EU AI Act: Pflichten und Fristen im Jahr 2026

EU AI ACT · UMSETZUNGSZEITPLAN

Der EU AI Act hat nicht nur einen einzigen Anwendungsbeginn. Für ein KMU kann der Unterschied zwischen einer bereits geltenden Pflicht, einer ab August 2026 anwendbaren Regel und einer Frist für Hochrisiko-Systeme die Reihenfolge interner Projekte vollständig verändern.

Warum so viele unterschiedliche Termine genannt werden

Die Verordnung trat 2024 in Kraft, ihre Anwendung wurde jedoch auf mehrere Stufen verteilt. Definitionen, verbotene Praktiken, KI-Kompetenz, Modelle mit allgemeinem Verwendungszweck, Transparenz und Hochrisiko-Systeme starteten nicht gleichzeitig. Hinzu kamen Leitlinien der Kommission, freiwillige Kodizes und 2026 angenommene Änderungen. Deshalb ist es riskant, einen älteren Beitrag als einzige Quelle zu verwenden. ^{[EU-REG] [EU-NAV]}

Ein sinnvoller Zeitplan muss zuerst die Frage beantworten: „Welche Rolle und welches System liegen vor?“ Ein KMU, das einen Assistenten für Dokumente nutzt, verfolgt nicht dieselben Fristen wie ein Anbieter eines GPAI-Modells. Eine Anwendung für Bestandsvorschläge darf nicht mit einem System verwechselt werden, das in ein reguliertes Produkt eingebettet ist oder in einem Bereich des Anhangs III eingesetzt wird. ^{[EU-NAV] [EU-RISK]}

2. Februar 2025: Definitionen, Verbote und KI-Kompetenz

Seit Februar 2025 gelten die ersten Regeln: die Definition eines KI-Systems, eine begrenzte Zahl verbotener Praktiken und die Pflicht zur Förderung von KI-Kompetenz. Für die meisten KMU hat die Kompetenz der Beschäftigten die größte praktische Reichweite. Betroffen sind Personen, die im Namen der Organisation KI-Systeme bedienen oder nutzen, nicht nur das technische Team. ^{[EU-LIT] [EU-NAV]}

Die im Juli 2026 in Kraft getretene Änderung behielt die Pflicht zu geeigneten Maßnahmen bei, beseitigte jedoch die Vorstellung, jede Person müsse ein einheitliches gesetzlich vorgegebenes Niveau erreichen. Es gibt kein universelles Zertifikat, das Artikel 4 automatisch erfüllt. Das Unternehmen sollte Information und Vorbereitung an Wissen, Erfahrung, Rolle und Kontext anpassen und die ergriffenen Maßnahmen dokumentieren können. ^[EU-LIT]

2. August 2025: Pflichten für GPAI-Modelle

Die Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten seit dem 2. August 2025. Dazu gehören Dokumentation und Informationen für nachgelagerte Akteure, eine Strategie zur Einhaltung des Urheberrechts und eine öffentliche Zusammenfassung der Trainingsinhalte. Für Modelle mit systemischem Risiko gelten zusätzliche Anforderungen an Bewertung, Sicherheit und Berichterstattung. ^{[EU-GPAI-G] [EU-REG]}

Diese Pflichten gehen nicht allein deshalb vollständig auf ein KMU über, weil es eine API nutzt. Das Unternehmen muss klären, ob es ein GPAI-Modell anbietet, ein auf einem solchen Modell aufgebautes System bereitstellt oder lediglich Betreiber ist. Der Anbieter eines nachgelagerten Produkts benötigt jedoch relevante Unterlagen und Informationen des Modellanbieters für die eigene Bewertung. ^{[EU-GPAI-G] [EU-A50]}

2.–3. August 2026: Transparenz und wirksame Aufsicht

Am 2. August 2026 beginnen die Transparenzpflichten nach Artikel 50. In den von der Verordnung erfassten Fällen betreffen sie die Information von Personen über eine Interaktion mit einem KI-System, die erkennbare Kennzeichnung bestimmter synthetischer Ergebnisse sowie die Offenlegung von Deepfake-Inhalten oder bestimmten Texten zur Information der Öffentlichkeit. ^{[EU-A50] [EU-A50-G]}

