EU AI Act · Fristen im Überblick

EU AI Act: Was am 2. August 2026 wirklich gilt

Kurz gesagt: Der 2. August 2026 ist nicht der Stichtag für Hochrisiko-KI. Die Hochrisiko-Pflichten für eigenständige Anhang-III-Systeme wurden auf den 2. Dezember 2027 verschoben. Am 2. August 2026 werden die Transparenzpflichten nach Art. 50 anwendbar — für Systeme, die davor schon in Verkehr waren, mit einer Schonfrist bis zum 2. Dezember 2026. Verbote, KI-Kompetenz und die GPAI-Pflichten gelten ohnehin längst.

Diese Verschiebung geht auf den „Digital Omnibus on AI“ (COM(2025) 836) zurück, der die Verordnung (EU) 2024/1689 ändert. Das Europäische Parlament hat ihn am 16. Juni 2026 angenommen, der Rat am 29. Juni 2026. Seit dem 27. Juli 2026 ist der Omnibus als Verordnung (EU) 2026/1744 in Kraft. Die unten genannten Daten stehen damit im geltenden Recht, nicht mehr nur in einer politischen Einigung. Neu hinzu kommt: Zum 2. Dezember 2026 greifen zusätzliche Verbote.

Wir haben auf dieser Seite selbst lange mit dem 2. August 2026 als Hochrisiko-Stichtag gearbeitet. Das war falsch, und wir haben es korrigiert. Die ehrliche Botschaft lautet: mehr Zeit, aber nicht keine Zeit.

Kostenlosen Risiko-Check starten Zum Umsetzungs-Fahrplan

Was passiert am 2. August 2026?

Der EU AI Act gilt gestaffelt. Am 2. August 2026 werden die Transparenzpflichten des Art. 50 anwendbar — etwa die Kennzeichnung von KI-Interaktionen, von synthetischen Inhalten und von Deepfakes. Die Hochrisiko-Pflichten, die früher für diesen Tag vorgesehen waren, greifen erst später:

2. Feb 2025
Verbotene Praktiken & KI-Kompetenz
Art. 5 (verbotene KI) und Art. 4 (Schulungspflicht) gelten.
2. Aug 2025
GPAI & Governance
Pflichten für Basismodelle (GPAI), die nationalen Behörden und die Sanktionsvorschriften.
2. Aug 2026 Stichtag
Transparenzpflichten nach Art. 50
Kennzeichnung von KI-Interaktionen, synthetischen Inhalten und Deepfakes.
2. Dez 2026
Ende der Art.-50-Schonfrist
Auch Systeme, die vor dem 2. August 2026 in Verkehr waren, müssen Art. 50 erfüllen. Zudem greift das neue Verbot nicht-einvernehmlicher intimer Inhalte und von CSAM.
2. Dez 2027
Hochrisiko-KI nach Anhang III
Kap. III (Art. 8–27, 43 ff., 49): Risikomanagement, Dokumentation, Aufsicht, Konformitätsbewertung. Verschoben vom 2. August 2026.
2. Aug 2028
Hochrisiko nach Anhang I
KI in regulierten Produkten (z. B. Medizinprodukte, Maschinen). Verschoben vom 2. August 2027.

Die Pflichten für Hochrisiko-KI-Systeme (Art. 8–15)

Diese Anforderungen gelten für eigenständige Anhang-III-Systeme ab dem 2. Dezember 2027 — nicht schon ab dem 2. August 2026. Der Aufwand dahinter ist derselbe geblieben, nur der Zeitpunkt hat sich verschoben:

Risikomanagement · Art. 9

Ein fortlaufender, dokumentierter Prozess zur Identifikation und Minderung von Risiken über den gesamten Lebenszyklus.

Daten-Governance · Art. 10

Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und möglichst fehlerfrei sein.

Technische Dokumentation · Art. 11

Vollständige Unterlagen nach Anhang IV, die die Konformität nachweisen — vor Inverkehrbringen.

Protokollierung · Art. 12

Automatische Aufzeichnung von Ereignissen (Logs) zur Rückverfolgbarkeit des Systembetriebs.

