KI-Verordnung: Alle Fristen 2025–2027 im Überblick

Inhalt in Kürze

• Die KI-Verordnung wird stufenweise anwendbar – vom Inkrafttreten am 1. August 2024 bis zur vollen Geltung 2028.
• Seit dem 2. August 2026 gilt die Verordnung allgemein – seitdem greifen die Transparenzpflichten nach Artikel 50 und die nationale Marktüberwachung.
• Der nächste große Stichtag ist der 2. Dezember 2027: Dann greifen die Pflichten für Hochrisiko-KI nach Anhang III und die Grundrechte-Folgenabschätzung (FRIA). Ursprünglich war dafür der 2. August 2026 vorgesehen; verschoben hat sie die Digital-Omnibus-Verordnung (EU) 2026/1744.
• Die KI-Kompetenzpflicht nach Artikel 4 gilt bereits seit dem 2. Februar 2025 – ebenso wie das Verbot bestimmter KI-Praktiken.
• Bußgelder reichen bis 35 Mio. Euro oder 7 % des Jahresumsatzes; für KMU gilt jeweils der niedrigere Betrag (Art. 99).

41 Prozent aller Unternehmen in Deutschland setzen KI aktiv ein – vor zwei Jahren waren es 17 Prozent. Das zeigt die Bitkom-Studie 2026. Doch nur wenige wissen genau, welche Pflicht der KI-Verordnung wann greift. Genau darum geht es hier: Dieser Artikel führt Sie durch alle KI-Verordnung Fristen von 2025 bis 2027 – und zeigt, was Ihr Unternehmen bis wann getan haben muss.

Die Verordnung (EU) 2024/1689 tritt nicht auf einen Schlag in Kraft. Sie wird über mehrere Stufen anwendbar. Der allgemeine Geltungszeitraum hat am 2. August 2026 begonnen. Der nächste große Stichtag ist der 2. Dezember 2027 – dann greifen die Pflichten für Hochrisiko-KI nach Anhang III.

Lesetipp: Alles, was Geschäftsführer über den sicheren KI-Einsatz wissen müssen – von der Risikoklassifizierung bis zur KI-Richtlinie – steht in unserem kostenlosen E-Book „KI sicher einsetzen – Der Leitfaden für Geschäftsführer” (93 Seiten). Jetzt herunterladen →

KI-Verordnung Fristen: der komplette Zeitstrahl

Die Verordnung staffelt ihre Pflichten in Artikel 113. Diese Tabelle zeigt, welche Regel zu welchem Datum greift und wen sie betrifft:

Die beiden Hochrisiko-Termine standen ursprünglich früher: Anhang III am 2. August 2026, Anhang I am 2. August 2027. Verschoben hat sie die Digital-Omnibus-Verordnung (EU) 2026/1744, die seit dem 27. Juli 2026 in Kraft ist und die KI-Verordnung an rund vierzig Stellen ändert.

Wichtig bleibt die Unterscheidung der beiden Hochrisiko-Kategorien: Anhang III (eigenständige KI in sensiblen Bereichen) greift ab Dezember 2027, Anhang I (KI als Bestandteil bereits regulierter Produkte, etwa Maschinen oder Medizingeräte) erst ab August 2028. Beides zu vermischen führt schnell zu falschen Planungen.

Was bereits gilt: Verbote und KI-Kompetenz

Zwei Pflichten sind schon in Kraft. Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken verboten – dazu zählen etwa Social Scoring durch Behörden und manipulative Systeme, die das Verhalten von Menschen unterschwellig beeinflussen (Art. 5).

Zeitgleich gilt die KI-Kompetenzpflicht nach Artikel 4. Anbieter und Betreiber müssen dafür sorgen, dass ihr Personal, das KI-Systeme bedient, über ausreichende Kenntnisse verfügt. Was das im Detail bedeutet und wie Sie den Nachweis führen, lesen Sie in unserem Beitrag zur KI-Kompetenzpflicht nach Artikel 4.

Welche Fristen für Sie gelten, hängt vor allem an einer Frage: In welche Risikoklasse fällt Ihr KI-Einsatz, und sind Sie Anbieter oder nur Betreiber? Der KI-Risikoklassen-Check führt Sie in wenigen Minuten durch beide Fragen und nennt am Ende die Pflichten mit Datum — kostenlos, im Browser gerechnet, ohne Anmeldung.

