Zeitplan der KI-Verordnung: Was wann gilt

Der Zeitplan der KI-Verordnung im Überblick

Der Zeitplan der KI-Verordnung hat sich 2026 erheblich verändert. Die Verordnung über künstliche Intelligenz (Verordnung (EU) 2024/1689) ist am 1.8.2024 in Kraft getreten und gilt stufenweise. Verbotene Praktiken und die Pflicht zur KI-Kompetenz gelten seit dem 2.2.2025, die Regeln für KI-Modelle mit allgemeinem Verwendungszweck, die Governance und die Sanktionen seit dem 2.8.2025. Der allgemeine Geltungsbeginn war der 2.8.2026.

Der Digital Omnibus zur KI – die Verordnung (EU) 2026/1744 vom 8.7.2026, veröffentlicht im Amtsblatt am 24.7.2026 – hat jedoch die zentralen Hochrisiko-Pflichten auf den 2.12.2027 und den 2.8.2028 verschoben, neue Verbote eingeführt und die Pflicht zur KI-Kompetenz durch eine abgeschwächte Pflicht ersetzt.

Stand November 2026 sehen sich Unternehmen in Deutschland daher einem gemischten Bild gegenüber: Einige Pflichten gelten bereits und werden durchgesetzt, Transparenzpflichten für erzeugte Inhalte gelten mit einer kurzen Übergangsfrist, und die Hochrisiko-Pflichten liegen ein bis zwei Jahre in der Zukunft. In Deutschland bestimmt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom 22.7.2026, das seit dem 29.7.2026 in Kraft ist, die Bundesnetzagentur zur zentralen Marktüberwachungsbehörde.

Die wichtigsten Termine im Zeitplan der KI-Verordnung

Was seit 2025 gilt

Verbotene Praktiken und KI-Kompetenz

Seit dem 2.2.2025 sind die in Art. 5 aufgeführten Praktiken verboten. Dazu gehören manipulative und ausbeuterische KI, Social Scoring, das ungezielte Auslesen von Gesichtsbildern zum Aufbau von Erkennungsdatenbanken, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit Ausnahmen aus medizinischen und Sicherheitsgründen), bestimmte biometrische Kategorisierungen und, vorbehaltlich enger Ausnahmen, die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken. Verstöße können mit Geldbußen von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden (Art. 99 Abs. 3 KI-VO).

Auch die Pflicht zur KI-Kompetenz nach Art. 4 gilt seit dem 2.2.2025. In ihrer ursprünglichen Fassung verlangte sie von Anbietern und Betreibern, Maßnahmen zu ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Der Digital Omnibus hat sie durch eine Pflicht ersetzt, Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz zu ergreifen, ausdrücklich ohne ein bestimmtes Niveau für einzelne Personen zu verlangen. Siehe unseren Beitrag zur KI-Kompetenz nach Art. 4.

KI-Modelle mit allgemeinem Verwendungszweck

Seit dem 2.8.2025 müssen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI) Kapitel V einhalten: technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Urheberrechtsstrategie und eine öffentliche Zusammenfassung der Trainingsinhalte, mit zusätzlichen Pflichten für Modelle mit systemischem Risiko. Modelle, die vor dem 2.8.2025 in Verkehr gebracht wurden, müssen die Anforderungen bis zum 2.8.2027 erfüllen. Die Befugnis der Kommission, Geldbußen gegen GPAI-Anbieter nach Art. 101 zu verhängen, gilt seit dem 2.8.2026. Siehe unseren Beitrag zu den Pflichten der Anbieter von GPAI-Modellen.

Was ab August und Dezember 2026 gilt

Ab dem 2.8.2026 gilt die KI-Verordnung allgemein. Dazu gehören die Transparenzpflichten des Art. 50: Anbieter müssen KI-Systeme, die mit Menschen interagieren, so gestalten, dass die Nutzer wissen, dass sie mit einer KI interagieren; Anbieter generativer Systeme müssen synthetische Audio-, Bild-, Video- und Textinhalte maschinenlesbar kennzeichnen; und Betreiber müssen Deepfakes und bestimmte KI-generierte Texte offenlegen, die zur Information der Öffentlichkeit veröffentlicht werden. Nach dem neuen Art. 111 Abs. 4 haben Anbieter generativer Systeme, die vor dem 2.8.2026 in Verkehr gebracht wurden, bis zum 2.12.2026 Zeit, die Kennzeichnungspflicht nach Art. 50 Abs. 2 zu erfüllen.

