EU AI Act: Welche Fristen jetzt wirklich gelten

Die KI-Verordnung der EU ist am 1. August 2024 in Kraft getreten, ihre Pflichten greifen aber gestaffelt. Genau das macht die Planung für Startups und KMUs tückisch. Und seit Juli 2026 kommt eine Besonderheit dazu: Mit dem sogenannten Digital Omnibus hat die EU den Zeitplan nachträglich geändert, zentrale Fristen verschoben und einzelne Pflichten entschärft. Hier ist der aktuelle Stand, den du wirklich kennen musst.

Der Zeitplan im Überblick (Stand Oktober 2026)

In Kraft getreten ist die Verordnung bereits am 1. August 2024, damals noch ohne unmittelbare Pflichten. Seitdem kommen die Pflichten stufenweise dazu:

Was der Digital Omnibus geändert hat

Im Juli 2026 hat die EU mit der Verordnung 2026/1744, dem Digital Omnibus, den AI Act nachjustiert. Die wichtigsten Änderungen: Die Pflichten für Hochrisiko-KI nach Anhang III wurden um 16 Monate auf Dezember 2027 verschoben, für Anhang-I-Produkte auf August 2028. Die KI-Kompetenzpflicht aus Art. 4 wurde entschärft. Statt ein ausreichendes Kompetenzniveau "sicherzustellen", musst du die Entwicklung von KI-Kompetenz jetzt mit konkreten Maßnahmen unterstützen. Für kleine Unternehmen sind außerdem zusätzliche Erleichterungen bei Bußgeldern vorgesehen.

Genauso wichtig ist, was nicht verschoben wurde: Die Verbote gelten weiter, die Transparenzpflichten nach Art. 50 gelten wie geplant seit dem 2. August 2026, und die Schulungspflicht besteht seit Februar 2025 fort.

Was gilt schon heute?

Seit Februar 2025 sind zwei Dinge verbindlich, die viele Unternehmen übersehen. Erstens die Verbote: Wer etwa Emotionserkennung am Arbeitsplatz einsetzt, verstößt bereits jetzt gegen die Verordnung. Zweitens Art. 4: Du musst Maßnahmen ergreifen, damit dein Team KI kompetent einsetzt. Das betrifft praktisch jedes Unternehmen, das ChatGPT, Claude, Copilot oder ähnliche Tools im Arbeitsalltag nutzt.

Seit 2. August 2026: Transparenz und Aufsicht

Seit dem 2. August 2026 müssen Chatbots im Kundenkontakt als KI erkennbar sein, Deepfakes müssen gekennzeichnet werden, und KI-generierte Texte zu Themen von öffentlichem Interesse brauchen einen Hinweis, wenn niemand sie redaktionell verantwortet. Entwarnung an einer Stelle: Normale, fachlich geprüfte Firmentexte sind nicht kennzeichnungspflichtig.

Außerdem ist die Aufsicht gestartet: Seit Ende Juli 2026 ist die Bundesnetzagentur nach dem deutschen KI-Marktüberwachungsgesetz (KI-MIG) zentrale Marktüberwachungsbehörde und kann Auskünfte und Nachweise verlangen. Für Fragen kleiner Unternehmen betreibt sie den kostenlosen KI-Service-Desk. Was die Bundesnetzagentur als KI-Aufsicht prüfen darf und was bei einer Anfrage passiert, steht im Artikel Bundesnetzagentur: Was die KI-Aufsicht darf.

2. Dezember 2026: Der nächste Stichtag

Dann greifen zwei neue Verbote, die der Digital Omnibus eingefügt hat: KI-Systeme, die intime Deepfakes realer Personen ohne deren Einwilligung erzeugen, und Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen. Außerdem endet eine Übergangsfrist: Auch generative KI-Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, müssen ihre Ausgaben dann maschinenlesbar als KI-generiert markieren. Diese Pflicht trifft die Anbieter der Tools, nicht dich als Nutzer. Was du selbst kennzeichnen musst, steht in unserem Artikel zur KI-Kennzeichnungspflicht.

Was passiert bei Verstößen?

Die Bußgelder sind empfindlich: Verstöße gegen die Verbote können bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes kosten, Verstöße gegen die meisten anderen Pflichten bis zu 15 Millionen Euro oder 3 Prozent. Für KMUs und Startups gilt jeweils der niedrigere der beiden Werte, und der Digital Omnibus sieht für kleine Unternehmen weitere Erleichterungen vor. Beruhigend ist das trotzdem nicht.

So nutzt du die gewonnene Zeit

• Erstelle ein Inventar aller KI-Anwendungen in deinem Unternehmen, auch der eingekauften Tools.
• Stufe jede Anwendung in die richtige Risikoklasse ein. Bei Hochrisiko hast du jetzt bis Ende 2027 Zeit, brauchst sie aber auch.
• Setze die Kennzeichnung nach Art. 50 um, wenn Kunden mit deiner KI interagieren.
• Schule dein Team und dokumentiere die Schulungen.

Wie Klaus dir hilft, keinen Stichtag zu verpassen

Welche Frist für dich zählt, hängt an drei Fragen: Welche KI-Systeme setzt du ein, in welcher Rolle (Betreiber oder Anbieter) und in welcher Risikoklasse? Genau in dieser Reihenfolge arbeitet Klaus die Sache mit dir ab:

• Erst das, was längst gilt: Im Unternehmens-Onboarding erfasst Klaus im Chat dein komplettes KI-Inventar und erstellt daraus deine KI-Richtlinie als PDF. Damit stehen die Regeln, die Art. 4 seit Februar 2025 von dir verlangt. Das Schulungsmodul deckt die Kompetenzpflicht gleich mit ab, inklusive Nachweisregister, wer wann geschult wurde.
• Dann der Blick nach vorn: Für jedes KI-System führt dich Klaus durch ein Prüfprojekt mit sechs Phasen und 40 festen Themenpunkten. In Phase 2 stuft er das System systematisch in seine Risikoklasse ein und geht den Themenpunkt "Haftung, Sanktionen und Fristen" durch: welcher Stichtag für dieses System gilt und was bis dahin zu tun ist.
• Aus Fristen werden Aufgaben: Nach jeder Phase bekommst du eine To-do-Liste, sortiert nach "Dringlich", "Wichtig" und "Kann warten", jeweils mit Zeithorizont. So verteilst du die Arbeit bis Ende 2027, statt sie vor dir herzuschieben.
• Für den Fall, dass die Aufsicht fragt: Aus dem Prüfprojekt erzeugt Klaus einen Compliance-Bericht als PDF, der für externe Prüfer geschrieben ist, mit Maßnahmenverzeichnis und einem eigenen Anhang für Auskunftsersuchen und Antworten. Wenn die Bundesnetzagentur Nachweise verlangt, musst du nichts zusammensuchen.

Fazit

Der Zeitplan des AI Act ist 2026 in Bewegung geraten, aber Abwarten bleibt die falsche Strategie. Die Pflichten, die kleine Unternehmen am häufigsten betreffen, gelten bereits, seit Februar 2025 oder seit August 2026. Wer Inventar, Kennzeichnung und Schulung erledigt hat, kann der Verschiebung der Hochrisiko-Pflichten entspannt zusehen.