Zeitplan des AI Act: Alle wichtigen Compliance-Fristen

Der europäische AI Act schafft einen harmonisierten Rechtsrahmen für die Entwicklung, das Inverkehrbringen und die Nutzung von Systemen der künstlichen Intelligenz in der Europäischen Union.

Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft. Allerdings wurden nicht alle Bestimmungen zu diesem Zeitpunkt anwendbar. Der europäische Gesetzgeber hat einen gestaffelten Anwendungszeitplan vorgesehen, um Organisationen ausreichend Zeit für die Vorbereitung auf die neuen Anforderungen zu geben.

Dieser Zeitplan wurde anschließend durch die Verordnung (EU) 2026/1744 geändert. Diese Verordnung wurde am 8. Juli 2026 angenommen, am 24. Juli 2026 im Amtsblatt der Europäischen Union veröffentlicht und trat am 27. Juli 2026 in Kraft. Sie vereinfacht die Umsetzung bestimmter Verpflichtungen des AI Act und verschiebt mehrere Fristen.

Zeitplan des AI Act

Datum	Meilenstein
1. August 2024	Inkrafttreten des AI Act
2. Februar 2025	Anwendung der verbotenen KI-Praktiken (Artikel 5) und der Verpflichtung zur KI-Kompetenz (Artikel 4)
2. August 2025	Anwendung der Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck (GPAI), der europäischen KI-Governance und der zuständigen Behörden
2. August 2026	Anwendung des Großteils der Bestimmungen des AI Act, insbesondere der wichtigsten Transparenzpflichten nach Artikel 50
2. Dezember 2026	Anwendung der Pflicht zur maschinenlesbaren Kennzeichnung nach Artikel 50 Absatz 2 für bestimmte bereits in Verkehr gebrachte KI-Systeme
2. August 2027	Ende der Übergangsfrist für bestehende GPAI-Modelle sowie Frist für die Einrichtung mindestens eines KI-Reallabors (Regulatory Sandbox) je Mitgliedstaat
2. Dezember 2027	Anwendung der Verpflichtungen für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 und Anhang III
2. August 2028	Anwendung der Verpflichtungen für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 1 und Anhang I
2. August 2030	Anwendung der Verpflichtungen für bestimmte Hochrisiko-KI-Systeme, die für den Einsatz durch Behörden bestimmt sind
31. Dezember 2030	Anwendung der Vorschriften für die in Anhang X aufgeführten IT-Großsysteme

Wichtig: Die nächste Frist des AI Act ist der 2. Dezember 2026. Sie betrifft ausschließlich die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2. Artikel 50 insgesamt wurde nicht verschoben.

1. August 2024: Inkrafttreten des AI Act

Der AI Act trat am 1. August 2024, zwanzig Tage nach seiner Veröffentlichung im Amtsblatt der Europäischen Union, offiziell in Kraft.

Mit diesem Datum begann der neue europäische Rechtsrahmen für künstliche Intelligenz. Die meisten Verpflichtungen der Verordnung waren jedoch noch nicht unmittelbar anwendbar.

Diese erste Phase sollte Organisationen ermöglichen,

alle eingesetzten, entwickelten oder vermarkteten KI-Systeme zu erfassen;
ihre jeweilige Rolle nach dem AI Act zu bestimmen (Anbieter, Betreiber, Importeur, Händler oder Bevollmächtigter);
KI-Anwendungsfälle zu kartieren;
potenzielle Hochrisiko-KI-Systeme zu identifizieren;
eine KI-Governance aufzubauen;
die erforderliche Compliance-Dokumentation vorzubereiten.

Die Erstellung eines vollständigen KI-Inventars bildet die Grundlage jeder Compliance-Strategie. Ohne einen vollständigen Überblick über sämtliche KI-Systeme lassen sich die regulatorischen Verpflichtungen nicht zuverlässig bestimmen.

2. Februar 2025: Die ersten Verpflichtungen werden anwendbar

Am 2. Februar 2025 werden die ersten Bestimmungen des AI Act anwendbar.

Diese Frist betrifft insbesondere:

die verbotenen KI-Praktiken nach Artikel 5;
die Verpflichtung zur KI-Kompetenz nach Artikel 4.

