AI Act Fristen 2024–2028: Wann gilt was? Kompletter Zeitplan

Der EU AI Act ist seit August 2024 geltendes Recht — aber nicht alle Pflichten greifen sofort. Die Verordnung wird in Stufen zwischen 2025 und 2028 wirksam. Dieser Artikel zeigt dir den kompletten Zeitplan: Welche Fristen gelten wann, was musst du bis wann umsetzen, und was passiert bei Verstößen.

Stand: 27. September 2026. Alle Daten basieren auf der Verordnung (EU) 2024/1689 [1] in der Fassung der Digital-Omnibus-Verordnung (EU) 2026/1744.

AI Act Zeitplan: Die 4 Stufen auf einen Blick

Der AI Act folgt einem gestaffelten Zeitplan. Die EU gibt Unternehmen bewusst Zeit, sich vorzubereiten — aber die ersten Fristen sind bereits abgelaufen [1]:

Datum	Was gilt ab dann?	Betroffene
1. August 2024	AI Act tritt in Kraft	Alle
2. Februar 2025	Verbotene KI-Praktiken (Kapitel II)	Alle Anbieter und Betreiber
2. August 2025	GPAI-Modelle / Foundation Models (Kapitel V)	Anbieter von KI-Modellen (OpenAI, Google, Meta etc.)
2. August 2026	Transparenzpflichten (Art. 50) und allgemeine Geltung der Verordnung	Anbieter von KI-Systemen, die mit Menschen interagieren oder synthetische Inhalte erzeugen; Betreiber von Emotionserkennung, biometrischer Kategorisierung und Deepfakes sowie bei KI-Text zu Angelegenheiten von öffentlichem Interesse
2. Dezember 2026	Ende der Übergangsfrist für maschinenlesbare Markierung (Art. 50 Abs. 2) bei KI-Systemen, die vor dem 2. August 2026 auf dem Markt waren (Art. 111 Abs. 4); außerdem gelten die neuen Verbote nach Art. 5 Abs. 1 Buchst. ba und bb	Anbieter generativer KI
2. Dezember 2027	Hochrisiko-KI nach Anhang III (verschoben durch Digital-Omnibus)	Anbieter und Betreiber von Hochrisiko-KI
2. August 2028	Hochrisiko-KI nach Anhang I (Produktsicherheit)	Produkthersteller

Stufe 1: Verbote seit Februar 2025

Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken in der EU komplett verboten. Wer sie einsetzt, verstößt bereits heute gegen geltendes Recht [1][2]. Ebenfalls seit diesem Datum gilt Art. 4 (KI-Kompetenz) für Anbieter und Betreiber; seit dem Digital-Omnibus (27. Juli 2026) in abgeschwächter Form: Maßnahmen zur Unterstützung, kein garantiertes Kompetenzniveau. Verboten sind unter anderem:

Verboten sind:

• — Niemand (weder Behörden noch Unternehmen) darf Menschen anhand ihres Sozialverhaltens oder persönlicher Merkmale bewerten, wenn das zu ungerechtfertigten oder sachfremden Benachteiligungen führt
• Manipulative KI — Systeme, die unbewusste Techniken (Subliminal Techniques) nutzen, um Entscheidungen zu beeinflussen
• in öffentlich zugänglichen Räumen zu Zwecken der Strafverfolgung — mit eng definierten Ausnahmen, z. B. Suche nach Vermissten oder Abwehr eines Terroranschlags [3]
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• Biometrische Kategorisierung nach sensiblen Merkmalen (Ethnie, Religion, sexuelle Orientierung)

Für die meisten Unternehmen ist diese Stufe unkritisch — es sei denn, du setzt KI für Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung nach sensiblen Merkmalen oder Social Scoring ein. KI im Bewerbungsscreening ist nicht verboten, sondern Hochrisiko-KI (siehe Stufe 4).

Stufe 2: GPAI-Regeln seit August 2025

Seit dem 2. August 2025 gelten Regeln für General Purpose AI (GPAI) — also Foundation Models wie GPT-4, Claude, Gemini oder Llama [1][4]. Für Modelle, die schon vor dem 2. August 2025 in Verkehr gebracht wurden, gilt eine Übergangsfrist bis zum 2. August 2027 (Art. 111 Abs. 3).

