AI-Act-Frist August 2026 – Welche Hochrisiko-Pflichten jetzt greifen

Stellen Sie sich vor, Sie betreiben ein KI-gestütztes Bewerbermanagement – und ab einem bestimmten Datum ist genau dieses System ohne technische Dokumentation, Risikomanagement und CE-Kennzeichnung schlicht nicht mehr verkehrsfähig. Dieses Datum ist der 2. August 2026. Die AI Act Frist August 2026 markiert das Ende der Schonfrist für die meisten Hochrisiko-KI-Systeme im Anwendungsbereich des EU AI Act. Wer bis dahin nicht liefert, riskiert Bußgelder in Millionenhöhe und den Marktausschluss. Dieser Artikel zeigt Ihnen präzise, was ab diesem Stichtag gilt – und was Sie jetzt noch erledigen müssen.

AI Act Frist August 2026: Was in Kraft tritt

Der EU AI Act ist bereits am 1. August 2024 in Kraft getreten, entfaltet seine Pflichten aber in gestaffelten Fristen. Die AI Act Frist August 2026 markiert dabei den entscheidenden Meilenstein: An diesem Tag wird die Verordnung nach Art. 113 grundsätzlich anwendbar – und damit werden die zentralen Pflichten für AI Act Hochrisiko-Systeme nach Anhang III scharf geschaltet.

Konkret bedeutet das: Ab dem 2. August 2026 müssen Anbieter von Hochrisiko-Systemen, die unter die Anwendungsfälle des Annex III fallen, sämtliche Anforderungen der Art. 8 bis 17 erfüllen. Zusätzlich müssen sie ein Konformitätsbewertungsverfahren durchlaufen haben, die CE-Kennzeichnung anbringen und ihr System in der EU-Datenbank registrieren. Es handelt sich nicht um eine weiche Übergangsphase, sondern um den Zeitpunkt, ab dem die volle regulatorische Wucht greift.

Abgrenzung zu den übrigen Fristen

Um die AI Act Frist August 2026 richtig einzuordnen, hilft ein Blick auf den gesamten AI-Act-Zeitplan:

Datum	Was gilt
2. Februar 2025	Verbotene Praktiken (Art. 5) und KI-Kompetenz (Art. 4)
2. August 2025	Pflichten für GPAI-Modelle, Governance-Struktur, Sanktionsregime
2. August 2026	Hochrisiko-KI Pflichten nach Annex III, volle Anwendbarkeit
2. August 2027	Hochrisiko-Systeme als Sicherheitskomponenten in bereits regulierten Produkten (Annex I)

Besonders wichtig ist die Abgrenzung zur Frist August 2027: Für Hochrisiko-KI, die als Sicherheitskomponente in Produkten dient, die bereits unter die EU-Harmonisierungsvorschriften des Annex I fallen (etwa Medizinprodukte, Maschinen, Aufzüge oder Spielzeug), gilt eine um ein Jahr verlängerte AI Act Übergangsfrist bis zum 2. August 2027. Diese Systeme durchlaufen ihre Konformitätsbewertung im Rahmen der bereits bestehenden sektoralen Regelwerke – hier bleibt also länger Zeit. Für alle Annex-III-Anwendungsfälle gilt dagegen der frühere Stichtag 2. August 2026. Diese Unterscheidung entscheidet darüber, unter welchem Zeitdruck Ihr Unternehmen tatsächlich steht.

Welche Systeme jetzt als Hochrisiko-KI gelten

Die Einstufung als Hochrisiko-KI folgt den Klassifizierungsregeln nach Art. 6. Dabei gibt es zwei Wege in die Hochrisiko-Kategorie.

