Die EU-KI-Verordnung ist im August 2024 in Kraft getreten und gilt seitdem schrittweise. Mit dem KI-Omnibus hat die EU im Juli 2026 mehrere Fristen verschoben, vor allem für Hochrisiko-KI. Hier sehen Sie, welche Termine für Ihr Unternehmen gelten.
Die EU-KI-Verordnung gilt gestaffelt. Einige Pflichten greifen bereits seit 2025, andere erst ab Dezember 2027 oder August 2028. Der KI-Omnibus hat diesen Zeitplan im Sommer 2026 noch einmal angepasst.
Um zu wissen, welche Frist für Sie gilt, sollten Sie drei Faktoren berücksichtigen:
Die Verordnung verteilt Pflichten und Fristen je nach Rolle. Den Oberbegriff für alle Beteiligten nennt sie „Akteur”. Im Einzelnen unterscheidet sie vier Rollen:
Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt. Ein Beispiel ist ein Softwareunternehmen, das eine KI zur Transaktionsüberwachung für Banken entwickelt und vertreibt.
Betreiber setzen ein KI-System in eigener Verantwortung ein. Im Beispiel wäre das die Bank, die die KI kauft und für ihre Transaktionsüberwachung nutzt. Wer KI nur privat nutzt, gilt nicht als Betreiber.
Einführer haben ihren Sitz in der EU und bringen ein KI-System auf den EU-Markt, das den Namen oder die Marke eines Unternehmens aus einem Drittland trägt.
Händler stellen ein KI-System auf dem EU-Markt bereit, ohne Anbieter oder Einführer zu sein. Dazu zählen zum Beispiel Reseller oder Vertriebspartner.
Die EU-KI-Verordnung ordnet KI-Systeme in vier Risikostufen ein. Je höher das Risiko, desto strenger fallen die Pflichten aus.
Eine Sonderrolle haben KI-Modelle mit allgemeinem Verwendungszweck (General Purpose AI, GPAI), etwa große Sprachmodelle. Für ihre Anbieter gelten eigene Pflichten, unabhängig von den vier Risikostufen. Bauen Sie ein KI-System auf einem solchen Modell auf, ordnet die Verordnung dieses System dennoch einer Risikostufe zu.
Der Marktstart spielt bei zwei Fristen eine Rolle. Anbieter von GPAI-Modellen, die ihr Modell vor dem 2. August 2025 auf den Markt gebracht haben, haben bis zum 2. August 2027 Zeit. Für neuere Modelle gelten die Pflichten seit dem 2. August 2025.
Auch bei der Kennzeichnung KI-generierter Inhalte zählt der Marktstart. Anbieter von Systemen, die schon vor dem 2. August 2026 auf dem Markt waren, müssen die Inhalte bis zum 2. Dezember 2026 maschinenlesbar markieren. Für neuere Systeme gilt diese Pflicht seit dem 2. August 2026.
Im Juli 2026 hat die EU den KI-Omnibus verabschiedet, ein Änderungspaket zur EU-KI-Verordnung. Er ist am 27. Juli 2026 in Kraft getreten und verschiebt vor allem die Fristen für Hochrisiko-KI. Zu den wichtigsten Änderungen zählen:
Pflichten für eigenständige Hochrisiko-KI-Systeme (Anhang III) gelten ab dem 2. Dezember 2027 statt ab August 2026
Für Hochrisiko-KI in regulierten Produkten (Anhang I) gilt der 2. August 2028
Anbieter von Systemen, die schon vor dem 2. August 2026 KI-Inhalte erzeugt haben, haben für die Kennzeichnung bis zum 2. Dezember 2026 Zeit
Andere Fristen bleiben unverändert, darunter die Pflichten für GPAI-Modelle. Auch die KI-Kompetenz bleibt Pflicht: Anbieter und Betreiber unterstützen den Aufbau von KI-Kompetenz bei ihren Mitarbeitenden.
