Daten verschoben und die übrigen unangetastet gelassen. Ratgeber, die vor Juli 2026 geschrieben wurden, liegen deshalb oft in einer von zwei Richtungen falsch: Manche Seiten drucken noch die ursprünglichen Hochrisiko-Daten 2026 und 2027 ab, andere melden, „der AI Act wurde verschoben", als wäre alles verschoben worden. Beides stimmt nicht, und der Unterschied entscheidet darüber, ob Ihre Compliance-Arbeit im Jahr 2026 überfällig oder verfrüht ist.
Alle Fristen auf einen Blick
| Datum | Was gilt | Wen es betrifft | Artikel |
|---|---|---|---|
| 1. Aug. 2024 | Verordnung tritt in Kraft | Noch niemanden, die Uhr läuft an | Art. 113 |
| 2. Feb. 2025 | Kapitel I und II: verbotene Praktiken und KI-Kompetenz | Jeden Anbieter und jeden Betreiber | Art. 113 Buchst. a, Art. 4, Art. 5 |
| 2. Aug. 2025 | KI-Modelle mit allgemeinem Verwendungszweck, notifizierte Stellen, Governance, Sanktionen | Modellanbieter, Behörden | Art. 113 Buchst. b |
| 27. Juli 2026 | Digital-Omnibus in Kraft; Art. 102 bis 110 gelten | Sektorale Produktregelungen | Art. 113 Buchst. d, eingefügt |
| 2. Aug. 2026 | Allgemeiner Geltungsbeginn: Transparenz nach Artikel 50 | Fast jedes KMU, das KI nutzt | Art. 113, Art. 50 |
| 2. Dez. 2026 | Übergangsfrist für die Kennzeichnung endet; neue Verbote nach Artikel 5 beginnen | Anbieter generativer Systeme | Art. 111 Abs. 4, Art. 113 Buchst. a |
| 2. Aug. 2027 | Bestehende KI-Modelle mit allgemeinem Verwendungszweck müssen konform sein | Anbieter von Basismodellen | Art. 111 Abs. 3 |
| 2. Dez. 2027 | Hochrisiko-Regelung, eigenständige Systeme nach Anhang III | Personalauswahl, Kredit, Biometrie, wesentliche Dienste | Art. 113 Buchst. c Ziff. i |
| 2. Aug. 2028 | Hochrisiko-Regelung, eingebettete Sicherheitsbauteile nach Anhang I | Maschinen, Medizinprodukte, Fahrzeuge, Spielzeug, Aufzüge | Art. 113 Buchst. c Ziff. ii |
| 2. Aug. 2030 | Bestehende Hochrisiko-Systeme im Einsatz bei Behörden | Öffentlicher Sektor und seine Lieferanten | Art. 111 Abs. 2 |
| 31. Dez. 2030 | KI-Komponenten der IT-Großsysteme nach Anhang X | Datenbanken auf EU-Ebene | Art. 111 Abs. 1 |
Der Zeitplan im Einzelnen
Verbot der verbotenen Praktiken (Art. 5) und KI-Kompetenz (Art. 4)
Die Kapitel I und II galten zuerst. Soziale Bewertung, manipulative oder ausbeuterische Techniken, die erheblichen Schaden verursachen, das ungezielte Auslesen von Gesichtsbildern, das Ableiten von Emotionen an Arbeitsplätzen und in Schulen und die übrigen Praktiken des Artikels 5 wurden vollständig rechtswidrig, ohne einen Compliance-Weg, der sie rechtmäßig macht. Davon getrennt mussten Anbieter und Betreiber beginnen, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz beim Personal und bei anderen Personen zu unterstützen, die in ihrem Auftrag KI-Systeme bedienen.
KI-Modelle mit allgemeinem Verwendungszweck, Governance und das Sanktionskapitel
Artikel 113 Buchst. b hat Kapitel V (KI-Modelle mit allgemeinem Verwendungszweck), Kapitel III Abschnitt 4 (notifizierende Behörden und notifizierte Stellen), Kapitel VII (Governance), Kapitel XII (Sanktionen, mit Ausnahme von Artikel 101) und Artikel 78 in Geltung gesetzt. Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also der Modelle hinter Werkzeugen wie Chatbots und nicht der Werkzeuge selbst, müssen eine technische Dokumentation führen, eine hinreichend detaillierte Zusammenfassung der Trainingsinhalte veröffentlichen und eine Urheberrechtsstrategie einführen. Dieses Datum ist wichtig, wenn Sie ein Basismodell trainieren oder wesentlich verändern. Für ein Unternehmen, das ein solches Modell lediglich über eine Schnittstelle aufruft, begründet es keine Pflichten.