Seit dem 2. August 2026: allgemeiner Geltungsbeginn

Am 2. August 2026 hat der allgemeine Geltungszeitraum der KI-Verordnung begonnen. Wirksam wurde damit vor allem ein Pflichtenblock:

• Transparenzpflichten (Art. 50): Chatbots, KI-generierte Inhalte und ähnliche Systeme mit begrenztem Risiko müssen als solche gekennzeichnet werden, damit Nutzer wissen, dass sie mit einer KI interagieren. Für Systeme, die schon vor dem 2. August 2026 im Markt waren, läuft die Frist für die maschinenlesbare Markierung nach Art. 50 Abs. 2 noch bis zum 2. Dezember 2026.

Zeitgleich sind die nationalen Marktüberwachungsbehörden zuständig geworden – in Deutschland die Bundesnetzagentur.

Ab dem 2. Dezember 2027: Hochrisiko-KI und FRIA

Die Hochrisiko-Pflichten waren ursprünglich ebenfalls für den 2. August 2026 vorgesehen. Die Digital-Omnibus-Verordnung (EU) 2026/1744 hat sie auf den 2. Dezember 2027 verschoben. Zwei Pflichtenblöcke werden dann wirksam:

• Hochrisiko-KI nach Anhang III (Art. 6 Abs. 2): Systeme in acht sensiblen Bereichen gelten als hochriskant – darunter Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personalmanagement, der Zugang zu grundlegenden privaten und öffentlichen Diensten, Strafverfolgung, Migration sowie Rechtspflege. Für Betreiber heißt das unter anderem: menschliche Aufsicht sicherstellen, den Betrieb dokumentieren und betroffene Personen informieren.
• Grundrechte-Folgenabschätzung / FRIA (Art. 27): Bestimmte Betreiber müssen vor dem Einsatz einer Hochrisiko-KI die Auswirkungen auf die Grundrechte bewerten. Die Pflicht trifft vor allem öffentliche Stellen und private Anbieter öffentlicher Dienstleistungen sowie Betreiber von KI zur Bonitäts- oder Versicherungsbewertung. Sie hängt an den Hochrisiko-Vorschriften und verschiebt sich mit ihnen. Die FRIA ergänzt eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, ersetzt sie aber nicht (Art. 27 Abs. 4).

Aus der Praxis

Viele Geschäftsführer starren auf den 2. August 2026, als würde vorher nichts passieren. Dabei läuft die KI-Kompetenzpflicht schon seit Februar 2025. Mein Rat: Fangen Sie nicht mit der Frist an, sondern mit dem Inventar. Wer weiß, welche KI im Haus genutzt wird, kann jede Frist ruhig angehen – statt kurz vor Toresschluss in Hektik zu verfallen.

Nils OehmichenDatenschutzberater bei frag.hugo

Was Ihr Unternehmen bis wann getan haben muss

Die Fristen laufen – diese fünf Schritte bringen Sie in geordnete Bahnen:

1. Sofort – KI-Kompetenz nachweisen: Schulen Sie alle Mitarbeitenden, die KI nutzen, und dokumentieren Sie es. Die Pflicht gilt seit Februar 2025 und ist bereits fällig.
2. Jetzt – KI-Inventar erstellen: Erfassen Sie jedes eingesetzte KI-System – von ChatGPT über HR-Software bis zum Spam-Filter. Fragen Sie jede Abteilung einzeln ab.
3. Jetzt – Risikoklassen bestimmen: Ordnen Sie jedes System einer Klasse zu (verboten, hochriskant, begrenztes oder minimales Risiko). HR- und Bonitätstools fallen oft unter Anhang III.
4. Sofort – Transparenzhinweise einrichten: Chatbots, Voicebots und KI-generierte Inhalte kennzeichnen. Artikel 50 gilt seit dem 2. August 2026 und ist bereits fällig.
5. Bis 2. Dezember 2027 – Hochrisiko-Pflichten umsetzen: Für Anhang-III-Systeme menschliche Aufsicht, Dokumentation und – wo einschlägig – die FRIA vorbereiten. Der zusätzliche Vorlauf aus der Verordnung (EU) 2026/1744 ist Vorbereitungszeit, keine Entwarnung.
6. Laufend – Verantwortlichkeiten festlegen: Benennen Sie eine zuständige Person für KI-Compliance. Häufig übernimmt das der Datenschutzbeauftragte. Eine strukturierte Dokumentation gelingt zum Beispiel über ein KI-Register mit frag.hugo.

