AI Act Zeitplan – Alle Fristen von 2024 bis 2028

Der EU AI Act ist seit dem 1. August 2024 in Kraft. Aber nicht alles gilt sofort – die Verordnung wird stufenweise bis 2028 wirksam. Durch den Digital Omnibus on AI – Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026 – wurden mehrere Fristen verschoben. Dieser Zeitplan zeigt Ihnen den aktuellen Stand.

Update Juli 2026 – Digital Omnibus in Kraft: Die Verordnung (EU) 2026/1744 ist seit dem 27. Juli 2026 geltendes Recht (politische Einigung am 7. Mai 2026). Die Hochrisiko-Fristen sind auf den 2. Dezember 2027 (Annex III) bzw. den 2. August 2028 (Annex I) verschoben – als feste Termine. Art. 4 (KI-Kompetenz) bleibt eine Pflicht, verlangt aber nur noch Maßnahmen zur Förderung der KI-Kompetenz statt eines bestimmten Kompetenzniveaus. Neue Verbote für Nudify-Apps und KI-generierte Darstellungen sexuellen Kindesmissbrauchs gelten ab 2. Dezember 2026. Die Transparenzpflichten (Art. 50) gelten unverändert seit dem 2. August 2026.

Die nächste Deadline: 2. Dezember 2026 – neue Verbote

Seit dem 2. August 2026 ist der AI Act allgemein anwendbar: Die Transparenzpflichten (Art. 50) gelten – KI-Kennzeichnung, Chatbot-Offenlegung, Deepfake-Markierung –, und Verbote, KI-Kompetenz und GPAI-Pflichten können jetzt national und auf EU-Ebene durchgesetzt werden. Die Hochrisiko-Pflichten hat der Digital Omnibus auf Dezember 2027 verschoben.

Der nächste Stichtag ist der 2. Dezember 2026: Dann greifen neue Verbote, und generative KI-Systeme, die vor dem 2. August 2026 auf den Markt kamen, müssen ihre Ausgaben maschinenlesbar kennzeichnen.

Vollständiger Zeitplan

✅ Bereits in Kraft

1. August 2024 – Inkrafttreten

• Der AI Act wurde am 12. Juli 2024 im EU-Amtsblatt veröffentlicht
• 20 Tage später trat er in Kraft
• Ab jetzt läuft die Uhr für die Übergangsfristen

2. Februar 2025 – Verbotene Praktiken und KI-Kompetenz

• Verbot von Social Scoring, manipulativer KI, ungezieltem Scraping von Gesichtsbildern
• Verbot biometrischer Echtzeit-Fernidentifizierung in öffentlichen Räumen zu Strafverfolgungszwecken (mit Ausnahmen)
• Verbot von Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• KI-Kompetenz (Art. 4) – eine Pflicht, seit dem Digital Omnibus als Pflicht zu Fördermaßnahmen gefasst (siehe unten)

2. August 2025 – GPAI und Governance

• Pflichten für Anbieter von General Purpose AI (GPAI)
• EU AI Office und Governance-Strukturen
• Nationale Behörden und notifizierte Stellen (Regeln für die Benennung)
• Sanktionsregeln (Kapitel XII)

2. August 2026 – Allgemeiner Geltungsbeginn

Seit diesem Tag gelten (Termin unverändert durch den Digital Omnibus):

• Transparenzpflichten (Art. 50) – Chatbots kennzeichnen, KI-generierte Inhalte markieren, Deepfakes offenlegen
• Durchsetzung für Verbote, Transparenz, KI-Kompetenz und GPAI – national und auf EU-Ebene
• Maßnahmen zur Innovationsförderung

🔴 Nächste Deadlines

2. Dezember 2026 – Neue Verbote + Kennzeichnung für Bestandssysteme (Digital Omnibus)

• Nudify-Apps verboten – KI-Systeme, die ohne Einwilligung intime Deepfakes erzeugen
• KI-generierte Darstellungen sexuellen Kindesmissbrauchs verboten
• Ende der Übergangsfrist für Art. 50 Abs. 2 – generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen ihre Ausgaben maschinenlesbar als KI-generiert kennzeichnen

2. August 2027 – Reallabore und GPAI-Altmodelle

• Jeder Mitgliedstaat muss mindestens ein KI-Reallabor (Regulatory Sandbox) eingerichtet haben
• GPAI-Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, müssen die GPAI-Pflichten erfüllen

2. Dezember 2027 – Hochrisiko-KI (Annex III)

Durch den Digital Omnibus von August 2026 auf Dezember 2027 verschoben:

