Fahrplan EU AI Act – welche Fristen gelten 2025, 2026, 2027?

Der EU AI Act (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft – aber er tritt nicht an einem einzigen Stichtag vollständig in Wirkung. Stattdessen gilt ein gestufter Fahrplan: Verschiedene Pflichten werden zu verschiedenen Zeitpunkten anwendbar. Für Unternehmen, die wissen wollen, was jetzt bereits gilt und was noch kommt, ist dieser Zeitstrahl entscheidend.

*Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Die nachfolgenden Angaben basieren auf dem Gesetzestext der Verordnung (EU) 2024/1689 (Artikel 113). Für Ihre konkrete Situation empfehlen wir eine Beratung durch eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.*

Die vier Stufen des EU AI Act im Überblick

Der AI Act staffelt seine Anwendung über einen Zeitraum von drei Jahren. Die gesetzliche Grundlage findet sich in Artikel 113 der Verordnung:

Stufe 1 – 1. August 2024: Inkrafttreten

Die Verordnung wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und trat 20 Tage später, am 1. August 2024, in Kraft. In dieser Phase laufen die Umsetzungsfristen an, aber noch keine materiellen Pflichten für Unternehmen.

Stufe 2 – 2. Februar 2025: Verbote + KI-Kompetenz

Sechs Monate nach Inkrafttreten wurden anwendbar:

• Artikel 5 – Verbotene KI-Praktiken: Bestimmte KI-Anwendungen sind seit diesem Datum vollständig verboten, z. B. soziale Bewertungssysteme, manipulative Verhaltenssteuerung durch KI oder – mit eng definierten Ausnahmen – biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum.
• Artikel 4 – KI-Kompetenz: Unternehmen, die KI-Systeme anbieten oder betreiben, müssen sicherstellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt. Diese Pflicht gilt seit dem 2. Februar 2025 – ohne Übergangsfrist, unabhängig von Branche oder Unternehmensgröße.

Für die meisten Unternehmen in der EU ist Artikel 4 die erste spürbare Verpflichtung aus dem AI Act. Wer KI im Betrieb nutzt – von ChatGPT über Copilot bis zum Analyse-Tool – ist betroffen.

Stufe 3 – 2. August 2025: Governance + Allzweck-KI

Zwölf Monate nach Inkrafttreten wurden anwendbar:

• Kapitel 3 (Art. 53, 55) – Allzweck-KI-Modelle (GPAI): Anbieter von Basismodellen wie großen Sprachmodellen müssen bestimmte Transparenz-, Dokumentations- und Sicherheitspflichten erfüllen. Für Modelle mit systemischem Risiko gelten zusätzliche Anforderungen.
• Kapitel 5 – KI-Büro und Governance: Die Aufsichtsstrukturen auf EU-Ebene, insbesondere das Europäische KI-Büro, nehmen ihre volle Rolle auf.
• Kapitel 7 und 12 – Vertraulichkeit und Sanktionen: Regeln zur Vertraulichkeit von Informationen und Bußgeldregelungen (Art. 99 ff.) werden anwendbar.

Für die meisten Unternehmen, die KI *einsetzen* (Betreiber) statt KI-Modelle zu entwickeln (Anbieter), ist diese Stufe weniger unmittelbar relevant – aber sie stärkt die Aufsichtsstrukturen, die ab 2025 und 2026 aktiv werden.

Stufe 4 – 2. August 2026: Hochrisiko-KI (Anhang III) + Restpflichten

24 Monate nach Inkrafttreten wurde der Großteil der verbleibenden Pflichten anwendbar, insbesondere:

• Hochrisiko-KI-Systeme nach Anhang III: Systeme in Bereichen wie Personalauswahl, Kreditvergabe, Bildung, Strafverfolgung, kritische Infrastruktur und Migration unterliegen strengen Anforderungen (Risikomanagement, Datenverwaltung, Transparenz, menschliche Aufsicht, Registrierung in der EU-Datenbank).
• Kapitel 2, 4, 5, 6 und zugehörige Pflichten für Anbieter und Betreiber von Hochrisiko-KI-Systemen.
• Transparenzpflichten für bestimmte KI-Systeme (Art. 50), z. B. Chatbots, die sich als Menschen ausgeben könnten.

