EU AI Act Fristen 2025–2026: Der komplette Zeitplan für Unternehmen

Der EU AI Act – Verordnung (EU) 2024/1689 – ist am 1. August 2024 in Kraft getreten, aber er greift nicht auf einen Schlag. Die Verordnung sieht ein gestaffeltes Inkrafttreten vor: Manche Pflichten gelten bereits seit Februar 2025, andere sind am 2. August 2026 hinzugekommen, weitere folgen bis 2027. Für Unternehmen ist diese Staffelung Fluch und Chance zugleich: Sie gibt Zeit, sich vorzubereiten – aber sie verleitet auch dazu, Fristen zu verpassen, weil „der AI Act ja noch nicht vollständig gilt". Dieser Artikel bringt Ordnung in den Zeitplan: alle EU AI Act Fristen 2025–2026 im Überblick, was bereits gilt, was noch kommt – und was jetzt konkret auf Ihrem Schreibtisch liegen sollte.

Der Zeitplan im Überblick

Die wichtigsten Stichtage des EU AI Act für die Praxis:

Zwei dieser Fristen betreffen praktisch jedes Unternehmen, das KI nutzt: der 2. Februar 2025 (Art. 4 & 5) und der 2. August 2026 (Art. 50). Beide liegen bereits hinter uns bzw. sind soeben in Kraft getreten. Wer jetzt noch nicht gehandelt hat, ist im Verzug – aber es ist nicht zu spät.

2. Februar 2025: Verbotene Praktiken und KI-Kompetenz

Die erste große Frist brachte zwei Pflichten, die beide bereits voll wirksam sind.

Art. 5: Verbotene KI-Praktiken

Seit dem 2. Februar 2025 sind bestimmte KI-Praktiken in der EU untersagt: manipulative oder täuschende Techniken, die erheblichen Schaden verursachen können; die Ausnutzung von Schwächen bestimmter Personengruppen; Social Scoring; bestimmte Formen biometrischer Kategorisierung; die flächendeckende Gesichtserkennung aus dem Internet; Emotionserkennung am Arbeitsplatz (mit Ausnahmen) und weitere. Verstöße gegen Art. 5 sind die teuersten im gesamten Gesetz: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes.

Für die meisten Unternehmen ist die praktische Konsequenz zweifach: Erstens sollte Ihre KI-Richtlinie diese Praktiken ausdrücklich untersagen. Zweitens müssen die Mitarbeitenden wissen, wo die Grenzen liegen – was uns zur zweiten Pflicht bringt.

Art. 4: Die KI-Kompetenz-Pflicht

Ebenfalls seit dem 2. Februar 2025 müssen Anbieter und Betreiber von KI-Systemen ein ausreichendes Maß an KI-Kompetenz bei ihren Beschäftigten und Beauftragten sicherstellen. Diese Pflicht betrifft nahezu jedes Unternehmen, das KI-Werkzeuge nutzt. Wir haben ihr einen eigenen ausführlichen Artikel gewidmet: Art. 4 EU AI Act – die KI-Kompetenz-Pflicht. Die Kurzfassung: strukturiert schulen, Verständnis prüfen, Ergebnisse dokumentieren. Ob die Schulung wirklich Pflicht ist (ja), lesen Sie in EU AI Act Schulung – Pflicht für Unternehmen.

2. August 2025: GPAI und Governance

Die zweite Stufe brachte vor allem für Anbieter allgemeiner KI-Modelle (General-Purpose AI, GPAI) neue Pflichten: Dokumentationspflichten, Urheberrechts-Policy, Zusammenfassungen der Trainingsdaten. Für reine Nutzer dieser Modelle ändert sich unmittelbar wenig – aber mittelbar profitieren Sie: Die Anbieter müssen transparenter werden, was Ihnen die eigene Risikoeinschätzung erleichtert. Zugleich traten die Governance-Strukturen (Europäisches KI-Amt, nationale Aufsichtsbehörden) und die Bußgeldregelungen in Kraft.

2. August 2026: Vollanwendung und Transparenzpflicht

Der wichtigste Stichtag für die Praxis: Seit dem 2. August 2026 gilt der EU AI Act weitgehend vollständig. Drei Bereiche sind für die meisten Unternehmen relevant:

Art. 50: Transparenzpflicht

KI-Interaktionen müssen offengelegt werden (Chatbots!), KI-generierte Inhalte müssen maschinenlesbar und erkennbar gekennzeichnet werden. Bußgelder bis 15 Mio. Euro oder 3 % des Weltumsatzes. Details in unserem Artikel zu Art. 50 – KI-Inhalte richtig kennzeichnen.

