Stand: Oktober 2026. Der EU AI Act gilt nicht auf einen Schlag, sondern in Stufen. Die verbotenen Praktiken und die Pflicht zur KI-Kompetenz greifen bereits seit Februar 2025. Die aufwendigsten Pflichten, die für Hochrisiko-Systeme, wurden durch den KI-Omnibus (VO (EU) 2026/1744) auf 2. Dezember 2027 (eigenständige Hochrisiko-KI-Systeme nach Anhang III) beziehungsweise 2. August 2028 (Hochrisiko-KI nach Anhang I) verschoben. Diese Seite ist die Fristen-Referenz für alle Beiträge dieser Kanzlei zum EU AI Act: Jede andere Seite verlinkt hierher, statt eigene Stichtage zu pflegen.

Das Wichtigste in Kürze

  • Die KI-Verordnung gilt gestuft, sodass verschiedene Pflichten zu unterschiedlichen Stichtagen scharf werden.
  • Die verbotenen Praktiken nach Art. 5 KI-VO und die Pflicht zur KI-Kompetenz nach Art. 4 KI-VO greifen bereits seit dem 2. Februar 2025; zwei neue Verbote kommen ab dem 2. Dezember 2026 hinzu.
  • Die Hochrisiko-Pflichten wurden durch den KI-Omnibus auf den 2. Dezember 2027 für Systeme nach Anhang III und den 2. August 2028 für Systeme nach Anhang I verschoben.
  • Die Verschiebung ist verbindlich: Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft.

Mit dem Selbsttest weiter unten sehen Sie in zwei Minuten, welche dieser Pflichten Ihr Unternehmen voraussichtlich treffen.

Der KI-Omnibus ist in Kraft

Die Verschiebung der Hochrisiko-Fristen ist mit der Verordnung (EU) 2026/1744 vom 8. Juli 2026 geltendes Recht. Sie wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Maßgeblich ist damit der geänderte Art. 113 Abs. 3 KI-VO. In Deutschland regelt seit dem 29. Juli 2026 das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI-MIG) die Aufsicht; zentrale Marktüberwachungsbehörde ist grundsätzlich die Bundesnetzagentur (vertiefend: KI-MIG: die Bundesnetzagentur als KI-Aufsicht).

Alle Stichtage im Überblick

  • 1. August 2024

    Die KI-Verordnung tritt in Kraft (Beginn der Übergangsfristen).

    Art. 113 Abs. 1 KI-VO

  • 2. Februar 2025

    Verbotene KI-Praktiken (Kapitel II) und die Pflicht zur KI-Kompetenz (Art. 4, seit dem 27. Juli 2026 in der Fassung des KI-Omnibus) gelten.

    Art. 5, Art. 4, Art. 113 Abs. 3 lit. a KI-VO

  • 2. August 2025

    Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), Governance-Struktur, notifizierende Behörden und Sanktionsvorschriften; ausgenommen sind die Geldbußen gegen GPAI-Anbieter nach Art. 101.

    Kapitel III Abschnitt 4, Kapitel V, VII, XII, Art. 113 Abs. 3 lit. b KI-VO

  • 27. Juli 2026

    Der KI-Omnibus tritt in Kraft; ab diesem Tag gelten auch die Art. 102 bis 110 KI-VO (Änderungen sektoraler Produktvorschriften).

    Art. 4 VO (EU) 2026/1744, Art. 113 Abs. 3 lit. d KI-VO

  • 29. Juli 2026

    Das deutsche KI-MIG tritt in Kraft: Bundesnetzagentur als zentrale Marktüberwachungsbehörde, Anlauf- und Beschwerdestelle, nationale Bußgeldvorschriften.

    KI-MIG, BGBl. 2026 I Nr. 223

  • 2. August 2026

    Allgemeiner Geltungsbeginn, unter anderem für die Transparenzpflichten nach Art. 50 KI-VO, bei der Kennzeichnung nach Abs. 2 für Systeme, die ab diesem Tag in Verkehr gebracht werden, und für die Geldbußen gegen GPAI-Anbieter nach Art. 101 KI-VO.

    Art. 113 Abs. 2 KI-VO

  • 2. Dezember 2026

    Neue Verbote für KI-Systeme, die nicht einvernehmliche intime Deepfakes bestimmbarer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen. Kennzeichnungspflicht nach Art. 50 Abs. 2 für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden.

