AI-Act-Fristen und Digital Omnibus

Die KI-Verordnung (EU) 2024/1689 gilt nicht auf einen Schlag, sondern in Stufen. Mit dem Digital Omnibus on AI, der Verordnung (EU) 2026/1744, hat der Unionsgesetzgeber im Juli 2026 mehrere dieser Stufen verschoben und einzelne Pflichten inhaltlich verändert. Diese Seite zeigt Geschäftsführungen, Compliance-Verantwortlichen und Rechtsabteilungen, welche Pflichten heute bereits gelten, welche Termine noch anstehen und welche angrenzenden Fristen aus dem Produkthaftungs-, Daten- und Cybersicherheitsrecht Sie in dieselbe Planung aufnehmen sollten.

Fristenübersicht zur KI-Verordnung (Stand November 2026)

Die folgende Tabelle berücksichtigt die Änderungen durch den Digital Omnibus. Maßgeblich ist jeweils der Zeitpunkt, zu dem ein System in Verkehr gebracht oder in Betrieb genommen wird, sowie Ihre Rolle als Anbieter oder Betreiber (siehe Ihre Rolle nach dem AI Act).

Datum	Was gilt	Wen betrifft es
1. August 2024	Inkrafttreten der KI-Verordnung	Alle Akteure; noch keine materiellen Pflichten
2. Februar 2025	Verbotene Praktiken (Art. 5 KI-VO) und KI-Kompetenz (Art. 4 KI-VO)	Anbieter und Betreiber jedes KI-Systems, unabhängig von der Risikoklasse
2. August 2025	Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (Art. 53 ff. KI-VO), Governance-Strukturen, Sanktionsvorschriften (Art. 99 KI-VO)	Anbieter von GPAI-Modellen, die ab diesem Tag in Verkehr gebracht werden; Mitgliedstaaten
27. Juli 2026	Inkrafttreten des Digital Omnibus on AI (VO (EU) 2026/1744)	Alle Akteure; geänderte Fristen und Pflichten
29. Juli 2026	Inkrafttreten des KI-Marktüberwachungs- und Innovationsförderungsgesetzes (KI-MIG); Bundesnetzagentur als zentrale Marktüberwachungsbehörde, BaFin für den Finanzsektor	Unternehmen mit Sitz oder Tätigkeit in Deutschland
2. August 2026	Allgemeine Geltung der KI-Verordnung; Transparenzpflichten nach Art. 50 KI-VO (Chatbot-Hinweis, Markierung synthetischer Inhalte, Offenlegung von Deepfakes und KI-Texten zur Information der Öffentlichkeit, Hinweis bei Emotionserkennung und biometrischer Kategorisierung)	Anbieter und Betreiber von KI-Systemen mit Interaktions- oder Generierungsfunktion
2. Dezember 2026	Ende der Übergangsfrist für die maschinenlesbare Markierung nach Art. 50 Abs. 2 KI-VO bei Systemen, die vor dem 2. August 2026 in Verkehr gebracht wurden	Anbieter generativer KI-Systeme mit Bestandsprodukten
2. Dezember 2026	Neues Verbot: KI-Systeme zur Erzeugung nicht einvernehmlicher intimer Bilder („Nudification“) und von Darstellungen sexuellen Kindesmissbrauchs	Anbieter und Betreiber von Bild- und Videogeneratoren
2. August 2027	Pflichten für GPAI-Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden; Pflicht der Mitgliedstaaten zu mindestens einem KI-Reallabor	Anbieter von Bestandsmodellen; Mitgliedstaaten
2. Dezember 2027	Hochrisiko-Pflichten für eigenständige Systeme nach Anhang III (u. a. Beschäftigung und Personalauswahl, Bildung, Kreditwürdigkeit, Zugang zu wesentlichen Diensten)	Anbieter und Betreiber solcher Systeme, z. B. HR-Abteilungen, Banken, Versicherer, Bildungseinrichtungen
2. August 2028	Hochrisiko-Pflichten für KI in regulierten Produkten nach Anhang I (z. B. Maschinen, Medizinprodukte)	Hersteller und Anbieter von Produkten mit KI-Sicherheitskomponenten
31. Dezember 2030	KI-Komponenten großer IT-Systeme nach Anhang X	Betreiber der in Anhang X genannten EU-Großsysteme