Annex-III-Anwendungsfälle

Der überwiegende Teil der ab August 2026 betroffenen Systeme fällt unter die in Anhang III aufgeführten Anwendungsfälle. Dazu zählen unter anderem:

Beschäftigung und Personalmanagement: KI zur Bewerberauswahl, zur Analyse und Filterung von Bewerbungen, zu Beförderungs- oder Kündigungsentscheidungen und zur Leistungsbewertung.
Kreditwürdigkeit und Bonität: Systeme zur Bewertung der Kreditwürdigkeit natürlicher Personen (mit Ausnahme der Betrugserkennung) sowie Risikobewertung und Preisgestaltung bei Lebens- und Krankenversicherungen.
Bildung und Berufsbildung: KI für Zugangsentscheidungen, zur Bewertung von Lernergebnissen, zur Steuerung des Bildungsverlaufs oder zur Prüfungsüberwachung.
Kritische Infrastruktur: Sicherheitskomponenten im Management und Betrieb von Wasser-, Gas-, Strom- oder Verkehrsnetzen.
Zugang zu essenziellen Dienstleistungen: Systeme, die über öffentliche Leistungen oder Notfalldienste mitentscheiden.
Strafverfolgung, Migration und Justiz: unter den jeweils spezifischen Voraussetzungen.

Eine detaillierte Aufschlüsselung finden Sie in unserem Beitrag Hochrisiko-KI nach Annex III erklärt. Wichtig: Art. 6 Abs. 3 sieht eine Ausnahme vor, wenn ein System zwar formal unter Annex III fällt, aber kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellt – etwa weil es nur eine eng umgrenzte Vorbereitungsaufgabe erfüllt. Diese Ausnahme müssen Sie jedoch dokumentieren und begründen.

Sicherheitskomponenten nach Annex I und die Selbsteinschätzung

Der zweite Weg führt über Art. 6 Abs. 1: Ist eine KI Sicherheitskomponente eines Produkts – oder selbst ein Produkt –, das unter die in Anhang I gelisteten Harmonisierungsvorschriften fällt und dort einer Konformitätsbewertung durch Dritte unterliegt, gilt sie ebenfalls als Hochrisiko. Für diese Kategorie greift, wie erwähnt, die spätere Frist im August 2027.

Die Selbsteinschätzung liegt in beiden Fällen zunächst beim Anbieter. Sie sind selbst verantwortlich, jedes Ihrer Systeme entlang der Kriterien des Art. 6 zu prüfen und das Ergebnis nachvollziehbar zu dokumentieren. Eine fehlerhafte Einstufung – etwa das vorschnelle Berufen auf die Ausnahme nach Art. 6 Abs. 3 – kann selbst sanktioniert werden.

Die Hochrisiko-KI Pflichten im Überblick

Der Kern der neuen Verpflichtungen steckt in den Art. 8 bis 17 des AI Act. Anbieter von Hochrisiko-KI müssen ab August 2026 nachweisen, dass ihr System diese Anforderungen erfüllt.

Anforderungen an das System (Art. 9–15)

Risikomanagementsystem (Art. 9): Ein kontinuierlicher, über den gesamten Lebenszyklus laufender Prozess zur Identifikation, Bewertung und Minderung von Risiken für Gesundheit, Sicherheit und Grundrechte. Kein einmaliges Dokument, sondern ein iterativer Kreislauf. Wie Sie das praktisch aufsetzen, lesen Sie in unserem Leitfaden zum AI-Act-Risikomanagementsystem.
Daten-Governance (Art. 10): Trainings-, Validierungs- und Testdatensätze müssen relevant, hinreichend repräsentativ und – soweit möglich – fehlerfrei sein. Verzerrungen (Bias) sind zu erkennen und zu mindern.
Technische Dokumentation (Art. 11): Eine vollständige Dokumentation nach Anhang IV, die vor Inverkehrbringen vorliegt und den Behörden auf Anfrage vorzulegen ist. Details in unserem Beitrag zur technischen Dokumentation.
Protokollierung (Art. 12): Automatische Aufzeichnung von Ereignissen (Logging) über die Lebensdauer des Systems, um Nachvollziehbarkeit und Rückverfolgbarkeit sicherzustellen.
Transparenz und Bereitstellung von Informationen (Art. 13): Betreiber müssen das System verstehen und sachgerecht nutzen können; dazu gehört eine klare Betriebsanleitung.
Menschliche Aufsicht (Art. 14): Das System muss so gestaltet sein, dass natürliche Personen es wirksam überwachen und im Zweifel eingreifen oder abschalten können. Was das konkret bedeutet, erläutern wir unter menschliche Aufsicht nach Art. 14.
Genauigkeit, Robustheit und Cybersicherheit (Art. 15): Das System muss ein angemessenes Maß an Genauigkeit erreichen, gegen Fehler und Manipulation widerstandsfähig sein und über die gesamte Lebensdauer konsistent funktionieren.

