EU AI Act nach der Änderung 2026: Welche Frist gilt für wen

Stand: 25.10.2026. Neufassung des Artikels vom 26. März 2026, der für die Hochrisiko-Pflichten noch den 2. August 2026 nannte. Änderungsprotokoll am Ende.

Kurzfassung. Die EU hat den AI Act im Juli 2026 geändert, die Änderung ist seit dem 27. Juli 2026 in Kraft [9]. Die Pflichten für Hochrisiko-Systeme, etwa in der Personalauswahl, gelten jetzt erst ab dem 2. Dezember 2027, für KI in Produkten wie Aufzügen oder Spielzeug ab dem 2. August 2028 [7][9]. Die Pflicht zur KI-Kompetenz gilt schon seit Februar 2025, die Transparenzregeln seit dem 2. August 2026, und im Dezember 2026 kommen zwei neue Verbote dazu [7]. In Deutschland ist seit dem 29. Juli 2026 die Bundesnetzagentur die zentrale Aufsicht [13]. Mit fünf Fragen sortierst du, welche Fristen dich betreffen.

Hinweis: Dieser Beitrag ist ausdrücklich keine Rechtsberatung. Er beschreibt, was in den Rechtstexten steht, Stand 25.10.2026. Ob und wie eine Pflicht für dein Unternehmen gilt, klärst du mit einer Anwältin oder einem Anwalt.

Ein Termin, der sechs Tage vorher wegfiel

Am 24. Juli 2026 erschien im Amtsblatt der EU die Verordnung (EU) 2026/1744 vom 8. Juli 2026 [7]. Die Verordnung trat am dritten Tag danach in Kraft, laut Kommission am 27. Juli 2026 [2][9]. Bis dahin stand im Originaltext des AI Act als Geltungsbeginn der 2. August 2026, ausgenommen waren nur einzelne Kapitel und Artikel 6 Absatz 1 [1].

Für ein Bewerbermanagement mit KI hieß das: Ab dem 2. August 2026 sollten die Hochrisiko-Pflichten gelten [1]. So stand es auch hier im Blog. Sechs Tage vorher galt ein neuer Zeitplan. Für die Personalauswahl steht jetzt der 2. Dezember 2027 im Text, 16 Monate später [7].

Woher du den geltenden Text bekommst

Die Änderungsverordnung sagt nur, welche Sätze ersetzt werden. Auf EUR-Lex gibt es eine konsolidierte Fassung mit Stand 27. Juli 2026 [7]. Die Fassung trägt den Hinweis: „Dieser Text dient lediglich zu Informationszwecken und hat keine Rechtswirkung.“ [7] Rechtsverbindlich bleiben die beiden Verordnungen im Amtsblatt [1][2].

Ein Beispiel: Du suchst die Frist für die Kennzeichnung von KI-Bildern. Im Original von 2024 fehlt die Übergangsregel in Art. 111 Abs. 4, sie kam erst mit der Änderung [2]. In der konsolidierten Fassung steht sie mit Artikel 50 in einem Text [7].

Anbieter oder Betreiber

Fast jede Pflicht hängt an deiner Rolle. Anbieter ist laut Art. 3 Nr. 3, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Handelsmarke in Verkehr bringt [7]. Betreiber ist laut Art. 3 Nr. 4, wer ein KI-System „in eigener Verantwortung verwendet“ [7].

Ein Beispiel: Eine Agentur nutzt ChatGPT für Werbetexte. Art. 3 Nr. 4 stellt für diesen Fall auf die Verwendung eines Systems in eigener Verantwortung ab [7]. Baut dieselbe Agentur für einen Kunden einen Chatbot und liefert ihn unter eigenem Namen aus, nennt Art. 3 Nr. 3 unter anderem das Inverkehrbringen unter eigenem Namen oder eigener Handelsmarke [7]. Art. 25 Abs. 1 nennt Fälle, in denen ein Händler, Einführer, Betreiber oder sonstiger Dritter als Anbieter eines Hochrisiko-Systems gilt, etwa wenn er ein solches System mit seinem Namen oder seiner Handelsmarke versieht (Buchst. a) oder die Zweckbestimmung so ändert, dass es hochriskant wird (Buchst. c) [7].