Transparenz · Art. 13

Betreiber müssen das System verstehen und korrekt nutzen können — inkl. Bedienungsanleitung.

Menschliche Aufsicht · Art. 14

Menschen müssen das System wirksam überwachen und eingreifen können (Stopp, Override).

Genauigkeit & Robustheit · Art. 15

Angemessene Genauigkeit, Robustheit und Cybersicherheit über den Lebenszyklus.

Pflichten für Anbieter und Betreiber (Art. 16–27)

Neben den Anforderungen an das System selbst treffen Anbieter und Betreiber organisatorische Pflichten:

Qualitätsmanagementsystem (Art. 17) — dokumentierte Prozesse beim Anbieter.
Konformitätsbewertung (Art. 43) und EU-Konformitätserklärung (Art. 47) vor dem Inverkehrbringen.
CE-Kennzeichnung (Art. 48) und Registrierung in der EU-Datenbank (Art. 49).
Betreiberpflichten (Art. 26): bestimmungsgemäße Nutzung, Aufsicht, Log-Aufbewahrung.
Grundrechte-Folgenabschätzung (Art. 27, „FRIA") für bestimmte Betreiber öffentlicher Stellen.

Bußgelder: Was kostet ein Verstoß?

bis 35 Mio. € / 7 %

Verstoß gegen verbotene Praktiken (Art. 5) — der höchste Bußgeldrahmen (Art. 99).

bis 15 Mio. € / 3 %

Verstoß gegen die Pflichten für Hochrisiko-Systeme und andere Anforderungen.

bis 7,5 Mio. € / 1 %

Falsche oder unvollständige Angaben gegenüber Behörden.

Es gilt jeweils der höhere Wert aus Festbetrag oder Prozentsatz des weltweiten Jahresumsatzes.

EU AI Act, DSGVO und DORA zusammen denken

Verarbeitet Ihr KI-System personenbezogene Daten, gelten die Pflichten des AI Act zusätzlich zur DSGVO (Rechtsgrundlage, ggf. DSFA nach Art. 35, automatisierte Entscheidungen nach Art. 22). Für Finanzunternehmen kommt DORA zur digitalen operationalen Resilienz hinzu. KomplAI prüft alle drei Regelwerke in einem Lauf.

Häufige Fragen

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Der AI Act knüpft an das KI-System und seinen Einsatzzweck an, nicht an die Unternehmensgröße. Auch KMU, die ein Hochrisiko-System anbieten oder betreiben, sind erfasst — es gibt lediglich einzelne Erleichterungen bei Dokumentation und Gebühren.

Was ist ein Hochrisiko-KI-System?

Vereinfacht: KI in einem der acht Bereiche des Anhang III (z. B. Beschäftigung, Kreditwürdigkeit, kritische Infrastruktur) oder als Sicherheitsbauteil regulierter Produkte (Anhang I). Details und die Ausnahme des Art. 6 Abs. 3 erklären wir im Anhang-III-Leitfaden.

Gilt der 2. August 2026 für Hochrisiko-KI noch?

Nein. Für eigenständige Hochrisiko-Systeme nach Anhang III gilt seit dem Digital Omnibus der 2. Dezember 2027; für Hochrisiko-KI über das Anhang-I-Produktrecht der 2. August 2028. Am 2. August 2026 werden die Transparenzpflichten des Art. 50 anwendbar — die betreffen weit mehr Unternehmen als Hochrisiko, etwa jeden Chatbot und jeden generierten Inhalt.

Muss ich schon jetzt handeln?

Ja. Verbote (Art. 5) und KI-Kompetenz (Art. 4) gelten seit Februar 2025, die GPAI-Pflichten seit August 2025, Art. 50 kommt im August 2026. Und wer mit der Hochrisiko-Umsetzung erst 2027 anfängt, ist zu spät: Bestandsaufnahme, Einstufung und Dokumentation brauchen Vorlauf. Unser Umsetzungs-Fahrplan zeigt die Schritte in der richtigen Reihenfolge.

Dieser Leitfaden ist eine fachliche Orientierung und ersetzt keine Rechtsberatung. Normverweise beziehen sich auf die Verordnung (EU) 2024/1689.