Der Digital-Omnibus tritt in Kraft
Die Verordnung (EU) 2026/1744 hat die KI-Verordnung selbst geändert: Sie hat Artikel 4 ersetzt, zwei Verbote in Artikel 5 ergänzt, in Artikel 6 klargestellt, was als Sicherheitsbauteil gilt, Definitionen für KMU und für kleine Unternehmen mit mittlerer Kapitalisierung eingefügt, die Bußgeldobergrenze des Art. 99 Abs. 6a für diese Unternehmen ergänzt und die Geltungsdaten in Artikel 113 neu gefasst. Ein neuer Art. 113 Buchst. d lässt die Artikel 102 bis 110, also die Änderungen der sektoralen Produktverordnungen, ab diesem Datum gelten.
Transparenzpflichten nach Artikel 50
Der allgemeine Geltungsbeginn der KI-Verordnung, und das Datum, auf das die meisten KMU tatsächlich hinarbeiten mussten. Vier Pflichten beginnen: Chatbot-Offenlegung nach Art. 50 Abs. 1, maschinenlesbare Kennzeichnung KI-generierter Inhalte nach Art. 50 Abs. 2, Offenlegung von Emotionserkennung und biometrischer Kategorisierung nach Art. 50 Abs. 3 und Kennzeichnung von Deepfakes nach Art. 50 Abs. 4. Artikel 50 Absatz 5 verlangt, dass die Information klar, deutlich unterscheidbar, spätestens zum Zeitpunkt der ersten Interaktion oder Exposition und barrierefrei erfolgt. Der Digital-Omnibus hat davon nichts verschoben.
Die Übergangsfrist für die Kennzeichnung endet, und die neuen Verbote nach Artikel 5 beginnen
Der durch den Omnibus eingefügte Artikel 111 Absatz 4 gibt Anbietern von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, bis zu diesem Datum Zeit, die maschinenlesbare Kennzeichnungspflicht nach Art. 50 Abs. 2 zu erfüllen. Systeme, die nach dem 2. August 2026 in Verkehr gebracht wurden, mussten sie sofort erfüllen, ohne Übergangsfrist. Am selben Tag beginnen die beiden Verbote zu gelten, die der Omnibus als Art. 5 Abs. 1 Buchst. ba und bb ergänzt hat und die KI erfassen, die nicht einvernehmliches intimes Material oder Material über sexuellen Kindesmissbrauch erzeugt oder verändert, zusammen mit den Abgrenzungsabsätzen 5 Abs. 1a und 5 Abs. 1b.
Bestehende KI-Modelle mit allgemeinem Verwendungszweck müssen konform sein
Artikel 111 Absatz 3 gibt Anbietern von KI-Modellen mit allgemeinem Verwendungszweck, die vor dem 2. August 2025 in Verkehr gebracht wurden, bis zu diesem Datum Zeit, sie mit den Pflichten des Kapitels V in Einklang zu bringen. Vom Omnibus unverändert gelassen und nur für Modellanbieter relevant.
Hochrisiko-Regelung, eigenständige Systeme nach Anhang III
Kapitel III Abschnitte 1 bis 3 gelten für Systeme, die nach Art. 6 Abs. 2 und Anhang III hochriskant sind: Personalauswahl und Personalmanagement, Kreditwürdigkeitsbewertung, Risikobewertung und Preisbildung in der Versicherung, biometrische Identifizierung und Kategorisierung, Bildung und Prüfungsbewertung, Zugang zu wesentlichen öffentlichen und privaten Diensten, Strafverfolgung, Migration und Grenzkontrolle sowie Rechtspflege. Anbieter trifft ein Risikomanagement, Daten-Governance, technische Dokumentation nach Anhang IV, Protokollierung, menschliche Aufsicht, Genauigkeit, Robustheit und Cybersicherheit, ein Qualitätsmanagementsystem und die Konformitätsbewertung. Betreiber trifft die Pflichtenliste des Artikels 26 sowie, wo sie greift, eine Grundrechte-Folgenabschätzung nach Artikel 27. Das ursprüngliche Datum war der 2. August 2026; der Omnibus hat es hierher verschoben.
Hochrisiko-Regelung, eingebettete Sicherheitsbauteile nach Anhang I
Dieselben Pflichten des Kapitels III für KI, die als Sicherheitsbauteil in einem Produkt oder selbst als Produkt verwendet wird, das unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union fällt: Maschinen, Medizinprodukte, Fahrzeuge, Spielzeug, Aufzüge, Funkanlagen und Ähnliches, abgestimmt auf das bestehende sektorale CE-Konformitätsverfahren. Das ursprüngliche Datum war der 2. August 2027. Der Omnibus hat außerdem Art. 6 Abs. 1a bis 1c ergänzt, die KI aus der Definition des Sicherheitsbauteils heraushalten, wenn sie ausschließlich dem Komfort, der Leistungsoptimierung oder der Qualitätskontrolle dient.