    Art. 5 Abs. 1 lit. ba, bb, Art. 111 Abs. 4, Art. 113 Abs. 3 lit. a KI-VO

  • 2. August 2027

    Mindestens ein nationales KI-Reallabor muss einsatzbereit sein. GPAI-Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, müssen die GPAI-Pflichten erfüllen.

    Art. 57 Abs. 1, Art. 111 Abs. 3 KI-VO

  • 2. Dezember 2027

    Hochrisiko-Pflichten für KI-Systeme nach Anhang III (Personal, Kreditwürdigkeit, Bildung, Strafverfolgung u. a.).

    Art. 6 Abs. 2 i. V. m. Anhang III, Art. 113 Abs. 3 lit. c Ziff. i KI-VO

  • 2. August 2028

    Hochrisiko-Pflichten für KI als Sicherheitsbauteil eines Produkts oder als Produkt, das einer EU-Harmonisierungsvorschrift nach Anhang I unterliegt (z. B. Medizinprodukte, Spielzeug, Aufzüge).

    Art. 6 Abs. 1 i. V. m. Anhang I, Art. 113 Abs. 3 lit. c Ziff. ii KI-VO

  • 2. August 2030

    Anbieter und Betreiber von Hochrisiko-KI-Systemen, die von Behörden verwendet werden sollen, müssen die Anforderungen erfüllen.

    Art. 111 Abs. 2 KI-VO

Für KI in Maschinen gilt ein Sonderweg: Die Maschinenverordnung (EU) 2023/1230 steht seit dem KI-Omnibus in Anhang I Abschnitt B. Die KI-Anforderungen sollen dort über delegierte Rechtsakte zur Maschinenverordnung einfließen, die ab dem 2. August 2028 gelten. Hochrisiko-Systeme, die vor dem Geltungsbeginn der Hochrisiko-Pflichten in Verkehr gebracht wurden, erfasst die Verordnung grundsätzlich nur, wenn sie danach in ihrer Konzeption erheblich verändert werden (Art. 111 Abs. 2 KI-VO).

Was bis wann zu tun ist, je Unternehmenstyp

Die Stufung erlaubt eine klare Priorisierung. Was zählt, hängt davon ab, welche Rolle Ihr Unternehmen im AI Act einnimmt.

  • Sie setzen KI-Tools im Betrieb ein (Betreiber, kein eigenes KI-Produkt): Die KI-Kompetenzpflicht läuft bereits, prüfen Sie Ihre Nachweise. Für die Hochrisiko-Frist 2027/2028 zählt vor allem, ob eines Ihrer eingesetzten Tools in einem Anhang-III-Bereich läuft (siehe Hochrisiko-KI: Ist mein System betroffen?). Bis dahin: Rollen klären, Vendor-Unterlagen einfordern.
  • Sie entwickeln oder integrieren eigene KI-Systeme (Anbieter): Der längere Vorlauf bis 2027/2028 ist kein Grund zu warten. Konformitätsbewertung, technische Dokumentation und Risikomanagementsystem brauchen Zeit zum Aufbau; wer erst 2027 beginnt, gerät unter Druck. Die Transparenzpflichten nach Art. 50 KI-VO gelten bereits.
  • Ihre KI ist Sicherheitsbauteil eines bereits regulierten Produkts (etwa Medizintechnik): Für Sie gilt die spätere Frist 2. August 2028, weil Ihr Produkt ohnehin einem eigenen Konformitätsverfahren nach Anhang I unterliegt. Die Abstimmung zwischen KI-VO und Ihrer Produktregulierung sollte trotzdem früh beginnen.
  • Sie bieten oder nutzen GPAI-Modelle (Foundation Models): Die Pflichten der Modell-Anbieter laufen bereits seit August 2025, unabhängig vom Hochrisiko-Aufschub.