Betroffen sind die Anbieter dieser Modelle (die letzten beiden Punkte gelten nur für Modelle mit systemischem Risiko, Art. 55):

• Technische Dokumentation über Trainingsmethoden, Daten und Evaluierung bereitstellen
• einführen; zusätzlich eine hinreichend detaillierte Zusammenfassung der Trainingsinhalte nach Vorlage des KI-Büros veröffentlichen
• Systemic Risk Assessment für besonders leistungsfähige Modelle (>10²⁵ FLOPs Trainingsaufwand)
• Red Teaming und adversariale Tests dokumentieren

(nicht selbst trainierst), bist du von dieser Stufe nicht direkt betroffen. Die Pflichten liegen bei den Modellanbietern. Achtung: Wer ein Modell unter eigenem Namen als KI-System anbietet oder es wesentlich verändert, kann selbst zum Anbieter werden (Art. 25).

Stufe 3: Transparenzpflichten seit August 2026

Seit dem 2. August 2026 gelten die Transparenzpflichten nach Article 50 [1][6]. Sie treffen Anbieter von KI-Systemen (Offenlegung der KI-Interaktion, maschinenlesbare Markierung) und Betreiber nur in bestimmten Fällen (Deepfakes, Emotionserkennung, KI-Texte zu Angelegenheiten von öffentlichem Interesse). Wer KI-Inhalte nur veröffentlicht, ist nicht automatisch kennzeichnungspflichtig.

Konkret musst du seit August 2026:

• KI-Interaktionen offenlegen — Nutzer müssen wissen, wenn sie mit einem KI-System kommunizieren (z. B. Chatbot auf deiner Website)
• — Anbieter generativer KI müssen Ausgaben maschinenlesbar markieren; als Betreiber musst du KI-Texte nur offenlegen, wenn sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren und nicht menschlich geprüft und redaktionell verantwortet werden
• — KI-Bilder, -Audio oder -Videos, die existierenden Personen, Gegenständen, Orten, Einrichtungen oder Ereignissen ähneln und fälschlich echt wirken, musst du als Betreiber offenlegen
• — Anbieter generativer KI müssen Ausgaben maschinenlesbar als KI-generiert markieren; das Gesetz nennt keinen bestimmten Standard (ErwG 133: z. B. Wasserzeichen, Metadaten, kryptografische Herkunftsnachweise). Für Website-Betreiber ist das keine eigene Pflicht.

Für eine detaillierte Aufschlüsselung von Article 50 lies unseren Article 50 Deep-Dive.

Was bedeutet das praktisch?

Ein Blog mit KI-Texten, KI-Produktbilder oder ein Chatbot lösen nicht automatisch eine Pflicht aus. Kennzeichnen musst du als Betreiber vor allem Deepfakes (z. B. ein KI-Produktbild, das das Produkt besser oder anders zeigt als es ist) und KI-Texte zu Angelegenheiten von öffentlichem Interesse ohne menschliche Prüfung und redaktionelle Verantwortung. Den Chatbot-Hinweis schuldet zunächst der Anbieter. Die

(mein eigenes Open-Source-Projekt, MIT-Lizenz) erfüllen keine gesetzliche Pflicht und ersetzen keine rechtliche Prüfung; sie können allenfalls ein freiwilliges Transparenzsignal setzen.

Stufe 4: Hochrisiko-KI ab Dezember 2027

Die letzte und strengste Stufe betrifft Hochrisiko-KI-Systeme. Ursprünglich sollten die Anforderungen aus Kapitel III ab August 2026 bzw. 2027 gelten [1][7]. Die Digital-Omnibus-Verordnung (EU) 2026/1744 hat das verschoben: Für Hochrisiko-KI nach Anhang III gelten sie ab dem 2. Dezember 2027, für KI in bereits regulierten Produkten (Anhang I) ab dem 2. August 2028.

