Fristen der KI-Verordnung 2026 — was wann gilt

Die KI-Verordnung der EU (Verordnung (EU) 2024/1689) ist am 1. August 2024 in Kraft getreten, aber ihre Bestimmungen gelten gestaffelt über die folgenden drei Jahre. Die meisten Teams planen mit dem falschen Datum, weil sie hören, die KI-Verordnung sei in Kraft, und annehmen, dass schon alles gilt. Dieser Leitfaden zeigt den Zeitplan, was jeder Meilenstein tatsächlich auslöst und was Sie jetzt tun sollten.

Sie möchten eine erste Antwort für Ihr eigenes System? Der kostenlose Vorab-Check zur KI-Verordnung gibt Ihnen in etwa fünf Minuten eine vorläufige Risikoklasse, ohne Anmeldung.

Aktualisierung (Juli 2026): Der digitale Omnibus zur KI — die Verordnung (EU) 2026/1744, angenommen am 8. Juli 2026, am 24. Juli 2026 im Amtsblatt der Europäischen Union veröffentlicht und seit dem 27. Juli 2026 in Kraft — hat mehrere wichtige Geltungstermine verschoben. Die große Hochrisiko-Tranche (Pflichten nach Anhang III, Registrierung in der EU-Datenbank, Konformitätsbewertung, Beobachtung nach dem Inverkehrbringen) wurde vom 2. August 2026 auf den 2. Dezember 2027 verlegt, Hochrisiko-KI in regulierten Produkten vom 2. August 2027 auf den 2. August 2028. Die Transparenzpflichten nach Art. 50 wurden nicht verschoben — sie gelten seit dem 2. August 2026. Anbieter von Systemen, die synthetische Inhalte erzeugen und schon vor diesem Datum auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit, die Kennzeichnungspflicht nach Art. 50 Abs. 2 zu erfüllen. Die Termine für verbotene Praktiken (2. Februar 2025) und für KI-Modelle mit allgemeinem Verwendungszweck (2. August 2025) bleiben unverändert, aber zwei neue Verbote in Art. 5 gelten ab dem 2. Dezember 2026. Diese Termine sind geltendes Recht, keine vorläufige Einigung.

Der vollständige Zeitplan auf einen Blick

Datum	Was gilt	Artikel
1. August 2024	Inkrafttreten der Verordnung	Art. 113
2. Februar 2025	Verbotene Praktiken (Art. 5) + allgemeine Bestimmungen (Art. 1–4) — einschließlich KI-Kompetenz	Art. 113 Buchst. a
2. August 2025	Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (GPAI, Kapitel V) + Governance-Gremien + Sanktionen, ausgenommen die Geldbußen für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (Art. 101), die seit dem 2. August 2026 gelten	Art. 113 Buchst. b
2. August 2026	Transparenzpflichten nach Art. 50 (Chatbots, Deepfakes, Offenlegung von KI-Interaktion und synthetischen Inhalten). Für die maschinenlesbare Kennzeichnung synthetischer Inhalte, die schon vor dem 2. August 2026 auf dem Markt waren, gilt eine Übergangsfrist bis zum 2. Dezember 2026.	Art. 50
2. Dezember 2027	Die meisten Bestimmungen gelten: Hochrisiko nach Anhang III, Registrierung in der EU-Datenbank, Beobachtung nach dem Inverkehrbringen, Konformitätsbewertung für nicht unter Anhang I fallende Hochrisiko-KI-Systeme, Geldbußen nach Art. 99 für Verstöße gegen diese Pflichten — verschoben vom 2. August 2026 durch den digitalen Omnibus	Art. 113 (Grundregel)
2. August 2028	Hochrisiko-KI nach Anhang I (regulierte Produkte: Medizinprodukte, Maschinen, Spielzeug, Aufzüge usw.) und eingebettete Sicherheitsbauteile — verschoben vom 2. August 2027 durch den digitalen Omnibus	Art. 113 Buchst. c

Was der 2. Februar 2025 bereits verlangt

Die Verbote nach Art. 5 sind schon jetzt durchsetzbar. Zu den acht verbotenen Praktiken gehören unterschwellige Beeinflussung, soziale Bewertung, die zu ungerechtfertigter Schlechterstellung führt, biometrische Echtzeit-Fernidentifizierung in der Öffentlichkeit und Emotionserkennung am Arbeitsplatz und in Schulen. Die Geldbußen reichen bis 35 Mio. € oder 7 % des weltweiten Umsatzes (Art. 99 Abs. 3). Prüfen Sie Ihre Produkte anhand der Liste in Art. 5, bevor Sie irgendetwas anderes tun.

