Fristen der EU-KI-Verordnung: Alle Stichtage im Überblick

Die Tabelle gibt den Stand nach der Änderungsverordnung (EU) 2026/1744 wieder, die am 27. Juli 2026 in Kraft getreten ist. Fristenübersichten, die vor diesem Datum veröffentlicht wurden, nennen für die Hochrisiko-Pflichten noch den 2. August 2026 beziehungsweise 2027 und sind insoweit überholt.

Die Verordnung (EU) 2026/1744 vom 8. Juli 2026, veröffentlicht am 24. Juli 2026, verlegt die Anwendbarkeit von Kapitel III Abschnitte 1 bis 3. Betroffen sind damit die Anforderungen an Hochrisiko-Systeme — und zwar in beide Richtungen der Lieferkette:

• Systeme nach Anhang III (Artikel 6 Absatz 2), darunter Beschäftigung, Bildung und Kreditwürdigkeit: neuer Stichtag 2. Dezember 2027.
• Systeme nach Anhang I (Artikel 6 Absatz 1), also KI als Sicherheitsbauteil regulierter Produkte: neuer Stichtag 2. August 2028.
• Artikel 26 und 27 liegen in Kapitel III Abschnitt 3 und verschieben sich mit. Das betrifft die Betreiberpflichten für Hochrisiko-Systeme und die Grundrechte-Folgenabschätzung.

Die Verschiebung trägt feste Kalenderdaten und hängt an keiner Bedingung — anders als in früheren Entwurfsfassungen diskutiert. Eine Ausnahme ist bemerkenswert: Die Pflicht der Kommission, Leitlinien nach Artikel 6 Absatz 5 vorzulegen, ist von der Verschiebung ausdrücklich ausgenommen und bleibt beim 2. August 2026.

2. Februar 2025 — Verbote und KI-Kompetenz

Seit diesem Tag sind die in Artikel 5 aufgezählten Praktiken verboten, darunter das Ableiten von Emotionen am Arbeitsplatz, Social Scoring und bestimmte Formen biometrischer Kategorisierung. Das Verbot trifft Betreiber unmittelbar, unabhängig davon, ob sie das System selbst entwickelt haben. Die Kommission hat am 4. Februar 2025 Leitlinien dazu veröffentlicht.

Ebenfalls seit diesem Tag gilt die KI-Kompetenz-Pflicht nach Artikel 4. Sie wurde zum 27. Juli 2026 zur Bemühenspflicht abgeschwächt, ist aber nicht entfallen — und sie ist der Punkt, an dem im Mittelstand der größte Rückstand besteht.

2. August 2025 — Modelle mit allgemeinem Verwendungszweck

Die Anbieterpflichten für GPAI-Modelle sowie die Governance- und Sanktionsvorschriften gelten. Für mittelständische Betreiber sind die Anbieterpflichten selbst in aller Regel nicht einschlägig; relevant ist die nachgelagerte Wirkung: Ihre Anbieter müssen Dokumentation bereitstellen, und Sie sollten sie einholen und aufbewahren. Modelle, die vor diesem Datum in Verkehr gebracht wurden, haben bis zum 2. August 2027 Zeit zur Anpassung.

An diesem Tag wird die Verordnung im Grundsatz anwendbar. Scharf werden unter anderem die Transparenzpflichten des Kapitels IV, die Vorschriften zu Normen und Konformitätsbewertung, Artikel 6 Absatz 5, die Reallabore, die EU-Datenbank sowie Marktüberwachung und Durchsetzung. Ausgenommen bleibt der verschobene Hochrisiko-Block.

Für den durchschnittlichen mittelständischen Betrieb ist Artikel 50 der praktisch bedeutsame Teil. Er verlangt dreierlei: Systeme, die unmittelbar mit Menschen interagieren, müssen dies offenlegen; Ausgaben generativer Systeme sind maschinenlesbar zu kennzeichnen; beim Einsatz von Emotionserkennung, biometrischer Kategorisierung und bei Deepfakes ist über den Einsatz zu informieren. Diese Pflichten hängen nicht an der Hochrisiko-Einstufung.

Die Kommission hat die endgültigen Leitlinien zu Artikel 50 am 20. Juli 2026 angenommen — zwölf Tage vor Geltungsbeginn. Ergänzend besteht seit dem 10. Juni 2026 ein freiwilliger Verhaltenskodex zur Kennzeichnung KI-erzeugter Inhalte, dessen Einhaltung als Nachweis dienen kann.

Ab diesem Datum ist außerdem die Aufsicht handlungsfähig und Beschwerden können eingelegt werden. In Deutschland bündelt das KI-Marktüberwachungs- und Innovationsförderungsgesetz die Zuständigkeit bei der Bundesnetzagentur.

Zwei Dinge werden an diesem Tag fällig.

Zwei neue Verbote

Die Änderungsverordnung ergänzt Artikel 5 um die Erzeugung oder Manipulation realistischen intimen Bildmaterials identifizierbarer Personen ohne deren ausdrückliche Einwilligung sowie um Material im Sinne der Richtlinie 2011/93/EU. Das Inverkehrbringen ist nur verboten, wenn diese Erzeugung Zweckbestimmung des Systems ist oder dessen Auslegung sie nahelegt — das Verwendungsverbot trifft dagegen jeden Betreiber unmittelbar. Der Tatbestand ist mit einem Bildgenerator schnell erfüllt, weshalb er in Richtlinie und Schulung gehört.

Kennzeichnung bei Bestandssystemen

Für Systeme zur Erzeugung synthetischer Audio-, Bild-, Video- oder Textinhalte, die vor dem 2. August 2026 in Verkehr gebracht wurden, ist die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2 erst ab dem 2. Dezember 2026 zu erfüllen. Wenn Sie solche Systeme weiterbetreiben, klären Sie mit dem Anbieter, bis wann die Kennzeichnung bereitsteht, und halten Sie die Antwort schriftlich fest.

2. August 2027

Ende der Übergangsfrist für Modelle mit allgemeinem Verwendungszweck, die vor dem 2. August 2025 in Verkehr gebracht wurden.

2. Dezember 2027

Die Anforderungen an Hochrisiko-Systeme nach Anhang III greifen. Für Betreiber bedeutet das insbesondere die Pflichten aus Artikel 26 und gegebenenfalls die Grundrechte-Folgenabschätzung nach Artikel 27. Betroffen sind unter anderem Systeme in Beschäftigung und Personalauswahl — der für den Mittelstand relevanteste Anwendungsfall.

2. August 2028

Die Anforderungen für KI als Sicherheitsbauteil regulierter Produkte nach Anhang I greifen. Damit ist die Verordnung vollständig anwendbar. Zu beachten: Die Änderungsverordnung hat den Begriff des Sicherheitsbauteils enger gefasst, sodass Systeme für Leistungsoptimierung oder Qualitätskontrolle herausfallen können, sofern ihr Ausfall Gesundheit oder Sicherheit nicht gefährdet.