Die Fristen der KI-Verordnung von 2025 bis 2028

Rechtsgrundlagen: Verordnung (EU) 2024/1689 (KI-Verordnung), Verordnung (EU) 2026/1744 (Digital-Omnibus).

Die KI-Verordnung gilt nicht an einem einzigen Stichtag, sondern gestaffelt über mehrere Jahre. Das führt in der Praxis zu zwei gegenläufigen Fehleinschätzungen: Manche Unternehmen halten alles für Zukunftsmusik, andere glauben, sie müssten bereits heute sämtliche Pflichten erfüllen. Beides stimmt nicht. Dieser Beitrag ordnet die Fristen und zeigt, was zu jedem Stichtag tatsächlich gilt.

Fristen im Überblick

• 2. Februar 2025: KI-Kompetenz (Art. 4) und verbotene Praktiken (Art. 5)
• 2. August 2025: Pflichten für Anbieter von GPAI-Modellen
• 2. August 2026: allgemeine Anwendbarkeit, insbesondere Transparenzpflichten (Art. 50)
• 27. Juli 2026: Inkrafttreten der Digital-Omnibus-Verordnung (EU) 2026/1744
• 2. Dezember 2027: Anforderungen an eigenständige Hochrisiko-Systeme (Anhang III)
• 2. August 2028: Anforderungen an in regulierte Produkte eingebettete Hochrisiko-Systeme (Anhang I)

Was zu jedem Stichtag gilt

Seit 2. Februar 2025: KI-Kompetenz und verbotene Praktiken

Die ersten Pflichten gelten bereits seit Anfang 2025, und sie betreffen praktisch jedes Unternehmen, das KI einsetzt. Art. 4 verpflichtet Anbieter und Betreiber von KI-Systemen, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen. Seit dem 27. Juli 2026 gilt dafür ein neuer Wortlaut aus der Verordnung (EU) 2026/1744: unterstützen statt sicherstellen, und ein bestimmtes Niveau muss ausdrücklich für niemanden garantiert werden. Wer Textassistenten, Übersetzungssoftware oder KI-Funktionen im CRM nutzt, fällt weiterhin in den Anwendungsbereich. Der Umfang der Maßnahmen ist kontextabhängig: Eine Sachbearbeiterin, die einen Textassistenten nutzt, braucht eine andere Schulungstiefe als ein Team, das ein Bewerbermanagement mit KI-Funktionen betreibt.

Wichtig für die Praxis: Es gibt zwar noch keine ausgebaute Aufsichtsstruktur, die Pflicht gilt aber unabhängig davon. Dokumentiert werden sollten die ergriffenen Maßnahmen; wer erst bei der ersten Anfrage einer Behörde oder eines Geschäftspartners damit beginnt, kann den zurückliegenden Zeitraum nicht mehr belegen. Ausführlich dazu: KI-Kompetenz nach Art. 4 KI-VO.

Ebenfalls seit Februar 2025 gelten die verbotenen Praktiken nach Art. 5. Für die meisten Unternehmen ist das vor allem eine Prüf-, keine Umbaufrage: Es geht darum festzustellen, dass keines der eingesetzten Systeme in eine der verbotenen Kategorien fällt.

Seit 2. August 2025: Pflichten für GPAI-Modelle

Zum August 2025 kamen die Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck (GPAI) hinzu. Diese Stufe richtet sich an die Anbieter der großen Basismodelle. Für Unternehmen, die solche Modelle lediglich über Produkte oder Schnittstellen nutzen, entstehen daraus keine unmittelbaren eigenen Pflichten; relevant bleibt aber die Frage der eigenen Rolle, siehe Anbieter oder Betreiber nach der KI-Verordnung.

Seit 2. August 2026: Transparenzpflichten nach Art. 50

Seit August 2026 ist die Verordnung allgemein anwendbar, praktisch am wichtigsten sind die Transparenzpflichten nach Art. 50: Chatbots müssen als KI erkennbar sein, KI-generierte Inhalte sind zu kennzeichnen, Emotionserkennung ist offenzulegen. Wer kundenseitig KI einsetzt, sollte diesen Bestand jetzt geprüft und die nötigen Kennzeichnungen umgesetzt haben.

Ab 2. Dezember 2027: Hochrisiko-Anforderungen

Die Anforderungen an Hochrisiko-KI-Systeme wären ursprünglich ab August 2026 anwendbar gewesen. Die Digital-Omnibus-Verordnung (EU) 2026/1744 (ABl. L vom 24. Juli 2026), in Kraft seit dem 27. Juli 2026, hat die Stichtage verschoben: Für eigenständige Hochrisiko-Systeme nach Art. 6 Abs. 2 in Verbindung mit Anhang III (etwa in Personalauswahl oder Kreditvergabe) gilt der 2. Dezember 2027. Für Hochrisiko-Systeme, die nach Art. 6 Abs. 1 in Verbindung mit Anhang I in regulierte Produkte eingebettet sind, gilt der 2. August 2028. Wer die Verschiebung als generelle Entschärfung liest, übersieht allerdings: Für die Mehrheit der Unternehmen liegen die relevanten Pflichten ohnehin nicht im Hochrisiko-Kapitel, sondern in Art. 4 und Art. 50. Beide gelten heute, Art. 4 allerdings seit dem 27. Juli 2026 in einer entschärften Fassung.

Für Unternehmen mit Hochrisiko-Systemen ist der neue Stichtag kein Aufschub zum Abwarten: Risikomanagement, Dokumentation und menschliche Aufsicht lassen sich nicht in wenigen Wochen einführen. Die Zeit bis Ende 2027 ist als Vorbereitungskorridor zu verstehen. Hintergründe im Beitrag Digital-Omnibus: Warum die Hochrisiko-Pflichten verschoben wurden.

Was Unternehmen jetzt konkret tun sollten

1. Nehmen Sie den Bestand auf: welche KI-Systeme im Einsatz sind, auch die unauffälligen in eingekaufter Software.
2. Rollen klären: Anbieter oder Betreiber, je System. Von dieser Einordnung hängen alle weiteren Pflichten ab.
3. Schließen Sie die Pflichten, die heute gelten: Maßnahmen zur KI-Kompetenz nach Art. 4 ergreifen und festhalten, Transparenz nach Art. 50 umsetzen.
4. Hochrisiko-Fahrplan aufsetzen, falls betroffen: mit Blick auf Dezember 2027, aber mit Beginn jetzt.

Wenn Sie unsicher sind, wo Ihr Unternehmen steht: In einem kostenlosen Erstgespräch geben wir Ihnen eine ehrliche erste Einschätzung und gehen Ihre Systemlandschaft gemeinsam durch.

Wie diese Fristen die Reihenfolge der eigenen Vorhaben bestimmen, steht in KI-Strategie im Mittelstand.