Was der Digital Omnibus geändert hat

Der Digital Omnibus on AI wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Er ändert die KI-Verordnung punktuell. Die Grundarchitektur mit verbotenen Praktiken, Hochrisiko-Systemen, Transparenzpflichten und GPAI-Regeln bleibt unverändert.

Verschiebung der Hochrisiko-Pflichten

Ursprünglich sollten die Pflichten für Hochrisiko-Systeme nach Anhang III ab dem 2. August 2026 und für Systeme nach Anhang I ab dem 2. August 2027 gelten. Nach dem Omnibus gelten sie ab dem 2. Dezember 2027 (Anhang III) beziehungsweise ab dem 2. August 2028 (Anhang I). Die inhaltlichen Anforderungen an Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht und Konformitätsbewertung (Art. 8 bis 17 und Art. 26 KI-VO) sind gleich geblieben. Gewonnen ist also Zeit, nicht Erleichterung in der Sache.

KI-Kompetenz nach Art. 4 KI-VO

Art. 4 KI-VO verlangt seit dem Omnibus, dass Anbieter und Betreiber die KI-Kompetenz ihrer Beschäftigten fördern. Die frühere Formulierung, ein bestimmtes Niveau an KI-Kompetenz „sicherzustellen“, ist entfallen. Wer Schulungen, Nutzungsrichtlinien und Ansprechpartner etabliert hat, sollte diese Maßnahmen beibehalten: Sie belegen die Förderung und sind zugleich Ihr bestes Argument, wenn es nach einem Fehler um Sorgfaltspflichten, Organisationsverschulden oder Arbeitnehmerhaftung geht. Näheres finden Sie unter AI Literacy – KI-Kompetenz.

Übergangsfrist für die Markierung synthetischer Inhalte

Die Pflicht zur maschinenlesbaren Markierung KI-erzeugter Audio-, Bild-, Video- und Textinhalte nach Art. 50 Abs. 2 KI-VO gilt grundsätzlich seit dem 2. August 2026. Für Systeme, die bereits vor diesem Datum in Verkehr gebracht wurden, räumt der Omnibus eine Übergangsfrist bis zum 2. Dezember 2026 ein. Als Orientierung dient der freiwillige Code of Practice zur Markierung und Kennzeichnung KI-generierter Inhalte, dessen endgültige Fassung die Kommission am 10. Juni 2026 veröffentlicht hat (mehrschichtige Markierung, gemeinsames EU-Symbol).

Neues Verbot und KI-Reallabore

Der Omnibus ergänzt Art. 5 KI-VO um ein Verbot von KI-Systemen zur Erzeugung nicht einvernehmlicher intimer Bilder und von Darstellungen sexuellen Kindesmissbrauchs; es gilt ab dem 2. Dezember 2026 (siehe Verbotene KI-Praktiken nach Art. 5). Außerdem müssen die Mitgliedstaaten bis zum 2. August 2027 mindestens ein KI-Reallabor einrichten. In Deutschland ist dafür nach dem KI-MIG die Bundesnetzagentur zuständig.

Praxishinweis: Die Verschiebung der Hochrisiko-Pflichten betrifft nicht die Transparenzpflichten nach Art. 50 KI-VO und nicht die Verbote nach Art. 5 KI-VO. Wer einen Kundenservice-Chatbot betreibt oder Bilder generiert, muss die Hinweis- und Markierungspflichten bereits heute erfüllen.