Der pragmatische Fahrplan

  • Bereits erledigt sein sollte: Prüfung auf verbotene Praktiken nach Art. 5 KI-VO, Maßnahmen zur KI-Kompetenz im Team (seit Februar 2025 in Kraft, siehe die KI-Kompetenzpflicht nach Art. 4 KI-VO), Umsetzung der Transparenzpflichten nach Art. 50 KI-VO.
  • Bis Dezember 2026: generative Funktionen auf die neuen Verbote prüfen und die Kennzeichnung nach Art. 50 Abs. 2 KI-VO für Bestandssysteme umsetzen.
  • Kurzfristig: Rolle je System klären (Anbieter/Betreiber, siehe Anbieter oder Betreiber? Die zwei Rollen im AI Act), GPAI-Unterlagen von Modell-Anbietern einfordern.
  • Mittelfristig, mit Blick auf 2027/2028: Hochrisiko-Systeme identifizieren, KI-Inventur führen (siehe KI-Inventur als erster Schritt) und die zugehörige Dokumentation aufbauen.
  • Laufend: Leitlinien der Kommission und Veröffentlichungen der Bundesnetzagentur beobachten.

Vertiefend zur Einordnung Ihres Unternehmens: KI-Compliance als laufende Begleitung und, wenn Sie eine strukturierte Bestandsaufnahme brauchen, das AI Governance Audit. Welchen Spielraum die KI-Reallabore für die Erprobung neuer Systeme unter behördlicher Aufsicht eröffnen, ordnet der Beitrag KI-Reallabore nach dem EU AI Act ein.

Was inhaltlich hinter den einzelnen Stichtagen steht, führt der Leitfaden zum EU AI Act aus.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Hersteller von Aufzugsteuerungen mit rund 150 Mitarbeitenden plant das Budget für 2027 und will wissen, welche KI-Pflichten wann fällig werden. Im Haus läuft ein eingekauftes Tool, das Bewerbungen vorsortiert, und in der Entwicklung entsteht eine KI-Funktion für die Steuerung selbst. Je System sind Rolle und Einstufung zu klären, denn daran hängen die Stichtage. Die Pflicht zur KI-Kompetenz gilt für alle Teams, die mit KI arbeiten, schon seit dem 2. Februar 2025.

Danach trennen sich die Wege. Fällt das Bewerbungstool in den Anhang-III-Bereich Personal, ist das Unternehmen dort Betreiber, und der Stichtag ist der 2. Dezember 2027; bis dahin werden Unterlagen beim Anbieter angefordert. Ist die KI in der Aufzugsteuerung ein Sicherheitsbauteil eines Produkts nach Anhang I, gilt für sie der 2. August 2028. Konformitätsbewertung, technische Dokumentation und Risikomanagement brauchen trotzdem Vorlauf und werden mit dem bestehenden Verfahren für Aufzüge abgestimmt. Am Ende steht ein Fahrplan, der jedem System seinen Stichtag zuordnet. Welche Systeme und Verträge dafür zu erfassen sind, zeigt das Rechtliche Audit.

Selbsttest

Selbsttest: Welche Pflichten aus der KI-Verordnung treffen uns?

Acht Fragen, zwei Minuten: Sie sehen sofort, welche Pflichten aus der KI-Verordnung Sie voraussichtlich treffen und ab wann. Ohne Anmeldung, Ihre Antworten bleiben in Ihrem Browser.

Wichtiger Hinweis: Der Selbsttest gibt eine allgemeine Orientierung nach dem Rechtsstand vom 22. Oktober 2026 und ersetzt keine individuelle Rechtsberatung. Die Besonderheiten Ihres Unternehmens, Ihrer Verträge und Ihrer Branche lassen sich darin nicht berücksichtigen. Lassen Sie Ihren konkreten Fall rechtlich prüfen, bevor Sie Entscheidungen treffen oder ein Dokument einsetzen. Durch die Nutzung entsteht kein Mandatsverhältnis.

So funktioniert der Selbsttest: Beantworten Sie acht Fragen mit Ja, Nein oder „Weiß nicht“. Danach sehen Sie, welche Pflichten aus der KI-Verordnung Sie voraussichtlich treffen und ab wann. Ihre Antworten bleiben in Ihrem Browser, es wird nichts gespeichert oder übertragen. Der Test gibt eine allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung; durch die Nutzung entsteht kein Mandatsverhältnis.

