Kalender des KI-Gesetzes (AI Act): Schlüsseltermine und Pflichten je Akteurstyp

Wie weit ist der Zeitplan des AI Act am 13. Oktober 2026?

Am 13. Oktober 2026 gilt der AI Act bereits weitgehend. Nur die Fristen für Hochrisiko-Systeme wurden verschoben. Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten und gilt stufenweise [5][9]. Artikel 113 legt den allgemeinen Anwendungsbeginn auf den 2. August 2026 fest, mit Ausnahmen: manche Bereiche gelten früher, die schwersten Pflichten später [18].

Was bereits gilt

• Seit dem 2. Februar 2025: das Verbot von KI-Praktiken mit unannehmbarem Risiko [5] und die Pflichten zur KI-Kompetenz [28].
• Seit dem 2. August 2025: die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck [13].
• Seit dem 2. August 2026: die Transparenzpflichten nach Artikel 50, die interaktive Systeme sowie durch KI erzeugte oder manipulierte Inhalte betreffen [15][23]. Für bestimmte Fälle ist eine Übergangsregelung vorgesehen [11].

Was verschoben wird

• Die Pflichten für Hochrisiko-Systeme nach Anhang III (Personalauswahl, Scoring, Bildung, kritische Infrastrukturen) gelten ab dem 2. Dezember 2027 [20][24].
• Für Systeme nach Anhang I (regulierte Produkte) gilt der August 2028 [22].

Welche Fassung des Zeitplans maßgeblich ist

Der ursprüngliche Zeitplan sah eine stufenweise Umsetzung über 36 Monate vor, von August 2024 bis August 2027 [14]. Die Europäische Kommission stellt daher eine vollständige Anwendung bis zum 2. August 2027 in Aussicht [1]. Seitdem hat die Verordnung (EU) 2026/1744, das sogenannte „Digital Omnibus“, die Fristen für Hochrisiko-Systeme verschoben. Sie ist am 27. Juli 2026 in Kraft getreten [14] und wurde am 24. Juli 2026 im Amtsblatt veröffentlicht [24].

Wenn eine Quelle für Hochrisiko-Systeme noch den 2. August 2026 nennt, ist sie in diesem Punkt überholt. Maßgeblich ist die Fassung aus dem Omnibus, die neueste. Nach [22] richtet sich der Rest nach dem ursprünglichen Zeitplan, und ein großer Teil gilt bereits.

Die konsultierten Quellen zum Omnibus sind Sekundäranalysen. Vor jeder Entscheidung sind die Daten im Text zu prüfen, der im Amtsblatt der Europäischen Union veröffentlicht wurde.

Was sind die wichtigsten Stichtage, Meilenstein für Meilenstein?

Die Verordnung (EU) 2024/1689 gilt stufenweise, vom 1. August 2024 bis August 2028, je nach Pflichtenkategorie [5][22]. Die Tabelle folgt dem Zeitplan in der durch die Verordnung „Digital Omnibus“ (EU) 2026/1744 geänderten Fassung.

Drei Präzisierungen

• Modelle mit allgemeinem Verwendungszweck, die bereits auf dem Markt sind. Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, haben bis zum 2. August 2027 Zeit, die Anforderungen zu erfüllen [3]. Diese Information stammt von einer spezialisierten Überwachungsseite und nicht aus einem amtlichen Text des Dossiers.
• Anhang I. Das Dossier nennt „August 2028“ ohne Tagesangabe [22]. Ein genaues Datum wird hier daher nicht angegeben.
• Abweichung zwischen den Quellen. Die Seite der Europäischen Kommission vom 1. August 2024 sieht eine vollständige Umsetzung bis zum 2. August 2027 vor [1]. Die Quellen, die über den Omnibus berichten, verschieben Anhang III auf den 2. Dezember 2027 und Anhang I auf August 2028 [22][24]. Wir halten uns an diese neueren Angaben: Der Omnibus wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten [24].

