Stand 27. Juli 2026 — nach dem Digital Omnibus

EU AI Act: Welche Fristen und Pflichten jetzt wirklich gelten

Die Hochrisiko-Pflichten sind verschoben, die Transparenzpflichten nach Artikel 50 nicht. Was das für Ihr Unternehmen bedeutet, welche Rolle Sie haben und was technisch zu tun ist.

Diese Seite ist eine technische Einordnung, keine Rechtsberatung. Für die verbindliche Bewertung Ihres Einzelfalls wenden Sie sich an eine Kanzlei.

Was ab dem 2. August 2026 gilt

Der Digital Omnibus hat die Hochrisiko-Pflichten verschoben. Diese drei Punkte hat er nicht angefasst.

Transparenzpflichten nach Artikel 50

Chatbots geben sich zu erkennen, generierte Inhalte werden maschinenlesbar markiert, Deepfakes werden offengelegt.

Verstöße werden ahndbar

Bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes. Für KMU gilt nach Art. 99 Abs. 6 der jeweils niedrigere Wert.

Die Bundesnetzagentur übernimmt

Sie ist in Deutschland die zuständige Marktüberwachungsbehörde für die KI-Verordnung.

Alle Fristen der KI-Verordnung im Überblick

Stand nach Verordnung (EU) 2026/1744, veröffentlicht am 24.07.2026 und in Kraft seit dem 27.07.2026.

Geltungstermine der KI-Verordnung, chronologisch sortiert
PflichtGilt abStatus
Verbotene KI-Praktiken (Art. 5)02.02.2025gilt
KI-Kompetenz des Personals (Art. 4)Durch den Digital Omnibus abgeschwächt: aus „sicherstellen" wurde „unterstützen".02.02.2025gilt
Pflichten für KI-Modelle mit allgemeinem Verwendungszweck (Art. 53 ff.)Unverändert — vom Digital Omnibus nicht berührt.02.08.2025gilt
KI-MIG: Bundesnetzagentur wird nationale MarktaufsichtDas KI-Marktüberwachungs- und Innovationsförderungsgesetz passierte am 10. Juli 2026 den Bundesrat und bündelt die Aufsicht bei der Bundesnetzagentur — samt Koordinierungsstelle KoKIVO, KI-Service-Desk für KMU und Reallabor.10.07.2026beschlossen
Transparenzpflichten (Art. 50)Nicht verschoben. Der Termin, der für die meisten Unternehmen zählt.02.08.2026gilt ab
Verstöße gegen Artikel 50 werden ahndbarKapitel XII (Sanktionen) gilt bereits seit dem 2. August 2025. Weil Artikel 50 aber erst jetzt anwendbar wird, kann davor auch nicht dagegen verstoßen werden.02.08.2026gilt ab
Maschinenlesbare Kennzeichnung bei BestandssystemenSchonfrist für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden.02.12.2026Übergangsfrist
Zwei neue verbotene Praktiken in Artikel 5Neu durch den Digital Omnibus: KI-Systeme zur Erzeugung nicht-einvernehmlicher Intimdarstellungen sowie von Darstellungen sexuellen Kindesmissbrauchs.02.12.2026gilt ab
Hochrisiko-KI nach Anhang III (eigenständige Systeme)zuvor: 02.08.202602.12.2027verschoben
Hochrisiko-KI nach Anhang I (Produktsicherheit)zuvor: 02.08.202702.08.2028verschoben

Anbieter oder Betreiber — was sind Sie?

Die Rollenfrage entscheidet, welche Pflichten überhaupt greifen. Viele Unternehmen sind beides, ohne es zu wissen.

Anbieter (Provider)

Wer ein KI-System entwickelt und unter eigenem Namen oder eigener Marke bereitstellt.

Sie lassen einen Chatbot entwickeln und betreiben ihn unter Ihrem Markennamen auf Ihrer Website.

  • System so gestalten, dass die Interaktion mit einer KI erkennbar ist (Art. 50 Abs. 1)
  • Ausgaben generativer Systeme maschinenlesbar als KI-generiert markieren (Art. 50 Abs. 2)
  • Technische Dokumentation vorhalten

Betreiber (Deployer)

Wer ein KI-System eines Dritten in eigener Verantwortung im beruflichen Kontext einsetzt.

