Der Zeitplan des EU AI Act: Was ab wann gilt

Inkrafttreten und gestaffelte Anwendung

Die Verordnung (EU) 2024/1689 (der EU AI Act) trat am 1. August 2024 in Kraft, wird aber nicht als Ganzes wirksam. Artikel 113 legt einen gestaffelten Zeitplan fest, nach dem einzelne Kapitel zu unterschiedlichen Terminen anwendbar werden; eine Änderung aus dem Jahr 2026 (der „Digital Omnibus on AI“) verschob mehrere Hochrisiko-Fristen weiter nach hinten. Für regulierte Organisationen bedeutet das: Manche Pflichten gelten bereits heute, andere folgen in klar definierten Schritten bis 2028.

Was bereits gilt: Februar und August 2025

Zwei Meilensteine sind bereits verbindlich. Seit dem 2. Februar 2025 gelten das Verbot bestimmter KI-Praktiken (Artikel 5) sowie die Pflicht zur KI-Kompetenz der Beschäftigten (Artikel 4). Seit dem 2. August 2025 greifen die Pflichten für Anbieter von GPAI-Modellen, die Governance-Strukturen auf EU- und nationaler Ebene sowie der Sanktionsrahmen.

• 2. Feb. 2025 — Verbotene Praktiken (Art. 5) und KI-Kompetenz (Art. 4)
• 2. Aug. 2025 — GPAI-Modellpflichten, Governance-Stellen und Sanktionen

Was noch kommt: 2026, 2027 und 2028

Der nächste Meilenstein ist der 2. August 2026: Dann greifen die Transparenzpflichten nach Artikel 50 — etwa der Hinweis, dass Nutzer mit KI interagieren, und die Kennzeichnung KI-generierter Inhalte —, während die Kennzeichnungspflicht der Anbieter (Artikel 50 Absatz 2) am 2. Dezember 2026 folgt. Die folgenschwersten Pflichten wurden jedoch verschoben: Die „Digital-Omnibus“-Änderung von 2026 hat die Kernpflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III — Risikomanagement, Daten-Governance, Protokollierung, technische Dokumentation und menschliche Aufsicht — vom 2. August 2026 auf den 2. Dezember 2027 verlegt. Hochrisiko-KI als Sicherheitsbauteil in bereits regulierten Produkten nach Anhang I (Artikel 6 Absatz 1) folgt am 2. August 2028.

Diese Verschiebung ist geltendes Recht, kein Entwurf mehr: Der Digital Omnibus on AI wurde am 16. Juni 2026 vom Europäischen Parlament gebilligt und am 29. Juni 2026 vom Rat endgültig angenommen; die Veröffentlichung im Amtsblatt folgt. Er hat den Zeitplan neu geordnet, den materiellen Gehalt der Pflichten — und den Sanktionsrahmen — aber unberührt gelassen. Maßgeblich bleibt der verabschiedete Text der Verordnung (EU) 2024/1689 in der geänderten Fassung.

Der Digital Omnibus hat nicht nur Fristen verschoben, sondern auch neue Verbote ergänzt: Artikel 5 untersagt nun ausdrücklich KI-Systeme zur Erzeugung nicht-einvernehmlicher intimer Bilddarstellungen („Nudifier") sowie von Material über sexuellen Kindesmissbrauch (CSAM). Diese neuen verbotenen Praktiken gelten ab dem 2. Dezember 2026.

Bußgeldrahmen und was jetzt zu tun ist

Artikel 99 sieht drei Bußgeldstufen vor, jeweils der höhere Betrag: bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken nach Artikel 5; bis zu 15 Mio. EUR oder 3 % für die meisten anderen Verstöße; bis zu 7,5 Mio. EUR oder 1 % für die Übermittlung falscher, unvollständiger oder irreführender Angaben an Behörden oder benannte Stellen. Da die Sanktionen seit August 2025 anwendbar sind, ist dieser Rahmen kein Zukunftsthema, sondern bereits geltendes Recht.

Praktisch heißt das: Erstellen Sie ein Inventar aller eingesetzten und beschafften KI-Systeme, ordnen Sie sie den Risikokategorien der Verordnung zu und prüfen Sie Anhang-III-Anwendungsfälle vorrangig. Verankern Sie KI-Kompetenz-Schulungen, dokumentieren Sie Datenherkunft und menschliche Aufsicht und klären Sie Ihre Rolle je System (Anbieter, Betreiber, Importeur oder Händler), da sich die Pflichten daran bemessen.

• 35 Mio. EUR / 7 % — verbotene Praktiken (Art. 5)
• 15 Mio. EUR / 3 % — die meisten sonstigen Verstöße
• 7,5 Mio. EUR / 1 % — falsche Angaben an Behörden