EU AI Act 2026: Welche Fristen bis 2028 gelten

Der EU AI Act ist 2026 in wesentlichen Teilen anwendbar. Verschoben wurden die besonderen Anforderungen an Hochrisiko-Systeme: Für Systeme nach Artikel 6 Absatz 2 und Anhang III gilt spätestens der 2. Dezember 2027, für produktgebundene Systeme nach Artikel 6 Absatz 1 und Anhang I der 2. August 2028.

Bis dahin pausiert der AI Act nicht. Verbote, Maßnahmen zur KI-Kompetenz, Regeln für Modelle mit allgemeinem Verwendungszweck und Transparenzpflichten gelten bereits, teilweise mit Übergangsfristen. Welcher Termin ein Unternehmen betrifft, hängt von der Risikoklasse, dem Markteinführungszeitpunkt und der eigenen Rolle ab.

Der Zeitplan: Was seit 2025 gilt und was später folgt

Der EU-AI-Act-Zeitplan trennt bereits geltende Pflichten von den Hochrisiko-Terminen im Dezember 2027 und August 2028.

Die Umsetzungszeitleiste des AI Act Service Desk trennt die laufenden Pflichten von den verlängerten Fristen. Für Unternehmen sind diese Stufen maßgeblich:

Seit 2. Februar 2025: Die allgemeinen Bestimmungen, die ersten Verbote und die Vorgabe zu Maßnahmen für KI-Kompetenz sind anwendbar.
Seit 2. August 2025: Die Pflichten für Anbieter von GPAI-Modellen gelten grundsätzlich; für Modelle, die schon vor diesem Datum auf den Markt kamen, läuft eine Übergangsfrist bis 2. August 2027. Auch die institutionelle Governance musste eingerichtet werden.
Seit 2. August 2026: Der Großteil der übrigen Vorschriften gilt, darunter Artikel 50 zur Transparenz. Aufsichts- und Durchsetzungsbefugnisse erfassen nun die jeweils anwendbaren Regeln.
Am 2. Dezember 2026: endet die besondere Übergangsfrist für bestimmte bereits vermarktete Systeme, die synthetische Inhalte erzeugen und Artikel 50 Absatz 2 erfüllen müssen. Zugleich greifen neu eingeführte Verbote für Systeme zur Erzeugung oder Manipulation bestimmter nicht einvernehmlicher intimer Inhalte und von Darstellungen sexuellen Kindesmissbrauchs.
Ab 2. Dezember 2027: gelten die verschobenen Abschnitte des Hochrisiko-Kapitels für Systeme nach Artikel 6 Absatz 2 und Anhang III.
Ab 2. August 2028: folgen die entsprechenden Regeln für Hochrisiko-Systeme nach Artikel 6 Absatz 1 und Anhang I.

Ein Projektplan, der den 2. August 2026 pauschal als Frist für sämtliche Hochrisiko-Pflichten führt, ist überholt. Ebenso falsch wäre es, nun alle Compliance-Arbeiten bis 2027 oder 2028 auszusetzen.

Verschoben ist nur ein abgegrenzter Teil der Verordnung

Die neuen Daten betreffen die Abschnitte 1 bis 3 des dritten Kapitels: die Einstufung als Hochrisiko-System, die Anforderungen an solche Systeme und die Pflichten der beteiligten Akteure. Der konsolidierte Verordnungstext nennt dafür den 2. Dezember 2027 bei Artikel 6 Absatz 2 und Anhang III sowie den 2. August 2028 bei Artikel 6 Absatz 1 und Anhang I.

Damit verschieben sich unter anderem die hochrisikospezifischen Vorgaben zu Risikomanagement, Daten-Governance, technischer Dokumentation, Protokollierung, menschlicher Aufsicht, Genauigkeit und Cybersicherheit. Die Verlängerung erfasst auch die damit verbundenen Pflichten von Anbietern, Betreibern, Importeuren und Händlern, soweit sie zu diesen verschobenen Abschnitten gehören.

Für Typen und Modelle von Hochrisiko-Systemen, die erstmals vor dem jeweils maßgeblichen Anwendungstermin auf den Markt gebracht oder in Betrieb genommen wurden, gilt eine Übergangsregel: Die einschlägigen Vorschriften greifen grundsätzlich bei einer späteren signifikanten Designänderung. Anbieter und Betreiber von Hochrisiko-Systemen, die Behörden nutzen sollen, müssen unabhängig davon spätestens bis 2. August 2030 die erforderlichen Schritte zur Einhaltung unternehmen.

Die Rolle bestimmt Pflichten und Nachweise

Anbieter, Betreiber, Importeur und Händler prüfen jeweils unterschiedliche Nachweise entlang der KI-Lieferkette.

