AI Act Zeitplan: alle Fristen der KI-Verordnung bis 2030

Die KI-Verordnung (EU AI Act) ist seit dem 1. August 2024 in Kraft und wird stufenweise anwendbar. Verbotene Praktiken und KI-Kompetenz gelten seit dem 2. Februar 2025, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025, die Transparenzpflichten nach Artikel 50 seit dem 2. August 2026. Hochrisiko-Pflichten folgen am 2. Dezember 2027 und 2. August 2028.

Das Wichtigste in Kürze

• „In Kraft“ und „anwendbar“ sind zwei verschiedene Dinge: Die Verordnung (EU) 2024/1689 trat 2024 in Kraft, ihre Pflichten greifen aber in Etappen bis zum 2. August 2030.
• Der Digital Omnibus – Verordnung (EU) 2026/1744 – ist seit dem 27. Juli 2026 geltendes Recht. Er hat nur die Hochrisiko-Fristen verschoben, nicht die Verbote, die KI-Kompetenz oder Artikel 50.
• Für den Großteil der Unternehmen in Deutschland gilt im Oktober 2026 bereits: keine verbotenen Praktiken, Maßnahmen zur KI-Kompetenz, Transparenz bei Chatbots und Deepfakes.
• In Deutschland ist das Durchführungsgesetz KI-MIG seit dem 29. Juli 2026 in Kraft; die Bundesnetzagentur ist die zentrale Marktüberwachungsbehörde.
• Welcher Termin Sie betrifft, hängt von Ihrer Rolle und der Risikoklasse jedes einzelnen Systems ab – nicht vom Kalender allein.

Warum der AI Act so viele Termine hat

Der Gesetzgeber hat bewusst gestaffelt. Was wenig Vorbereitung braucht, kam zuerst: bestimmte KI-Anwendungen einstellen und Beschäftigte befähigen. Was technische Dokumentation, Normen und teilweise eine Prüfung durch notifizierte Stellen erfordert, bekam mehr Zeit. Die Übergangsregeln stehen in Artikel 113 der deutschen Fassung der KI-Verordnung auf EUR-Lex; im Juli 2026 hat die Verordnung (EU) 2026/1744 diesen Artikel geändert.

Viele Beiträge im Netz vermischen deshalb das Datum des Inkrafttretens mit dem Datum der Anwendbarkeit, und nicht wenige nennen noch den 2. August 2026 als Stichtag für Hochrisiko-KI. Das ist seit dem Omnibus überholt. Einen Überblick über Aufbau und Logik der Verordnung gibt unser Leitfaden zur KI-Verordnung. Wenn Sie bereits wissen, welche KI-Tools bei Ihnen laufen, können Sie mit dem kostenlosen KI-Governance-Check von Opsio Ihre Antworten direkt den Pflichten und Fristen zuordnen lassen, die für Ihr Unternehmen gelten.

Der vollständige Zeitplan 2024–2030

Die Tabelle zeigt die KI-Verordnung in der durch die Verordnung (EU) 2026/1744 geänderten Fassung, Stand: Oktober 2026.

Was heute schon gilt (Stand: Oktober 2026)

Seit 2. Februar 2025: Verbote und KI-Kompetenz

Artikel 5 verbietet unter anderem Social Scoring, manipulative Techniken, die Menschen erheblich schaden, das ungezielte Auslesen von Gesichtsbildern aus dem Internet und Emotionserkennung am Arbeitsplatz oder in Bildungseinrichtungen (außer aus medizinischen oder Sicherheitsgründen). Wer so etwas betreibt, muss es einstellen – das Risiko liegt in der höchsten Bußgeldstufe von bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Seit demselben Tag gilt Artikel 4. Nach der Änderung durch den Omnibus ergreifen Anbieter und Betreiber Maßnahmen, um die KI-Kompetenz ihres Personals zu fördern; ein bestimmtes Niveau pro Person müssen sie nicht garantieren. Was das für Schulungen bedeutet, erklärt unser Beitrag zu KI-Schulung und KI-Kompetenz nach Artikel 4.