Für Artikel 50 erwähnt eine Quelle eine Übergangsregelung nach August 2026, ohne sie im verfügbaren Auszug näher zu beschreiben [11]. Vor der Festlegung eines Compliance-Plans ist dieser Punkt daher ebenso wie die Daten des Omnibus im Text zu prüfen, der im Amtsblatt der Europäischen Union veröffentlicht wurde. Die endgültige Beurteilung liegt beim Unternehmen und seinen Beratern.

Was hat der Digital Omnibus geändert, und welches Datum gilt für Hochrisiko-Systeme?

Für Hochrisiko-Systeme nach Anhang III gilt nun der 2. Dezember 2027 statt des 2. August 2026. Diese Verschiebung geht auf die Verordnung (EU) 2026/1744 vom 8. Juli 2026 zurück, den sogenannten „Digital Omnibus IA“. Sie wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und gilt seit dem 27. Juli 2026 [24][14].

Was der Digital Omnibus ändert

Der Text verschiebt nur eine Pflichtenkategorie, nämlich die der Hochrisiko-Systeme [22]:

• Anhang III (Personalauswahl, Scoring, Bildung, kritische Infrastrukturen usw.): Anwendung ab dem 2. Dezember 2027 [22][20].
• Anhang I (in regulierte Produkte integrierte Systeme): Anwendung im August 2028 [22].
• Alles Übrige: Der ursprüngliche Zeitplan gilt weiter [22]. Die Transparenzpflichten nach Artikel 50 zum Beispiel gelten seit dem 2. August 2026 [23].

Die Verordnung (EU) 2024/1689 sah ursprünglich eine stufenweise Umsetzung über 36 Monate vor, von August 2024 bis August 2027 [14]. Der Digital Omnibus hat einen Teil dieser Fristen seitdem verschoben [14].

Warum die Quellen voneinander abweichen

Viele Inhalte im Netz sind veraltet. Manche stammen von vor dem Omnibus, andere berücksichtigen ihn nicht und nennen für Hochrisiko-Systeme noch den 2. August 2026, wie [5]. Andere, neuere Quellen wurden aktualisiert [24]. Ein Artikel spricht vom digitalen Omnibus, der „am 7. Mai 2026 im Trilog angenommen“ wurde [10]. Dabei handelt es sich um eine politische Einigung, also eine Phase vor der förmlichen Annahme und der Veröffentlichung des Textes.

Bei Abweichungen ist die geänderte, neuere Fassung maßgeblich: die der Verordnung (EU) 2026/1744 [24].

Vor einer Entscheidung prüfen

Die oben genannten Angaben stützen sich auf Analyseseiten. Sie stimmen bei der Verordnung 2026/1744 und ihren Daten überein [24][14][22][20], ersetzen aber nicht den amtlichen Text. Vor jeder Entscheidung über den Zeitplan ist die Verordnung zu konsultieren, die im Amtsblatt der Europäischen Union vom 24. Juli 2026 veröffentlicht wurde. Die Beurteilung der Konformität liegt beim Unternehmen und seinen Beratern.

Anbieter oder Betreiber: Was ist der Unterschied im Sinne des AI Act?

Der Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen in Verkehr. Der Betreiber nutzt es unter eigener Verantwortung in beruflichem Rahmen. Die Rolle hängt also von der Stellung der Organisation gegenüber dem KI-System ab, nicht von ihrer Größe.

Der Wortlaut von Artikel 3 Nr. 4 erfasst „eine natürliche oder juristische Person, eine Behörde, eine Agentur oder eine andere Stelle, die ein KI-System unter ihrer eigenen Verantwortung verwendet, es sei denn, das System wird im Rahmen einer persönlichen Tätigkeit ohne beruflichen Bezug eingesetzt“ [29]. Das zentrale Kriterium ist also die Nutzung unter eigener Verantwortung im beruflichen Kontext [29]. Eine Privatperson, die ein Werkzeug privat nutzt, ist kein Betreiber [29].