  1. Nutzen Sie in Ihrem Unternehmen KI-Tools, etwa ChatGPT, Copilot oder KI-Funktionen in Office, CRM oder Designsoftware?
  2. Bieten Sie ein eigenes KI-System oder eine KI-Funktion unter Ihrem Namen an, auch wenn darin ein fremdes Modell steckt?
  3. Veröffentlichen Sie mit KI erzeugte oder veränderte Bilder, Videos oder Tonaufnahmen, die echt wirken?
  4. Veröffentlichen Sie mit KI erzeugte Texte zu Themen von öffentlichem Interesse, ohne dass ein Mensch sie prüft und redaktionell verantwortet?
  5. Setzen Sie KI im Personalbereich ein, etwa um Bewerbungen zu sichten, Leistung zu bewerten oder Aufgaben zu verteilen?
  6. Prüfen Sie mit KI die Kreditwürdigkeit von Personen oder bilden Sie mit KI Risiken und Preise in der Lebens- oder Krankenversicherung?
  7. Erkennt eines Ihrer Systeme Emotionen von Menschen oder ordnet es Personen nach biometrischen Merkmalen ein?
  8. Geben Sie personenbezogene Daten in KI-Tools ein, etwa Kundendaten oder Daten von Beschäftigten?

Welche Pflichten hinter den Fragen stehen

Nach der Auswertung sehen Sie hier, welche Pflichten Sie voraussichtlich treffen. Ohne Auswertung finden Sie unten alle Pflichten im Überblick.

KI-Kompetenz fördern

Gilt seit 2. Februar 2025, seit 27. Juli 2026 in der Fassung des KI-Omnibus · Art. 4 KI-VO

Wer KI-Systeme betreibt, ergreift Maßnahmen, um die KI-Kompetenz der Beschäftigten zu fördern, die damit arbeiten. Ein bestimmtes Niveau müssen Sie nicht garantieren. Eine dokumentierte KI-Richtlinie mit Einweisung macht die Maßnahmen nachweisbar. Ein frei verwendbares Muster einer KI-Richtlinie finden Sie hier.

Verbotene Praktiken ausschließen

Gilt seit 2. Februar 2025, zwei weitere Verbote ab 2. Dezember 2026 · Art. 5 KI-VO

Bestimmte Einsätze sind verboten, etwa manipulierende Techniken, die Ausnutzung von Schwächen bestimmter Personen oder Social Scoring. Ab dem 2. Dezember 2026 kommen Verbote für Systeme hinzu, die nicht einvernehmliche intime Deepfakes erzeugen. Prüfen Sie, dass Ihre Tools nicht für solche Zwecke eingesetzt werden.

Pflichten als Anbieter

Transparenz seit 2. August 2026, Hochrisiko ab 2. Dezember 2027 bzw. 2. August 2028 · Art. 50, bei Hochrisiko Art. 16 ff. KI-VO

Wer ein KI-System unter eigenem Namen anbietet, ist Anbieter und trägt die meisten Pflichten. Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass diese erkennen, dass sie mit einer KI sprechen (Art. 50 Abs. 1). Synthetische Inhalte müssen maschinenlesbar gekennzeichnet sein (Art. 50 Abs. 2); für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt das ab dem 2. Dezember 2026. Ist Ihr System hochriskant, kommen Konformitätsbewertung und Dokumentation hinzu. Hier lohnt eine genaue Prüfung Ihrer Rolle.

Deepfakes offenlegen

Gilt seit 2. August 2026 · Art. 50 Abs. 4 KI-VO

Wer mit KI Bild-, Ton- oder Videoinhalte erzeugt oder verändert, die echt wirken, muss offenlegen, dass sie künstlich erzeugt oder verändert sind. Bei offensichtlich künstlerischen, satirischen oder fiktionalen Werken genügt ein Hinweis, der den Genuss des Werks nicht beeinträchtigt.

KI-Texte zu Themen von öffentlichem Interesse kennzeichnen

Gilt seit 2. August 2026 · Art. 50 Abs. 4 KI-VO

Veröffentlichen Sie KI-Texte, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen Sie offenlegen, dass sie künstlich erzeugt sind. Das entfällt, wenn ein Mensch die Texte prüft und eine Person die redaktionelle Verantwortung trägt.

Hochrisiko-KI im Personalbereich

Betreiberpflichten ab 2. Dezember 2027 · Art. 26 KI-VO i. V. m. Anhang III Nr. 4

KI für Einstellung, Bewerberauswahl, Beförderung, Kündigung, Aufgabenverteilung oder Leistungsbewertung ist hochriskant. Als Betreiber müssen Sie das System nach der Betriebsanleitung verwenden, die menschliche Aufsicht kompetenten Personen übertragen, den Betrieb überwachen, Protokolle mindestens sechs Monate aufbewahren und Beschäftigte sowie ihre Vertretung vor dem Einsatz informieren (Art. 26 Abs. 7). Schon heute gelten Art. 22 DSGVO und, falls es einen Betriebsrat gibt, dessen Mitbestimmung (§ 87 Abs. 1 Nr. 6 BetrVG).