Anbieter entwickeln ein System oder bringen es unter eigenem Namen beziehungsweise eigener Marke auf den Markt. Für ein künftiges Hochrisiko-System müssen sie insbesondere Risikomanagement, Daten-Governance, technische Unterlagen, Protokollierung, Qualitätsmanagement, Konformitätsbewertung, Registrierung und Überwachung nach dem Inverkehrbringen abbilden. Als Arbeitsnachweis eignet sich eine kontrollierte Akte, die den vorgesehenen Zweck mit jeder Anforderung und der zugehörigen Freigabe verbindet.

Betreiber verwenden ein KI-System in eigener Verantwortung; ein Arbeitgeber ist beim Einsatz fremder KI häufig Betreiber, aber keine eigenständige Akteurskategorie. Bei Hochrisiko-Systemen gehören unter anderem die Befolgung der Gebrauchsanweisung, die Organisation menschlicher Aufsicht, die Kontrolle relevanter Eingabedaten, die Überwachung des Betriebs und die Aufbewahrung verfügbarer Protokolle zu den Pflichten. Eine Betriebsakte kann Zuständigkeiten, Freigaben, Unterweisungen, Kontrollen und gemeldete Vorfälle zusammenführen.

Importeure müssen vor dem Inverkehrbringen eines Hochrisiko-Systems aus einem Drittland unter anderem prüfen, ob der Anbieter die Konformitätsbewertung durchgeführt, die erforderlichen Unterlagen erstellt und gegebenenfalls einen Bevollmächtigten benannt hat. Händler prüfen vor der Bereitstellung insbesondere Kennzeichnung, erforderliche Unterlagen und erkennbare Anzeichen einer Nichtkonformität.

Auch ein Schweizer Unternehmen kann erfasst sein. Entscheidend ist nicht allein der Sitz: Die Verordnung gilt etwa für Drittlandanbieter, die Systeme in der EU in Verkehr bringen, sowie für Anbieter und Betreiber außerhalb der EU, wenn die Ausgabe des Systems in der Union verwendet wird.

Diese Arbeiten können 2026 nicht warten

Die Vorgabe zur KI-Kompetenz wurde durch das Vereinfachungspaket präzisiert: Anbieter und Betreiber müssen Maßnahmen unterstützen, mit denen Beschäftigte und andere beauftragte Personen die nötige Kompetenz entwickeln können; ein bestimmtes individuelles Kompetenzniveau müssen sie nicht garantieren. Sinnvolle Nachweise sind ein rollenbezogenes Schulungskonzept, dokumentierte Teilnahmen und Inhalte, die zu den tatsächlich eingesetzten Systemen passen.

Transparenz ist ebenfalls von der Hochrisiko-Konformität zu trennen. Artikel 50 regelt unter anderem Hinweise bei direkter Interaktion mit Menschen, die maschinenlesbare Kennzeichnung bestimmter synthetischer Ausgaben und Offenlegungspflichten für bestimmte Deepfakes oder KI-generierte Texte von öffentlichem Interesse. Die Abgrenzung nach Anbieter, Betreiber und Inhalt erläutert die Einordnung zu den Kennzeichnungspflichten nach Artikel 50.

Bei Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und schon vor dem 2. August 2026 auf dem Markt waren, endet die Übergangsfrist für Artikel 50 Absatz 2 am 2. Dezember 2026. Das Systemregister sollte deshalb neben dem Einführungsdatum auch Anbieterrolle, Ausgabetyp und vorhandene technische Markierung festhalten.

Aus Fristen wird eine prüfbare Compliance-Akte

Ein KI-Systemregister verbindet Zweck, Risikoklasse, Rolle, Frist, Verantwortlichkeit und Nachweise zu einer Compliance-Akte.

Mit der endgültigen Zustimmung des Rates standen sowohl die gestaffelten Hochrisiko-Termine als auch der 2. Dezember 2026 für die Anpassung bestimmter bereits vermarkteter Inhaltsgeneratoren fest. Eine zentrale Kalenderliste genügt trotzdem nicht, weil ein Unternehmen je nach System unterschiedliche Rollen übernehmen kann.

Pro KI-System sollte die Akte mindestens enthalten:

vorgesehenen Zweck, Nutzerkreis und Einsatzgebiet;
Risikoklasse mit Begründung und gegebenenfalls Bezug zu Anhang I oder III;
eigene Rolle und die Rollen weiterer Akteure in der Lieferkette;
anwendbare Frist sowie bereits laufende Pflichten;
verantwortliche Person, vorhandene Nachweise und offene Dokumente;
eine erneute Prüfung nach relevanten Änderungen an Funktion, Modell oder Zweck.

Vorrang haben bereits anwendbare Verbote, KI-Kompetenz, einschlägige GPAI-Regeln und Transparenzpflichten. Die zusätzliche Zeit für Hochrisiko-Systeme dient dem Aufbau der erforderlichen Nachweise: zuerst für Anhang-III-Systeme bis Dezember 2027, danach für die betroffenen produktgebundenen Systeme bis August 2028.

Lesen Sie auch:

EU AI Act 2026: Was jetzt gilt – und was bis 2028 warten kann