Was das für ein nutzendes Unternehmen bedeutet

Ein Unternehmen, das ein von einem Dritten entwickeltes KI-System nutzt, ist Betreiber [34]. Sobald es das System im beruflichen Rahmen einsetzt, fällt es unter diese Rolle, auch bei einem Chatassistenten für die breite Öffentlichkeit [31]. Laut einem Praxisleitfaden ist das bei nutzenden Unternehmen „fast immer“ der Fall [18].

Eine Organisation kann beide Rollen innehaben

Die Rolle wird für jedes Werkzeug einzeln bestimmt. Eine und dieselbe Organisation kann Betreiber des Chatassistenten sein, den sie abonniert hat, und Anbieter des Werkzeugs zur Vorauswahl von Bewerbungen, das sie intern entwickeln ließ [33].

Die obigen Definitionen stammen aus Praxisleitfäden [18][29][31][33][34], die nicht den amtlichen Text darstellen. Ihre Referenzquelle ist Artikel 3 der Verordnung (EU) 2024/1689, die direkt zu konsultieren ist. Die Einordnung jedes Einzelfalls liegt beim Unternehmen und seinen Beratern.

Welche Pflichten hat ein Anbieter?

Anbieter tragen die schwersten Pflichten des AI Act, insbesondere bei Hochrisiko-Systemen. Ein Anbieter entwickelt ein KI-System und bringt es in Verkehr [18] oder lässt es für die Inverkehrbringung unter seinem Namen entwickeln [34].

Bei Hochrisiko-Systemen

Für Anwendungen nach Anhang III fasst eine Sekundärquelle die Anforderungen in sechs Punkten zusammen: Risikomanagement, Datenqualität, technische Dokumentation, Transparenz, menschliche Aufsicht und Cybersicherheit [19]. Eine weitere Sekundärquelle ergänzt die Schritte zur Konformität:

• eine Konformitätsbewertung, durch Selbstbewertung oder über eine notifizierte Stelle;
• die CE-Kennzeichnung;
• die Registrierung in der europäischen Datenbank;
• ein Qualitätsmanagementsystem [14].

Die technische Dokumentation muss vor dem Inverkehrbringen vorliegen [8].

Diese Pflichten gelten derzeit noch nicht. Der Digital Omnibus, Verordnung (EU) 2026/1744, hat die Pflichten für Systeme nach Anhang III auf den 2. Dezember 2027 verschoben [24]. Für Systeme nach Anhang I (regulierte Produkte) ist August 2028 vorgesehen [22].

Bei Systemen, die mit Personen interagieren

Artikel 50 betrifft einen weiteren Kreis als die Hochrisiko-Regelung. Anbieter von Systemen, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, müssen diese darüber informieren, dass sie mit einer KI interagieren, sofern dies nicht aus den Umständen offensichtlich hervorgeht [35]. Laut einer Sekundärquelle gelten diese Transparenzpflichten seit dem 2. August 2026 [23].

Der Artikel enthält weitere Absätze, insbesondere zu erzeugten oder manipulierten Inhalten. Mögliche Übergangsfristen dafür sind im hier konsultierten Dossier nicht bestätigt, daher entscheidet dieser Abschnitt sie nicht.

Hinweis zur Lektüre

Die Pflichtenlisten oben stammen von Fachseiten [8][14][19], nicht aus dem amtlichen Text. Sie bieten einen Rahmen für das Verständnis, ersetzen aber nicht die Verordnung (EU) 2024/1689, die für die Einzelheiten jeder Anforderung zu konsultieren ist. Ob ein Unternehmen Anbieter ist und für welche Systeme, liegt in seiner eigenen Beurteilung und in der seiner Berater. Eine Organisation kann außerdem Betreiber für ein gekauftes Werkzeug und Anbieter für ein Werkzeug sein, das sie selbst entwickeln ließ [33].

Welche Pflichten hat ein Betreiber, und ab wann?

