AI Act Fristen 2025, 2026, 2027 – Alle Deadlines der EU KI-Verordnung

Die EU KI-Verordnung (Verordnung 2024/1689) ist am 1. August 2024 in Kraft getreten – aber die Pflichten gelten nicht sofort. Der Gesetzgeber hat einen Stufenplan vorgesehen, der Unternehmen Zeit gibt, sich vorzubereiten. Das Problem: Einige Fristen sind bereits abgelaufen, andere stehen unmittelbar bevor.

Dieser Artikel listet alle Fristen chronologisch auf, erklärt was ab wann gilt und zeigt konkret, was Sie als KMU in jeder Phase tun müssen. Alle Angaben mit Artikelreferenzen zur Verordnung.

Alle Fristen auf einen Blick (nach Digital Omnibus on AI)

[Art. 113 KI-VO – Übergangsbestimmungen; ErwGr 178–180]

Stufe 1: 2. Februar 2025 – Verbote und KI-Kompetenz

Sechs Monate nach Inkrafttreten greifen die ersten beiden Pflichten. Beide gelten bereits – unabhängig davon, ob Ihr Unternehmen KI anbietet oder nur nutzt.

Verbotene KI-Praktiken (Art. 5)

Folgende KI-Anwendungen sind seit dem 2. Februar 2025 vollständig verboten:

1. Unterschwellige Manipulation – KI, die unbewusste psychologische Trigger einsetzt, um Verhalten zu beeinflussen [Art. 5 Abs. 1 lit. a]
2. Ausnutzung von Schutzbedürftigkeit – KI, die Alter, Behinderung oder soziale Lage ausnutzt [Art. 5 Abs. 1 lit. b]
3. Social Scoring – Bewertungssysteme für Sozialverhalten mit Konsequenzen. Gilt für alle Akteure, nicht nur Behörden [Art. 5 Abs. 1 lit. c]
4. Prädiktive Polizeiarbeit – KI-gestützte Vorhersage von Straftaten auf Basis von Persönlichkeitsmerkmalen [Art. 5 Abs. 1 lit. d]
5. Ungezieltes Scraping von Gesichtsbildern – Massenhafte Sammlung aus dem Internet oder CCTV [Art. 5 Abs. 1 lit. e]
6. Biometrische Kategorisierung – Ableitung von Rasse, Religion, politischer Gesinnung aus biometrischen Daten [Art. 5 Abs. 1 lit. f]
7. Emotionserkennung am Arbeitsplatz – KI zur Emotions-Messung in Arbeit und Bildung (außer medizinische Zwecke) [Art. 5 Abs. 1 lit. g]
8. Echtzeit-Biometrie in öffentlichen Räumen – Live-Gesichtserkennung durch Strafverfolgung (mit eng begrenzten Ausnahmen) [Art. 5 Abs. 1 lit. h]

KI-Kompetenz-Pflicht (Art. 4)

Alle Personen, die KI-Systeme einsetzen oder deren Einsatz verantworten, müssen ein angemessenes Niveau an KI-Kompetenz besitzen. Das bedeutet konkret:

• Geschäftsführung muss KI-Grundlagen und Risiken verstehen
• Mitarbeiter, die KI bedienen, müssen nachweislich geschult sein
• Schulungen müssen dokumentiert werden (Datum, Teilnehmer, Inhalte)
• Regelmäßige Auffrischung ist erforderlich

[Art. 4, Art. 113 Abs. 1 KI-VO; ErwGr 20–21]

Stufe 2: 2. August 2025 – GPAI-Modelle und Governance

Ein Jahr nach Inkrafttreten gelten die Pflichten für Anbieter von General Purpose AI (GPAI) Modellen wie ChatGPT, Claude, Gemini oder Mistral.

Pflichten für GPAI-Anbieter (Art. 51–60)

• Technische Dokumentation – Anbieter müssen umfassende Dokumentation über Training, Daten und Leistung bereitstellen [Art. 53]
• Transparenz – Offenlegung gegenüber nachgelagerten Anbietern, die auf dem Modell aufbauen [Art. 53 Abs. 1 lit. b]
• Urheberrecht – Einhaltung der Urheberrechtsrichtlinie, insbesondere bei Trainingsdaten [Art. 53 Abs. 1 lit. c]
• Systemische Risiken – GPAI mit systemischem Risiko (>10^25 FLOPS) haben zusätzliche Pflichten: Red-Teaming, Cybersecurity, Incident Reporting [Art. 55]

Governance-Strukturen (Art. 64–70)

Die Mitgliedstaaten müssen nationale Aufsichtsbehörden benennen und das AI Office der EU nimmt seine Arbeit auf. In Deutschland ist die Bundesnetzagentur als Marktaufsichtsbehörde vorgesehen.

[Art. 64–70, Art. 113 Abs. 2 KI-VO]

Stufe 3: Dezember 2026 – Transparenzpflichten (Omnibus)

Update 7. Mai 2026: Der Digital Omnibus wurde von Rat und Parlament beschlossen. Die Fristen wurden neu geordnet. Ab dem 2. Dezember 2026 gelten die Transparenzpflichten und Watermarking-Anforderungen:

Betreiberpflichten (Art. 26)

• Governance – Benannte KI-Verantwortliche, dokumentierte Prozesse [Art. 26 Abs. 1]
• Bestimmungsgemäßer Gebrauch – KI-Systeme nur gemäß Herstelleranweisungen einsetzen [Art. 26 Abs. 1]
• Menschliche Aufsicht – Befähigte Personen zur Überwachung und Intervention [Art. 26 Abs. 2]
• Logging und Monitoring – Protokollierung aller KI-Entscheidungen, mindestens 6 Monate Aufbewahrung [Art. 26 Abs. 5]
• Vorfallmeldung – Schwerwiegende Vorfälle unverzüglich nach Kenntnisnahme melden [Art. 26(5) KI-VO]. Hinweis: Die 15-Tage-Frist nach Art. 73 gilt für Anbieter, nicht für Betreiber.

