AI-Act-Fristen: Was nach dem KI-Omnibus wann gilt

Die KI-Verordnung (EU) 2024/1689 wird schrittweise anwendbar. Die Verordnung (EU) 2026/1744 hat die Hochrisiko-Fristen verschoben: auf den 2. Dezember 2027 für Systeme nach Anhang III und auf den 2. August 2028 für Systeme nach Anhang I. Andere Pflichten gelten bereits; einzelne Übergangsfristen laufen noch.

Die Tabelle nennt die Termine und Fundstellen der konsolidierten Fassung. Für Ihren Workflow müssen Sie insbesondere KI-Kompetenz, mögliche Transparenzpflichten und eine mögliche Hochrisiko-Einstufung prüfen.

Die Kommission hat den Digital Omnibus zur KI am 19. November 2025 vorgeschlagen (COM(2025) 836). Das Europäische Parlament hat ihn am 16. Juni 2026 angenommen, der Rat am 29. Juni 2026. Veröffentlicht wurde er am 24. Juli 2026 als Verordnung (EU) 2026/1744, in Kraft ist er seit dem 27. Juli 2026.

Die wichtigste Änderung betrifft die Hochrisiko-Termine. Statt des 2. August 2026 gilt für Anhang III der 2. Dezember 2027, für Produkte nach Anhang I der 2. August 2028, und zwar als feste Termine, unabhängig davon, ob harmonisierte Normen vorliegen.

Daneben bringt die Änderung Erleichterungen für kleine und mittlere Unternehmen und neu definierte kleine Midcaps: vereinfachte technische Dokumentation nach Art. 11 Abs. 1, ein Qualitätsmanagement nach Art. 17 Abs. 2, das der Unternehmensgröße entspricht, und niedrigere Bußgeldobergrenzen nach Art. 99 Abs. 6a. Die Registrierung von Systemen, die nach Art. 6 Abs. 3 nicht als hochriskant gelten, bleibt bestehen, verlangt aber weniger Angaben.

Für Industrieunternehmen besonders wichtig ist der neue Art. 6 Abs. 1a. Danach gelten KI-Systeme, die ausschließlich nicht sicherheitsbezogenen Zwecken dienen, etwa der Unterstützung von Bedienern, der Leistungsoptimierung, der Effizienz, der Automatisierung, dem Komfort oder der Qualitätskontrolle, nicht als Sicherheitsbauteile. Nach Abs. 1b bleibt ein System trotzdem Sicherheitsbauteil, wenn sein Ausfall oder seine Fehlfunktion Gesundheit und Sicherheit gefährden würde.

Die verbotenen Praktiken nach Art. 5 gelten seit dem 2. Februar 2025, darunter manipulative Techniken mit erheblichem Schaden, Social Scoring und Emotionserkennung am Arbeitsplatz. Ab dem 2. Dezember 2026 kommen zwei Verbote hinzu: für nicht einvernehmliche intime Deepfakes und für die Erzeugung von Darstellungen sexuellen Kindesmissbrauchs.

Anhang III selbst ist unverändert. Ebenso unverändert sind die Ausnahme nach Art. 6 Abs. 3 und die Pflicht nach Art. 6 Abs. 4, die Einschätzung zu dokumentieren, bevor ein System in Verkehr gebracht oder in Betrieb genommen wird. Die Transparenzpflichten nach Art. 50 gelten in der Sache wie beschlossen.

Art. 4 bleibt eine Pflicht für Unternehmen. Anbieter und Betreiber müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals und der Personen zu fördern, die in ihrem Auftrag mit KI-Systemen arbeiten. Die neue Fassung stellt klar, dass dafür kein bestimmtes Kompetenzniveau garantiert werden muss; Kommission und Mitgliedstaaten sollen Unternehmen, besonders kleine und mittlere, dabei unterstützen.

Eine eigene Geldbuße für Art. 4 sehen weder Art. 99 noch das deutsche KI-MIG vor. Trotzdem lohnt es sich, die Maßnahmen aufzuschreiben: wer welche Werkzeuge nutzt, welche Schulung dazu gehört und wer bei Fragen entscheidet. Eine KI-Richtlinie für Unternehmen ist der übliche Ort dafür.