Ein Betreiber ist die Stelle, die ein KI-System unter eigener Verantwortung in beruflichem Rahmen nutzt. Seine Pflichten sind leichter als die des Anbieters, aber durchaus real [32]. Sobald ein Unternehmen ein KI-System im beruflichen Rahmen nutzt, ist es im Sinne der Verordnung Betreiber [31].

Was die Quellen erkennen lassen:

• KI-Kompetenz und Schulung der Teams. Die Teams, die diese Werkzeuge steuern, müssen ausreichend geschult sein [32]. Diese Pflicht zur KI-Kompetenz gilt seit dem 2. Februar 2025 [11][28].
• Information der betroffenen Personen. Betreiber, die Systeme einsetzen, die Deepfakes erzeugen, müssen die Personen darüber informieren, dass die Inhalte künstlich erzeugt oder manipuliert wurden [35]. Für Chatbots ordnet [32] die Information der Personen den Betreiberpflichten zu, während [35] die Information über die Interaktion mit einer KI auf Seiten des Anbieters verortet. Beide Rollen sind daher anhand des Wortlauts von Artikel 50 zu prüfen, der seit dem 2. August 2026 gilt [11][15].
• Menschliche Kontrolle. Maßnahmen zur menschlichen Kontrolle gehören zu den Betreiberpflichten [14].
• Dokumentation der Anbieter. Der Betreiber muss seine Anbieter um die Dokumentation zum System bitten [8].

Für Systeme nach Anhang III (Personalauswahl, Scoring, Bildung, kritische Infrastrukturen) gelten die Betreiberpflichten für Hochrisiko-Systeme ab dem 2. Dezember 2027 [24][20]. Dieses Datum ergibt sich aus der Verordnung (EU) 2026/1744, dem sogenannten „Digital Omnibus IA“, der am 24. Juli 2026 im Amtsblatt veröffentlicht wurde und seit dem 27. Juli 2026 gilt [24]. Es ersetzt den ursprünglichen Termin des 2. August 2026.

Kumulation der Rollen. Die Pflichten des Betreibers kommen zu denen des Anbieters hinzu und ersetzen sie nicht [20]. Dass der Anbieter seine Pflichten erfüllt, befreit das nutzende Unternehmen also nicht von den eigenen.

Grenzen dieses Abschnitts. Das Quellendossier beschreibt nicht alle Pflichten aus Artikel 26, der die Betreiber von Hochrisiko-Systemen regelt. Sie werden daher hier nicht vollständig aufgelistet. Die zitierten Quellen sind außerdem Sekundärzusammenfassungen und nicht der Wortlaut der Verordnung. Vor jeder Entscheidung ist der auf EUR-Lex veröffentlichte Text heranzuziehen. Die Beurteilung der Konformität liegt beim Unternehmen und seinen Beratern.

Wie ordnet ein Unternehmen, das ein KI-Werkzeug wie Oupi nutzt, seine Pflichten ein?

Ein Unternehmen, das Oupi, ein KI-Werkzeug, in seiner Tätigkeit einsetzt, ist im Sinne des AI Act Betreiber: Dafür genügt die berufliche Nutzung eines von einem Dritten entwickelten Systems [31][34]. Die Verordnung definiert den Betreiber als die Stelle, die ein KI-System unter eigener Verantwortung nutzt, außer im Rahmen einer nicht beruflichen persönlichen Tätigkeit (Artikel 3 Nr. 4) [29]. Vier Schritte helfen anschließend, die eigenen Pflichten zu verorten.