Anbieterpflichten und Qualitätsmanagement (Art. 16–17)

Art. 16 bündelt die allgemeinen Pflichten des Anbieters, darunter die Einrichtung eines Qualitätsmanagementsystems nach Art. 17, das die Einhaltung aller Anforderungen organisatorisch absichert. Hinzu kommt die Konformitätsbewertung nach Art. 43, mit der die Erfüllung all dieser Pflichten formell bestätigt wird – je nach Anwendungsfall über eine interne Kontrolle oder unter Einbeziehung einer benannten Stelle.

Registrierung und Konformität vor Marktzugang

Bevor ein Hochrisiko-System auf den Markt oder in Betrieb gehen darf, sind drei formale Schritte zwingend.

Eintragung in die EU-Datenbank

Nach Art. 49 müssen Anbieter ihr Hochrisiko-System in der EU-Datenbank (Art. 71) registrieren, bevor sie es in Verkehr bringen oder in Betrieb nehmen. Bestimmte Betreiber – insbesondere Behörden – haben ebenfalls Registrierungspflichten. Diese Datenbank schafft öffentliche Transparenz über die im Binnenmarkt eingesetzten Hochrisiko-Systeme. Was Sie dabei konkret angeben müssen, erklärt unser Beitrag zur Registrierungspflicht in der EU-Datenbank.

CE-Kennzeichnung und EU-Konformitätserklärung

Nach erfolgreicher Konformitätsbewertung stellt der Anbieter die EU-Konformitätserklärung nach Art. 47 aus und bringt die CE-Kennzeichnung nach Art. 48 an. Erst damit signalisiert das System, dass es alle Anforderungen erfüllt und verkehrsfähig ist. Den gesamten Ablauf beschreiben wir im Detail unter AI-Act-Konformitätsbewertung.

Merken Sie sich die Reihenfolge: erst die Art. 8–17 erfüllen, dann die Konformitätsbewertung nach Art. 43 durchlaufen, dann Konformitätserklärung und CE-Kennzeichnung, schließlich Registrierung – und erst danach der Marktzugang.

Bußgelder bei Nichteinhaltung ab August 2026

Mit dem 2. August 2026 wird das Sanktionsregime für Hochrisiko-Verstöße vollständig anwendbar. Die Bußgeldstruktur regelt Art. 99.

Der Bußgeldrahmen

Für Verstöße gegen die Hochrisiko-KI Pflichten – etwa die Anbieterpflichten nach Art. 16 oder die Anforderungen der Art. 8–17 – drohen Geldbußen von bis zu 15 Mio. EUR oder bis zu 3 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.

Zur Einordnung der gesamten Sanktionslogik:

Verbotene Praktiken (Art. 5): bis zu 35 Mio. EUR oder 7 % des Jahresumsatzes.
Verstöße gegen Hochrisiko- und sonstige Pflichten: bis zu 15 Mio. EUR oder 3 %.
Falsche oder irreführende Angaben gegenüber Behörden: bis zu 7,5 Mio. EUR oder 1 %.

Ein Rechenbeispiel: Ein Konzern mit 2 Mrd. EUR Jahresumsatz, dessen HR-KI ohne gültige Konformitätsbewertung im Einsatz ist, riskiert nicht 15 Mio. EUR, sondern 3 % – also bis zu 60 Mio. EUR. Für KMU und Start-ups sieht Art. 99 hingegen vor, dass jeweils der niedrigere der beiden Werte als Obergrenze gilt. Weitere Details lesen Sie in unserem Beitrag zu Bußgeldern und Strafen.