Seit 2. August 2025: KI-Modelle mit allgemeinem Verwendungszweck

Wer ein großes Sprachmodell oder ein anderes Basismodell entwickelt und in der EU bereitstellt, muss technische Dokumentation führen, nachgelagerte Anbieter informieren, eine Urheberrechtsstrategie haben und eine Zusammenfassung der Trainingsdaten veröffentlichen. Für Unternehmen, die ChatGPT, Copilot oder Gemini nur nutzen, ändern diese Pflichten wenig – sie treffen OpenAI, Microsoft oder Google.

Seit 2. August 2026: Transparenz nach Artikel 50

Chatbots müssen sich als KI zu erkennen geben, synthetische Inhalte maschinenlesbar markiert sein, und Betreiber müssen Deepfakes offenlegen. Hier liegt die viel gesuchte KI-Kennzeichnungspflicht. Wer genau was kennzeichnen muss – und was nicht –, lesen Sie im Beitrag zur KI-Kennzeichnungspflicht nach Artikel 50.

Was noch kommt

2. Dezember 2026

Zwei neue Verbote treten hinzu: KI-Systeme, die intime Bilder realer Personen ohne deren Einwilligung erzeugen („Nudify“-Apps), und KI zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs. Am selben Tag endet die Schonfrist für Anbieter generativer Systeme, die schon vor dem 2. August 2026 auf dem Markt waren und ihre Ausgaben noch nicht maschinenlesbar kennzeichnen.

2. Dezember 2027 und 2. August 2028

Ab Dezember 2027 gelten die Anforderungen für Hochrisiko-KI-Systeme nach Anhang III: etwa ein Tool, das Bewerbungen vorsortiert, ein Scoring-Modell für Kreditentscheidungen oder eine Software, die Prüfungsleistungen bewertet. Ab August 2028 folgen KI-Systeme, die selbst ein Produkt nach Anhang I sind oder dessen Sicherheitsbauteil. Einzelheiten zur Einstufung finden Sie im Beitrag über Hochrisiko-KI-Systeme.

2. August 2030

Hochrisiko-Systeme, die bereits für Behörden in Betrieb sind, müssen bis dahin konform sein. Für andere Bestandssysteme gilt nach Artikel 111 im Wesentlichen, dass die Verordnung erst bei einer erheblichen Änderung der Konzeption greift. Prüfen Sie die Übergangsvorschriften im konsolidierten Text, bevor Sie sich darauf verlassen.

Für wen gilt der EU AI Act?

Die Verordnung gilt für Anbieter, die KI-Systeme in der EU in Verkehr bringen oder in Betrieb nehmen – unabhängig davon, wo sie sitzen –, und für Betreiber, die KI-Systeme in der EU beruflich einsetzen. Erfasst sind auch Anbieter und Betreiber außerhalb der EU, wenn die Ausgabe ihres Systems in der EU verwendet wird. Ein US-Softwarehaus, das ein Recruiting-Tool an einen Mittelständler in Stuttgart verkauft, unterliegt also denselben Fristen wie ein deutscher Hersteller.

Ausgenommen sind unter anderem rein private, nicht berufliche Nutzung, KI ausschließlich für militärische Zwecke und Forschung vor dem Inverkehrbringen. Die Abgrenzung zwischen Anbieter und Betreiber entscheidet, welche Pflichten Sie tragen – sie ist in unserem Beitrag zu Anbieter und Betreiber nach der KI-Verordnung erklärt.

Wurde die KI-Verordnung verschoben?

Nur teilweise. Der Digital Omnibus zur KI-Verordnung hat die Hochrisiko-Pflichten um rund 16 Monate (Anhang III) bzw. 12 Monate (Anhang I) verschoben, weil harmonisierte Normen und Leitlinien fehlten. Verbote, KI-Kompetenz, GPAI-Regeln und Artikel 50 blieben bei ihren Terminen; zusätzlich kamen neue Verbote hinzu. Wer die gewonnene Zeit als Pause versteht, wird 2027 mit Lieferantenverträgen, Dokumentation und Schulungen gleichzeitig kämpfen.

