Fristen für die Compliance zum EU AI Act und der Zeitplan, wie er jetzt steht

Den EU AI Act und seine Wirkung auf Unternehmen verstehen

Der EU Artificial Intelligence Act, Verordnung (EU) 2024/1689, ist die weltweit erste umfassende Regulierung künstlicher Intelligenz und setzt harmonisierte Regeln für Entwicklung, Einsatz und Nutzung von KI in der Europäischen Union. Er wurde am 13. Juni 2024 angenommen, am 12. Juli 2024 im Amtsblatt veröffentlicht und trat am 1. August 2024 in Kraft. Er errichtet einen risikobasierten Rahmen, der KI-Systeme als verboten, hochriskant, mit allgemeinem Verwendungszweck oder mit begrenztem Risiko einstuft.

Seine Pflichten sollten nie alle auf einmal greifen. Sie wurden über mehrere Jahre gestaffelt, und im Juni 2026 wurde diese Staffelung neu geschrieben. Wenn Ihr Compliance-Plan davor entstanden ist, sind die Termine darin überholt, und der folgende Abschnitt ist der Grund.

Was der Omnibus geändert hat und was nicht

Am 29. Juni 2026 hat der Rat der EU einer Verordnung endgültig zugestimmt, die Teile des AI Act vereinfacht, nach der Abstimmung im Plenum des Europäischen Parlaments am 15. Juni mit 423 zu 57 Stimmen bei 174 Enthaltungen. Der Rat beschreibt sie als Teil des Pakets Omnibus VII im Rahmen der Vereinfachungsagenda der EU.

Das ist die Schlagzeile, und dort hat die meiste Berichterstattung aufgehört. Vier weitere Änderungen in derselben Verordnung zählen für die Planung genauso viel:

• Ein neues Verbot von KI-Systemen, die sexuelle oder intime Aufnahmen ohne Einwilligung sowie Material über sexuellen Kindesmissbrauch erzeugen; es wird laut Rat im Dezember 2026 wirksam.
• Nationale Reallabore für KI auf den 2. August 2027 verschoben.
• Die Übergangsfrist für Anbieter, Transparenzlösungen für künstlich erzeugte Inhalte umzusetzen, von sechs auf drei Monate gekürzt, mit Stichtag 2. Dezember 2026.
• Klargestellte Zuständigkeiten des KI-Büros für die Aufsicht über Systeme, die auf Modellen mit allgemeinem Verwendungszweck desselben Anbieters beruhen, mit Ausnahmen, in denen nationale Behörden zuständig bleiben, darunter Strafverfolgung, Grenzmanagement, Justizbehörden und Finanzinstitute.

Was sich nicht bewegt hat, ist der Teil, der die meisten Unternehmen erwischt. Die Kommission hat Ende Juli 2026 bestätigt, dass die Durchsetzung begonnen hat:

Das Bild ist also nicht „der AI Act wurde verschoben“. Die Durchsetzung läuft, die Transparenzpflichten laufen, und die Verbote gelten seit Anfang 2025. Bewegt hat sich ein einzelner, zugegeben großer Block an Pflichten. Die weiteren strategischen Folgen jenseits der Termine behandelt unser Beitrag dazu, was der AI Omnibus für die KI-Strategie ändert.

Die wichtigsten Fristen zum EU AI Act

Der berichtigte Zeitplan, mit dem ursprünglichen Termin dort, wo er überholt ist.

Zwei Zeilen verdienen eine Erläuterung, weil dort die meiste Arbeit steckt.

2. August 2026, Transparenz. Chatbots und andere interaktive Systeme müssen Nutzern sagen, dass sie es mit KI zu tun haben und nicht mit einem Menschen. Deepfakes müssen gekennzeichnet werden. KI-erzeugte oder veränderte Inhalte müssen maschinenlesbare Markierungen tragen, damit sie erkennbar sind. Das gilt, es wird durchgesetzt, und es betrifft sehr viele Unternehmen, die sich selbst gar nicht für KI-Unternehmen halten.

2. Dezember 2027 und 2. August 2028, Hochrisiko. Die Kategorien nach Anhang III umfassen eigenständige Systeme, die bei Beschäftigungsentscheidungen, in der Bildung, bei wesentlichen privaten und öffentlichen Diensten einschließlich der Kreditwürdigkeit, in der Strafverfolgung, bei Migration und in kritischer Infrastruktur eingesetzt werden. Anhang I erfasst KI, die als Sicherheitsbauteil in Produkten eingebettet ist, die bereits dem EU-Produktsicherheitsrecht unterliegen. Hochrisikosysteme unterliegen Anforderungen an Risikomanagement, Data Governance, technische Dokumentation, Aufzeichnungspflichten, menschliche Aufsicht sowie Genauigkeit und Robustheit.