Verbotene KI-Praktiken

Artikel 5 untersagt verschiedene KI-Praktiken, die als unannehmbares Risiko für die Grundrechte angesehen werden.

Hierzu gehören unter anderem:

bestimmte unterschwellige oder manipulative Techniken;
bestimmte Formen der Ausnutzung von Schwachstellen aufgrund des Alters, einer Behinderung oder der sozialen beziehungsweise wirtschaftlichen Situation;
bestimmte Formen des Social Scoring;
bestimmte Systeme zur Bewertung des Kriminalitätsrisikos ausschließlich auf Grundlage eines Profils;
bestimmte Datenbanken zur Gesichtserkennung, die durch wahlloses Sammeln von Bildern erstellt werden;
bestimmte Systeme zur Emotionserkennung;
bestimmte biometrische Kategorisierungssysteme unter Verwendung sensibler personenbezogener Daten;
bestimmte Formen der biometrischen Fernidentifizierung in Echtzeit im öffentlichen Raum.

Organisationen müssen sicherstellen, dass keines ihrer entwickelten, vermarkteten oder eingesetzten KI-Systeme unter diese verbotenen Kategorien fällt.

Verpflichtung zur KI-Kompetenz

Artikel 4 verpflichtet Anbieter und Betreiber dazu, geeignete Maßnahmen zu treffen, damit Personen, die KI-Systeme in ihrem Auftrag nutzen, über ein ausreichendes Maß an KI-Kompetenz (AI Literacy) verfügen.

Diese Maßnahmen sollten insbesondere auf Folgendes abgestimmt sein:

die Aufgaben der Nutzer;
deren technische Kenntnisse;
die verwendeten KI-Systeme;
die damit verbundenen Risiken;
die Personen oder Personengruppen, die von den Systemen betroffen sein können.

Eine allgemeine Sensibilisierung reicht daher nicht immer aus. Schulungsmaßnahmen sollten sich an den tatsächlichen KI-Anwendungen innerhalb der Organisation orientieren.

2. August 2025: KI-Modelle mit allgemeinem Verwendungszweck und Governance

Seit dem 2. August 2025 gelten die Vorschriften für KI-Modelle mit allgemeinem Verwendungszweck (General-Purpose AI Models – GPAI) für neu in Verkehr gebrachte Modelle.

Anbieter müssen insbesondere:

eine technische Dokumentation erstellen;
nachgelagerten Anbietern ausreichende Informationen bereitstellen;
eine Strategie zur Einhaltung des Urheberrechts umsetzen;
soweit erforderlich eine ausreichend detaillierte Zusammenfassung der Trainingsdaten veröffentlichen;
mit den zuständigen Behörden zusammenarbeiten.

Modelle mit systemischen Risiken unterliegen zusätzlichen Verpflichtungen, insbesondere im Bereich der Bewertung, Cybersicherheit und des Risikomanagements.

Mit diesem Datum werden außerdem die Vorschriften über folgende Einrichtungen anwendbar:

das Europäische KI-Büro (AI Office);
die zuständigen nationalen Behörden;
den Europäischen Ausschuss für künstliche Intelligenz;
Marktüberwachungsmechanismen;
das Sanktionssystem des AI Act.

2. August 2026: Der Großteil der Bestimmungen wird anwendbar

Der 2. August 2026 stellt die wichtigste Frist des AI Act dar.

Ab diesem Zeitpunkt gilt der überwiegende Teil der Verordnung.

Hierzu gehören insbesondere:

die allgemeinen Verpflichtungen für Anbieter;
die Verpflichtungen für Importeure und Händler;
mehrere Transparenzpflichten nach Artikel 50;
die Marktüberwachung.

Transparenzpflichten

Anbieter von KI-Systemen, die für die Interaktion mit natürlichen Personen bestimmt sind, müssen diese darüber informieren, dass sie mit einem KI-System interagieren, sofern dies nicht bereits offensichtlich ist.

Betreiber von KI-Systemen, die Deepfakes erzeugen, müssen offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden, sofern keine Ausnahme nach der Verordnung greift.