Was Unternehmen bis wann tun sollten

Sofort (laufend seit 2025)

KI-Inventar erstellen und pflegen: welche Systeme, welcher Zweck, welcher Anbieter, welche Daten (AI Inventory).
Jeden Anwendungsfall gegen die Verbote des Art. 5 KI-VO prüfen und das Ergebnis dokumentieren.
Maßnahmen zur Förderung der KI-Kompetenz festlegen: Schulungen nach Rollen, interne KI-Richtlinie, Freigabeprozess für neue Tools.
Bei Einsatz von GPAI-Modellen die Dokumentation des Modellanbieters (Art. 53 KI-VO) anfordern und ablegen.

Bis spätestens 2. Dezember 2026

Chatbot-Hinweise, Deepfake-Offenlegung und Kennzeichnung von KI-Texten zur Information der Öffentlichkeit umsetzen (Art. 50 Abs. 1, 4 KI-VO; seit 2. August 2026 verpflichtend).
Bestandssysteme mit generativer Funktion mit maschinenlesbarer Markierung ausstatten (Art. 50 Abs. 2 KI-VO).
Bild- und Videogeneratoren auf Schutzmechanismen gegen das neue Verbot prüfen.
Produkthaftungsrisiken für Software und KI-Komponenten neu bewerten (Geltung des neuen Rechts ab 9. Dezember 2026 vorgesehen).

Im Jahr 2027

Anhang-III-Systeme identifizieren, insbesondere im Personalwesen (Bewerberauswahl, Leistungsbewertung), bei Kreditprüfung und Versicherungstarifierung.
Für eigene Hochrisiko-Systeme Risikomanagementsystem, Qualitätsmanagementsystem, technische Dokumentation und Konformitätsbewertung aufbauen.
Als Betreiber Prozesse für menschliche Aufsicht, Protokollierung, Information der Beschäftigten und gegebenenfalls Grundrechte-Folgenabschätzung (Art. 26, 27 KI-VO) vorbereiten; Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG einplanen.
Verträge mit KI-Lieferanten um Mitwirkungs-, Dokumentations- und Haftungsregelungen ergänzen.

Bis 2. August 2028

Hersteller von Maschinen, Medizinprodukten und anderen Produkten nach Anhang I: KI-Anforderungen in die bestehende Konformitätsbewertung nach Produktrecht integrieren.

Angrenzende Fristen aus dem EU-Digitalrecht

KI-Projekte berühren fast immer weitere Regelwerke. Diese Termine sollten Sie in dieselbe Fristenplanung aufnehmen:

Datum	Was gilt	Wen betrifft es
12. September 2025	Data Act (VO (EU) 2023/2854) gilt, insbesondere Datenzugangsrechte bei vernetzten Produkten und verbundenen Diensten, Wechsel von Cloud-Anbietern	Hersteller vernetzter Produkte, Anbieter verbundener Dienste und Datenverarbeitungsdienste
6. Dezember 2025	NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) in Kraft, BSI-Gesetz neu gefasst	Wichtige und besonders wichtige Einrichtungen; Geschäftsleitungen persönlich
11. September 2026	Cyber Resilience Act (VO (EU) 2024/2847): Meldepflichten für aktiv ausgenutzte Schwachstellen	Hersteller von Produkten mit digitalen Elementen, auch KI-Software
12. September 2026	Data Act: „Access by Design“ für neu in Verkehr gebrachte vernetzte Produkte	Hersteller vernetzter Produkte
9. Dezember 2026	Umsetzungsfrist der Produkthaftungsrichtlinie (EU) 2024/2853; Software einschließlich KI ist ausdrücklich Produkt. Das deutsche Gesetz zur Modernisierung des Produkthaftungsrechts hat der Bundestag am 8. Oktober 2026 beschlossen; die Geltung ab diesem Tag ist vorgesehen	Hersteller, Importeure, Anbieter von Software und KI-Komponenten
11. Dezember 2027	Cyber Resilience Act: übrige Pflichten (u. a. Security by Design, Konformitätsbewertung, CE-Kennzeichnung)	Hersteller, Einführer, Händler von Produkten mit digitalen Elementen

