Der EU AI Act ist seit dem 1. August 2024 in Kraft, und mehrere Pflichtenpakete gelten längst. Der Zeitplan hat sich im Sommer 2026 allerdings noch einmal verschoben: Mit dem KI-Omnibus (Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026) gelten die Hochrisiko-Pflichten erst ab dem 2. Dezember 2027 (Anhang III) bzw. dem 2. August 2028 (Anhang I). Der 2. August 2026 ist trotzdem ein echter Stichtag geblieben, denn seitdem gelten die Transparenzpflichten nach Art. 50.
Dieser Ratgeber sortiert alle Stichtage auf dem aktuellen Rechtsstand, erklärt, was an jedem Datum konkret gilt, und zeigt, was Unternehmen jetzt mit Priorität angehen sollten. Was der Omnibus inhaltlich sonst noch ändert, steht im Ratgeber zum KI-Omnibus.
Der Zeitplan im Überblick
| Stichtag | Was gilt ab dann |
|---|---|
| 1. August 2024 | Verordnung in Kraft (noch ohne Pflichten) |
| 2. Februar 2025 | Verbotene Praktiken (Art. 5) + KI-Kompetenzpflicht (Art. 4) |
| 2. August 2025 | GPAI-Pflichten (Kap. V), Governance-Strukturen, Sanktionsregime |
| 27. Juli 2026 | KI-Omnibus in Kraft: neue Fristen, Art. 4 neu gefasst, Art. 4a neu |
| 2. August 2026 | Transparenzpflichten (Art. 50) und übrige allgemeine Vorschriften |
| 2. Dezember 2026 | Kennzeichnung nach Art. 50 Abs. 2 für Bestandssysteme; zwei neue Verbote in Art. 5 |
| 2. August 2027 | Konformitätsfrist für Alt-GPAI-Modelle; nationale KI-Reallabore einsatzbereit |
| 2. Dezember 2027 | Hochrisiko-Pflichten für Anhang-III-Systeme inkl. Betreiberpflichten (Art. 26) und Grundrechte-Folgenabschätzung (Art. 27) |
| 2. August 2028 | Hochrisiko-KI in regulierten Produkten (Anhang I) |
| 2. August 2030 | Nachrüstfrist für Hochrisiko-Systeme von Behörden |
Was seit Februar 2025 schon gilt — und oft übersehen wird
Zwei Pflichten gelten seit dem 2. Februar 2025, werden aber in vielen Unternehmen bis heute nicht gelebt:
Verbotene Praktiken (Art. 5). Social Scoring, Emotionserkennung am Arbeitsplatz (außerhalb medizinischer oder sicherheitsbezogener Zwecke) und manipulative Techniken sind untersagt. Besonders die Emotionserkennung taucht in HR-Tools und Callcenter-Software häufiger auf, als Einkaufsabteilungen bewusst ist.
KI-Kompetenzpflicht (Art. 4). Unternehmen müssen Maßnahmen ergreifen, um die KI-Kompetenz aller Beschäftigten zu unterstützen, die mit KI-Systemen arbeiten. Seit dem Omnibus ist das ausdrücklich eine Bemühenspflicht: Ein bestimmtes Kompetenzniveau muss nicht garantiert werden, ein Schulungskonzept mit Nachweisen bleibt aber der Maßstab. Wie Sie das pragmatisch umsetzen, steht im Ratgeber zur KI-Kompetenzpflicht nach Art. 4. Unterstützung bei der Umsetzung bieten unsere KI-Schulungen.
Der 2. August 2026: Was seitdem gilt
Der Stichtag ist nicht ausgefallen, er ist kleiner geworden. Seit dem 2. August 2026 gelten vor allem die Transparenzpflichten nach Art. 50: Chatbots müssen sich als KI zu erkennen geben, Deepfakes sind offenzulegen, KI-erzeugte Inhalte müssen maschinenlesbar gekennzeichnet sein, und der Einsatz von Emotionserkennung oder biometrischer Kategorisierung ist den Betroffenen mitzuteilen. Anbieter, deren generative Systeme schon vorher auf dem Markt waren, haben für die Kennzeichnung nach Art. 50 Abs. 2 bis zum 2. Dezember 2026 Zeit. Die Details stehen im Ratgeber „Was seit dem 2. August 2026 gilt”.
Der 2. Dezember 2027: Die Hochrisiko-Stufe
Ursprünglich für August 2026 geplant, jetzt 16 Monate später:
- Hochrisiko-Klassifizierung wird verbindlich. Systeme in den acht Bereichen des Anhangs III — von Personalauswahl über Kreditwürdigkeit bis kritische Infrastruktur — unterliegen dann den vollen Anforderungen. Welche Bereiche das sind, erklärt unser Ratgeber zu Anhang III und den Hochrisiko-Bereichen.
- Betreiberpflichten nach Art. 26. Menschliche Aufsicht, Eingabedaten-Kontrolle, Monitoring und Aufbewahrung der Protokolle — das betrifft jedes Unternehmen, das fremde Hochrisiko-KI einsetzt, nicht nur Hersteller.
- Grundrechte-Folgenabschätzung nach Art. 27 für bestimmte Betreiber: öffentliche Stellen, private Anbieter öffentlicher Dienste sowie Betreiber von Systemen zur Kreditwürdigkeitsprüfung und zur Risikobewertung in der Lebens- und Krankenversicherung. Eine vorhandene Datenschutz-Folgenabschätzung darf dabei einbezogen werden.
- Meldepflichten bei schwerwiegenden Vorfällen (Art. 73), die an Hochrisiko-Systeme anknüpfen.