Die Fristen im Überblick

Datum	Was gilt	Für wen	Fundstelle
2.2.2025	Allgemeine Bestimmungen mit KI-Kompetenz (Art. 4), Verbote Nr. 1 bis 8	alle Anbieter und Betreiber	Art. 113 Buchst. a [7][9]
2.8.2025	Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Governance, Sanktionen	Modellanbieter, Behörden	Art. 113 Buchst. b [7]
2.8.2026	Allgemeiner Geltungsbeginn, darunter die Transparenzpflichten nach Art. 50	Anbieter und Betreiber bestimmter Systeme	Art. 113 [7]
29.7.2026	Deutsches Durchführungsgesetz KI-MIG in Kraft, Bundesnetzagentur zuständig	alle in Deutschland	KI-MIG [13]
2.12.2026	Neue Verbote Buchst. ba und bb; Kennzeichnung nach Art. 50 Abs. 2 für Systeme, die vor dem 2.8.2026 auf dem Markt waren	Anbieter und Betreiber (Verbote); Anbieter (Art. 111 Abs. 4)	Art. 113 Buchst. a, Art. 111 Abs. 4 [7]
2.8.2027	Pflichten für Modelle mit allgemeinem Verwendungszweck, die vor dem 2.8.2025 auf dem Markt waren	Modellanbieter	Art. 111 Abs. 3 [7]
2.12.2027	Hochrisiko-Pflichten für Systeme nach Anhang III, etwa Personalauswahl	Anbieter und Betreiber	Art. 113 Buchst. c Ziff. i [7]
2.8.2028	Hochrisiko-Pflichten für KI in Produkten nach Anhang I, etwa Aufzüge oder Spielzeug	Anbieter und Betreiber	Art. 113 Buchst. c Ziff. ii [7][9]
2.8.2030	Hochrisiko-Altsysteme, die Behörden nutzen	Anbieter und Betreiber bei Behörden	Art. 111 Abs. 2 [7]

KI-Kompetenz gilt schon und wird jetzt beaufsichtigt

Artikel 4 gilt seit dem 2. Februar 2025 [7]. Die Änderung hat ihn umformuliert. Vorher sollten Anbieter und Betreiber „nach besten Kräften“ für KI-Kompetenz sorgen [1]. Jetzt ergreifen sie Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals „zu unterstützen“ [2]. Neu ist der Satz: „Diese Verpflichtung verpflichtet Anbieter oder Betreiber nicht, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.“ [7]

Im Fragenkatalog der Kommission steht genau diese Frage: Muss eine Firma, deren Leute ChatGPT für Werbetexte oder Übersetzungen nutzen, Artikel 4 beachten? Die Antwort der Kommission: Ja, die Leute sollen über die konkreten Risiken informiert werden, zum Beispiel über Halluzinationen [8]. Ein Zertifikat ist laut Kommission nicht nötig, eine interne Aufzeichnung der Schulungen reicht, und einen eigenen KI-Beauftragten schreibt Artikel 4 nicht vor [8].

Beaufsichtigt wird Artikel 4 von den nationalen Behörden, laut Kommission ab dem 2. August 2026 [8]. Welche Sanktionen es gibt, legen laut Art. 99 Abs. 1 die Mitgliedstaaten fest [7]. Art. 4 steht weder in der Liste von Art. 99 Abs. 4 noch in § 15 KI-MIG [7][13].