Ab dem 2.12.2026 gelten zwei durch den Digital Omnibus eingefügte neue Verbote: KI-Systeme, die realistische intime Bilder, Videos oder Audioinhalte einer identifizierbaren Person ohne deren ausdrückliche Einwilligung erzeugen oder manipulieren, und KI-Systeme, die Darstellungen sexuellen Kindesmissbrauchs erzeugen. Siehe unseren Beitrag zur Kennzeichnung KI-generierter Inhalte.

Die verschobenen Hochrisiko-Pflichten

Der Digital Omnibus hat die Anforderungen an Hochrisiko-KI-Systeme in Kapitel III Abschnitte 1 bis 3 verschoben – Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz, menschliche Aufsicht, Genauigkeit und Robustheit sowie die Pflichten der Anbieter und Betreiber. Sie gelten nun ab dem 2.12.2027 für eigenständige Systeme nach Anhang III (etwa KI in Beschäftigung, Kreditwürdigkeitsprüfung, Bildung und beim Zugang zu wesentlichen Dienstleistungen) und ab dem 2.8.2028 für KI, die Sicherheitsbauteil eines Produkts ist oder selbst ein Produkt darstellt, das unter die Harmonisierungsrechtsvorschriften des Anhangs I fällt (etwa Maschinen und Medizinprodukte).

Die Erwägungsgründe begründen die Verschiebung mit der verspäteten Verfügbarkeit harmonisierter Normen, gemeinsamer Spezifikationen und Leitlinien sowie mit der verzögerten Einrichtung der nationalen Behörden.

Altsysteme werden im Zeitplan der KI-Verordnung günstig behandelt. Hochrisiko-Systeme, die vor dem jeweiligen Geltungsbeginn in Verkehr gebracht oder in Betrieb genommen wurden, sind nur erfasst, wenn sich ihre Konzeption danach erheblich ändert. Nach den Erwägungsgründen gilt die Übergangsregelung auf Ebene von Typ und Modell: Wurde eine Einheit eines Typs und Modells vor dem Stichtag rechtmäßig in Verkehr gebracht, dürfen weitere Einheiten dieser unveränderten Konstruktion weiter geliefert werden. Hochrisiko-Systeme, die zur Nutzung durch Behörden bestimmt sind, müssen die Anforderungen in jedem Fall bis zum 2.8.2030 erfüllen. Siehe unseren Beitrag zu Hochrisiko-KI-Systemen und Konformitätsbewertung.

Weitere Änderungen durch den Digital Omnibus

Neben der Verschiebung von Terminen hat die Verordnung (EU) 2026/1744 eine Reihe struktureller Änderungen vorgenommen, die sich auf die Planung auswirken:

• Kleine Midcaps: Unterstützungsmaßnahmen und einige zuvor KMU vorbehaltene Vereinfachungen wurden auf kleine Midcap-Unternehmen (Small Mid-Caps, SMC) ausgedehnt.
• Erkennung von Verzerrungen: Ein neuer Art. 4a erlaubt Anbietern von Hochrisiko-Systemen ausnahmsweise und vorbehaltlich von Schutzvorkehrungen, besondere Kategorien personenbezogener Daten zu verarbeiten, soweit dies zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist.
• Maschinen: Die Maschinenverordnung (EU) 2023/1230 wurde von Abschnitt A in Abschnitt B des Anhangs I verschoben. KI in Maschinen wird daher vor allem über den sektoralen Rechtsrahmen für Maschinen und nicht unmittelbar über die Hochrisiko-Anforderungen der KI-Verordnung erfasst.
• Registrierung: Die Registrierung von Systemen, die ein Anbieter nach Art. 6 Abs. 3 nicht als hochriskant einstuft, wurde vereinfacht.
• Qualitätsmanagement: Die vereinfachte Erfüllung der Pflicht zum Qualitätsmanagementsystem, die bisher nur Kleinstunternehmen offenstand, wurde auf alle KMU einschließlich Start-ups ausgedehnt.
• Tests unter Realbedingungen: Die Mitgliedstaaten können Tests von Hochrisiko-KI-Systemen unter Realbedingungen auch für Produkte nach den sektoralen Rechtsvorschriften in Abschnitt B des Anhangs I zulassen.

Diese Änderungen am Zeitplan der KI-Verordnung und an ihrem Inhalt bedeuten, dass frühere Compliance-Pläne auf Grundlage des ursprünglichen Textes überprüft werden sollten. Insbesondere Maschinenhersteller sollten erneut prüfen, welches Regime für KI-gestützte Sicherheitsfunktionen gilt, und Personal- und Finanzabteilungen sollten beachten, dass der Termin 2.12.2027 für Anhang III nun für KI in Recruiting, Leistungsmanagement und Kreditwürdigkeitsprüfung maßgeblich ist.

