Daten · Fristen der Verordnung (EU) 2024/1689

AI Act Fristen 2026: was gilt ab wann?

Fachlich geprüft am 11.09.2026 · einschließlich Digital Omnibus

Welche Termine betreffen Sie?

Quellenstand: 11.09.2026 · Kalender: 22.10.2026

  • Termin erreicht
  • steht bevor
  • durch Digital Omnibus verschoben oder neu
  • Kalenderstand

Wer KI beruflich nutzt, ist meist Betreiber. Wer sie unter eigenem Namen entwickelt oder entwickeln lässt und bereitstellt, kann Anbieter sein. Ein Unternehmen kann beide Rollen haben.

Alle 8 Termine sichtbar.

KI-Reallabore: vom 02.08.2026 auf den 02.08.2027
Hochrisiko Anhang III: vom 02.08.2026 auf den 02.12.2027
Hochrisiko Anhang I: vom 02.08.2027 auf den 02.08.2028

Punkt auswählen: Die zugehörige Termin-Karte wird unten hervorgehoben. Gestrichelte Pfeile zeigen, wohin der Digital Omnibus eine Frist verschiebt. Die Markierung „Termin erreicht“ vergleicht das Datum mit dem Kalender; sie bewertet nicht, welche Pflichten für ein konkretes System gelten.

  1. 01 01.08.2024 Termin erreicht Inkrafttreten der KI-Verordnung

    Die Verordnung (EU) 2024/1689 tritt in Kraft. Der Geltungsbeginn erfolgt gestaffelt nach Art. 113.

    Art. 113 · Anbieter · Betreiber · übergreifend

  2. 02 02.02.2025 Termin erreicht Verbotene Praktiken und KI-Kompetenz

    Die ursprünglichen Verbote nach Art. 5 gelten, etwa für bestimmtes Social Scoring und Emotionserkennung am Arbeitsplatz mit den gesetzlichen Ausnahmen. Auch Art. 4 zur KI-Kompetenz gilt; seit dem Omnibus verlangt er Maßnahmen zur Förderung der KI-Kompetenz.

    Art. 113 Buchst. a (Kapitel I und II) · Anbieter · Betreiber · Verboten

  3. 03 02.08.2025 Termin erreicht GPAI, Governance und Sanktionen

    GPAI-Regeln, Governance, Sanktionsvorschriften sowie Regeln für notifizierende Behörden und benannte Stellen gelten. Anbieter von GPAI-Modellen, die bereits vor dem 02.08.2025 in Verkehr waren, haben nach Art. 111 Abs. 3 bis zum 02.08.2027 Zeit.

    Ausnahme: Art. 101, die Geldbußen der Kommission gegen GPAI-Anbieter, gilt erst ab dem 02.08.2026.

    Art. 113 Buchst. b (Kap. III Abschn. 4, Kap. V, VII, XII, Art. 78) · Anbieter · Mitgliedstaaten · GPAI

  4. 04 02.08.2026 Termin erreicht Allgemeiner Geltungsbeginn, Transparenzpflichten

    Allgemeiner Geltungsbeginn, einschließlich Art. 50: Hinweise bei direkter KI-Interaktion, maschinenlesbare Kennzeichnung durch Anbieter und Offenlegung bestimmter Inhalte durch Betreiber. Für Anbieter von vor dem 02.08.2026 in Verkehr gebrachten Systemen verlängert Art. 111 Abs. 4 die Frist zu Art. 50 Abs. 2 auf den 02.12.2026.

    Die Verschiebung der Hochrisiko-Regeln betrifft Kapitel III Abschnitte 1 bis 3, ausgenommen Art. 6 Abs. 5. Die Voraussetzungen und Ausnahmen des Art. 50 bleiben zu prüfen.

    Art. 113 (Regelfall), Art. 50 · Anbieter · Betreiber · Transparenz

  5. 05 02.12.2026 steht bevor Neue Verbote, Kennzeichnung von Bestandssystemen

    Neue Verbote erfassen bestimmte KI-Praktiken zur Erzeugung oder Manipulation nicht einvernehmlichen intimen Materials und von Darstellungen sexuellen Kindesmissbrauchs. Maßgeblich sind die Voraussetzungen und Ausnahmen in Art. 5. Außerdem endet für Anbieter von vor dem 02.08.2026 in Verkehr gebrachten Systemen die Übergangsfrist zur maschinenlesbaren Kennzeichnung nach Art. 50 Abs. 2.