Auch Betreiber bestimmter Systeme zur Emotionserkennung oder biometrischen Kategorisierung unterliegen besonderen Transparenzpflichten.

Wichtig: Entgegen einer weit verbreiteten Annahme wurde Artikel 50 nicht auf den 2. Dezember 2026 verschoben. Die wesentlichen Transparenzpflichten nach Artikel 50 gelten bereits seit dem 2. August 2026.

2. Dezember 2026: Maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2

Die Verordnung (EU) 2026/1744 sieht für eine ganz bestimmte Verpflichtung aus Artikel 50 eine zusätzliche Übergangsfrist vor.

Diese Frist betrifft ausschließlich Artikel 50 Absatz 2.

Anbieter bestimmter KI-Systeme, die synthetische Inhalte erzeugen und bereits vor Inkrafttreten der allgemeinen Transparenzpflichten in Verkehr gebracht wurden, müssen sicherstellen, dass die erzeugten Inhalte mit einer maschinenlesbaren Kennzeichnung versehen werden, anhand derer sie als künstlich erzeugt oder manipuliert erkannt werden können.

Diese Kennzeichnung muss:

wirksam sein;
interoperabel sein;
robust sein;
zuverlässig sein;
dem Stand der Technik entsprechen.

Dabei ist zwischen zwei unterschiedlichen Verpflichtungen zu unterscheiden:

der sichtbaren Information gegenüber den Nutzern, die seit dem 2. August 2026 gilt;
der technischen Pflicht zur maschinenlesbaren Kennzeichnung nach Artikel 50 Absatz 2, die ab dem 2. Dezember 2026 für bestimmte bereits in Verkehr gebrachte KI-Systeme gilt.

2. August 2027: Bestehende GPAI-Modelle und KI-Reallabore (Regulatory Sandboxes)

Der 2. August 2027 markiert zwei wichtige Meilensteine des AI Act.

Zum einen endet an diesem Tag die Übergangsfrist für KI-Modelle mit allgemeinem Verwendungszweck (General-Purpose AI Models – GPAI), die bereits vor dem 2. August 2025 in Verkehr gebracht wurden.

Zum anderen müssen die Mitgliedstaaten bis zu diesem Zeitpunkt mindestens ein KI-Reallabor (AI Regulatory Sandbox) eingerichtet haben.

Konformität bestehender GPAI-Modelle

Anbieter von GPAI-Modellen, die vor dem 2. August 2025 in Verkehr gebracht wurden, haben bis zum 2. August 2027 Zeit, die neuen Anforderungen des AI Act vollständig umzusetzen.

Sie müssen insbesondere:

ihre technische Dokumentation vervollständigen;
nachgelagerten Anbietern die erforderlichen Informationen bereitstellen;
eine Strategie zur Einhaltung des Urheberrechts umsetzen;
soweit erforderlich eine ausreichend detaillierte Zusammenfassung der Trainingsdaten veröffentlichen;
die zusätzlichen Verpflichtungen für GPAI-Modelle mit systemischem Risiko erfüllen.

Diese Übergangsfrist ermöglicht es den Anbietern, bestehende Foundation Models schrittweise an die Anforderungen des AI Act anzupassen.

KI-Reallabore (AI Regulatory Sandboxes)

Die Verordnung (EU) 2026/1744 hat außerdem die Frist für die Einrichtung von KI-Reallaboren (AI Regulatory Sandboxes) durch die Mitgliedstaaten verschoben.

Jeder Mitgliedstaat muss bis spätestens 2. August 2027 mindestens ein KI-Reallabor eingerichtet haben.

Diese Reallabore ermöglichen es Unternehmen – insbesondere KMU und Start-ups –, innovative KI-Systeme unter Aufsicht der zuständigen Behörden in einer kontrollierten regulatorischen Umgebung zu entwickeln, zu testen und zu validieren.

Sie verfolgen insbesondere folgende Ziele:

Förderung von Innovation;
Unterstützung von Unternehmen bei der Umsetzung der regulatorischen Anforderungen;
Erleichterung des Austauschs mit den Aufsichtsbehörden;
Erprobung innovativer KI-Systeme vor ihrem Inverkehrbringen.