1. Die eingesetzten Systeme erfassen. Es geht darum, alle im Einsatz befindlichen KI-Systeme aufzulisten, auch die, die sich in Planung befinden [4]. Jedes System ist zu analysieren, um die für es geltenden Regeln zu bestimmen [17].
2. Die Rolle für jedes System bestimmen. Der Anbieter entwickelt ein System oder lässt es entwickeln und bringt es unter eigenem Namen in Verkehr (Artikel 3 Nr. 3) [34]. Die Rollen überlagern sich: Eine Organisation kann Betreiber eines abonnierten Chatassistenten und zugleich Anbieter eines intern entwickelten Werkzeugs zur Vorauswahl von Bewerbungen sein [33].
3. Das Risikoniveau bewerten. Die Verordnung unterscheidet vier Risikostufen [9], die sowohl auf bestehende Systeme als auch auf Projekte anzuwenden sind [4].
4. Jede Pflicht ihrem Datum zuordnen. Der Zeitplan dient dazu, nach Fristen zu priorisieren [17]. Die Artikel 4 und 5 gelten seit Februar 2025, Artikel 50 seit August 2026 [11]. Für Anwendungen nach Anhang III gilt der 2. Dezember 2027, auf Grundlage der Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026 [24]. Dieses Datum stammt aus Sekundärquellen und ist im amtlichen Text zu überprüfen.

Dieses Raster hilft bei der Organisation, ersetzt aber keine rechtliche Analyse. Die Beurteilung der Konformität liegt beim Unternehmen und seinen Beratern. Die amtlichen Texte und die Ressourcen der Europäischen Kommission sind maßgeblich, insbesondere ihr Zeitplan zur Umsetzung [1] und die Darstellung der Verordnung durch das französische Wirtschaftsministerium [2].

Was ist zu Sanktionen zu sagen, und welche Grenzen hat dieser Überblick?

Dieser Überblick erlaubt keine Bezifferung von Sanktionen, und seine neuesten Daten stützen sich auf Sekundärquellen, die mit dem Amtsblatt der EU abzugleichen sind. Mehrere Quellen des Dossiers weisen auf das Bestehen von Sanktionen hin, im Titel oder im Inhalt [4][6][20]. Die verfügbaren Auszüge beschreiben weder deren Regelung noch deren Höhe, daher nennt dieser Artikel keine Beträge. Für diesen Punkt bleibt der Text der Verordnung (EU) 2024/1689 maßgeblich.

Was die Quellen dieses Artikels wert sind

Nur zwei Quellen des Dossiers sind institutionell: der Hilfedienst der Europäischen Kommission zum AI Act [1] und die Seite entreprises.gouv.fr [2]. Sie bestätigen den Grundsatz einer stufenweisen Anwendung mit einer vollständigen Umsetzung bis zum 2. August 2027 [1] sowie die Meilensteine Februar 2025, August 2025, August 2026 und August 2027 [2]. Ihre Auszüge erwähnen die seither beschlossenen Verschiebungen nicht.

Diese Verschiebungen beruhen auf Sekundärquellen, die übereinstimmen:

• Die Verordnung (EU) 2026/1744, der sogenannte „Digital Omnibus IA“, datiert vom 8. Juli 2026, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft [24][14].
• Die Pflichten für Hochrisiko-Systeme nach Anhang III sind auf den 2. Dezember 2027 verschoben [24][22].
• Jene aus Anhang I (regulierte Produkte) verschieben sich auf August 2028 [22].

Wenn diese Daten von denen der Auszüge [1] und [2] abweichen, haben wir die neueste Fassung zugrunde gelegt, die des Omnibus. Keine dieser Sekundärquellen hat den Rang eines amtlichen Textes. Vor jeder Entscheidung sind die Daten im Text zu prüfen, der im Amtsblatt der EU veröffentlicht wurde.

Eine Momentaufnahme vom 13. Oktober 2026

Dieser Artikel spiegelt den Stand der verfügbaren Informationen am 13. Oktober 2026 wider. Ein neuer Änderungsrechtsakt, Leitlinien oder Durchführungstexte können den Zeitplan nach diesem Datum ändern.

Er erläutert den Text, ersetzt aber keine rechtliche Analyse. Die Einordnung eines KI-Systems, die Bestimmung, ob das Unternehmen als Anbieter oder als Betreiber handelt, und die Beurteilung seiner Konformität liegen beim Unternehmen und seinen Beratern.