Hochrisiko-Systeme (Anhang III)

Systeme in Bereichen wie Personalwesen (Bewerberauswahl!), Bildung, Kreditwürdigkeitsprüfung, Strafverfolgung und kritische Infrastruktur unterliegen seit diesem Datum den Hochrisiko-Pflichten: Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht, Registrierung. Wer solche Systeme einsetzt oder anbietet, hat umfangreiche Pflichten.

Konformität und Marktüberwachung

Die nationalen Marktüberwachungsbehörden arbeiten jetzt vollständig. Sie können Auskünfte verlangen, Systeme prüfen und bei Verstößen Maßnahmen ergreifen – vom Rückruf bis zum Verbot.

2. August 2027 und darüber hinaus

Die letzte große Stufe betrifft Hochrisiko-Systeme, die in regulierte Produkte eingebettet sind (Anhang I – etwa Medizinprodukte, Maschinen, Spielzeug), sowie Übergangsregelungen für Bestandssysteme. Für die meisten Anwenderunternehmen ist diese Stufe weniger relevant – für Hersteller regulierter Produkte hingegen zentral.

Was jetzt auf Ihrem Schreibtisch liegen sollte

Unabhängig davon, welche Fristen noch kommen: Die Kernpflichten gelten bereits. Sechs Dinge sollten jetzt konkret vorliegen:

1. Anwendungs-Register: Eine gepflegte Übersicht aller KI-Systeme, die in Ihrem Unternehmen genutzt werden – mit Zweck, Risikoeinschätzung und Verantwortlichkeit.
2. KI-Richtlinie: Verbindliche Regeln für den Umgang mit KI, inklusive Untersagung der verbotenen Praktiken nach Art. 5.
3. Schulungsnachweise: Dokumentierte KI-Kompetenz-Maßnahmen nach Art. 4 für alle relevanten Personen – mit Zertifikaten und Wissenskontrolle.
4. Kennzeichnungen: KI-generierte Inhalte und KI-Interaktionen sind nach Art. 50 gekennzeichnet.
5. Antwortpaket: Vorbereitete Antworten auf die Compliance-Fragebögen Ihrer Auftraggeber.
6. Ein Ordner für alles: Alle Nachweise an einem zentralen Ort – der Nachweisordner. Wie Sie ihn aufbauen, zeigt unser Artikel zur KI-Compliance-Dokumentation.

„Der EU AI Act ist wie eine Verkehrsordnung: Sie gilt nicht erst, wenn jemand hinschaut – sondern immer. Die Fristen sind der Moment, ab dem das Übersehen teuer wird."

Typische Missverständnisse zum Zeitplan

• „Der AI Act gilt erst ab 2027." – Falsch. Art. 4, 5 und 50 gelten bereits; 2027 betrifft nur bestimmte Hochrisiko-Produktsysteme.
• „Wir sind zu klein für die Pflichten." – Es gibt keine Größenausnahme bei Art. 4 und 50.
• „Wir nutzen nur Standard-KI, das betrifft uns nicht." – Die Betreiber-Rolle entsteht durch die Nutzung, nicht durch die Entwicklung.
• „Erst abmahnen lassen, dann handeln." – Kommerzieller Druck (Kundenfragebögen) wirkt lange vor jeder Behörde. Wer nichts vorweisen kann, verliert Aufträge.
• „Die Kennzeichnung können wir später nachziehen." – Art. 50 gilt seit 02.08.2026; alte Inhalte sauber nachzurüsten ist aufwendiger als von Anfang an zu kennzeichnen.

Die Fristen im Branchenkontext: Wer muss wann was können?

Der Zeitplan des EU AI Act ist für alle gleich – aber die praktische Betroffenheit unterscheidet sich je nach Branche erheblich. Drei Beispiele zeigen, wie unterschiedlich derselbe Kalender wirken kann:

Marketing und Medien

Für Agenturen und Redaktionen ist der 2. August 2026 der entscheidende Tag: Art. 50 trifft sie direkt, weil sie täglich Inhalte veröffentlichen. KI-generierte Bilder in Kampagnen, KI-unterstützte Texte, synthetische Sprecher in Videos – all das ist seitdem kennzeichnungspflichtig. Gleichzeitig gilt Art. 4: Die Kreativen, die mit den Tools arbeiten, müssen geschult sein. Wer in dieser Branche bis heute keine Dokumentation hat, arbeitet mit offenem Visier.