Die folgende Tabelle zeigt alle zentralen Termine nach aktuellem Stand. Darunter erklären wir die drei Szenarien, die für die meisten Unternehmen relevant sind.
| Datum | Was gilt |
| 1. August 2024 | Inkrafttreten der EU-KI-Verordnung |
| 2. Februar 2025 | Verbote für KI mit unannehmbarem Risiko, Pflicht zur KI-Kompetenz |
| 2. August 2025 | Pflichten für neue GPAI-Modelle, Regeln zu Governance und Sanktionen |
| 2. August 2026 | Allgemeine Geltung, Transparenzpflichten für neue Systeme |
| 2. August 2027 | Frist für GPAI-Modelle, die vor dem 2. August 2025 auf dem Markt waren |
| 2. Dezember 2027 | Pflichten für eigenständige Hochrisiko-KI-Systeme (Anhang III) |
| 2. August 2028 | Pflichten für Hochrisiko-KI in regulierten Produkten (Anhang I) |
Haupttermin: 2. August 2025
Für GPAI-Modelle, die ab dem 2. August 2025 auf den Markt kommen, gelten die Pflichten der Verordnung vom ersten Tag an. Orientierung bietet der Verhaltenskodex für GPAI, den das KI-Büro der EU-Kommission im Juli 2025 veröffentlicht hat.
Haupttermin: 2. Dezember 2027 oder 2. August 2028
Ursprünglich sollten die Hochrisiko-Pflichten ab August 2026 gelten. Der KI-Omnibus hat diese Frist verschoben. Für eigenständige Hochrisiko-KI-Systeme aus Anhang III gilt jetzt der 2. Dezember 2027. Dazu zählen zum Beispiel Systeme für die Personalauswahl oder die Kreditwürdigkeitsprüfung.
Steckt die KI in einem Produkt, das bereits EU-Sicherheitsvorschriften unterliegt, etwa in einem Medizinprodukt, gilt der 2. August 2028. Nutzen Sie die zusätzliche Zeit, denn die Anforderungen an Risikomanagement und Dokumentation bleiben umfangreich.
Haupttermin: 2. August 2027
Anbieter von GPAI-Modellen, die schon vor dem 2. August 2025 auf dem Markt waren, müssen die Pflichten bis zum 2. August 2027 erfüllen. Der KI-Omnibus hat diese Frist nicht verändert.
Neben den Fristen unterscheidet die Verordnung auch die konkreten Pflichten nach Rolle. Die folgenden Abschnitte zeigen, worauf sich die einzelnen Akteure einstellen müssen.
Welche Schritte Anbieter unternehmen müssen, hängt von der Art ihres KI-Systems ab.
Anbieter von GPAI-Modellen erstellen unter anderem eine technische Dokumentation und veröffentlichen eine Zusammenfassung der Trainingsdaten. Außerdem brauchen sie eine Strategie zur Einhaltung des Urheberrechts. Für Modelle mit systemischem Risiko kommen weitere Pflichten hinzu, etwa zur Risikominderung.
Anbieter von Hochrisiko-KI-Systemen tragen deutlich umfangreichere Pflichten, vom Risikomanagement bis zur Konformitätsbewertung. Unsere Compliance-Experten erläutern sie in diesem Artikel.
Die Betreiber tragen Verantwortung dafür, wie sie ein KI-System einsetzen. Bei Hochrisiko-KI nutzen sie das System gemäß der Gebrauchsanweisung des Anbieters und sorgen für menschliche Aufsicht durch geschulte Personen. Sie prüfen außerdem, ob ihre Eingabedaten zum Zweck des Systems passen, und überwachen den Betrieb.
Unabhängig von der Risikostufe unterstützen Betreiber den Aufbau von KI-Kompetenz bei ihren Mitarbeitenden.
Einführer und Händler prüfen, ob ein Hochrisiko-KI-System die Anforderungen der Verordnung erfüllt, bevor sie es auf den EU-Markt bringen. Dazu vergewissern sie sich, dass der Anbieter die Konformitätsbewertung durchgeführt und die CE-Kennzeichnung angebracht hat.
Beide Akteure sorgen dafür, dass Lagerung und Transport die Konformität nicht gefährden. Einführer bewahren zudem wichtige Unterlagen wie die EU-Konformitätserklärung zehn Jahre lang auf und stellen sie den Behörden auf Anfrage zur Verfügung.
Viele Pflichten der EU-KI-Verordnung gelten bereits heute, etwa die Pflicht zur KI-Kompetenz. Auch die verschobenen Hochrisiko-Fristen lassen weniger Spielraum, als es auf den ersten Blick scheint. Risikomanagement und technische Dokumentation brauchen in der Praxis viel Vorlauf. Diese Schritte sollten Sie deshalb jetzt angehen:
Jeder Fahrplan sieht je nach Unternehmen anders aus. Details zu allen Anforderungen finden Sie in unserem Leitfaden zu der EU-KI-Verordnung.