Auch Art. 4 — KI-Kompetenz — gilt bereits. Seit dem digitalen Omnibus verlangt er von jedem Anbieter und jedem Betreiber Maßnahmen, die die KI-Kompetenz seines Personals im Kontext der Systeme, mit denen es arbeitet, unterstützen; ein bestimmtes Niveau verlangt er von niemandem mehr. Ein Zertifizierungssystem gibt es nicht, aber ein dokumentiertes Programm ist der einfachste Weg, die ergriffenen Maßnahmen zu belegen. Siehe KI-Kompetenz nach Artikel 4.

Was der 2. August 2025 hinzugefügt hat

Seitdem gelten die Bestimmungen in Kapitel V über KI-Modelle mit allgemeinem Verwendungszweck (GPAI). Wenn Sie ein solches Modell trainieren, feinabstimmen oder erheblich anpassen und in der EU in Verkehr bringen, schulden Sie:

• Technische Dokumentation nach Anhang XI
• Eine Zusammenfassung der Trainingsdaten mit Blick auf das Urheberrecht
• Transparenz über Training und Fähigkeiten
• Strengere Pflichten für KI-Modelle mit allgemeinem Verwendungszweck mit systemischem Risiko (oberhalb des FLOPS-Schwellenwerts in Art. 51)

Für SaaS-Unternehmen, die GPAI-Modelle nutzen, gelten diese Pflichten nicht unmittelbar — sie treffen Mistral, Anthropic, OpenAI usw. Aber Ihre Verträge mit diesen Lieferanten haben sich im August 2025 geändert, und Ihre Prüfung der Auftragsverarbeitungsverträge sollte das berücksichtigen.

Auch die Governance-Gremien — das Büro für Künstliche Intelligenz, das Europäische Gremium für Künstliche Intelligenz und die zuständigen nationalen Behörden — haben ihre Arbeit aufgenommen. Wenn Sie eine Beschwerde haben oder Orientierung brauchen, gibt es jetzt eine Stelle, an die Sie sich wenden können.

Was der 2. Dezember 2027 bringt — der große Termin

Das ist das Datum, nach dem die meisten KMU planen müssen. Am 2. Dezember 2027 — vom 2. August 2026 verschoben durch den digitalen Omnibus zur KI (Verordnung (EU) 2026/1744, seit dem 27. Juli 2026 in Kraft) — wird der Großteil der Verordnung durchsetzbar:

• Art. 6 / Anhang III — die Einstufungslogik für Hochrisiko-KI-Systeme gilt
• Art. 9 bis 15 — alle Anbieterpflichten für Hochrisiko-KI-Systeme (Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit)
• Art. 16 bis 22 — Pflichten der Anbieter von Hochrisiko-KI-Systemen, einschließlich Beobachtung nach dem Inverkehrbringen und Meldung von Vorfällen
• Art. 26 — Pflichten der Betreiber von Hochrisiko-KI-Systemen
• Art. 27 — Grundrechte-Folgenabschätzung (FRIA) für bestimmte Betreiber
• Art. 49 — Registrierung von Hochrisiko-KI-Systemen in der EU-Datenbank
• Art. 99 — Geldbußen für Verstöße gegen diese Pflichten

Die Transparenzpflichten nach Art. 50 für Systeme mit begrenztem Risiko (Chatbots, generative KI, Deepfakes) hat der digitale Omnibus nicht verschoben — sie gelten seit dem 2. August 2026, vor der Hochrisiko-Tranche. Nur für die maschinenlesbare Kennzeichnung synthetischer Inhalte, die schon vor diesem Datum auf dem Markt waren, gibt es eine kurze Übergangsfrist (bis zum 2. Dezember 2026).

Wenn Sie Anbieter eines Hochrisiko-KI-Systems sind, müssen Sie eine Konformitätsbewertung durchführen, eine EU-Konformitätserklärung ausstellen, die CE-Kennzeichnung anbringen und das System in der EU-Datenbank registrieren, bevor Sie es am oder nach dem 2. Dezember 2027 in Verkehr bringen.