    Digital Omnibus: neuer Termin

    Art. 5 Abs. 1 Buchst. ba/bb, Abs. 1a/1b; Art. 111 Abs. 4; Art. 113 Buchst. a · Anbieter · Betreiber · Verboten · Transparenz

  6. 06 02.08.2027 steht bevor Frist für nationale KI-Reallabore

    Die Mitgliedstaaten müssen mindestens ein nationales KI-Reallabor betriebsbereit haben. Ein gemeinsames Reallabor mehrerer Mitgliedstaaten ist möglich.

    Digital Omnibus: verschoben vom 02.08.2026

    Art. 57 · Mitgliedstaaten · übergreifend

  7. 07 02.12.2027 steht bevor Hochrisiko-KI nach Anhang III

    Kapitel III Abschnitte 1 bis 3 gelten für Hochrisiko-Systeme nach Art. 6 Abs. 2 und Anhang III, etwa bei der Bewerberauswahl. Art. 6 Abs. 5 ist von der Verschiebung ausgenommen; für Bestandssysteme gelten die Übergangsregeln des Art. 111.

    Digital Omnibus: verschoben vom 02.08.2026

    Feste Frist durch den Digital Omnibus; der ursprünglich vorgesehene, an Normen gekoppelte Mechanismus entfällt.

    Art. 113 Buchst. c Ziff. i; Art. 6 Abs. 2; Anhang III · Anbieter · Betreiber · Hochrisiko

  8. 08 02.08.2028 steht bevor Hochrisiko-KI in Produkten (Anhang I)

    Kapitel III Abschnitte 1 bis 3 gelten für Hochrisiko-Systeme nach Art. 6 Abs. 1 und Anhang I, ausgenommen Art. 6 Abs. 5. Die besonderen Produktregeln des Art. 2 Abs. 2 und die Übergangsregeln des Art. 111 sind zu beachten. Nicht jedes KI-System in einem Produkt ist hochriskant.

    Digital Omnibus: verschoben vom 02.08.2027

    Art. 113 Buchst. c Ziff. ii; Art. 6 Abs. 1; Anhang I · Anbieter · Betreiber · Hochrisiko

Was gilt für Ihren KI-Einsatz?

Oder eine Risikoklasse auswählen
Risikoklasse wählen

Artikel 4a · Datenschutz

KI auf Benachteiligung prüfen. Die Menschen dahinter schützen.

Um Benachteiligung zu erkennen, können sensible Vergleichsdaten nötig sein. Artikel 4a erlaubt dafür unter engen Voraussetzungen besondere Kategorien personenbezogener Daten. Zu den ausdrücklich genannten Schutzmaßnahmen gehört Pseudonymisierung.

Eine geschützte Auswertung braucht keine offen lesbaren Namen.
Ausgangsdaten
Identität
Name der Person
Prüfmerkmal
Gesundheitsangabe
KI-Ergebnis
Entscheidung im Fall
Geschützter Prüfbestand
Kennung
PERSON_01
Prüfmerkmal
Gesundheitsangabe
KI-Ergebnis
Entscheidung im Fall

Name ↔ Kennung: getrennt verwahrt. Zugriff nur für Befugte. Keine Weitergabe an Dritte.

Ein Team prüft, ob eine KI Menschen mit gesundheitlichen Einschränkungen benachteiligt. Die dafür erforderlichen Gesundheitsangaben bleiben auswertbar. Direkte Identifikatoren werden durch Kennungen ersetzt; die Zuordnung bleibt getrennt und geschützt.

Das Beispiel zeigt eine Datenaufbereitung, keinen Nachweis vollständiger Anonymität oder einer fairen KI. Auch indirekt identifizierende Angaben brauchen Schutz. Die Daten bleiben personenbezogen.

Für wen gilt Artikel 4a und welche Bedingungen gehören dazu?