KI in Produkten, die bereits sektoral reguliert sind (Anhang I, etwa Medizinprodukte oder Maschinen), folgt am 2. August 2028. Die Bußgeldrahmen dahinter sind erheblich — die Details samt Bemessungslogik finden Sie im Ratgeber zu den Bußgeldern im EU AI Act.
Drei Dinge, die Sie jetzt angehen sollten
Die Verschiebung schafft Luft. Nutzen Sie sie für die drei Schritte, auf denen alles andere aufbaut:
1. KI-Inventar erstellen. Sie können nichts klassifizieren, was Sie nicht kennen. Ein strukturiertes Verzeichnis aller eingesetzten KI-Systeme — inklusive der KI-Funktionen in Standardsoftware — ist die Basis. Unsere KI-Register-Vorlage liefert die Struktur, die KI-Inventarisierung übernehmen wir auf Wunsch komplett.
2. Hochrisiko-Schnellprüfung. Jedes System im Inventar einmal gegen Anhang III halten: Personalwesen, Bildung, kritische Infrastruktur, Kreditvergabe? Im Zweifel zählt der konkrete Einsatzzweck, nicht der Produktname. Erst das Ergebnis sagt Ihnen, ob für Sie der Dezember 2027 überhaupt relevant ist.
3. Verantwortlichkeit festlegen. Ohne benannten Kümmerer versandet jede Compliance-Initiative, erst recht bei einem Stichtag, der scheinbar weit weg liegt. Ob interne Rolle oder externer KI-Beauftragter — entscheidend ist, dass jemand Transparenz, Schulungen und die Vorbereitung auf die Hochrisiko-Pflichten aktiv verfolgt. Was das kostet, zeigt transparent unsere Übersicht zu den Kosten eines KI-Beauftragten.
Häufiger Irrtum: „Verschoben heißt, wir haben bis 2027 Ruhe”
Drei Pflichtenblöcke gelten bereits: Verbote, KI-Kompetenz und Transparenz. Dazu kommt, dass der AI Act ausdrücklich auch Betreiber adressiert, also jedes Unternehmen, das KI-Systeme nur einsetzt. Wer heute ein Bewerbermanagement-Tool mit KI-Ranking nutzt, ist ab dem 2. Dezember 2027 Betreiber eines Hochrisiko-Systems. Bis dahin müssen Aufsichtskonzept, Schulung der Aufsichtspersonen, Protokollierung und Dokumentation stehen. Das ist in drei Monaten nicht zu schaffen, in zwölf schon.
Fazit
Der KI-Omnibus hat den Zeitplan entzerrt, nicht entschärft. Seit August 2026 gelten Transparenzpflichten, seit Februar 2025 Verbote und KI-Kompetenz, und ab Dezember 2027 folgt der Hochrisiko-Block. Für Betreiber sind die Pflichten mit einem strukturierten Inventar, einer sauberen Klassifizierung und klarer Verantwortlichkeit gut beherrschbar. Wenn Sie wissen wollen, welche Fristen für Ihre Systeme konkret gelten, sprechen Sie uns an — die Erstberatung ist kostenfrei.
Rechtsstand: Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744, geprüft am 29. September 2026.
Häufige Fragen
Wann gilt der EU AI Act vollständig?
Die Verordnung (EU) 2024/1689 ist seit dem 1. August 2024 in Kraft und wird gestuft anwendbar. Nach dem KI-Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) ist die letzte große Stufe verschoben: Die Hochrisiko-Pflichten für Anhang-III-Systeme gelten ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028. Die Transparenzpflichten nach Art. 50 gelten dagegen wie geplant seit dem 2. August 2026.
Welche Pflichten gelten schon heute?
Seit dem 2. Februar 2025 sind die verbotenen Praktiken (Art. 5) untersagt und die KI-Kompetenzpflicht (Art. 4) gilt für alle Anbieter und Betreiber — seit dem 27. Juli 2026 in neuer Fassung als Pflicht, die Entwicklung der KI-Kompetenz zu unterstützen. Seit dem 2. August 2025 greifen die Pflichten für Anbieter von GPAI-Modellen und das Sanktionsregime der Mitgliedstaaten, seit dem 2. August 2026 die Transparenzpflichten nach Art. 50.
Wurde der EU AI Act verschoben?
Teilweise. Der KI-Omnibus hat die Hochrisiko-Pflichten (Kapitel III Abschnitte 1 bis 3, einschließlich der Betreiberpflichten nach Art. 26 und der Grundrechte-Folgenabschätzung nach Art. 27) auf den 2. Dezember 2027 bzw. 2. August 2028 verschoben. Nicht verschoben sind die Verbote, die KI-Kompetenzpflicht, die GPAI-Pflichten und die Transparenzpflichten. Neu hinzu kommen zwei Verbote ab dem 2. Dezember 2026.
Gibt es Übergangsfristen für Bestandssysteme?
Ja. Hochrisiko-Systeme, die vor dem jeweiligen Geltungsbeginn in Verkehr gebracht oder in Betrieb genommen wurden, fallen nur bei einer erheblichen Änderung ihrer Konzeption unter die Verordnung; für Systeme von Behörden gilt eine Nachrüstfrist bis zum 2. August 2030. Anbieter generativer KI-Systeme, die vor dem 2. August 2026 auf dem Markt waren, müssen die Kennzeichnung nach Art. 50 Abs. 2 bis zum 2. Dezember 2026 nachrüsten. GPAI-Modelle, die vor dem 2. August 2025 auf dem Markt waren, müssen bis zum 2. August 2027 konform sein.
- EU AI Act
- Fristen
- Zeitplan
- KI-Omnibus
- Hochrisiko-KI