Blog · EU AI Act

EU AI Act: Fristen 2026/2027 für den Mittelstand

Von Denis Schnellenbach · Juni 2026 · aktualisiert am 04.11.2026 · Lesezeit: 6 Minuten

Der EU AI Act setzt neue Standards für den Umgang mit Künstlicher Intelligenz. Für den deutschen Mittelstand, insbesondere in Rheinland-Pfalz, sind die anstehenden Fristen entscheidend. Dieser Artikel beleuchtet die relevanten Termine für 2026 und 2027.

Wann greifen die Kernpflichten des EU AI Acts für Unternehmen?

Der EU AI Act ist am 1. August 2024 in Kraft getreten. Wesentliche Fristen für Unternehmen sind:

• 2. Februar 2025: Geltungsbeginn der Verbote für bestimmte KI-Praktiken (Art. 5) und der Vorgabe zur KI-Kompetenz (AI Literacy, Art. 4). Seit dem 27. Juli 2026 gilt Art. 4 in der Fassung des Digital Omnibus: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer in ihrem Auftrag tätiger Personen zu unterstützen.
• 2. August 2025: Anwendbarkeit der Pflichten für General Purpose AI (GPAI) Systeme.
• 2. August 2026: Allgemeiner Geltungsbeginn, insbesondere der Transparenzpflichten nach Art. 50.
• 2. Dezember 2026: Geltungsbeginn der durch den Digital Omnibus ergänzten Verbote nach Art. 5 Abs. 1 Buchst. ba und bb sowie Ende der Übergangsfrist für Altsysteme bei Art. 50 Abs. 2. Verboten sind ab dann KI-Systeme, die ohne ausdrückliche Zustimmung der betroffenen Person realistische intime oder sexuelle Bild-, Video- oder Tonaufnahmen bestimmbarer Personen erzeugen oder manipulieren („Nacktbild-Apps“), sowie KI-Systeme zur Erzeugung von Material über sexuellen Kindesmissbrauch. Betreiber trifft das Verbot nur, wenn sie ein System gezielt dafür einsetzen (Art. 5 Abs. 1 Unterabs. 1 Buchst. ba und bb, Abs. 1a und 1b AI Act in der Fassung der Verordnung (EU) 2026/1744).
• 2. Dezember 2027 und 2. August 2028: Hochrisiko-Pflichten (Anhang III bzw. Anhang I, siehe unten).

In Deutschland ist grundsätzlich die Bundesnetzagentur die zuständige Marktüberwachungsbehörde für die KI-Verordnung (§ 2 Abs. 1 KI-MIG, in Kraft seit 29. Juli 2026); in einzelnen Bereichen sind andere Behörden zuständig, etwa die BaFin bei regulierten Finanztätigkeiten. Die Bundesnetzagentur betreibt außerdem die zentrale Beschwerdestelle und einen KI-Service Desk mit Informationen für Unternehmen. Neben den Bußgeldern der Verordnung enthält das KI-MIG eigene Bußgeldtatbestände (§ 15).

Welche Stichtage gelten für Hochrisiko-KI-Systeme?

Ab dem 2. Dezember 2027 müssen Unternehmen, die KI-Systeme entwickeln, bereitstellen oder nutzen, die den Hochrisiko-Kategorien nach Anhang III des EU AI Acts unterliegen, umfangreiche Pflichten erfüllen. Dies umfasst insbesondere die Einhaltung von Risikomanagementverfahren, Datenqualitätsanforderungen und die Implementierung robuster Governance-Strukturen. Auch die Anforderungen an die Transparenz und menschliche Aufsicht werden relevant.

Was gilt ab 2028 für KI in regulierten Produkten?

Ab dem 2. August 2028 werden die Anforderungen des EU AI Acts auf KI-Systeme ausgeweitet, die als Bestandteil von Produkten nach Anhang I des Gesetzes gelten. Dies betrifft beispielsweise KI als Sicherheitsbauteil von Medizinprodukten und anderen Produkten, die in Anhang I Abschnitt A aufgeführt sind. Maschinen sind seit dem Digital Omnibus (VO (EU) 2026/1744) nicht mehr in Abschnitt A, sondern in Abschnitt B des Anhangs I geführt; KI-bezogene Sicherheitsanforderungen für Maschinen sollen künftig über die Maschinenverordnung (EU) 2023/1230 selbst geregelt werden. Prüfen Sie für Ihre Produkte im Einzelfall, welche Regelung einschlägig ist.

Welche Sanktionen drohen bei Verstößen?

Die Nichteinhaltung der Vorgaben kann erhebliche finanzielle Konsequenzen haben. Bei Verstößen gegen verbotene Praktiken können Bußgelder bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Für Verstöße gegen bestimmte Pflichten (u. a. Anbieter- und Betreiberpflichten bei Hochrisiko-Systemen, Transparenzpflichten nach Art. 50) liegen die Bußgelder bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes. Für kleine und mittlere Unternehmen (KMU) und kleine Midcap-Unternehmen gilt jeweils der niedrigere der beiden Werte.

Wie kann sich der Mittelstand vorbereiten?

Eine proaktive Vorbereitung ist essenziell. Unternehmen sollten:

• Ihre aktuellen und geplanten KI-Anwendungen identifizieren und bewerten. Nutzen Sie hierfür unseren KI-Governance-Check.
• Eine Inventarisierung der eingesetzten KI-Systeme vornehmen – welche Tools nutzen welche Abteilungen, für welchen Zweck?
• Die Konformität mit den Anforderungen des EU AI Acts prüfen lassen. Ein EU AI Act Audit kann hier Klarheit schaffen.
• Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz Ihres Personals zu unterstützen, etwa durch Schulungen (Art. 4).
• Unsere KI-Beratung nutzen, um Ihre Vorbereitung auf die Anforderungen strukturiert anzugehen. Rechtsberatung erfolgt nicht.

Eine frühzeitige Auseinandersetzung mit den Pflichten minimiert Risiken und ermöglicht die Nutzung von KI-Technologien im Einklang mit den regulatorischen Vorgaben.

Häufige Fragen

Dieser Beitrag wurde KI-gestützt erstellt und redaktionell geprüft (Art. 50 EU AI Act).