Eine eigene EU-Richtlinie zur KI-Haftung gibt es nicht; die Kommission hat ihren Vorschlag 2025 zurückgezogen. Haftungsfragen richten sich daher nach dem neuen Produkthaftungsrecht und dem allgemeinen Vertrags- und Deliktsrecht (§§ 280, 823 BGB). Einzelheiten finden Sie unter Produkthaftung für Software und KI, Data Act und NIS2 und Cyber Resilience Act.

Typische Fehler bei der Fristenplanung

Die Verschiebung der Hochrisiko-Pflichten wird als allgemeiner Aufschub der KI-Verordnung missverstanden. Verbote, KI-Kompetenz, GPAI-Pflichten und Transparenzpflichten gelten bereits.
Die Rollenfrage wird übersprungen. Wer ein fremdes Modell unter eigenem Namen anbietet, trägt Anbieterpflichten, auch wenn er das Modell nicht selbst trainiert hat.
Der Aufbau eines Qualitäts- und Risikomanagementsystems wird zu spät begonnen. Für Hochrisiko-Systeme sind dafür erfahrungsgemäß viele Monate einzuplanen.
Angrenzende Pflichten aus Cyber Resilience Act, Data Act und DSGVO (insbesondere Art. 35 DSGVO zur Datenschutz-Folgenabschätzung) werden getrennt und doppelt bearbeitet.

So unterstützen wir Sie

Fristen- und Maßnahmenplan für Ihr Unternehmen auf Basis Ihres KI-Inventars
Prüfung von Rolle und Risikoklasse je KI-System mit schriftlicher Dokumentation
Umsetzung der Transparenzpflichten nach Art. 50 KI-VO in Produkten, Websites und Kundenkommunikation
Aufbau von Compliance-Strukturen für Hochrisiko-Systeme bis Dezember 2027 bzw. August 2028
Abgleich mit Produkthaftung, Cyber Resilience Act, Data Act, NIS2 und DSGVO
Schulungen zur KI-Kompetenz für Geschäftsführung, Fachabteilungen und Entwicklung

Häufige Fragen

Gilt die KI-Verordnung durch den Digital Omnibus später?

Nein. Verschoben wurden nur die Pflichten für Hochrisiko-Systeme. Verbote, KI-Kompetenz, die Regeln für GPAI-Modelle und die Transparenzpflichten nach Art. 50 KI-VO gelten unverändert; die allgemeine Geltung der Verordnung trat am 2. August 2026 ein.

Müssen wir unsere Schulungen zur KI-Kompetenz jetzt nicht mehr durchführen?

Art. 4 KI-VO verlangt weiterhin, dass Sie die KI-Kompetenz Ihrer Beschäftigten fördern. Ein Verzicht auf jede Maßnahme genügt dem nicht. Zudem bleiben Schulungen arbeits- und haftungsrechtlich sinnvoll, weil sie sorgfältige Organisation belegen.

Ab wann gelten die Pflichten für unser KI-gestütztes Bewerbermanagement?

Systeme zur Auswahl, Bewertung oder Filterung von Bewerbungen fallen unter Anhang III Nr. 4 KI-VO. Die Hochrisiko-Pflichten gelten nach dem Omnibus ab dem 2. Dezember 2027. Transparenz- und Datenschutzpflichten, insbesondere Art. 22 DSGVO, sowie die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG gelten bereits heute.

Wer überwacht die Einhaltung in Deutschland?

Nach dem KI-MIG, in Kraft seit dem 29. Juli 2026, ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde. Für den Finanzsektor ist die BaFin zuständig. Für Anbieter von GPAI-Modellen ist auf EU-Ebene die Kommission mit dem KI-Büro zuständig.