Hochrisiko-KI nach Anhang III umfasst unter anderem:

• (Fernidentifizierung, Kategorisierung nach sensiblen Merkmalen, Emotionserkennung)
• Kritische Infrastruktur — Wasser, Strom, Verkehr, digitale Infrastruktur
• Bildung und Berufsausbildung — KI für Prüfungsbewertung, Zugangssteuerung
• Beschäftigung — KI für Bewerbungsscreening, Leistungsbewertung, Beförderung
• — Kreditwürdigkeitsprüfung natürlicher Personen, Risiko- und Preisbewertung bei Lebens- und Krankenversicherungen
• Strafverfolgung — Risikoanalyse, Beweisbewertung
• Migration und Asyl — Risikobewertung, Dokumentenprüfung
• Justiz und Demokratie — KI in Gerichtsverfahren, Wahlbeeinflussung

Pflichten für Hochrisiko-KI-Anbieter:

• Risikomanagement-System einführen (Artikel 9)
• Datenqualität sicherstellen (Artikel 10)
• Technische Dokumentation erstellen (Artikel 11)
• Protokollierung und Logging implementieren (Artikel 12)
• Menschliche Aufsicht gewährleisten (Artikel 14)
• CE-Konformitätsbewertung durchlaufen
• EU-Datenbank-Registrierung

Strafen bei Verstößen

Der AI Act kennt drei Bußgeld-Stufen, gestaffelt nach Schwere des Verstoßes [1][8]:

Verstoß	Maximale Strafe	Alternative (Umsatz)
Verbotene KI-Praktiken	35 Mio. EUR	7 % des weltweiten Jahresumsatzes
Hochrisiko-Pflichten, Transparenzpflichten	15 Mio. EUR	3 % des weltweiten Jahresumsatzes
Falsche Angaben gegenüber Behörden	7,5 Mio. EUR	1 % des weltweiten Jahresumsatzes

Für KMU und Startups gelten niedrigere Obergrenzen: Es gilt jeweils der niedrigere der beiden Beträge. Ein Startup mit 500.000 EUR Umsatz zahlt also maximal 15.000 EUR (3 %) statt 15 Mio. EUR [1].

. Der AI Act geht nur bei verbotenen Praktiken (35 Mio. EUR / 7 %) darüber hinaus; bei Transparenz- und Hochrisikoverstößen (15 Mio. EUR / 3 %) liegt er unter dem DSGVO-Höchstrahmen.

Checkliste: Was musst du bis wann tun?

Je nach Unternehmensgröße und KI-Einsatz ergeben sich unterschiedliche Handlungsfelder:

Sofort (bereits gültig seit Februar 2025)

• ☐ Prüfen: Setzt du KI für Social Scoring, biometrische Kategorisierung nach sensiblen Merkmalen oder Emotionserkennung am Arbeitsplatz bzw. in Bildungseinrichtungen ein?
• ☐ Falls ja: Sofort abschalten — diese Praktiken sind verboten. ☐ KI-Kompetenz (Art. 4): Maßnahmen ergreifen, damit Mitarbeitende, die KI nutzen, ausreichend geschult sind

Seit August 2026 Pflicht (Transparenzpflichten)

• ☐ Inventar: Wo setzt du KI ein? (Chatbot, Content, Bilder, Automatisierung)
• ☐ Kennzeichnung: Deepfakes und KI-Texte zu Angelegenheiten von öffentlichem Interesse ohne redaktionelle Kontrolle offenlegen
• ☐ Chatbot-Hinweis: Nutzer über KI-Interaktion informieren (Chatbot-Kennzeichnungspflicht)
• ☐ Bilder: KI-Produktbilder kennzeichnen, wenn sie das Produkt besser oder anders zeigen als es ist (Deepfake); echtes Produkt vor KI-Hintergrund ist kein Deepfake (
• ☐ Website: prüfen, ob auf deiner Website eine Offenlegungspflicht greift (Deepfakes, KI-Texte zu öffentlichen Angelegenheiten) (
• ☐ Metadaten: Nur als Anbieter generativer KI Pflicht (maschinenlesbare Markierung, Art. 50 Abs. 2, Übergangsfrist bis 2. Dezember 2026 für Altsysteme); für Website-Betreiber freiwillig

Bis Dezember 2027 (Hochrisiko-KI nach Anhang III)

• ☐ Klassifizierung: Fällt dein KI-System unter Anhang III?
• ☐ Risikomanagement-System aufbauen
• ☐ Technische Dokumentation erstellen
• ☐ Konformitätsbewertung planen
• ☐ EU-Datenbank-Registrierung vorbereiten

Sonderfälle und Ausnahmen

Open-Source-KI

Open-Source-KI-Systeme sind vom AI Act weitgehend ausgenommen — außer sie sind Hochrisiko-KI, fallen unter die Verbote (Art. 5) oder unter Article 50. Open-Source-GPAI-Modelle haben erleichterte Dokumentationspflichten, außer bei systemischem Risiko [1][9].