Planen Sie von diesem Datum aus rückwärts:

• 3 bis 6 Monate vorher — technische Dokumentation entwerfen, Konformitätsbewertung vorbereiten, falls erforderlich eine notifizierte Stelle beauftragen
• 1 bis 2 Monate vorher — in der EU-Datenbank registrieren, die Beobachtung nach dem Inverkehrbringen einrichten
• Am Stichtag — das System bereitstellen

Beachten Sie, dass die verschobenen Termine gelten, ob die harmonisierten Normen und die Leitlinien der Kommission bis dahin fertig sind oder nicht. Ein verspäteter Zeitplan für die Normen ist kein Grund anzunehmen, dass sich die Pflichten mit ihm verschieben.

Was der 2. August 2028 bringt

Die Tranche nach Anhang I — Hochrisiko-KI-Systeme, die selbst Sicherheitsbauteile regulierter Produkte sind (Medizinprodukte, Maschinen, Spielzeug, Aufzüge, Sportboote, Seilbahnen, Geräte zur Verbrennung gasförmiger Brennstoffe, Druckgeräte, Funkanlagen, Sicherheit der Zivilluftfahrt) — gilt noch später: Der digitale Omnibus (Verordnung (EU) 2026/1744, seit dem 27. Juli 2026 in Kraft) hat sie vom 2. August 2027 auf den 2. August 2028 verschoben. Die Staffelung soll die Termine mit den sektoralen Zyklen der Konformitätsbewertung in Einklang bringen, die für diese Produkte bereits gelten.

Wenn Sie ein Medizinprodukt mit einem KI-Sicherheitsbauteil entwickeln, haben Sie bis August 2028 Zeit — aber der bestehende Zyklus nach MDR und IVDR läuft parallel weiter.

Was Sie jetzt tun sollten

Das hängt davon ab, was Sie heute haben.

Wenn Sie KI-Funktionen ausliefern: Schließen Sie Ihre Bestandsaufnahme und Einstufung lange vor der Hochrisiko-Tranche ab (2. Dezember 2027). Je früher Sie einstufen, desto mehr Vorlauf haben Sie für die Pflichten nach Art. 9 bis 17, falls sich etwas als Hochrisiko-KI-System herausstellt — und der Aufschub verschafft Ihnen Luft, er ist kein Grund, die Arbeit ruhen zu lassen.

Wenn Sie nur KI einsetzen, die Sie nicht selbst gebaut haben: Lesen Sie die Betriebsanleitung des Anbieters, dokumentieren Sie, wie Sie die menschliche Aufsicht eingerichtet haben, und stellen Sie Ihr Programm zur KI-Kompetenz jetzt sicher — die KI-Kompetenz (Art. 4) gilt seit dem 2. Februar 2025, unabhängig vom Aufschub für Hochrisiko-KI-Systeme. Art. 26 ist leichter als das Kapitel für Anbieter, aber nicht nichts.

Wenn Sie im Gesundheitswesen, im Finanzbereich, in HR-Tech oder EdTech tätig sind: Gehen Sie davon aus, dass mindestens eines Ihrer Systeme unter Anhang III fällt. Beginnen Sie jetzt mit der Vorbereitung der Konformitätsbewertung.

Für alle: Prüfen Sie Ihre Transparenzhinweise (Art. 50). Die Regel, dass Menschen wissen müssen, wenn sie mit einer KI interagieren, ist kurz und nicht verhandelbar, und sie gilt seit dem 2. August 2026 — der digitale Omnibus hat sie nicht verschoben.

Was es kostet, Fristen zu verpassen

Die Geldbußen sind gestaffelt (Art. 99):

• 35 Mio. € oder 7 % — verbotene Praktiken (Art. 5)
• 15 Mio. € oder 3 % — die meisten anderen Verstöße (Pflichten für Hochrisiko-KI-Systeme, Transparenz); für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gilt dieselbe Obergrenze nach Art. 101
• 7,5 Mio. € oder 1 % — falsche Informationen gegenüber einer notifizierten Stelle oder Behörde

Für KMU gilt jeweils der niedrigere Betrag aus Festbetrag und Prozentsatz (Art. 99 Abs. 6). Für ein Start-up nach einer Series-A-Finanzierung ist das immer noch existenzbedrohend.

Die Frist, die Karrieren beendet, ist die Hochrisiko-Tranche am 2. Dezember 2027 (verschoben vom 2. August 2026 durch den digitalen Omnibus). Planen Sie von ihr aus rückwärts.