Ihr Team nutzt ChatGPT oder Copilot im Arbeitsalltag über die Oberfläche des Anbieters.

  • Deepfakes offenlegen (Art. 50 Abs. 4)
  • KI-generierte Texte offenlegen, sofern sie der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen
  • Entwicklung von KI-Kompetenz beim Personal unterstützen (Art. 4)

Beides zugleich

Wer ein zugekauftes System unter eigenem Namen weitergibt oder wesentlich verändert, wird zusätzlich zum Anbieter.

Sie binden ein fremdes Sprachmodell in ein eigenes Produkt ein und vertreiben es als Ihre Lösung.

  • Beide Pflichtenkreise gelten nebeneinander
  • Die Rollenfrage vor Vertragsschluss klären, nicht danach

Die Pflichten im Detail

Art. 5

Verbotene Praktiken

gilt ab 02.02.2025

Manipulative Systeme, Social Scoring und bestimmte biometrische Anwendungen sind untersagt. Für typische Anwendungen im Mittelstand in der Regel nicht einschlägig. Der Digital Omnibus ergänzt zum 2. Dezember 2026 zwei weitere Verbote: die Erzeugung nicht-einvernehmlicher Intimdarstellungen und von Darstellungen sexuellen Kindesmissbrauchs.

Bußgeldrahmen: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes; bei KMU gilt der jeweils niedrigere Wert

Art. 4

KI-Kompetenz des Personals

gilt ab 02.02.2025

Anbieter und Betreiber unterstützen die Entwicklung von KI-Kompetenz bei ihren Beschäftigten. Der Digital Omnibus hat die ursprüngliche Sicherstellungspflicht zu einer Unterstützungspflicht abgeschwächt.

Bußgeldrahmen: in Artikel 99 nicht mit einem eigenen Bußgeldrahmen hinterlegt

Art. 50 Abs. 1 und 5

Chatbots müssen sich zu erkennen geben

gilt ab 02.08.2026

Absatz 1 verlangt, dass Personen erfahren, dass sie mit einem KI-System interagieren — es sei denn, das ist für eine angemessen informierte, aufmerksame und verständige Person ohnehin offensichtlich. Absatz 5 legt den Zeitpunkt fest: klar und unterscheidbar, spätestens bei der ersten Interaktion. Die Kommission hat dazu am 20. Juli 2026 Leitlinien angenommen; sie sind unverbindlich, aber der maßgebliche Auslegungsmaßstab.

Bußgeldrahmen: bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes; bei KMU gilt der jeweils niedrigere Wert

Art. 50 Abs. 2

Maschinenlesbare Kennzeichnung generierter Inhalte

gilt ab 02.08.2026

Anbieter generativer Systeme markieren Ausgaben maschinenlesbar als KI-generiert, etwa über Metadaten nach dem C2PA-Standard. Was dabei als wirksam gilt, konkretisiert der Code of Practice on Transparency of AI-Generated Content vom 10. Juni 2026 — freiwillig, aber der praktikabelste Konformitätsnachweis. Für Systeme, die vor diesem Datum in Verkehr gebracht wurden, gilt eine Frist bis zum 2. Dezember 2026.

Bußgeldrahmen: bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes; bei KMU gilt der jeweils niedrigere Wert

Art. 50 Abs. 4

Deepfakes und Texte von öffentlichem Interesse

gilt ab 02.08.2026

Betreiber legen Deepfakes offen. Bei Texten greift die Pflicht nur, wenn diese der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen. Redaktionell geprüfte Inhalte unter menschlicher Verantwortung sind ausgenommen.

Bußgeldrahmen: bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes; bei KMU gilt der jeweils niedrigere Wert

Anhang III

Hochrisiko-KI

gilt ab 02.12.2027

Systeme in Bereichen wie Personalauswahl, Kreditvergabe oder Zugang zu wesentlichen Diensten. Umfangreiche Anforderungen an Risikomanagement, Datenqualität und menschliche Aufsicht. Durch den Digital Omnibus vom 2. August 2026 auf den 2. Dezember 2027 verschoben.

Bußgeldrahmen: bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes; bei KMU gilt der jeweils niedrigere Wert

Die Pflichten als abhakbare Liste

Dieselben Anforderungen, sortiert nach Arbeitsreihenfolge und Frist. Der Fortschritt bleibt in Ihrem Browser.

