EU AI Act: Diese Fristen kommen auf Ihr Unternehmen zu

Nachtrag vom 15. Oktober 2026. Als ich diesen Text im Mai geschrieben habe, war der Digital Omnibus noch nicht beschlossen. Inzwischen ist er geltendes Recht: Verordnung (EU) 2026/1744 vom 8. Juli 2026, im Amtsblatt vom 24. Juli 2026, in Kraft seit dem 27. Juli 2026. Im Nachtrag vom 20. August stand hier, an der Sache ändere das nichts. Das war falsch: Die Zeitleiste nannte für eingebettete Hochrisiko-KI noch den 2. August 2027, die KI-Kompetenzpflicht in der alten Fassung und die Verschiebung als offen. Zeitleiste, Abschnitt zum Omnibus und Fragen nennen jetzt den Stand vom 15. Oktober 2026.

Die KI-Verordnung der EU (Verordnung (EU) 2024/1689, kurz „AI Act“) ist am 1. August 2024 in Kraft getreten. Ihre Pflichten greifen aber nicht auf einen Schlag, sondern gestaffelt. Wer früh weiß, was wann gilt, vermeidet Hektik und Bußgelder.

Der Zeitplan im Überblick

• 2. Februar 2025: Verbotene KI-Praktiken sind untersagt und die Pflicht zur KI-Kompetenz (AI Literacy, Art. 4) gilt. Seit dem 27. Juli 2026 lautet sie: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Niveau müssen sie nicht garantieren.
• 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) sowie Teile der Governance- und Sanktionsregeln.
• 2. August 2026: Der Großteil der Verordnung gilt, darunter die Transparenzpflichten nach Art. 50 (z. B. Kennzeichnung KI-generierter Inhalte). Die Hochrisiko-Pflichten nach Anhang III gelten noch nicht, der Digital Omnibus hat sie verschoben, dazu unten mehr.
• 2. Dezember 2026: Neue Verbote nach Art. 5 für KI, die intime Bilder einer erkennbaren Person ohne deren Einwilligung oder Darstellungen sexuellen Kindesmissbrauchs erzeugt. Bis dahin müssen auch Systeme, die vor dem 2. August 2026 auf dem Markt waren, ihre Ausgaben maschinenlesbar markieren (Art. 50 Abs. 2).
• 2. Dezember 2027: Pflichten für Hochrisiko-Systeme nach Anhang III (ursprünglich 2. August 2026).
• 2. August 2028: Pflichten für Hochrisiko-KI, die als Sicherheitsbauteil regulierter Produkte nach Anhang I eingesetzt wird (ursprünglich 2. August 2027).

In Kraft seit Juli 2026: Der „Digital Omnibus“ verschiebt die Hochrisiko-Fristen

Nach der Trilog-Einigung vom 7. Mai 2026 wurde der sogenannte „Digital Omnibus“, die Änderungsverordnung zur KI-Verordnung, am 29. Juni 2026 final beschlossen. Als Verordnung (EU) 2026/1744 vom 8. Juli 2026 ist er am 24. Juli 2026 im Amtsblatt erschienen und seit dem 27. Juli 2026 in Kraft. Die Pflichten für Hochrisiko-KI greifen damit später: für Hochrisiko-Systeme nach Anhang III (anwendungsbasiert) von August 2026 auf den 2. Dezember 2027, für Anhang-I-Systeme (in regulierte Produkte eingebettet) von August 2027 auf den 2. August 2028. Hintergrund ist, dass die nötigen Normen, Werkzeuge und Leitlinien noch nicht vollständig verfügbar sind.

Wichtig für die Praxis: Der Omnibus ist keine pauschale Verschiebung und keine Entwarnung. Die Transparenzpflichten (Art. 50), die Verbote (Art. 5, um neue Tatbestände erweitert) und die KI-Kompetenzpflicht (Art. 4, seit Februar 2025) bleiben in Kraft. Verschoben ist der Hochrisiko-Teil; dazu kommt nur eine Übergangsfrist bis zum 2. Dezember 2026 für die maschinenlesbare Markierung nach Art. 50 Abs. 2 bei Systemen, die schon vor dem 2. August 2026 auf dem Markt waren (Art. 111 Abs. 4).

Für Sie heißt das: mehr Zeit für die Hochrisiko-Vorbereitung, aber kein Grund zum Stillstand. Wer jetzt seine KI sauber klassifiziert und ein Managementsystem aufsetzt, ist auf der sicheren Seite, egal, wie der Gesetzgeber weiter nachjustiert.

Die vier Risikoklassen

• Unannehmbares Risiko: verboten (z. B. Social Scoring, manipulative Systeme; der Digital Omnibus verbietet ab dem 2. Dezember 2026 zusätzlich KI zur Erzeugung von nicht-einvernehmlichem intimem Material und von Darstellungen sexuellen Kindesmissbrauchs).
• Hohes Risiko: streng reguliert (z. B. KI in Personalauswahl, Kreditwürdigkeit, kritischer Infrastruktur), mit Pflichten zu Risikomanagement, Datenqualität, Dokumentation und menschlicher Aufsicht.
• Begrenztes Risiko: Transparenzpflichten (z. B. Chatbots und KI-generierte Inhalte müssen erkennbar sein).
• Minimales Risiko: keine besonderen Pflichten (der Großteil betrieblicher KI).

Was Sie jetzt tun sollten

Der erste Schritt ist eine Bestandsaufnahme: Welche KI-Anwendungen setzen Sie ein, und in welche Risikoklasse fallen sie? Daraus ergibt sich, welche Pflichten überhaupt relevant sind. Häufig ist betriebliche KI nur „minimal“ oder „begrenzt“ riskant, dann genügen Transparenz und ein sauberer Umgang.

AI Literacy ist keine Zukunftsmusik: Die Pflicht, Mitarbeiter im Umgang mit KI zu befähigen, gilt bereits seit Februar 2025.

Ein nach ISO/IEC 42001 aufgebautes Managementsystem deckt die organisatorischen Anforderungen des AI Act strukturiert ab, von der Risikoklassifizierung über die Dokumentation bis zur Aufsicht. So wird aus einer regulatorischen Last ein geordneter Prozess.