Bußgelder: Was bei Versäumnissen droht

Die Sanktionen richten sich nach Artikel 99 und sind gestaffelt:

• Verbotene KI-Praktiken (Art. 5): bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes.
• Sonstige Verstöße gegen Anbieter- oder Betreiberpflichten (auch Art. 27): bis zu 15 Mio. Euro oder 3 % des Umsatzes.
• Falsche oder unvollständige Angaben gegenüber Behörden: bis zu 7,5 Mio. Euro oder 1 % des Umsatzes.

Deutschland: Wer überwacht die KI-Verordnung?

Die KI-Verordnung gilt unmittelbar in allen EU-Mitgliedstaaten. Die nationale Ausgestaltung regelt in Deutschland das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das am 29. Juli 2026 in Kraft getreten ist. Seitdem ist die Bundesnetzagentur (BNetzA) zentrale Marktüberwachungsbehörde, Anlauf- und Beschwerdestelle. Angesiedelt sind dort das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) und ein KI-Service-Desk, der besonders KMU und Start-ups Auskunft gibt.

Einen laufend aktualisierten Überblick über den Umsetzungsstand bietet die Europäische Kommission (Digital Strategy).

Fazit

Die KI-Verordnung Fristen folgen einem klaren Zeitplan: Verbote und KI-Kompetenz seit Februar 2025, GPAI-Pflichten seit August 2025, der allgemeine Geltungsbeginn mit den Transparenzpflichten seit dem 2. August 2026, Hochrisiko-KI nach Anhang III ab dem 2. Dezember 2027 und die Produktsicherheits-Fälle ab August 2028. Wer heute mit Inventar, Risikoklassifizierung und Schulungsnachweisen beginnt, hat bis zum nächsten Stichtag ausreichend Zeit.

Einen praxisnahen Einstieg speziell für kleinere Betriebe bietet unser Beitrag AI Act für KMU: Was Mittelständler jetzt wissen müssen.

Häufige Fragen (FAQ)

Wann gilt die KI-Verordnung vollständig?

Die KI-Verordnung wird stufenweise anwendbar. Der allgemeine Geltungsbeginn war der 2. August 2026 – seitdem gelten die Transparenzpflichten nach Artikel 50. Die Pflichten für Hochrisiko-KI nach Anhang III und die Grundrechte-Folgenabschätzung (FRIA) greifen seit der Digital-Omnibus-Verordnung (EU) 2026/1744 erst ab dem 2. Dezember 2027, für eingebettete KI nach Anhang I ab dem 2. August 2028. Verbote und KI-Kompetenzpflicht gelten seit dem 2. Februar 2025.

Seit wann gilt die KI-Kompetenzpflicht nach Artikel 4?

Die KI-Kompetenzpflicht nach Artikel 4 der KI-Verordnung gilt seit dem 2. Februar 2025. Anbieter und Betreiber müssen seitdem für eine ausreichende KI-Kompetenz ihres Personals sorgen, das KI-Systeme bedient.

Was gilt seit dem 2. August 2026 genau?

Am 2. August 2026 hat der allgemeine Geltungszeitraum begonnen. Seitdem gelten die Transparenzpflichten nach Artikel 50, und die nationalen Marktüberwachungsbehörden sind zuständig. Die Pflichten für Hochrisiko-KI nach Anhang III (Art. 6 Abs. 2) und die Grundrechte-Folgenabschätzung nach Artikel 27 waren ursprünglich für denselben Tag vorgesehen; die Verordnung (EU) 2026/1744 hat sie auf den 2. Dezember 2027 verschoben.

Welche Bußgelder drohen nach der KI-Verordnung?

Nach Artikel 99 drohen bei verbotenen KI-Praktiken bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes, bei sonstigen Verstößen gegen Anbieter- oder Betreiberpflichten bis zu 15 Mio. Euro oder 3 %, bei falschen Angaben bis zu 7,5 Mio. Euro oder 1 %. Für KMU gilt jeweils der niedrigere der beiden Beträge.

Gilt die KI-Verordnung auch für Unternehmen, die KI nur nutzen?

Ja. Die KI-Verordnung unterscheidet zwischen Anbietern und Betreibern. Die meisten Unternehmen sind Betreiber – etwa wenn sie ein KI-gestütztes Bewerbertool einsetzen. Auch Betreiber haben konkrete Pflichten, insbesondere bei Hochrisiko-Systemen ab dem 2. Dezember 2027.