Die EU-KI-Verordnung gilt schrittweise. Verbote und die Pflicht zur KI-Kompetenz gelten seit Februar 2025, Pflichten für neue GPAI-Modelle seit August 2025. Für eigenständige Hochrisiko-KI gilt nach dem KI-Omnibus der 2. Dezember 2027, für Hochrisiko-KI in regulierten Produkten der 2. August 2028. Welche Frist für Sie zählt, hängt von Ihrer Rolle und der Risikostufe Ihres KI-Systems ab.
Starten Sie mit einer Bestandsaufnahme aller KI-Systeme im Unternehmen. Prüfen Sie dann, welche Rolle Sie jeweils einnehmen und ob ein System unter ein Verbot oder in die Hochrisiko-Kategorie fällt. Setzen Sie parallel Maßnahmen zur KI-Kompetenz Ihrer Mitarbeitenden um, denn diese Pflicht gilt bereits.
Ja. Auch Betreiber, die KI-Systeme nur einsetzen, haben Pflichten. Das gilt besonders bei Hochrisiko-KI, etwa zur menschlichen Aufsicht. Die Pflicht zur KI-Kompetenz betrifft alle Betreiber.
Die EU-KI-Verordnung ergänzt bestehende Regulierungen wie die DSGVO. Betrachten Sie Ihre KI-Compliance deshalb ganzheitlich, da sich Anforderungen überschneiden können, etwa bei Transparenz oder Dokumentation. Der KI-Omnibus erlaubt zudem in engen Grenzen die Verarbeitung sensibler Daten, um Verzerrungen in KI-Systemen zu erkennen und zu korrigieren.
_HighPerformer_HighPerformer.svg)
TISAX® ist eine eingetragene Marke der ENX Association. DataGuard steht in keiner geschäftlichen Verbindung zu ENX. Wir bieten lediglich Software-as-a-Service und Unterstützung zur Vorbereitung auf das Assessment nach TISAX® an. Die ENX Association übernimmt keine Verantwortung für die auf der DataGuard-Website dargestellten Inhalte.
Alle Angaben dienen lediglich der Information und beruhen auf internen Schätzungen. Diese Informationen sind kein Indikator für KPIs und werden ohne ausdrückliche oder stillschweigende Zusicherungen oder Garantien in Bezug auf Genauigkeit und Zuverlässigkeit gegeben.
{
"@context": "https://schema.org",
"@graph": [
{
"@type": "Organization",
"@id": "www.dataguard.de#organization",
"name": "DataGuard",
"legalName": "DataCo GmbH",
"description": "DataGuard ist der führende europäische Anbieter von Security- und Compliance-Software und wird von über 4.000 Organisationen in mehr als 50 Ländern weltweit geschätzt. Wir helfen Ihnen, Sicherheits- und Compliance-Risiken zu identifizieren und zu managen, Compliance-Anforderungen zu erfüllen und Zertifizierungen schneller zu erreichen. Dabei kombinieren wir maßgeschneiderte Expertenberatung mit KI-gestützter Automatisierung. Unsere speziell entwickelte All-in-One-Plattform basiert auf mehr als 1,5 Millionen Stunden Erfahrung eines Teams zertifizierter Security- und Compliance-Experten.",
"foundingDate": "2018",
"taxID": "DE315880213",
"logo": "https://7759810.fs1.hubspotusercontent-na1.net/hubfs/7759810/DataGuardLogo.svg",
"url": "www.dataguard.de",
"email": "info@dataguard.de",
"telephone": "+49 89 452459 900",
"address": {
"@type": "PostalAddress",
"streetAddress": "Sandstrasse 33",
"addressLocality": "München",
"addressRegion": "Bayern",
"postalCode": "80335",
"addressCountry": "Deutschland"
},
"sameAs": [
"https://www.linkedin.com/company/dataguard1/",
"https://www.youtube.com/channel/UCEQzPZ6sCBCj9cAoBvaLL6w",
"https://x.com/i/flow/login?redirect_after_login=%2FDataGuard_dg"
]
}
]
}✅ Organization schema markup for "DataGuard" has been injected into the document head.