Transparenz seit August 2026

Artikel 50 gilt mit dem allgemeinen Geltungsbeginn seit dem 2. August 2026 [7]. Anbieter von Systemen, die synthetische Texte, Bilder, Töne oder Videos erzeugen, sorgen laut Art. 50 Abs. 2 dafür, dass die Ausgaben „in einem maschinenlesbaren Format gekennzeichnet“ sind [7]. Für Systeme, die vor dem 2. August 2026 auf den Markt kamen, gilt dafür laut Art. 111 Abs. 4 eine Frist bis zum 2. Dezember 2026 [7].

Betreiber haben eine eigene Pflicht. Wer mit einem KI-System Bilder, Töne oder Videos erzeugt, die ein Deepfake sind, muss laut Art. 50 Abs. 4 offenlegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden [7]. Für KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, gilt eine eigene Offenlegungspflicht. Diese entfällt, wenn die Texte redaktionell geprüft wurden und jemand die redaktionelle Verantwortung trägt [7].

Ein Beispiel von dieser Seite: Unter KI-Bildern auf a-ops.de steht der Satz „Mit KI erzeugtes Bild. Es zeigt keine reale Person und kein reales Ereignis.“ [15] Art. 3 Nr. 60 beschreibt einen Deepfake als Inhalt, der wirklichen Personen, Orten oder Ereignissen ähnelt und fälschlich als echt erscheinen würde [7]. Die Seite kennzeichnet ihre KI-Bilder unabhängig davon.

Hochrisiko: mehr Zeit, gleiche Pflichten

Die Änderung verschiebt die Hochrisiko-Pflichten, sie streicht sie nicht. Für Systeme nach Anhang III gelten sie ab dem 2. Dezember 2027 [7]. Dazu gehört laut Anhang III Nr. 4 Buchst. a KI, die für die Einstellung oder Auswahl von Menschen bestimmt ist, „insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten“ [7].

Die Betreiberpflichten stehen in Art. 26. Drei davon betreffen das Personalbüro direkt. Die menschliche Aufsicht geht an Menschen „die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen“ [7]. Betreiber bewahren die automatisch erzeugten Protokolle, soweit sie ihrer Kontrolle unterliegen, „für einen der Zweckbestimmung des Hochrisiko-KI-Systems angemessenen Zeitraum von mindestens sechs Monaten auf, sofern im geltenden Unionsrecht, insbesondere im Unionsrecht über den Schutz personenbezogener Daten, oder im geltenden nationalen Recht nichts anderes bestimmt ist“ [7]. Und vor dem Einsatz am Arbeitsplatz informiert der Arbeitgeber die Arbeitnehmervertreter und die betroffenen Beschäftigten [7].

Ein Beispiel: Ein Bewerbermanagement sortiert eingehende Bewerbungen nach Passung vor. Anhang III Nr. 4 nennt das Sichten und Filtern von Bewerbungen [7]. Art. 6 Abs. 3 nennt Ausnahmen, etwa wenn ein System nur eine eng gefasste Verfahrensaufgabe erledigt oder eine vorbereitende Aufgabe [7]. Bildet es aber Profile von Personen, gilt es laut Art. 6 Abs. 3 immer als hochriskant [7].

Zwei neue Verbote ab Dezember 2026

Mit der Änderung kamen zwei Verbote dazu, die ab dem 2. Dezember 2026 gelten [7]. Buchstabe ba betrifft KI, die realistische Bilder, Videos oder Töne erzeugt, in denen intime Körperteile einer bestimmbaren Person ohne deren ausdrückliche Zustimmung gezeigt werden [7]. Buchstabe bb betrifft Material nach der Richtlinie 2011/93/EU, also Darstellungen sexuellen Missbrauchs von Kindern [7].