Seit dem 2. August 2026 müssen Anbieter Systeme, die direkt mit Menschen interagieren, so gestalten, dass diese erkennen, dass sie mit einer KI sprechen, es sei denn, das ist offensichtlich. Die Information muss spätestens bei der ersten Interaktion erfolgen (Art. 50 Abs. 5). Wer einen eigenen Agenten baut und unter eigenem Namen in Betrieb nimmt, kann dabei selbst Anbieter sein.

Betreiber müssen nach Art. 50 Abs. 4 offenlegen, dass ein Text KI-erzeugt ist, wenn er veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Das entfällt, wenn ein Mensch den Text redaktionell geprüft hat und die Verantwortung trägt. Einzelne Kundenantworten, Angebote oder Reklamationsbescheide werden nicht zur Information der Öffentlichkeit veröffentlicht und fallen nach dem Wortlaut nicht unter diese Pflicht; die Einordnung Ihres konkreten Falls bleibt bei Ihrer Compliance.

In einem Workflow mit Freigabe durch Menschen ist das ohnehin angelegt: Der Agent entwirft, eine benannte Person gibt frei. Kritisch wird es dort, wo ein Agent ohne Freigabe direkt mit Kunden kommuniziert. Dort gehört der Hinweis auf die KI in die erste Nachricht.

Hochriskant wird ein Workflow, wenn er in einen Bereich nach Anhang III fällt und keine Ausnahme greift. Für betriebliche Abläufe sind vor allem fünf Bereiche relevant, die in der Tabelle stehen. Ein Agent, der Angebote entwirft, Reklamationen vorbereitet oder Lieferscheine prüft, gehört in der Regel zu keinem davon.

Auch innerhalb eines dieser Bereiche gilt ein System nach Art. 6 Abs. 3 nicht als hochriskant, wenn es nur eine eng begrenzte Verfahrensaufgabe ausführt, das Ergebnis einer abgeschlossenen menschlichen Tätigkeit verbessert, Muster erkennt, ohne die menschliche Bewertung ohne Überprüfung zu ersetzen, oder eine vorbereitende Aufgabe erfüllt. Die Ausnahme gilt nie, wenn das System ein Profiling natürlicher Personen vornimmt. Die Leitlinien der Kommission zur Einstufung lagen im Mai 2026 als Entwurf zur Konsultation vor.

Ob ein konkreter Workflow betroffen ist, lässt sich mit dem AI-Act-Check in wenigen Minuten vorprüfen. Die verbindliche Einstufung bleibt bei Ihrer Compliance.

Die Obergrenzen sind gestaffelt, und für kleine und mittlere Unternehmen gilt jeweils der niedrigere der beiden Beträge. Für kleine Midcaps gilt der niedrigere Betrag bei Verstößen nach Art. 99 Abs. 4 und 5.

Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) gilt seit dem 29. Juli 2026. Zuständige Marktüberwachungsbehörde ist grundsätzlich die Bundesnetzagentur; für KI, die direkt mit regulierten Finanzdienstleistungen zusammenhängt, ist es die BaFin, und für bestimmte Bereiche des Anhangs III wie Biometrie und Strafverfolgung eine unabhängige KI-Marktüberwachungskammer.

Die Bundesnetzagentur ist zugleich zentrale Anlaufstelle. Ihr KI-Service-Desk bietet mit dem KI-Compliance-Kompass einen Selbstcheck, häufige Fragen und ein Merkblatt für kleine und mittlere Unternehmen. § 15 KI-MIG ergänzt Bußgelder bis 50.000 Euro für bestimmte Informationspflichten.

Die gewonnene Zeit ist kein Grund zu warten, denn die meisten Pflichten verlangen Material, das im laufenden Betrieb entsteht. Fünf Schritte reichen für die meisten Unternehmen, die KI-Agenten einsetzen; die Begriffe dazu erklärt das Glossar.