2. Dezember 2027: Hochrisiko-KI-Systeme nach Anhang III

Die Verordnung (EU) 2026/1744 hat den Zeitplan für Hochrisiko-KI-Systeme grundlegend geändert.

Die erste wesentliche Frist ist nun der 2. Dezember 2027.

Sie betrifft Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2, also die in Anhang III aufgeführten Systeme.

Anhang III umfasst insbesondere KI-Systeme in folgenden Bereichen:

Biometrie;
kritische Infrastrukturen;
allgemeine und berufliche Bildung;
Beschäftigung, Personalmanagement und Arbeitsverhältnisse;
Zugang zu wesentlichen öffentlichen und privaten Dienstleistungen;
Strafverfolgung;
Migration, Asyl und Grenzverwaltung;
Justiz und demokratische Prozesse.

Die betroffenen Organisationen müssen insbesondere Folgendes einführen:

ein Risikomanagementsystem;
Maßnahmen zur Data Governance;
eine technische Dokumentation;
eine automatische Protokollierung von Ereignissen;
eine angemessene menschliche Aufsicht;
Maßnahmen zur Gewährleistung von Genauigkeit, Robustheit und Cybersicherheit;
ein Qualitätsmanagementsystem;
Verfahren zur Marktüberwachung nach dem Inverkehrbringen;
Verfahren zur Meldung schwerwiegender Vorfälle.

Betreiber müssen darüber hinaus unter anderem:

das System entsprechend den Anweisungen des Anbieters verwenden;
eine wirksame menschliche Aufsicht sicherstellen;
Protokolle aufbewahren, soweit sie ihrer Kontrolle unterliegen;
bestimmte Vorfälle den Anbietern und zuständigen Behörden melden;
gegebenenfalls eine Grundrechte-Folgenabschätzung (Fundamental Rights Impact Assessment – FRIA) durchführen.

2. August 2028: Hochrisiko-KI-Systeme nach Anhang I

Ein weiterer Anwendungstermin gilt für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 1.

Diese Frist ist auf den 2. August 2028 festgelegt.

Sie betrifft KI-Systeme, die Sicherheitsbauteile oder eigenständige Produkte sind und unter die in Anhang I aufgeführte europäische Harmonisierungsrechtsvorschriften fallen.

Hierzu zählen insbesondere bestimmte:

Medizinprodukte;
In-vitro-Diagnostika;
Maschinen;
Aufzüge;
Funkanlagen;
persönliche Schutzausrüstungen;
Spielzeuge;
Luftfahrtprodukte;
Kraftfahrzeuge;
weitere Produkte, die vor ihrem Inverkehrbringen einer Konformitätsbewertung durch Dritte unterliegen.

In diesen Fällen müssen die Anforderungen des AI Act mit den bereits geltenden sektoralen Produktvorschriften abgestimmt werden.

Hersteller müssen insbesondere koordinieren:

die Risikoanalyse;
die technische Dokumentation;
Prüfungen und Tests;
Konformitätsbewertungsverfahren;
Marktüberwachung nach dem Inverkehrbringen;
das Management von Vorfällen;
die Zusammenarbeit mit benannten Stellen.

Warum wurde der Zeitplan geändert?

Die Verordnung (EU) 2026/1744 hat den ursprünglichen Zeitplan des AI Act vereinfacht.

Frühere Fassungen der Reform sahen einen bedingten Auslösemechanismus vor.

Danach sollten bestimmte Verpflichtungen für Hochrisiko-KI-Systeme erst anwendbar werden, nachdem harmonisierte Normen, gemeinsame Spezifikationen oder andere Umsetzungsinstrumente verfügbar gewesen wären.

Dieser Mechanismus wurde im endgültigen Gesetzgebungsverfahren jedoch aufgegeben.

Stattdessen hat der europäische Gesetzgeber feste Anwendungstermine eingeführt:

2. Dezember 2027 für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 2 und Anhang III;
2. August 2028 für Hochrisiko-KI-Systeme nach Artikel 6 Absatz 1 und Anhang I.

Dadurch erhalten Organisationen einen klaren und vorhersehbaren Zeitplan für ihre Compliance.