Hochrisiko-KI bei Bonität und Versicherung

Betreiberpflichten ab 2. Dezember 2027 · Art. 26, 27 KI-VO i. V. m. Anhang III Nr. 5 lit. b, c

KI zur Kreditwürdigkeitsprüfung natürlicher Personen und zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung ist hochriskant. Neben den Betreiberpflichten nach Art. 26 ist vor der Inbetriebnahme eine Grundrechte-Folgenabschätzung durchzuführen (Art. 27). KI, die nur Finanzbetrug aufdecken soll, ist ausgenommen.

Emotionserkennung und biometrische Kategorisierung

Verbot seit 2. Februar 2025, Informationspflicht seit 2. August 2026 · Art. 5 Abs. 1 lit. f, Art. 50 Abs. 3 KI-VO

Emotionen von Menschen am Arbeitsplatz oder in Bildungseinrichtungen mit KI abzuleiten, ist verboten, außer aus medizinischen Gründen oder Sicherheitsgründen. Wo Emotionserkennung oder biometrische Kategorisierung zulässig ist, müssen Sie die betroffenen Personen über den Betrieb informieren.

Datenschutz beim KI-Einsatz

DSGVO, unabhängig von der KI-Verordnung

Personenbezogene Daten dürfen nur in Tools mit Auftragsverarbeitungsvertrag (Art. 28 DSGVO) und abgesicherter Übermittlung außerhalb der EU verarbeitet werden. Betroffene sind über die Zwecke zu informieren (Art. 13, 14 DSGVO); bei hohem Risiko ist vorab eine Datenschutz-Folgenabschätzung zu prüfen (Art. 35 DSGVO). Die Muster-KI-Richtlinie enthält dafür eine Datenampel.

Stand 22. Oktober 2026. Die Stichtage folgen der Verordnung (EU) 2024/1689 in der Fassung des KI-Omnibus (VO (EU) 2026/1744). Der Selbsttest gibt eine erste Orientierung und ersetzt keine individuelle Rechtsberatung.

Selbsttest der Kanzlei Caroline Herrmann, Rechtsanwältin. Ersetzt keine rechtliche Prüfung im Einzelfall.

Häufige Fragen

Ab wann gilt der EU AI Act?

Die KI-Verordnung ist am 1. August 2024 in Kraft getreten und gilt seitdem gestuft. Nach Art. 113 KI-VO werden die einzelnen Pflichten zu unterschiedlichen Stichtagen scharf; der allgemeine Geltungsbeginn war der 2. August 2026.

Welche Pflichten gelten bereits jetzt?

Seit dem 2. Februar 2025 gelten die verbotenen KI-Praktiken nach Art. 5 KI-VO und die Pflicht zur KI-Kompetenz nach Art. 4 KI-VO. Seit dem 2. August 2025 kommen die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck sowie die Governance- und Sanktionsvorschriften hinzu. Seit dem 2. August 2026 gelten unter anderem die Transparenzpflichten nach Art. 50 KI-VO und die Geldbußen gegen GPAI-Anbieter nach Art. 101 KI-VO.

Wann greifen die Pflichten für Hochrisiko-Systeme?

Die Hochrisiko-Pflichten wurden durch den KI-Omnibus verschoben. Für Hochrisiko-Systeme nach Art. 6 Abs. 2 i. V. m. Anhang III KI-VO gilt nun der 2. Dezember 2027, für Systeme nach Art. 6 Abs. 1 i. V. m. Anhang I KI-VO der 2. August 2028.

Ist die Verschiebung durch den KI-Omnibus schon verbindlich?

Ja. Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Die neuen Stichtage stehen in Art. 113 Abs. 3 KI-VO.

Quellen & Rechtsgrundlagen

Sie wollen einen belastbaren AI-Act-Fahrplan für Ihr Unternehmen? In einem 60-minütigen Strategiegespräch priorisieren wir die Fristen nach Ihrer konkreten KI-Landschaft.