Häufige Fragen

Sobald Sie ein KI-System einsetzen oder anbieten, fallen Sie in den Anwendungsbereich, unabhängig von der Unternehmensgröße. Der Umfang der Pflichten hängt aber stark vom Anwendungsfall ab. Für die meisten mittelständischen Anwendungen wie Chatbots oder Textgeneratoren bleibt es bei Transparenzpflichten nach Artikel 50. Die aufwendigen Hochrisiko-Anforderungen greifen nur in klar benannten Bereichen wie Personalauswahl oder Kreditvergabe.

Die Verordnung (EU) 2026/1744 verschiebt die Pflichten für Hochrisiko-KI: eigenständige Systeme nach Anhang III auf den 2. Dezember 2027, in Produkte eingebettete Systeme nach Anhang I auf den 2. August 2028. Unverändert bleiben die Transparenzpflichten nach Artikel 50 und das Sanktionsregime, die beide am 2. August 2026 greifen. Zusätzlich wurde die Pflicht zur KI-Kompetenz abgeschwächt.

Ja, sofern nicht ohnehin offensichtlich ist, dass ein Mensch mit einer Maschine spricht. Artikel 50 Absatz 5 verlangt den Hinweis klar und unterscheidbar spätestens bei der ersten Interaktion, nicht in den Nutzungsbedingungen oder der Fußzeile. Ein Satz zu Beginn des Dialogs genügt. Die Pflicht trifft primär den Anbieter, praktisch muss der Hinweis aber in der ausgelieferten Oberfläche stehen.

Nur eingeschränkt. Die Offenlegungspflicht nach Artikel 50 Absatz 4 greift bei Texten, die der Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse dienen. Werbetexte, Produktbeschreibungen und Service-Informationen fallen typischerweise nicht darunter. Ausgenommen sind außerdem Inhalte, die redaktionell geprüft wurden und für die ein Mensch die Verantwortung übernimmt. Bei Bildern, Video und Audio ist die Lage strenger.

Ein freiwilliges Regelwerk der EU-Kommission vom 10. Juni 2026, das die maschinenlesbare Kennzeichnung KI-generierter Inhalte technisch konkretisiert. Wer ihn unterzeichnet, kann seine Umsetzung leichter belegen. Verpflichtend ist die Unterzeichnung nicht, die Pflicht aus Artikel 50 Absatz 2 gilt unabhängig davon. Für Unternehmen, die generative Systeme nur einsetzen statt anzubieten, ist er meist nicht einschlägig.

Die Bundesnetzagentur. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz, das am 10. Juli 2026 den Bundesrat passiert hat, bündelt die nationale Aufsicht dort. Angesiedelt sind auch die Koordinierungsstelle KoKIVO, ein KI-Service-Desk als niedrigschwellige Anlaufstelle für kleine Unternehmen und ein Reallabor zum Erproben neuer Anwendungen. Ab dem 2. August 2026 kann die Behörde Unterlagen anfordern, Systeme prüfen und Abhilfe verlangen.

In abgeschwächter Form. Artikel 4 verlangte ursprünglich, dass Anbieter und Betreiber ein ausreichendes Maß an KI-Kompetenz ihres Personals sicherstellen. Der Digital Omnibus hat daraus eine Pflicht gemacht, die Entwicklung dieser Kompetenz zu unterstützen. Der Druck ist damit geringer als vielfach beworben. Sinnvoll bleibt eine dokumentierte Kurzschulung, weil sie Fehlgebrauch verhindert und im Prüffall belegt, dass das Thema bearbeitet wurde.

Kapitel XII der Verordnung gilt bereits seit dem 2. August 2025. Weil Artikel 50 aber erst am 2. August 2026 anwendbar wird, können Verstöße dagegen auch erst ab diesem Datum geahndet werden. Marktaufsicht in Deutschland ist die Bundesnetzagentur. Der Rahmen liegt bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes; für kleine und mittlere Unternehmen gilt nach Artikel 99 Absatz 6 der jeweils niedrigere Wert.

Von der Einordnung zur Umsetzung

Wir nehmen auf, welche KI-Systeme bei Ihnen im Einsatz sind, ordnen Ihre Rolle ein und bauen die Kennzeichnung dort ein, wo sie hingehört: in die Anwendung. Dokumentation und eine Kurzschulung für Ihr Team gehören dazu.