Wer haftet

Die Pflichten – und damit die Haftung – verteilen sich auf mehrere Rollen:

Anbieter (Provider): tragen die Hauptlast – Entwicklung, Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung, Registrierung.
Betreiber (Deployer): verantworten den bestimmungsgemäßen Einsatz, die menschliche Aufsicht im Betrieb und die Beobachtung des Systems.
Importeure und Händler: müssen prüfen, dass Systeme aus Drittländern die Anforderungen erfüllen und ordnungsgemäß gekennzeichnet sind.

Vorsicht: Wer ein Hochrisiko-System wesentlich verändert oder unter eigenem Namen vertreibt, kann nach Art. 25 selbst zum Anbieter werden – mit allen entsprechenden Pflichten.

Aktionsplan bis zur AI Act Frist August 2026

Bis zum 2. August 2026 bleibt wenig Zeit. Gehen Sie strukturiert vor.

Schritt 1: KI-Inventar und Risikoklassifizierung (bis Q1 2026)

Der erste und wichtigste Schritt ist ein vollständiges KI-Inventar: Erfassen Sie jedes System, das in Ihrem Unternehmen KI einsetzt – auch eingekaufte Software und in Fachabteilungen eingeführte Tools. Ordnen Sie anschließend jedes System entlang Art. 6 einer Risikoklasse zu. Eine praktische Anleitung dazu finden Sie unter KI-Inventar erstellen. Ohne diese Bestandsaufnahme wissen Sie nicht, welche Systeme überhaupt betroffen sind.

Schritt 2: Zuständigkeiten und Priorisierung (bis Q2 2026)

Benennen Sie klare Verantwortlichkeiten – idealerweise eine zentrale Stelle für AI-Governance mit Ansprechpartnern in Recht, IT und den Fachbereichen.
Priorisieren Sie nach Frist und Risiko: Annex-III-Systeme mit Stichtag August 2026 zuerst; Annex-I-Sicherheitskomponenten mit Frist 2027 nachgelagert.
Schließen Sie Gaps systematisch: Für jedes Hochrisiko-System die Art. 8–17 abarbeiten – Risikomanagement, Daten-Governance, technische Dokumentation, Logging, Transparenz, menschliche Aufsicht, Robustheit.

Schritt 3: Konformität herstellen (bis Juli 2026)

Konformitätsbewertung nach Art. 43 durchführen.
EU-Konformitätserklärung erstellen, CE-Kennzeichnung anbringen.
System in der EU-Datenbank registrieren.
Betreiberprozesse für die laufende Aufsicht etablieren.

Ein grober Zeitplan zur Orientierung:

Zeitraum	Meilenstein
Q1 2026	KI-Inventar & Klassifizierung abgeschlossen
Q2 2026	Zuständigkeiten geklärt, Gap-Analyse, Umsetzung Art. 8–17
Juli 2026	Konformitätsbewertung, CE, Registrierung
2. August 2026	Stichtag – volle Konformität

Für kleinere Unternehmen lohnt sich zusätzlich unsere Checkliste zu den AI-Act-Pflichten für KMU, die die wichtigsten Schritte kompakt zusammenfasst.

Diese Frist betrifft nur einen Ausschnitt. Wenn Sie wissen wollen, welche Pflicht wann auf Sie zukommt und welche Sie bereits erfüllen müssten, finden Sie Risikoklassen, Pflichten und Fristen im Überblick an einer Stelle.

Fazit

Die AI Act Frist August 2026 ist keine ferne Zukunft mehr, sondern ein konkreter Stichtag, an dem die zentralen Hochrisiko-KI Pflichten des AI Act – Risikomanagement, technische Dokumentation, Daten-Governance, menschliche Aufsicht, Konformitätsbewertung, CE-Kennzeichnung und Registrierung – rechtsverbindlich werden. Wer Annex-III-Systeme betreibt, muss jetzt handeln; wer Sicherheitskomponenten nach Annex I einsetzt, hat mit der AI Act Übergangsfrist bis August 2027 etwas mehr Zeit, aber keinen Grund zum Aufschieben. Angesichts von Bußgeldern bis zu 15 Mio. EUR oder 3 % des weltweiten Jahresumsatzes ist Compliance keine Kür, sondern Voraussetzung für den Marktzugang.