• Hochrisiko-KI: Pflichten für Betreiber – menschliche Aufsicht, Protokolle, Information Betroffener, ggf. Grundrechte-Folgenabschätzung und (bei Behörden) Registrierung
• Hochrisiko-KI: Pflichten für Anbieter – Risikomanagement, technische Dokumentation, Qualitätsmanagement, Konformitätsbewertung, CE-Kennzeichnung, Registrierung, Post-Market-Monitoring
• Betrifft: KI in Personalwesen, Kreditvergabe, Bildung, kritischer Infrastruktur, Biometrie, Migration, Justiz
• Der Termin ist ein festes Datum – er hängt nicht von der Veröffentlichung technischer Standards ab

2. August 2028 – Hochrisiko-KI in Produkten (Annex I)

Durch den Digital Omnibus von August 2027 auf August 2028 verschoben:

• Hochrisiko-KI-Systeme als Sicherheitsbauteil in bereits regulierten Produkten (Annex I) – etwa Medizinprodukte, Spielzeug, Aufzüge
• Sonderweg Maschinen: Die Maschinenverordnung steht jetzt in Annex I Abschnitt B. Die AI-Act-Anforderungen werden per delegiertem Rechtsakt in die Maschinenverordnung übernommen, die selbst ab dem 20. Januar 2027 gilt
• Der Begriff „Sicherheitsbauteil” ist enger gefasst: Reine Effizienz-, Optimierungs- oder Komfortfunktionen zählen nicht dazu

Was bedeutet das für Ihr Unternehmen?

Wenn Sie KI nur nutzen (Betreiber/Deployer)

Pflicht	Gilt ab
Keine verbotenen KI-Praktiken	✅ Seit 02/2025
Maßnahmen zur KI-Kompetenz der Mitarbeiter	✅ Seit 02/2025 (neu gefasst durch Digital Omnibus)
Transparenz bei Deepfakes & KI-Texten	✅ Seit 08/2026
Neue Verbote (Nudify-Apps, Missbrauchsdarstellungen)	🔴 12/2026
Menschliche Aufsicht bei Hochrisiko	🟡 12/2027
Meldung schwerwiegender Vorfälle (Hochrisiko)	🟡 12/2027
Registrierung von Hochrisiko-KI (öffentliche Betreiber)	🟡 12/2027

Wenn Sie KI entwickeln oder vertreiben (Anbieter/Provider)

Pflicht	Gilt ab
Keine verbotenen KI-Praktiken	✅ Seit 02/2025
Technische Dokumentation (GPAI)	✅ Seit 08/2025
Chatbot-Hinweis & maschinenlesbare Kennzeichnung (Art. 50)	✅ Seit 08/2026
Kennzeichnung bei generativen Bestandssystemen	🔴 12/2026
Konformitätsbewertung (Hochrisiko, Annex III)	🟡 12/2027
CE-Kennzeichnung (Hochrisiko, Annex III)	🟡 12/2027
EU-Datenbank-Registrierung (Annex III)	🟡 12/2027
Hochrisiko-KI in Produkten (Annex I)	⏳ 08/2028

KI-Kompetenz: Pflicht zu Fördermaßnahmen

Artikel 4 des AI Acts – die KI-Kompetenz – gilt seit Februar 2025. Ursprünglich mussten Anbieter und Betreiber „ein ausreichendes Maß an KI-Kompetenz” ihres Personals sicherstellen. Der Digital Omnibus hat Art. 4 neu gefasst: Anbieter und Betreiber müssen jetzt Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und weiterer Personen, die in ihrem Auftrag mit KI-Systemen arbeiten, zu unterstützen. Ein bestimmtes Kompetenzniveau jeder einzelnen Person müssen Sie nicht mehr garantieren. Art. 4 ist damit weiterhin eine Pflicht – keine bloße Empfehlung.

Was das praktisch heißt:

• Mitarbeiter sollten die Grundlagen der von ihnen genutzten KI-Systeme verstehen
• Sie sollten Grenzen und Risiken der KI einschätzen können
• KI-Schulung bleibt bei Hochrisiko-Compliance zentral – die Kompetenzanforderungen an die menschliche Aufsicht (Art. 14, Art. 26 Abs. 2) bleiben unberührt
• Dokumentierte Schulungen belegen, dass Sie Ihre Pflicht erfüllen, und zeigen Sorgfalt

Praxis-Tipp: Halten Sie Schulungen, Leitfäden und Einweisungen schriftlich fest. Das ist der einfachste Nachweis, dass Sie Fördermaßnahmen ergriffen haben – und bei der Hochrisiko-Compliance (ab Dezember 2027) brauchen Sie geschultes Personal ohnehin. Mehr dazu im Beitrag zur KI-Schulungspflicht nach Art. 4.