Für Unternehmen, die im Hochrisikobereich tätig sind – etwa mit KI-gestütztem Bewerber-Screening, Kreditwürdigkeitsprüfung oder medizinischer Entscheidungsunterstützung – ist der 2. August 2026 der wichtigste Stichtag nach Art. 4.

Sonderregel – 2. August 2027: Hochrisiko-KI als Sicherheitskomponente

Für eine spezifische Kategorie gilt eine verlängerte Frist von 36 Monaten: KI-Systeme, die in Produkten als Sicherheitskomponente eingesetzt werden und unter einen der in Anhang I genannten EU-Rechtsakte fallen (z. B. Maschinenrichtlinie, Medizinprodukterichtlinie, Fahrzeugtechnik). Diese Systeme haben bis zum 2. August 2027 Zeit.

Kompakter Zeitstrahl auf einen Blick

• 1. August 2024 – Inkrafttreten der Verordnung (EU) 2024/1689
• 2. Februar 2025 – Verbote (Art. 5) + KI-Kompetenz-Pflicht (Art. 4) anwendbar
• 2. August 2025 – GPAI-Regeln (Art. 53, 55) + EU-Governance + Bußgeldrahmen anwendbar
• 2. August 2026 – Hochrisiko-KI (Anhang III) + Restpflichten anwendbar
• 2. August 2027 – Hochrisiko-KI als Sicherheitskomponente nach Anhang I anwendbar

Was gilt schon jetzt – und was nicht (Einordnung)

Es ist wichtig, zwischen den Stufen klar zu unterscheiden:

Gilt bereits (seit 2.2.2025): KI-Verbote nach Art. 5 und die KI-Kompetenz-Pflicht nach Art. 4. Wer als Betreiber KI im Betrieb einsetzt, muss sein Personal nachweisbar schulen.

Gilt seit 2.8.2025: Pflichten für Anbieter von Allzweck-KI-Modellen (GPAI). Für die meisten Unternehmen, die nur KI nutzen, hat das geringe unmittelbare Wirkung – aber die Aufsichtsinfrastruktur ist aktiv.

Gilt noch nicht (bis 2.8.2026): Die umfangreichen Pflichten für Hochrisiko-KI nach Anhang III gelten erst ab August 2026. Bis dahin haben Unternehmen Zeit zur Vorbereitung – aber nicht unbegrenzt.

Gilt noch nicht (bis 2.8.2027): Die Sonderfrist für KI als Sicherheitskomponente in bestimmten Produktkategorien.

Achtung: Art. 4 ist kein eigenständiger Bußgeldtatbestand

Ein wichtiger Hinweis für die Einordnung: Artikel 4 (KI-Kompetenz) ist im Bußgeldkatalog des AI Act (Art. 99 ff.) nicht als eigenständiger Tatbestand aufgeführt, der direkt zu Bußgeldern führt. Der Bußgeldrahmen richtet sich nach dem Typ des Verstoßes – Verbote (Art. 5), Hochrisiko-Pflichten, falsche Behördeninformationen.

Das bedeutet jedoch nicht, dass Art. 4 folgenlos ist: Fehlende KI-Kompetenz-Dokumentation kann bei Behördenprüfungen als erschwerender Umstand gewertet werden, das Gesamtbild der Compliance-Reife beeinflussen und persönliche Geschäftsleiterhaftung begründen. Eine detailliertere Einordnung finden Sie in unserem Artikel Bundesnetzagentur & EU AI Act – wer kontrolliert die KI-Pflichten in Deutschland?.

Was Unternehmen jetzt tun sollten

Angesichts des Fahrplans ergibt sich für die meisten Unternehmen folgendes Bild:

Sofort – Art. 4 ist bereits seit Februar 2025 anwendbar

Die KI-Kompetenz-Pflicht gilt bereits. Wer KI im Betrieb einsetzt und noch keine strukturierte Schulung mit Dokumentation und Erfolgskontrolle eingeführt hat, sollte das zeitnah nachholen. Eine interne Präsentation reicht nicht – das Gesetz verlangt nachweisbare Maßnahmen.