Bestehende Systeme im öffentlichen Sektor und IT-Großsysteme
Artikel 111 Absatz 2 verpflichtet Anbieter und Betreiber von Hochrisiko-KI-Systemen, die für den Einsatz bei Behörden bestimmt sind, bis zum 2. August 2030 zur Konformität, auch wenn das System älter ist als das Datum für Kapitel III. Artikel 111 Absatz 1 gibt den KI-Komponenten der IT-Großsysteme nach Anhang X Zeit bis zum 31. Dezember 2030.
Was der Digital-Omnibus geändert hat, und was nicht
| Pflicht | Ursprüngliches Datum | Datum jetzt | Verschoben? |
|---|---|---|---|
| Verbotene Praktiken (Art. 5, ursprüngliche Liste) | 2. Feb. 2025 | 2. Feb. 2025 | Nein |
| KI-Kompetenz (Art. 4) | 2. Feb. 2025 | 2. Feb. 2025 | Nein, aber der Wortlaut wurde ersetzt |
| KI-Modelle mit allgemeinem Verwendungszweck (Kapitel V) | 2. Aug. 2025 | 2. Aug. 2025 | Nein |
| Transparenz (Art. 50) | 2. Aug. 2026 | 2. Aug. 2026 | Nein |
| Neue Verbote nach Art. 5 für die Erzeugung von NCII und CSAM | Gab es nicht | 2. Dez. 2026 | Neu |
| Kennzeichnung nach Art. 50 Abs. 2, bereits auf dem Markt befindliche Systeme | Keine Übergangsfrist | 2. Dez. 2026 | Neue Übergangsfrist |
| Hochriskant, Anhang III (Art. 6 Abs. 2) | 2. Aug. 2026 | 2. Dez. 2027 | Um 16 Monate verschoben |
| Hochriskant, Anhang I (Art. 6 Abs. 1) | 2. Aug. 2027 | 2. Aug. 2028 | Um 12 Monate verschoben |
Die Begründung steht in den Erwägungsgründen des Omnibus: Harmonisierte Normen, gemeinsame Spezifikationen und zuständige nationale Behörden waren für die Hochrisiko-Regelung nicht rechtzeitig bereit, und eine Anwendung zum ursprünglichen Datum hätte die Umsetzungskosten erhöht, ohne einen entsprechenden Nutzen zu bringen. Nichts an dieser Begründung berührte die Transparenzpflichten, die weder Normen noch notifizierte Stellen brauchen, weshalb sie dort geblieben sind, wo sie waren.
Was das in der Praxis bedeutet, nach Unternehmensprofil
Sie betreiben einen Chatbot oder veröffentlichen KI-generierte Inhalte
- Ihre Frist war der 2. August 2026, nicht 2027. Wenn die Offenlegung nicht live ist, sind Sie jetzt zu spät dran.
- Wenn eine Ihrer generativen Funktionen älter ist als August 2026, ist der 2. Dezember 2026 die Kennzeichnungsfrist.
- Von den Daten 2027 und 2028 betrifft Sie nichts, sofern Sie nicht zusätzlich etwas aus der Liste des Anhangs III tun.
Ihre Beschäftigten nutzen KI-Werkzeuge, aber Sie verkaufen nichts KI-Gestütztes
- Die KI-Kompetenzpflicht nach Artikel 4 gilt seit Februar 2025. Die Verbote nach Artikel 5 binden Sie als Nutzer von KI seit demselben Datum, die Transparenzpflichten für Betreiber nach Artikel 50 Absätze 3 und 4 seit dem 2. August 2026.
- Artikel 5 bindet Sie auch als Nutzer von KI, nicht nur als Entwickler. Prüfen Sie die Verbotsliste einmal und halten Sie das Ergebnis fest.
Sie betreiben ein System für Personalauswahl, Kredit oder Versicherungstarifierung
- Ihre Regelung beginnt am 2. Dezember 2027, und Ihre Pflichten sind die Betreiberliste des Artikels 26, nicht die Anbieterliste.
- Die Arbeit, die 2026 anfallen muss, ist vertraglicher Natur: schriftliche Zusagen des Anbieters zu Konformitätsbewertung, Betriebsanleitung und Aufbewahrung der Protokolle.
- Prüfen Sie den Filter des Art. 6 Abs. 3, bevor Sie überhaupt annehmen, dass das System hochriskant ist.
Sie betten KI in ein CE-gekennzeichnetes Produkt ein
- Ihr Datum ist der 2. August 2028, abgestimmt auf Ihr bestehendes sektorales Konformitätsverfahren.
- Prüfen Sie zuerst Art. 6 Abs. 1a: KI, die ausschließlich dem Komfort, der Serviceeffizienz oder der Qualitätskontrolle dient, ist kein Sicherheitsbauteil und zieht das Produkt nicht in die Hochrisiko-Klasse.