So machen Sie aus dem Zeitplan einen Plan

1. Alle KI-Systeme erfassen. Dazu gehören auch eingebaute Funktionen wie Microsoft 365 Copilot, Lead-Scoring im CRM oder der Chatbot eines Dienstleisters auf Ihrer Website.
2. Rolle je System festhalten. Sind Sie Anbieter oder Betreiber? Wer ein Hochrisiko-System unter eigenem Namen vertreibt oder wesentlich verändert, kann zum Anbieter werden.
3. Risikoklasse und Datum zuordnen. Ordnen Sie jedes System einer der vier Risikoklassen des EU AI Act zu und verknüpfen Sie es mit dem passenden Datum aus der Tabelle.
4. Erst die geltenden Pflichten schließen. Verbotene Nutzungen, KI-Kompetenz und Artikel 50 können die Behörden bereits prüfen.
5. Hochrisiko-Arbeit 2026 beginnen. Ausschreibungen, Verträge mit Anbietern und die Abstimmung mit dem Betriebsrat brauchen Monate.

Häufig gestellte Fragen

Wann ist die KI-Verordnung in Kraft getreten?

Die KI-Verordnung trat am 1. August 2024 in Kraft, zwanzig Tage nach ihrer Veröffentlichung im Amtsblatt am 12. Juli 2024. Anwendbar wurden die ersten Pflichten – verbotene Praktiken und KI-Kompetenz – am 2. Februar 2025. Der allgemeine Geltungsbeginn war der 2. August 2026; die Hochrisiko-Pflichten wurden durch die Verordnung (EU) 2026/1744 auf Dezember 2027 und August 2028 verschoben.

Was gilt beim AI Act 2026?

2026 brachte drei Neuerungen. Seit dem 2. August 2026 gelten die Transparenzpflichten nach Artikel 50. Im Juli 2026 trat der Digital Omnibus in Kraft, der Hochrisiko-Fristen verschoben und Artikel 4 neu gefasst hat. Und ab dem 2. Dezember 2026 gelten zwei zusätzliche Verbote. In Deutschland ist zudem seit dem 29. Juli 2026 das KI-MIG in Kraft.

Müssen deutsche Unternehmen auf ein nationales Gesetz warten?

Nein. Die KI-Verordnung ist eine EU-Verordnung und gilt unmittelbar. Das deutsche KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) regelt nur ergänzend, welche Behörden zuständig sind, wie Bußgeldverfahren laufen und wie das KI-Reallabor organisiert wird. Details dazu stehen in unserem Beitrag zur KI-Aufsicht in Deutschland.

Ab wann gelten die Pflichten für Hochrisiko-KI?

Für eigenständige Hochrisiko-Systeme aus Anhang III – etwa KI in Bewerbungsverfahren, Kreditprüfung oder Schulnotenvergabe – ab dem 2. Dezember 2027. Für KI in Produkten, die unter Anhang I fallen, ab dem 2. August 2028. Bereits behördlich genutzte Hochrisiko-Systeme haben bis zum 2. August 2030 Zeit.

Gelten dieselben Fristen für Unternehmen außerhalb der EU?

Ja. Entscheidend ist, ob ein KI-System in der EU in Verkehr gebracht, in Betrieb genommen oder seine Ausgabe in der EU genutzt wird. Ein Schweizer oder britischer Anbieter, der Kunden in Deutschland beliefert, folgt demselben Kalender. Anbieter ohne Niederlassung in der EU müssen für Hochrisiko-Systeme zudem einen Bevollmächtigten in der Union benennen.

Welche Frist gilt für Ihre Systeme?

Ein Zeitplan nützt erst, wenn Sie wissen, welches System zu welchem Datum gehört. Im KI-Governance & Readiness-Check von Opsio beantworten Sie in vierzehn Schritten, rund 40 Minuten, Fragen zu Ihrer KI-Nutzung. Danach erhalten Sie sofort vier Dokumente – KI-Governance-Rahmenwerk, KI-Richtlinie für Mitarbeitende, Checkliste zur Prüfung von KI-Anbietern und Vorlage zur KI-Risikobewertung – sowie ein Reifegradbild über zehn Bereiche. Die Fragen sind auf Deutsch, die Dokumente kommen auf Englisch als bearbeitbare Word-Dateien. Kostenlos und unverbindlich.

Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung. Maßgeblich ist die konsolidierte Fassung der Verordnung (EU) 2024/1689 in der durch die Verordnung (EU) 2026/1744 geänderten Fassung. Termine und Angaben zu deutschen Behörden: Stand Oktober 2026.