Lesen Sie dazu: EU AI Act Artikel 4 einfach erklärt und Wie Sie KI-Kompetenz dokumentieren – Checkliste.

Mittelfristig – Hochrisiko-KI auf dem Radar behalten

Unternehmen, die KI in Bereichen wie Personalauswahl, Kreditvergabe, Bildung oder Gesundheit einsetzen, sollten die Anforderungen nach Anhang III kennen und Vorbereitungsmaßnahmen bis August 2026 planen. Dazu gehören: Risikobewertung der eingesetzten Systeme, Dokumentation, Transparenzmaßnahmen und ggf. Registrierung in der EU-Datenbank.

Prüfung: Welche Systeme fallen unter Anhang I?

Wer KI als Sicherheitskomponente in physischen Produkten einsetzt (Maschinen, Fahrzeuge, Medizinprodukte), sollte prüfen, ob die Sonderfrist 2027 greift – und sich entsprechend Zeit einplanen.

Häufige Fragen zum Zeitplan

Gilt Art. 4 wirklich schon – oder ist das noch eine Übergangsfrist? Art. 4 gilt seit dem 2. Februar 2025 vollständig. Es gibt keine Übergangsfrist. Wer heute noch keine KI-Kompetenz-Schulung eingeführt hat, ist bereits verspätet.

Was passiert mit bestehenden KI-Systemen, die vor August 2024 im Einsatz waren? Die Verordnung enthält für bestimmte bereits bestehende Hochrisiko-KI-Systeme (Anhang III) eine verlängerte Frist bis 2027. Die KI-Kompetenz-Pflicht nach Art. 4 gilt jedoch für alle Systeme – alt und neu.

Müssen wir jährlich nachschulen? Art. 4 schreibt keine feste Wiederholungsfrequenz vor, verlangt aber eine dauerhafte Sicherstellung der KI-Kompetenz. Eine Auffrischung bei neuen Mitarbeitenden, neuen KI-Systemen oder wesentlichen Gesetzesänderungen ist sinnvoll. Viele Compliance-Experten empfehlen einen jährlichen Rhythmus.

Gilt das alles auch für kleine Unternehmen? Ja – Art. 4 macht keine Ausnahme für KMU oder Selbstständige. Das Gesetz verlangt „verhältnismäßige" Maßnahmen, aber keine Ausnahme. Eine einfache, dokumentierte Schulung mit Prüfung reicht für einfache KI-Nutzung aus.

Fazit: Jetzt handeln, 2026 vorbereiten

Der EU AI Act setzt Prioritäten: Verbote und KI-Kompetenz zuerst, dann GPAI-Regeln, dann Hochrisiko-Pflichten. Für die meisten Unternehmen bedeutet das: Der erste Handlungsbedarf liegt bereits in der Vergangenheit – Art. 4 gilt seit Februar 2025.

Gut aufgestellte Unternehmen nutzen die Zeit bis August 2026 doppelt: Sie erfüllen Art. 4 jetzt und bereiten sich parallel auf die Hochrisiko-Anforderungen vor, falls sie einschlägig sind.

Noch nicht sicher, wo Ihr Unternehmen steht?

Der kostenlose KI-Kompetenz-Schnellcheck gibt Ihnen in unter 5 Minuten eine erste Einschätzung Ihres Compliance-Stands – ohne Anmeldung, ohne Verkaufsdruck.

→ Zum kostenlosen Schnellcheck

Wenn Sie die Pflicht nach Art. 4 direkt erfüllen möchten: Das KI-Kompetenz-Zertifikat nach Art. 4 von ki-zertifizieren.de umfasst 5–7 Lernmodule, eine Abschlussprüfung und ein personalisiertes PDF-Zertifikat mit Verifizierungs-ID – in unter 60 Minuten, für 47 € pro Person. Teams nutzen das Firmenportal mit zentraler Verwaltung und Staffelpreisen.

→ Jetzt KI-Kompetenz-Zertifikat erwerben (47 €)