EU AI Act: Fristen und was gilt wann

Aktueller Stand (01.08.2026): Der Digital Omnibus ist beschlossen und in Kraft. Die Verordnung (EU) 2026/1744 wurde am 24.07.2026 im Amtsblatt veröffentlicht und gilt seit dem 27.07.2026. Die Hochrisiko-Fristen sind damit final verschoben: Anhang III auf den 02.12.2027, Anhang I auf den 02.08.2028. Der 02.08.2026 bleibt für die Transparenzpflichten nach Artikel 50, allerdings mit einer viermonatigen Übergangsfrist für generative Systeme, die vor diesem Datum bereits in Verkehr waren. Einordnung: AI-Act-Fristen: Der Omnibus ist in Kraft. Passend zum Stichtag hat die EU-Kommission am 31.07.2026 zusätzlich ein eigenes, in Brüssel angesiedeltes Enforcement-Team vorgestellt, das die Einhaltung überwacht (Schwerpunkt Deepfakes, KI-generierte Missbrauchsinhalte, Cyberbedrohungen für kritische Infrastruktur).

Vorgeschichte: Der zweite Trilog zum Digital Omnibus war am 28./29. April nach zwölf Stunden Verhandlung ohne politische Einigung beendet worden. Streitpunkt war die Frage, ob Hochrisiko-KI in bereits regulierten Produkten (Medizingeräte, Spielzeug, vernetzte Fahrzeuge, Industriemaschinen) von den AI-Act-Anforderungen ausgenommen wird. Das Parlament wollte Ausnahmen, der Rat lehnte ab. Der Folge-Trilog brachte am 07.05.2026 die politische Einigung. Details und Einordnung: Trilog-Endspurt und Europas zweigeteilte KI-Rolle.

Was gilt wann

Der EU AI Act ist die weltweit erste umfassende KI-Regulierung. Er tritt in Stufen in Kraft. Bußgelder: bis zu 35 Millionen Euro oder 7% des weltweiten Jahresumsatzes.

• Februar 2025: Verbot bestimmter Praktiken (Social Scoring, manipulative KI, biometrische Echtzeit-Überwachung)
• August 2025: Pflichten für Anbieter von General-Purpose-KI-Modellen (OpenAI, Anthropic, Google usw.)
• 2. August 2026: Transparenzpflichten nach Artikel 50. Für generative Systeme, die vor diesem Datum in Verkehr gebracht wurden, gilt eine viermonatige Übergangsfrist, also bis Anfang Dezember 2026. Für alles, was ab dem 2. August neu startet, gilt die Pflicht sofort
• 2. Dezember 2027: Hochrisiko-Anforderungen für Anhang-III-Systeme (eigenständige KI in Beschäftigung, Bildung, Strafverfolgung, Kreditwürdigkeit)
• 2. August 2028: Hochrisiko-Anforderungen für Anhang-I-Systeme (KI in Produkten: Medizinprodukte, Maschinen, Fahrzeuge)

Für die meisten IT-Teams ist der August 2026 der relevante Termin, denn dann greifen die Transparenzpflichten, die Unternehmen betreffen, die KI einsetzen, nicht nur die, die KI entwickeln.

Transparenzpflichten: Was heißt das konkret?

Artikel 50 des AI Act definiert Transparenzpflichten für bestimmte KI-Systeme. Die wichtigsten Anforderungen:

1. Kennzeichnung von KI-Interaktionen Wenn ein Nutzer mit einem KI-System interagiert (z.B. Chatbot, KI-Assistent), muss er darüber informiert werden, dass er mit einer KI und nicht mit einem Menschen spricht. Ausnahme: Wenn es offensichtlich ist.

2. Kennzeichnung von KI-generierten Inhalten KI-generierte oder manipulierte Inhalte (Text, Bild, Audio, Video) müssen als solche erkennbar sein. Das betrifft insbesondere Deepfakes und synthetische Medien. Die Kennzeichnung muss maschinenlesbar sein.

3. Kennzeichnung bei öffentlichem Interesse Wenn KI-generierter Text zu Themen von öffentlichem Interesse veröffentlicht wird, muss das kenntlich gemacht werden.

Die EU-Kommission hat am 10. Juni 2026 den finalen Code of Practice zur Kennzeichnung KI-generierter Inhalte vorgelegt. Wer was konkret tun muss, vom maschinenlesbaren Wasserzeichen bis zum sichtbaren EU-Label, steht im Deep-Dive KI-Inhalte kennzeichnen: Der EU-Kodex ab August.

Hochrisiko-KI: Die größte Baustelle

Neben den Transparenzpflichten greifen die vollständigen Anforderungen für Hochrisiko-KI-Systeme. Ein KI-System gilt als "High Risk", wenn es in bestimmten Bereichen eingesetzt wird:

• HR und Recruiting, KI-gestützte Bewerbungsfilter, Leistungsbewertungen
• Kreditvergabe und Versicherung, automatisierte Scoring-Systeme
• Bildung, KI-gestützte Prüfungsbewertung oder Zugangssteuerung
• Kritische Infrastruktur, Steuerung von Strom, Wasser, Verkehr
• Strafverfolgung und Justiz, Risikobewertungen, Predictive Policing

Für Hochrisiko-Systeme gelten umfangreiche Pflichten:

• Risikobewertung und kontinuierliches Monitoring
• Technische Dokumentation des gesamten Systems
• Logging und Audit-Trails, nachvollziehbar wer wann was entschieden hat
• Menschliche Aufsicht, ein Mensch muss KI-Entscheidungen überprüfen können
• Konformitätsbewertung und CE-Kennzeichnung
• Registrierung in der EU-Datenbank für Hochrisiko-KI

Diese Anforderungen gelten ab dem 02.12.2027 (Anhang III) bzw. dem 02.08.2028 (Anhang I). Seit der Verordnung (EU) 2026/1744 sind diese Termine verbindlich, nicht mehr vorläufig.