Durchsetzung in Deutschland

Nach § 2 KI-MIG ist die Bundesnetzagentur die zuständige Marktüberwachungsbehörde, soweit nichts anderes bestimmt ist. Die für die Produktvorschriften nach Anhang I Abschnitt A zuständigen Marktüberwachungsbehörden bleiben für KI in diesen Produkten zuständig, und die BaFin beaufsichtigt KI-Systeme, die unmittelbar mit regulierten Finanztätigkeiten beaufsichtigter Unternehmen zusammenhängen. Das KI-MIG richtet außerdem eine zentrale Beschwerdestelle sowie ein Koordinierungs- und Kompetenzzentrum bei der Bundesnetzagentur ein und regelt KI-Reallabore und Tests unter Realbedingungen.

Die Geldbußen richten sich nach Art. 99 KI-VO: bis zu 35 Mio. Euro oder 7 % des Umsatzes bei verbotenen Praktiken, bis zu 15 Mio. Euro oder 3 % bei den meisten anderen Pflichten einschließlich der Transparenz und bis zu 7,5 Mio. Euro oder 1 % bei falschen Angaben gegenüber Behörden, mit niedrigeren Obergrenzen für KMU.

Planung entlang des Zeitplans der KI-Verordnung

Ein praktisches Compliance-Programm sollte sich am Zeitplan der KI-Verordnung insgesamt orientieren, statt allein auf die Hochrisiko-Termine zu warten:

1. Bestandsaufnahme: Erfassen Sie alle KI-Systeme, die das Unternehmen entwickelt, in Verkehr bringt oder nutzt, und bestimmen Sie die Rolle des Unternehmens (Anbieter, Betreiber, Einführer, Händler).
2. Verbote: Stellen Sie sicher, dass keine Nutzung unter Art. 5 fällt, einschließlich der neuen Verbote ab Dezember 2026.
3. KI-Kompetenz: Führen Sie Maßnahmen zur Förderung der KI-Kompetenz fort und dokumentieren Sie sie.
4. Transparenz: Setzen Sie Kennzeichnung und Offenlegung für Chatbots, generative KI und Deepfakes um.
5. GPAI: Wenn das Unternehmen GPAI-Modelle feinabstimmt oder in Verkehr bringt, prüfen Sie, ob es dadurch zum GPAI-Anbieter wird.
6. Hochrisiko: Identifizieren Sie Anwendungsfälle nach Anhang III und Anhang I und planen Sie Qualitätsmanagement, Dokumentation und Konformitätsbewertung für 2027 und 2028.
7. Governance: Stimmen Sie die KI-Compliance mit Datenschutz, Arbeitsrecht (einschließlich der Rechte des Betriebsrats) und Produktsicherheit ab.

In Deutschland löst der Einsatz von KI-Tools zur Überwachung von Verhalten oder Leistung der Beschäftigten zudem in der Regel das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG) aus, unabhängig vom Zeitplan der KI-Verordnung. Betriebsvereinbarungen über KI sind daher für viele Arbeitgeber ein praktischer erster Schritt. Solche Vereinbarungen können auch Maßnahmen zur KI-Kompetenz, die Transparenz gegenüber den Beschäftigten und die Regeln zur menschlichen Aufsicht dokumentieren, was hilfreich sein wird, wenn ab Dezember 2027 die Hochrisiko-Pflichten für beschäftigungsbezogene KI gelten.

Der Digital Omnibus hat Pflichten also nicht abgeschafft, sondern lediglich zeitlich verschoben. Unternehmen, die die zusätzliche Zeit nutzen, um Dokumentation und Governance aufzubauen, werden besser aufgestellt sein, wenn Normen veröffentlicht werden und die Behörden mit der Aufsicht über Hochrisiko-Systeme beginnen.

So unterstützt TRW & Co beim Zeitplan der KI-Verordnung

Wir helfen Unternehmen, ihre KI-Systeme dem Zeitplan der KI-Verordnung zuzuordnen, Rollen und Risikokategorien zu bestimmen und Compliance-Programme für verbotene Praktiken, KI-Kompetenz, Transparenz, KI-Modelle mit allgemeinem Verwendungszweck und Hochrisiko-Systeme aufzubauen. Wir beraten zu Verträgen mit KI-Anbietern, zu Betriebsvereinbarungen über KI-Tools und in Verfahren vor der Bundesnetzagentur und anderen Behörden. Siehe unsere Seiten zur KI-Verordnung und zu Daten und Digitalisierung oder kontaktieren Sie uns.