Wissen

KI-Verordnung: Fristen und Pflichten im Überblick

Die Verordnung (EU) 2024/1689 – oft „AI Act" genannt – gilt gestaffelt. Diese Übersicht zeigt, was bereits gilt und was noch kommt. Berücksichtigt ist die Änderungsverordnung (EU) 2026/1744 („Digital Omnibus"), die am 27. Juli 2026 in Kraft getreten ist.

1. 2. Februar 2025 gilt bereits

   KI-Kompetenz (Art. 4) und verbotene Praktiken (Art. 5)

   Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern. Bestimmte KI-Praktiken sind verboten.

2. 2. August 2025 gilt bereits

   Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck

   Transparenz- und Dokumentationspflichten für Anbieter von GPAI-Modellen.

3. 29. Juli 2026 gilt bereits

   Deutsches Durchführungsgesetz (KI-MIG)

   Die Bundesnetzagentur ist allgemeine Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle für die KI-Verordnung.

4. 2. August 2026 gilt bereits

   Transparenzpflichten (Art. 50) und behördliche Aufsicht

   Menschen müssen erkennen können, dass sie mit einer KI interagieren. Deepfakes und bestimmte KI-generierte Texte sind zu kennzeichnen. Die Marktüberwachung nimmt ihre Arbeit auf.

5. 2. Dezember 2026 bevorstehend

   Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung

   Auch Anbieter generativer KI-Systeme, die vor dem 2. August 2026 auf dem Markt waren, müssen Ausgaben maschinenlesbar markieren (Art. 50 Abs. 2).

6. 2. Dezember 2027 bevorstehend

   Hochrisiko-KI nach Anhang III

   Pflichten für Hochrisiko-Systeme, etwa im Personalwesen, bei Kreditwürdigkeitsprüfungen oder in der Bildung – einschließlich der Betreiberpflichten nach Art. 26.

7. 2. August 2028 bevorstehend

   Hochrisiko-KI in regulierten Produkten (Anhang I)

   Pflichten für KI als Sicherheitsbauteil regulierter Produkte, etwa Maschinen oder Medizinprodukte.

Was bedeutet das für einen typischen Mittelständler?

Die meisten Unternehmen sind Betreiber: Sie setzen KI-Systeme anderer Anbieter beruflich ein – vom Sprachmodell im Büro bis zur KI-Funktion in der Branchensoftware. Für sie stehen drei Themen im Vordergrund:

• KI-Kompetenz (Art. 4): Maßnahmen ergreifen, damit die Menschen, die KI nutzen, deren Funktionsweise, Grenzen und Risiken kennen. Ein bestimmtes Niveau oder ein Zertifikat ist nicht vorgeschrieben – wohl aber sollten Sie die Maßnahmen belegen können. Die Bundesnetzagentur beschreibt das Vorgehen in drei Schritten: Bedarf ermitteln, Maßnahmen gestalten, dokumentieren und regelmäßig auffrischen.
• Transparenz (Art. 50): Wer Chatbots einsetzt, Deepfakes veröffentlicht oder KI-generierte Texte zu Themen von öffentlichem Interesse ohne menschliche Prüfung verbreitet, muss das kenntlich machen.
• Hochrisiko-Einsatz (Anhang III): Wer KI etwa bei der Bewerberauswahl oder der Kreditwürdigkeitsprüfung nutzt, muss bis zum 2. Dezember 2027 die Betreiberpflichten erfüllen.

Welche Sanktionen drohen?

Die Verordnung sieht Geldbußen von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken vor, und von bis zu 15 Mio. Euro oder 3 % für Verstöße gegen andere Pflichten – etwa die Transparenzpflichten. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Werte.

Für Art. 4 gibt es kein eigenes Bußgeld. Das heißt nicht, dass die Pflicht folgenlos wäre: Fehlen Maßnahmen oder lassen sie sich nicht belegen, kann das als Verletzung der Sorgfaltspflicht gewertet werden.

Wer ist in Deutschland zuständig?

Nach dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), in Kraft seit dem 29. Juli 2026, ist die Bundesnetzagentur allgemeine Marktüberwachungsbehörde, zentrale Anlaufstelle und Beschwerdestelle. Für einzelne Bereiche bleiben Fachbehörden zuständig, etwa die BaFin im Finanzsektor.

Rechtsstand 14.11.2026. Diese Übersicht dient der Orientierung und ist keine Rechtsberatung. Maßgeblich ist der im Amtsblatt der Europäischen Union veröffentlichte Verordnungstext.