Personalwesen und Recruiting

Personaler stehen vor einer doppelten Betroffenheit: Nutzen sie KI zur Bewerberauswahl, bewegen sie sich im Hochrisiko-Bereich von Anhang III mit den vollen Pflichten seit August 2026 – Risikomanagement, Datenqualität, menschliche Aufsicht, Dokumentation. Parallel gilt für die eigenen Mitarbeitenden die KI-Kompetenz-Pflicht. Wer im HR-Bereich KI einsetzt, sollte den 2. August 2026 als harten Stichtag verstanden haben.

Industrie und produzierendes Gewerbe

Produktionsbetriebe mit KI-gestützter Qualitätskontrolle oder vorausschauender Wartung sind meist Betreiber, nicht Anbieter – ihre Kernpflichten sind Art. 4 (Schulung der Bediener) und die saubere Dokumentation der eingesetzten Systeme. Erst wenn KI in regulierte Produkte eingebettet wird (Anhang I), greifen 2027 die erweiterten Pflichten. Für die meisten Industriebetriebe bleibt der Fokus: schulen, registrieren, dokumentieren.

Nach den Fristen: Was kommt als Nächstes?

Der EU AI Act ist kein abgeschlossenes Gesetz, sondern ein Rahmen, der weiter präzisiert wird. Drei Entwicklungen sollten Sie im Blick behalten: Erstens arbeiten die Mitgliedstaaten an der nationalen Durchsetzung – in Deutschland wird die Zuständigkeit der Marktüberwachungsbehörden konkretisiert, was bedeutet, dass Prüfungen realer werden. Zweitens werden technische Standards (harmonisierte Normen) nachgereicht, die konkretisieren, was „ausreichende" Maßnahmen im Detail bedeuten – wer heute strukturiert dokumentiert, wird diese Standards mühelos erfüllen. Drittens wächst die Rechtsprechung: Erste Entscheidungen zu Art. 4 und Art. 50 werden Präzedenzfälle schaffen. Unternehmen mit sauberem Nachweisordner können diese Entwicklungen gelassen verfolgen – sie müssen nur noch nachjustieren, nicht mehr grundlegend neu aufsetzen.

Der 30-Tage-Plan für Nachzügler

Falls Ihr Unternehmen bisher keine strukturierten Maßnahmen ergriffen hat: Hier ist der kompakte Aufhol-Plan, der die bereits geltenden Pflichten in einem Monat adressiert:

1. Tage 1–5: Anwendungs-Register erstellen. Alle KI-Nutzungen im Unternehmen erfassen – inklusive der inoffiziellen („Shadow AI").
2. Tage 6–10: KI-Richtlinie verabschieden: Positivliste, Datenverbote, Kennzeichnungspflichten, Verantwortlichkeiten. Eine geprüfte Vorlage beschleunigt diesen Schritt enorm.
3. Tage 11–20: Schulung durchführen – alle Mitarbeitenden mit KI-Kontakt, mit Wissenskontrolle und dokumentierten Ergebnissen.
4. Tage 21–25: Art.-50-Kennzeichnungen setzen: Chatbot-Hinweise, KI-Bild-Kennzeichnungen, Prozess für neue Inhalte.
5. Tage 26–30: Nachweisordner bündeln, Verantwortlichen benennen, Pflegezyklus festlegen – und einen internen Probeprüf-Test durchführen.

Dieser Plan ist ambitioniert, aber machbar – vor allem, wenn Sie auf fertige Bausteine zurückgreifen statt alles selbst zu formulieren. Genau dafür existiert das CertifyAI Compliance-Paket v2.1: Richtlinie, Register, Transparenz-Texte und Antwortpaket liegen fertig vor, die Schulung läuft über die Plattform mit automatischer Zertifikats-Dokumentation.

Checkliste: Sind Sie fristgerecht aufgestellt?

Fazit: Die Fristen laufen – aber Sie können liefern

Der EU AI Act ist kein Fernziel mehr: Die entscheidenden Pflichten – KI-Kompetenz, Verbotsliste, Transparenz – gelten alle bereits. Unternehmen, die jetzt ihre Hausaufgaben machen, müssen keine Angst vor dem Zeitplan haben. Im Gegenteil: Wer heute schulen, dokumentieren und kennzeichnen kann, verwandelt die Fristen in einen Vorsprung. Die nächsten Jahre werden zeigen, welche Unternehmen KI verantwortungsvoll nutzen – und die Dokumentation entscheidet, wer dazugehört.

Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.