Forschung und Entwicklung

KI-Systeme, die ausschließlich für Forschungszwecke entwickelt werden und nicht auf den Markt kommen, sind vom AI Act ausgenommen. Sobald sie jedoch produktiv eingesetzt werden, greifen alle Pflichten [1].

Nicht-EU-Unternehmen

Der AI Act gilt extraterritorial — ähnlich wie die DSGVO. Wenn du ein KI-System in der EU anbietest oder die Ergebnisse eines KI-Systems in der EU genutzt werden, musst du dich an die Verordnung halten [1][10].

Häufige Fragen zum AI Act Zeitplan

Wann tritt der AI Act in Kraft?

Der AI Act ist am 1. August 2024 in Kraft getreten. Die Pflichten werden stufenweise zwischen Februar 2025 und August 2028 wirksam (Hochrisiko-Termine verschoben durch die Digital-Omnibus-Verordnung (EU) 2026/1744).

Ab wann gelten die Transparenzpflichten?

Die Transparenzpflichten nach Article 50 gelten seit dem 2. August 2026. Anbieter müssen KI-Interaktionen offenlegen und Ausgaben maschinenlesbar markieren (für Altsysteme Übergangsfrist bis 2. Dezember 2026); Betreiber müssen Deepfakes und KI-Texte zu Angelegenheiten von öffentlichem Interesse ohne redaktionelle Kontrolle offenlegen.

Welche Fristen gelten für Hochrisiko-KI?

Nach der Digital-Omnibus-Verordnung (EU) 2026/1744 gelten die Hochrisiko-Pflichten für Systeme nach Anhang III ab dem 2. Dezember 2027, für KI in bereits regulierten Produkten (Anhang I) ab dem 2. August 2028.

Was passiert bei Verstößen?

Bei Verstößen drohen Bußgelder bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Für KMU gelten niedrigere Obergrenzen.

Gilt der AI Act auch außerhalb der EU?

Ja. Der AI Act gilt für alle Unternehmen, die KI-Systeme in der EU anbieten oder einsetzen — unabhängig vom Firmensitz.

Muss ich als kleines Unternehmen etwas tun?

Wenn du KI im Unternehmen nutzt: ja, mindestens KI-Kompetenz nach Art. 4. Kennzeichnen musst du als Betreiber Deepfakes und KI-Texte zu Angelegenheiten von öffentlichem Interesse ohne redaktionelle Kontrolle — unabhängig von der Unternehmensgröße. Die

Quellen

[5] Artikel 25 — Verantwortlichkeiten entlang der KI-Wertschöpfungskette

---

Das könnte dich auch interessieren

• AI Act Article 50: Transparenzpflicht im Detail
• AI Act vs. DSGVO: Der komplette Vergleich
• AI Act Checkliste für KMU
• KI-Kennzeichnung auf Webseiten
• Chatbot-Kennzeichnungspflicht

---

Änderungen: 04.10.2026 – gegen Art. 111 und 113 der Verordnung und den Digital-Omnibus (EU) 2026/1744 geprüft. Ergänzt: Frist 02.08.2027 für GPAI-Modelle, die vor dem 02.08.2025 am Markt waren, KI-Kompetenz (Art. 4) seit 02.02.2025, neue Verbote ab 02.12.2026. Korrigiert: Governance gilt seit 02.08.2025; Art. 50 gilt nicht pauschal für jeden, der KI-Inhalte veröffentlicht (Abs. 1/2 Anbieter, Abs. 4 Deepfakes und bestimmte Texte); unbelegte Mithaftung von GPAI-Nutzern entfernt; Social-Scoring-Verbot gilt für alle, nicht nur Behörden; Werbehinweis auf NeuralFlow (Eigenprojekt, erfüllt keine Pflicht) entfernt.