Transparenzpflichten (Art. 50)

• Chatbot-Offenlegung – Nutzer müssen wissen, dass sie mit KI interagieren [Art. 50 Abs. 1]
• KI-generierte Inhalte kennzeichnen – Text, Bild, Audio, Video [Art. 50 Abs. 2]
• Deepfake-Warnung – Synthetische Medien müssen gekennzeichnet werden [Art. 50 Abs. 4]
• Emotionserkennung offenlegen – Wenn KI Emotionen erkennt, muss das mitgeteilt werden [Art. 50 Abs. 3]

Hochrisiko-KI nach Anhang III – verschoben auf Dezember 2027 (Omnibus)

KI-Systeme in sensiblen Bereichen wie Personalwesen, Kreditvergabe, Bildung, Strafverfolgung oder kritische Infrastruktur unterliegen umfangreichen Pflichten. Durch den Digital Omnibus (beschlossen am 7. Mai 2026) wurde die Frist für Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 verschoben (+16 Monate).

• Risikomanagementsystem einrichten [Art. 9]
• Datenqualität sicherstellen [Art. 10]
• Technische Dokumentation [Art. 11]
• Logging implementieren [Art. 12]
• Transparenz und Informationspflichten [Art. 13]
• Menschliche Aufsicht gewährleisten [Art. 14]
• Genauigkeit, Robustheit, Cybersicherheit [Art. 15]
• FRIA (Grundrechte-Folgenabschätzung) durchführen [Art. 27]

Sanktionen (Art. 99)

[Art. 99 KI-VO; ErwGr 167–169]

Stufe 4: 2. August 2028 – Harmonisierte Produkte (Omnibus)

Der Digital Omnibus hat auch die Frist für Hochrisiko-KI in harmonisierten Produkten nach Anhang I verschoben — von August 2027 auf den 2. August 2028. Das betrifft unter anderem:

• Maschinen und Anlagen
• Medizinprodukte
• Spielzeug
• Aufzüge
• Funkanlagen
• Fahrzeuge

Für die meisten KMU, die KI als Betreiber nutzen, ist diese Frist weniger relevant – sie betrifft primär Hersteller und Importeure von Produkten mit eingebauter KI.

[Art. 6 Abs. 1, Anhang I, Art. 113 Abs. 3 KI-VO]

Was Sie als KMU jetzt tun müssen

Basierend auf den Fristen ergibt sich folgender Handlungsplan:

Sofort (bereits überfällig)

• Art. 4 Schulung durchführen und dokumentieren – die Pflicht gilt seit Februar 2025
• Prüfen, ob verbotene KI-Praktiken im Einsatz sind (Art. 5)

Jetzt bis Dezember 2026 – Transparenz (Art. 50)

• Alle KI-Systeme inventarisieren
• Risikoklassifizierung durchführen
• Interne KI-Richtlinie verabschieden
• Transparenzpflichten umsetzen (Art. 50) — Frist: 2. August 2026; Watermarking (Art. 50 Abs. 2) bis 2. Dezember 2026 (Omnibus)
• Watermarking bei KI-generierten Inhalten vorbereiten

Bis Dezember 2027 – Hochrisiko (Anhang III, Omnibus)

• Bei Hochrisiko-KI: FRIA, Logging, Human Oversight einrichten
• Vendor Due Diligence für KI-Anbieter
• Konformitätsbewertung abschließen

Fazit: Mehr Zeit durch den Omnibus — aber nicht untätig bleiben

Der Digital Omnibus (beschlossen am 7. Mai 2026) verschafft KMU zusätzliche Zeit bei Hochrisiko-Pflichten: Die Anhang-III-Frist liegt jetzt bei Dezember 2027 statt August 2026. Die Transparenzpflichten (Art. 50) greifen ab August 2026; Watermarking (Art. 50 Abs. 2) ab Dezember 2026 (Omnibus). Art. 4 (KI-Kompetenz) und Art. 5 (Verbote) gelten unverändert seit Februar 2025. Für KMU bedeutet das: Die Basispflichten sind bereits fällig — und die nächste Frist (Transparenz) kommt Ende 2026.

Die gute Nachricht: Mit den richtigen Vorlagen und einem strukturierten Umsetzungsplan können auch kleine Unternehmen die Grundlagen-Compliance Schritt für Schritt aufbauen. Der erste Schritt ist immer derselbe – inventarisieren Sie Ihre KI-Systeme. Alles andere ergibt sich daraus.

Stand: April 2026. Dieser Artikel dient der Information und ersetzt keine Rechtsberatung. Alle Angaben beziehen sich auf die Verordnung (EU) 2024/1689 in der verabschiedeten Fassung. Für spezifische Rechtsfragen konsultieren Sie einen auf KI-Recht spezialisierten Anwalt.