Absatz 1a grenzt ein. Für Anbieter ist ein System verboten, wenn solche Inhalte sein Zweck sind oder es sie vorhersehbar und reproduzierbar erzeugt, weil Schutzvorkehrungen fehlen [7]. Für Betreiber ist die Verwendung laut Abs. 1a Buchst. b nur verboten, wenn der Betreiber das System zum Zwecke der Erzeugung oder Manipulation solchen Materials verwendet [7]. Die Leitlinien der Kommission zu den Verboten, C(2025) 5052 vom 29. Juli 2025, sind älter als die Änderung [10]. Die neuen Verbote behandeln sie noch nicht [10]. Die Kommission schreibt selbst, dass die Leitlinien unverbindlich sind und die verbindliche Auslegung beim Gerichtshof der EU liegt [11].

Bußgelder und Aufsicht in Deutschland

Die Obergrenzen stehen in Art. 99. Für verbotene Praktiken sind es bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, was höher ist [7]. Für Verstöße unter anderem gegen Betreiberpflichten nach Art. 26 und Transparenzpflichten nach Art. 50 sind es bis zu 15 Millionen Euro oder 3 % [7]. Für falsche, unvollständige oder irreführende Auskünfte an Behörden sind es bis zu 7,5 Millionen Euro oder 1 % [7]. Für KMU gilt laut Art. 99 Abs. 6 jeweils der niedrigere der beiden Beträge [1]. Für die neu eingeführten kleinen Midcap-Unternehmen gilt das laut Absatz 6a bei den Absätzen 4 und 5 ebenso [7].

Wer in Deutschland zuständig ist, regelt das KI-MIG vom 22. Juli 2026, verkündet im Bundesgesetzblatt am 28. Juli 2026 [13]. Es gilt seit dem 29. Juli 2026 [13]. Zuständig ist laut § 2 Abs. 1 die Bundesnetzagentur, soweit das Gesetz nichts anderes bestimmt [13]. Beschwerden nimmt sie laut § 8 als zentrale Beschwerdestelle an [13]. Für einzelne Verstöße setzt § 15 eigene Bußgelder bis zu fünfzigtausend Euro fest, etwa wenn ein Betreiber eines Hochrisiko-Systems aus Anhang III Nr. 1, 3, 4 oder 5 nicht dafür sorgt, dass eine betroffene Person die Erläuterung nach Art. 86 Abs. 1 bekommt [13]. § 15 verweist dabei auf die Verordnung „in der Fassung vom 13. Juni 2024“, also vor der Änderung [13].

Arbeitshilfe: der Fünf-Fragen-Check

Nimm die Liste der KI-Tools in deinem Team und stell zu jedem Tool fünf Fragen. Die Antworten zeigen dir, welche Zeile der Tabelle du lesen musst.

1. Bist du Anbieter oder Betreiber? Eigenes System unter deinem Namen: Art. 3 Nr. 3 und Art. 25. Fremdes System in deiner Verantwortung: Art. 3 Nr. 4 und Art. 26 [7].
2. Steht der Einsatzzweck in Anhang III? Personalauswahl, Beförderung, Kündigung, Aufgabenverteilung und Leistungsüberwachung stehen dort unter Nr. 4 [7]. Wenn ja: Frist 2. Dezember 2027, und prüf die Ausnahmen in Art. 6 Abs. 3 [7].
3. Steckt die KI in einem Produkt nach Anhang I? Etwa in Aufzügen oder Spielzeug. Wenn ja: Frist 2. August 2028 [7][9].
4. Erzeugt das Tool Texte, Bilder, Töne oder Videos, die andere sehen? Wenn ja: Art. 50 gilt seit dem 2. August 2026 [7]. Als Anbieter eines Systems, das vor diesem Tag auf dem Markt war, hast du für Absatz 2 bis zum 2. Dezember 2026 Zeit [7].
5. War das System vor einem Stichtag schon im Einsatz? Dann lies Art. 111. Hochrisiko-Altsysteme erfasst die Verordnung erst, wenn ihre Konzeption erheblich verändert wird, bei Behörden gilt der 2. August 2030 [7].

Für jedes Tool gilt außerdem Artikel 4. Wer damit arbeitet, soll laut Kommission die Risiken kennen, und eine interne Aufzeichnung der Schulungen reicht ihr als Nachweis [8].