2. August 2030: Bestimmte Hochrisiko-KI-Systeme für Behörden

Artikel 111 sieht eine besondere Übergangsregelung für bestimmte Hochrisiko-KI-Systeme vor, die für den Einsatz durch öffentliche Behörden bestimmt sind.

Die betreffenden Systeme müssen die geltenden Anforderungen spätestens bis zum 2. August 2030 erfüllen.

Diese Frist ist von derjenigen für die in Anhang X genannten IT-Großsysteme zu unterscheiden.

31. Dezember 2030: IT-Großsysteme nach Anhang X

Der 31. Dezember 2030 stellt eine eigenständige Frist dar.

Sie betrifft ausschließlich die IT-Großsysteme der Europäischen Union, die in Anhang X des AI Act aufgeführt sind.

Diese Systeme, die bereits durch das Unionsrecht in den Bereichen Freiheit, Sicherheit und Recht geschaffen wurden, profitieren von einer eigenen Übergangsregelung.

Es wäre daher unzutreffend, dieses Datum als allgemeine Frist für sämtliche von Behörden genutzten KI-Systeme darzustellen.

Wie können sich Organisationen vorbereiten?

Der gestaffelte Zeitplan des AI Act sollte Organisationen nicht dazu verleiten, mit ihren Vorbereitungen bis kurz vor jeder Frist zu warten.

Die Umsetzung der Anforderungen erfordert in der Regel mehrere Monate Vorbereitung.

Zu den wichtigsten Schritten gehören:

sämtliche entwickelten, eingesetzten oder genutzten KI-Systeme erfassen;
die regulatorische Rolle der Organisation bestimmen (Anbieter, Betreiber, Importeur, Händler oder Bevollmächtigter);
jedes KI-System nach den Vorgaben des AI Act klassifizieren;
Systeme identifizieren, die unter Anhang III oder Anhang I fallen;
eine KI-Governance etablieren;
Compliance-Bewertungen dokumentieren;
Mitarbeitende entsprechend Artikel 4 schulen;
Durchführungsrechtsakte, Leitlinien, harmonisierte Normen und regulatorische Entwicklungen kontinuierlich verfolgen.

Eine wirksame regulatorische Beobachtung ist unerlässlich. Die Verordnung (EU) 2026/1744 zeigt, dass sich der Umsetzungszeitplan des AI Act weiterentwickeln kann, um den praktischen Bedürfnissen von Organisationen und Aufsichtsbehörden Rechnung zu tragen.

AI-Act-Compliance mit Dastra steuern

Eine KI-Governance-Plattform wie Dastra unterstützt Organisationen dabei, ihre AI-Act-Compliance strukturiert und zentral zu verwalten.

Sie ermöglicht insbesondere:

ein zentrales Verzeichnis aller KI-Systeme;
die Dokumentation von KI-Anwendungsfällen;
die Identifizierung der Rollen aller beteiligten Akteure;
die Klassifizierung von KI-Systemen nach den Vorgaben des AI Act;
die Unterscheidung zwischen Systemen nach Anhang I, Anhang III oder dem GPAI-Regime;
die Dokumentation von Konformitätsbewertungen;
die Verwaltung von Maßnahmenplänen;
die Zuweisung von Verantwortlichkeiten;
die Aufbewahrung von Compliance-Nachweisen;
die Überwachung regulatorischer Fristen;
die kontinuierliche Beobachtung der Weiterentwicklung des europäischen KI-Rechtsrahmens.

Die Einhaltung des AI Act bedeutet nicht nur, einzelne Fristen einzuhalten. Sie erfordert den Aufbau einer nachhaltigen KI-Governance, die sich gemeinsam mit den eingesetzten Technologien, den organisatorischen Prozessen und dem europäischen Rechtsrahmen weiterentwickeln kann.

Eine Demo anfragen

AI-Act-Zeitplan: Alle wichtigen Fristen der europäischen KI-Verordnung im Überblick

Die europäische KI-Verordnung wird schrittweise anwendbar. Erfahren Sie, welche Fristen gelten und welche Compliance-Maßnahmen Unternehmen rechtzeitig vorbereiten sollten.