Wie sich Unternehmen auf die Compliance zum EU AI Act vorbereiten

Die Verlängerung ist weniger großzügig, als sie aussieht. Systeme einzustufen, zu rekonstruieren, mit welchen Daten sie trainiert wurden, und Nachvollziehbarkeit herzustellen, dauert, und nichts davon ist kürzer geworden. Geändert hat sich, wann es fällig ist.

1. Erfassen und einstufen. Stellen Sie fest, welche KI-Systeme es im Unternehmen gibt und in welche Kategorie jedes fällt: verboten, hochriskant nach Anhang III oder Anhang I, mit allgemeinem Verwendungszweck oder mit begrenztem Risiko. Die meisten Unternehmen entdecken bei diesem Schritt, dass sie mehr KI im Einsatz haben, als irgendwo verzeichnet war, vieles davon eingebettet in zugekaufte Software.

2. Zuerst die Transparenz erledigen. Das ist die Pflicht, die bereits durchsetzbar ist. Alles mit Kundenkontakt, das Inhalte erzeugt oder verändert oder mit einem Menschen spricht, braucht seine Hinweise und Kennzeichnungen jetzt und nicht 2027.

3. Trainingsdaten und Lineage dokumentieren. Die Hochrisiko-Pflichten verlangen zu wissen, auf welchen Daten ein System aufgebaut wurde, und das auch zeigen zu können. Das ist ein Problem der Lineage, und Lineage im Nachhinein zu rekonstruieren ist deutlich schwerer, als sie laufend zu erfassen.

4. Verantwortung zuweisen. Jedes KI-System braucht eine benannte verantwortliche Person für Einstufung, Dokumentation und Aufsicht. Ein Verzeichnis ohne Verantwortliche verfällt binnen eines Quartals.

5. Nicht nur die Verordnung verfolgen, sondern auch die Leitlinien. Die Kommission gibt weiterhin Leitlinien und Durchführungsrechtsakte heraus, darunter den Mechanismus, um Überschneidungen zwischen den Hochrisiko-Anforderungen des AI Act und sektorspezifischem Recht etwa bei Medizinprodukten und Maschinen aufzulösen. Die Termine oben sind der Rahmen, nicht das ganze Bild.

Wie Dawiso bei KI-Compliance und Governance hilft

Das meiste, was der AI Act auf der Ebene der Dokumentation verlangt, ist Arbeit an Metadaten, und genau das leistet ein geregelter Datenkatalog ohnehin.

• Ein Verzeichnis der KI-Anwendungsfälle. Eine zentrale Aufzeichnung, welche KI-Systeme es gibt, wofür sie genutzt werden, wer für sie verantwortlich ist und wie jedes eingestuft ist.
• Nachvollziehbarkeit der Daten dahinter. Lineage von den Quellsystemen bis zu den Datensätzen, mit denen ein Modell trainiert oder in denen es verankert wurde, laufend erfasst statt unter Prüfungsdruck rekonstruiert.
• Gemeinsame Definitionen und Klassifizierung. Zu wissen, welche Daten sensibel sind, wo sie liegen und was sie bedeuten, ist die Grundlage der Anforderungen an die Data Governance für Hochrisikosysteme.
• Dokumentation, die aktuell bleibt. Aufzeichnungen, die an den Beständen selbst hängen und nicht an einem Dokument, das in dem Moment altert, in dem sich das System ändert.

Mehr zu unserem Ansatz auf der Seite zu KI-Governance.

Fazit

Der Omnibus hat bei einem Block von Pflichten Zeit verschafft und beim Rest keine genommen. Verbote gelten seit Februar 2025. Pflichten für KI mit allgemeinem Verwendungszweck seit August 2025. Transparenz und Durchsetzung seit August 2026. Die Hochrisiko-Frist wurde auf Dezember 2027 und August 2028 verschoben, was nach Luft zum Atmen klingt, bis man den Aufwand beziffert, jedes KI-System im Unternehmen einzustufen und zu belegen, welche Daten hinter jedem stehen.

Die Unternehmen, denen diese Termine bequem vorkommen werden, sind die, die die Verlängerung als Zeit für die Bestandsaufnahme behandeln und nicht als Zeit, sie aufzuschieben.

• EUR-Lex - Verordnung (EU) 2024/1689, der AI Act
• Europäisches Parlament - AI Act: EP approves simplification measures and "nudifier" app ban, Abstimmung im Plenum am 15. Juni 2026
• Rat der EU - Artificial Intelligence: Council gives final green light to simplify and streamline rules, 29. Juni 2026
• Europäische Kommission - Commission starts enforcing AI Act rules and new transparency requirements on 2 August, 31. Juli 2026