Häufige Fragen

Wir sind ein kleines Unternehmen mit 30 Mitarbeitenden. Betrifft uns das überhaupt? Die Rollen in Art. 3 und die Pflichten in Art. 4, 26 und 50 knüpfen an Anbieter und Betreiber an, eine Mindestgröße nennen sie nicht [7]. Bei Bußgeldern gilt für KMU der niedrigere Betrag [1]. Die Kommission veröffentlicht laut Art. 4 Abs. 2 praktische Beispiele, die besonders KMU helfen sollen [7].

Gilt der AI Act auch, wenn wir ein Tool nur intern nutzen? Art. 3 Nr. 4 nimmt nur die persönliche und nicht berufliche Verwendung aus, von interner oder externer Nutzung ist in der Definition keine Rede [7]. Anhang III Nr. 4 beschreibt den Einsatzzweck, etwa Bewerbungen zu sichten oder zu filtern, und sagt nichts darüber, ob die Stelle intern oder extern besetzt wird [7]. Auch Art. 2 Abs. 10 befreit nur natürliche Personen von den Betreiberpflichten, die KI ausschließlich persönlich und nicht beruflich nutzen [7].

Änderungsprotokoll

• 26. März 2026: Erstfassung „EU AI Act 2026: Der Leitfaden für KMUs“.
• Stand 25. Oktober 2026: Neufassung nach der Verordnung (EU) 2026/1744. Hochrisiko-Fristen korrigiert. Die frühere Fassung nannte für Art. 99 Abs. 5 1,5 %, die Verordnung nennt 1 % [16][7]. Neue Verbote, Übergangsregel zur Kennzeichnung, neuer Wortlaut von Artikel 4 und KI-MIG ergänzt. Sieben-Schritte-Plan durch den Fünf-Fragen-Check ersetzt.

Quellen

1. Europäisches Parlament und Rat; veröffentlicht vom Amt für Veröffentlichungen der EU: Verordnung (EU) 2024/1689 vom 13. Juni 2024 (KI-Verordnung), ABl. L, 12.7.2024, Originalfassung, abgerufen am 25.10.2026
2. Europäisches Parlament und Rat; veröffentlicht vom Amt für Veröffentlichungen der EU: Verordnung (EU) 2026/1744 vom 8. Juli 2026 (Digital-Omnibus-Verordnung zur KI), ABl. L, 24.7.2026, abgerufen am 25.10.2026
7. Amt für Veröffentlichungen der EU (EUR-Lex): Verordnung (EU) 2024/1689, konsolidierte Fassung (Stand 27.07.2026), CELEX 02024R1689-20260727, abgerufen am 25.10.2026
8. Europäische Kommission, Shaping Europe’s digital future: AI Literacy: Questions & Answers, abgerufen am 25.10.2026
9. Europäische Kommission, Shaping Europe’s digital future: AI Act (Politikseite), abgerufen am 25.10.2026
10. Europäische Kommission: Commission Guidelines on prohibited artificial intelligence practices established by Regulation (EU) 2024/1689 (AI Act), C(2025) 5052 final, abgerufen am 25.10.2026
11. Europäische Kommission: Commission publishes the Guidelines on prohibited artificial intelligence (AI) practices, as defined by the AI Act., abgerufen am 25.10.2026
13. Bundesgesetzblatt (recht.bund.de): Gesetz zur Durchführung der Verordnung über künstliche Intelligenz, BGBl. 2026 I Nr. 223, abgerufen am 25.10.2026
15. a-ops.de: Spätlese 01: Gregor im Großraumbüro, abgerufen am 25.10.2026
16. a-ops.de: EU AI Act 2026: Der Leitfaden für KMUs (Fassung vom 26.03.2026), archiviert in der Wayback Machine am 26.10.2026, abgerufen am 26.10.2026