Übergangsregelungen und Bestandsschutz

KI-Systeme, die bereits im Einsatz sind

Bestandsschutz nach Art. 111 Abs. 2: Hochrisiko-KI-Systeme, die vor dem jeweiligen Stichtag in Verkehr gebracht oder in Betrieb genommen wurden, fallen nur dann unter den AI Act, wenn sie ab diesem Datum wesentlich geändert werden.

• Annex-III-Systeme (HR, Kredit, Bildung, etc.): Stichtag 2. Dezember 2027
• Annex-I-Systeme (Produktsicherheit – Medizingeräte, Spielzeug, etc.): Stichtag 2. August 2028
• Ausnahme: Hochrisiko-Systeme, die für Behörden bestimmt sind, müssen in jedem Fall bis 2. August 2030 konform sein

General Purpose AI (ChatGPT, Claude, Gemini, etc.)

Anbieter von GPAI-Modellen, die vor August 2025 auf dem Markt waren, haben bis August 2027 Zeit, die GPAI-spezifischen Pflichten zu erfüllen. Das betrifft OpenAI, Anthropic, Google – nicht Sie als Nutzer.

Für Sie als Nutzer gilt trotzdem: Transparenzpflichten seit August 2026 und – falls Sie GPAI in einem Hochrisiko-Anwendungsfall einsetzen – Betreiberpflichten ab Dezember 2027.

Generative KI-Systeme vor August 2026

Für generative KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen die Anbieter die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 erst bis zum 2. Dezember 2026 umsetzen (Art. 111 Abs. 4, neu durch den Digital Omnibus).

Regulatory Sandboxes: Testen ohne Risiko

Der AI Act verpflichtet jeden Mitgliedstaat, mindestens eine regulatorische Sandbox einzurichten – eine kontrollierte Testumgebung, in der Unternehmen KI-Systeme entwickeln und testen können, bevor sie die volle Compliance nachweisen müssen.

Für KMUs besonders relevant: Art. 57 sieht bevorzugten Zugang für kleine und mittlere Unternehmen vor. Nach dem Digital Omnibus muss jeder Mitgliedstaat bis zum 2. August 2027 mindestens ein Reallabor eingerichtet haben.

Ihr Countdown-Plan

Sofort: geltende Pflichten absichern

Verbote, Transparenzpflichten und KI-Kompetenz gelten bereits und sind durchsetzbar:

• KI-Inventar erstellen – alle Tools erfassen
• Risikoklassifizierung durchführen
• Transparenz-Check: Chatbots, KI-Inhalte und Deepfakes kennzeichnen
• Schulungs- und Fördermaßnahmen zur KI-Kompetenz dokumentieren

Bis 2. Dezember 2026: neue Verbote und Kennzeichnung

• Prüfen, dass keine Ihrer Anwendungen unter die neuen Verbote fällt
• Mit Anbietern älterer generativer Tools die maschinenlesbare Kennzeichnung klären

Bis Dezember 2027: Hochrisiko-Compliance

Durch den Digital Omnibus haben Sie für Hochrisiko-KI (Annex III) mehr Zeit – aber nicht unbegrenzt. Risikomanagement, technische Dokumentation und Qualitätsmanagement brauchen realistisch 12 bis 18 Monate Vorlauf. Starten Sie deshalb jetzt:

• KI-Schulungen für die menschliche Aufsicht durchführen
• Risikomanagementsystem aufbauen
• Technische Dokumentation erstellen
• Qualitätsmanagementsystem einführen
• Konformitätsbewertung vorbereiten
• EU-Datenbank-Registrierung vorbereiten

Welche dieser Fristen Sie tatsächlich betrifft, entscheidet die Risikoklasse Ihrer Systeme. Beides zusammen steht im Leitfaden zu Risikoklassen, Pflichten und Fristen.

Fazit

Der AI Act ist kein Stichtags-Gesetz – er kommt in Wellen. Die Verbote und die KI-Kompetenz gelten seit Februar 2025, die GPAI-Pflichten seit August 2025, die Transparenzpflichten seit dem 2. August 2026. Neue Verbote (Nudify-Apps, Missbrauchsdarstellungen) folgen am 2. Dezember 2026. Die Hochrisiko-Pflichten (Annex III) kommen am 2. Dezember 2027, Annex I am 2. August 2028 – beides feste Termine.

Durch den Digital Omnibus haben Unternehmen mehr Zeit für die Hochrisiko-Compliance. Nutzen Sie sie: Wer erst 2027 anfängt, schafft den Aufbau von Risikomanagement, Dokumentation und Qualitätsmanagement bis Dezember kaum noch.