So prüfen Sie, ob ein Datum noch gilt
Daten sind in diesem Bereich schon einmal verschoben worden, und Artikel 112 verpflichtet die Kommission, die Liste des Anhangs III und die Verbotsliste des Artikels 5 jährlich zu überprüfen, weitere Änderungen sind also wahrscheinlich und nicht bloß denkbar. Zwei Gewohnheiten halten Sie aus Schwierigkeiten heraus. Erstens: Zitieren Sie den Artikel, nicht die Schlagzeile. „Kapitel III Abschnitte 1 bis 3 nach Art. 113 Buchst. c Ziff. i" überlebt eine Änderung, „die Frist 2027" nicht. Zweitens: Prüfen Sie gegen die konsolidierte Fassung im Amtsblatt statt gegen Sekundärberichterstattung, die um Monate hinterherhinkt. Der Pflichtendatensatz von Klariq wird planmäßig gegen das Amtsblatt geprüft und speist sowohl diese Seite als auch den Klassifizierer, die Daten in Ihrem Ergebnis stimmen also mit den Daten hier überein.
Häufige Fragen
Welche Pflichten der KI-Verordnung gelten bereits?
Seit dem 2. Februar 2025: das Verbot der verbotenen Praktiken im KI-Bereich in Artikel 5 und die KI-Kompetenzpflicht nach Artikel 4. Seit dem 2. August 2025: die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck in Kapitel V, das Governance-Kapitel und das Sanktionskapitel. Seit dem 2. August 2026: die Transparenzpflichten nach Artikel 50.
Was hat sich am 2. August 2026 geändert?
Das ist der allgemeine Geltungsbeginn der KI-Verordnung, und an diesem Tag beginnen die Transparenzpflichten nach Artikel 50: Chatbots müssen offenlegen, dass sie KI sind, KI-generierte Audio-, Bild-, Video- und Textinhalte müssen in einem maschinenlesbaren Format gekennzeichnet werden, Deepfakes müssen als solche gekennzeichnet werden, und Menschen, die einer Emotionserkennung oder einer biometrischen Kategorisierung ausgesetzt sind, müssen darüber informiert werden.
Was passiert am 2. Dezember 2026?
Zweierlei. Artikel 111 Absatz 4 gibt Anbietern von Systemen zur Erzeugung synthetischer Inhalte, die bereits vor dem 2. August 2026 auf dem Markt waren, bis zum 2. Dezember 2026 Zeit, die maschinenlesbare Kennzeichnungspflicht nach Artikel 50 Absatz 2 zu erfüllen. Und die beiden durch den Digital-Omnibus ergänzten Verbote, die die Erzeugung von nicht einvernehmlichem intimem Material und von Material über sexuellen Kindesmissbrauch betreffen, beginnen zu gelten.
Wurde der Zeitplan der KI-Verordnung verschoben?
Teilweise. Der Digital-Omnibus, Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, hat Artikel 113 so geändert, dass Kapitel III Abschnitte 1 bis 3 ab dem 2. Dezember 2027 für Hochrisiko-Systeme nach Anhang III und ab dem 2. August 2028 für Hochrisiko-Systeme nach Anhang I gelten. Er hat weder die Transparenz nach Artikel 50 verschoben, die weiterhin seit dem 2. August 2026 gilt, noch die KI-Kompetenz nach Artikel 4, die seit Februar 2025 gilt.
Welche Frist der KI-Verordnung gilt 2027?
Am 2. Dezember 2027 gilt die vollständige Hochrisiko-Regelung für eigenständige Systeme nach Anhang III, etwa Personalauswahl, Kreditwürdigkeitsbewertung, biometrische Identifizierung und Zugang zu wesentlichen Diensten. Davon getrennt ist der 2. August 2027 das Datum, bis zu dem Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, die vor dem 2. August 2025 in Verkehr gebracht wurden, nach Artikel 111 Absatz 3 konform sein müssen.
Welche Frist der KI-Verordnung gilt 2028?
Am 2. August 2028 gilt die Hochrisiko-Regelung für KI, die als Sicherheitsbauteil in Produkten verwendet wird, die bereits unter die in Anhang I aufgeführten Harmonisierungsrechtsvorschriften der Union fallen, etwa Maschinen, Medizinprodukte, Fahrzeuge, Spielzeug und Aufzüge.
Welches Datum ist für ein kleines Unternehmen am wichtigsten?
Für die meisten KMU ist es der bereits verstrichene 2. August 2026, denn an diesem Tag traten die Transparenzpflichten nach Artikel 50 für Chatbots und KI-generierte Inhalte in Kraft. Die Hochrisiko-Fristen 2027 und 2028 betreffen nur Unternehmen, die ein System aus der Liste des Anhangs III oder ein in ein reguliertes Produkt nach Anhang I eingebettetes System anbieten oder betreiben.