Für KI-Kompetenz weist die aktualisierte Information der Kommission darauf hin, dass Aufsichts- und Durchsetzungsregeln ab dem 3. August 2026 gelten. Das bedeutet nicht, dass ein Unternehmen allen Personen überstürzt denselben Kurs anbieten muss. Erforderlich ist ein erklärbarer Prozess: Wer nutzt KI, welches Wissen wird benötigt, welche Risiken sind relevant und welche Nachweise belegen die Umsetzung? ^[EU-LIT]

2. Dezember 2026: begrenzte Übergangsfrist statt allgemeiner Aufschub

Die Kommission beschreibt eine begrenzte Übergangsfrist für die technische Kennzeichnung generierter oder manipulierter Inhalte bei bestimmten Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden. Für diese Systeme ist Artikel 50 Absatz 2 ab dem 2. Dezember 2026 einzuhalten. ^[EU-A50]

Die Übergangsfrist verschiebt nicht sämtliche Transparenzpflichten und rechtfertigt weder das Unterlassen von Nutzerinformationen noch von Offenlegungen, die dem Betreiber obliegen. Inhalte, die vor dem 2. August 2026 erstellt wurden, müssen nach dieser Regel nicht rückwirkend gekennzeichnet werden. Die Kommission empfiehlt jedoch eine freiwillige Kennzeichnung, wenn sie möglich und sinnvoll ist. ^[EU-A50]

2027 und 2028: bestehende GPAI- und Hochrisiko-Systeme

Ab dem 2. August 2026 übt die Kommission ihre Durchsetzungsbefugnisse für Pflichten der Anbieter neuer GPAI-Modelle aus. Anbieter von Modellen, die vor dem 2. August 2025 in Verkehr gebracht wurden, müssen die einschlägigen Pflichten bis zum 2. August 2027 erfüllen. ^[EU-GPAI-G]

Nach dem aktuellen Zeitplan der Kommission gelten die Regeln für bestimmte Hochrisiko-Systeme in Bereichen wie Biometrie, kritische Infrastruktur, Bildung, Beschäftigung, Migration und Grenzkontrolle ab dem 2. Dezember 2027. Für KI-Systeme, die in Produkte wie Roboter, Maschinen oder andere unter harmonisierte Rechtsvorschriften fallende Produkte integriert sind, wird der 2. August 2028 genannt. ^{[EU-RISK] [EU-NAV]}

Was jetzt und nicht erst zur nächsten Frist zu tun ist

Ein KI nutzendes KMU sollte nicht mit der Auslegung sämtlicher Anhänge beginnen. Starten Sie mit einem Register der tatsächlichen Anwendungen, bestimmen Sie Rollen, identifizieren Sie kundennahe oder personenbezogene Prozesse, prüfen Sie die Transparenz der Oberflächen und bereiten Sie Teams vor. Bei unklaren Fällen bieten der offizielle Compliance Checker und der AI Act Service Desk eine bessere Orientierung als eine ungeprüfte Zusammenfassung. ^[EU-DESK]

• Jetzt: Register, Rollen, KI-Kompetenz und Prüfung verbotener Praktiken.
• Bis 2. August 2026: Transparenz für Interaktionen und Inhalte je nach Rolle und Anwendungsfall.
• Vor jeder Einführung: Zweck, Daten, Anbieter und betroffene Personen neu bewerten.
• Bei Hochrisiko-KI: endgültige Leitlinien und den für die konkrete Nutzung geltenden Zeitplan verfolgen.

Offizielle Quellen und Prüfdatum

1. Verordnung (EU) 2024/1689 über künstliche Intelligenz
2. Europäische Kommission — Navigating the AI Act
3. Europäische Kommission — Fragen und Antworten zur KI-Kompetenz
4. Europäische Kommission — Transparenzpflichten nach Artikel 50
5. Europäische Kommission — Leitlinien zu Transparenzpflichten
6. Europäische Kommission — Leitlinien für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
7. Europäische Kommission — Einstufung von Hochrisiko-KI-Systemen
8. Europäische Kommission — AI Act Service Desk und Compliance Checker