Praxis: KI als Compliance-Helfer nutzen

Der AI Act ist umfangreich, und nicht jedes Team hat eine Rechtsabteilung, die mal eben eine Einordnung liefert. KI-Tools können helfen, eine erste Orientierung zu bekommen. Wichtig: Das ersetzt keine Rechtsberatung, gibt dir aber einen soliden Startpunkt.

Schritt 1: Prüfe, ob dein KI-System unter den AI Act fällt

Schritt 2: Transparenzpflicht konkret umsetzen

Wie sieht eine korrekte KI-Kennzeichnung auf einer Webseite aus? Hier ein Beispiel für einen Support-Chatbot:

<div class="chat-container">
  <div class="ki-hinweis" role="status" aria-label="KI-Hinweis">
    <p>
      Dieser Chat wird von einem KI-Assistenten betrieben.
      Ihre Anfrage wird automatisch bearbeitet. Falls Sie mit
      einem Menschen sprechen möchten, klicken Sie auf
      "An Mitarbeiter weiterleiten".
    </p>
  </div>
  <button class="btn-handover">An Mitarbeiter weiterleiten</button>
</div>

Wichtig: Der Hinweis muss sichtbar sein, bevor der Nutzer die erste Nachricht eingibt. Nicht im Footer versteckt, nicht erst nach drei Nachrichten eingeblendet.

Schritt 3: Compliance-Checkliste erstellen lassen

Regulierung trifft Anbieterwahl: Europas zweigeteilte Rolle

Während die Fristen verhandelt werden, positionieren sich die großen Anbieter unterschiedlich. Das wirkt sich direkt auf eure Compliance-Roadmap aus:

Forschungsbrücke: OpenAI hat am 13.04.2026 ein permanentes London-Büro für 544 Mitarbeitende unterzeichnet, gleichzeitig das UK-Stargate-Infrastrukturprojekt wegen Energiekosten und Regulierung gestoppt. Muster: Talent und Forschung in Europa, Compute und Training bleiben in den USA.

Souveräne Säule: Aleph Alpha und Cohere verhandeln eine Fusion mit der Bundesregierung als Ankerkunden, Betrieb ausschließlich auf europäischer Infrastruktur. Parallel bietet das BMDS mit Project Spark Open-Source-KI-Bausteine für die Verwaltung unter Public Money Public Code.

Für Teams in DACH heißt das: Die Wahl des Modellanbieters ist zunehmend auch eine Compliance-Entscheidung. US-Modelle mit EU-Frontend sind leistungsstark, aber die Datenflüsse und Audit-Pfade liegen außerhalb der EU. Europäische oder lokal betriebene Modelle geben mehr Kontrolle, erfordern aber oft Abstriche bei Funktionsumfang. Die systematische Bewertung dieser Abhängigkeiten beschreibt der Artikel zur digitalen Souveränität für KI-Teams.

Was IT-Teams jetzt tun sollten

Der Transparenztermin August 2026 ist nah, die Hochrisiko-Fristen liegen dank des Omnibus in 2027 und 2028. Ein pragmatischer Dreischritt:

1. Bestandsaufnahme und Klassifizierung. Liste aller KI-Systeme inklusive eingebetteter Features (CRM, Recruiting, Analyse). Pro System: Hochrisiko-Bereich nach Anhang I/III, Transparenzpflichten, verarbeitete Datenklassen, Anbieter und Betriebsort.
2. Transparenzpflichten vorziehen. KI-Kennzeichnung, Audit-Logging und menschliche Aufsicht bis August 2026 produktionsreif machen. Das reduziert Reputationsrisiken und ist der einzige Teil, der jetzt wirklich drängt.
3. Hochrisiko-Compliance parallel aufbauen. Wer Anhang-I- oder -III-Systeme betreibt: Risikobewertung, Konformitätsbewertung und EU-Datenbank-Registrierung jetzt planen. Anderthalb Jahre klingen nach viel, bis man die Liste der Pflichten daneben legt.

DSGVO und AI Act: Zusammenspiel

Der AI Act ersetzt die DSGVO nicht, er ergänzt sie. Wenn ein KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke gleichzeitig. Die EU-Kommission arbeitet an Klarstellungen zur Schnittstelle, aber bis die vorliegen, gilt: Im Zweifelsfall beide Anforderungen erfüllen.

Praktisch heißt das: Die DSGVO regelt den Datenschutz (Rechtsgrundlage, Betroffenenrechte, Datensicherheit), der AI Act regelt die KI-spezifischen Anforderungen (Transparenz, Risikobewertung, menschliche Aufsicht). Beides muss stimmen.

Fazit

Für die meisten IT-Teams im DACH-Raum ist der AI Act überschaubar: Hochrisiko-Systeme betreibt kaum jemand, und für sie ist jetzt verbindlich mehr Zeit. Die Transparenzpflichten ab August 2026 betreffen dagegen fast jede kundennahe KI-Anwendung.

Der wichtigste Schritt bleibt die Bestandsaufnahme. Was 2026 neu dazukommt: Die Anbieterwahl wird Teil der Compliance-Strategie. Wer das Thema Souveränität mitbedenkt, spart sich später einen zweiten Umbau.