Artikel 4a Absatz 1 betrifft Anbieter von Hochrisiko-KI bei der Erkennung und Korrektur von Verzerrungen nach Artikel 10 Absatz 2 Buchstaben f und g. Absatz 2 erweitert die Ausnahme auf Betreiber von Hochrisiko-KI sowie Anbieter und Betreiber anderer KI-Systeme und KI-Modelle, soweit die Prüfung unbedingt erforderlich ist, um Verzerrungen mit Risiken für Gesundheit, Sicherheit oder Grundrechte zu erkennen und zu korrigieren. Absatz 2 begründet selbst keine Pflicht zu solchen Prüfungen. Alle Schutzbedingungen gelten zusammen; das jeweils anwendbare Datenschutzrecht bleibt zu beachten.

  • Der Zweck lässt sich mit anderen Daten, auch synthetischen oder anonymisierten, nicht wirksam erreichen.
  • Weiterverwendung wird technisch beschränkt. Moderne Sicherheits- und Datenschutzmaßnahmen schließen Pseudonymisierung ein.
  • Strenge, dokumentierte Zugriffskontrollen beschränken den Zugang auf befugte, zur Vertraulichkeit verpflichtete Personen.
  • Die Daten werden Dritten weder übermittelt noch auf andere Weise zugänglich gemacht.
  • Die Daten werden gelöscht, sobald die Verzerrung korrigiert ist oder die Aufbewahrungsfrist endet, je nachdem, was früher eintritt.
  • Die Aufzeichnungen begründen, warum die besonderen Daten unbedingt erforderlich sind und andere Daten nicht ausreichen.

Artikel 4a im amtlichen Änderungstext, Seiten 45 und 46

Die KI braucht den Vorgang. Nicht jeden Namen darin.

Im täglichen KI-Arbeitsfluss hilft alias, vertrauliche Angaben vor der Übergabe zu bearbeiten. Für Dateien ist redact der passende Produktweg. Bei einem Artikel-4a-Vorhaben klären wir mit Ihnen zuerst die Datenaufbereitung und die geschützte Verarbeitungsumgebung. Ein externer KI-Dienst erhält durch Pseudonymisierung keine pauschale Freigabe.

Angaben im KI-Arbeitsfluss bearbeiten Dateien bearbeiten mit redact

Ab wann gilt der EU AI Act?

Die KI-Verordnung ist am 1. August 2024 in Kraft getreten. Ihre Pflichten beginnen gestaffelt nach Artikel 113; der allgemeine Geltungsbeginn war der 2. August 2026.

Geltungsbeginn und vollständige Fristentabelle

Seit dem 2. Februar 2025 gelten die ursprünglichen Verbote nach Artikel 5 und die Regeln zur KI-Kompetenz nach Artikel 4. Seit dem 2. August 2025 gelten unter anderem die GPAI-Regeln und die meisten Sanktionsvorschriften. Für bereits vor diesem Tag in Verkehr gebrachte GPAI-Modelle läuft die Übergangsfrist bis zum 2. August 2027 (Artikel 111 Absatz 3). Geldbußen der Kommission nach Artikel 101 sind seit dem 2. August 2026 möglich.

Ob der AI Act anwendbar ist, richtet sich nach seinem Anwendungsbereich und der jeweiligen Rolle. Personenbezogene Daten sind dafür keine Voraussetzung. Werden solche Daten verarbeitet, ist zusätzlich das einschlägige Datenschutzrecht zu prüfen. Unser KI-Tool-Vergleich zeigt, welche Anbieterbedingungen dabei eine Rolle spielen.

Wichtige Termine der KI-Verordnung, Quellenstand 11.09.2026; Kalender: 22.10.2026
DatumWas giltKalenderstatusRechtsgrundlage
01.08.2024 Die Verordnung (EU) 2024/1689 tritt in Kraft. Der Geltungsbeginn erfolgt gestaffelt nach Art. 113. Termin erreicht Art. 113
02.02.2025 Die ursprünglichen Verbote nach Art. 5 gelten, etwa für bestimmtes Social Scoring und Emotionserkennung am Arbeitsplatz mit den gesetzlichen Ausnahmen. Auch Art. 4 zur KI-Kompetenz gilt; seit dem Omnibus verlangt er Maßnahmen zur Förderung der KI-Kompetenz. Termin erreicht Art. 113 Buchst. a (Kapitel I und II)
02.08.2025 GPAI-Regeln, Governance, Sanktionsvorschriften sowie Regeln für notifizierende Behörden und benannte Stellen gelten. Anbieter von GPAI-Modellen, die bereits vor dem 02.08.2025 in Verkehr waren, haben nach Art. 111 Abs. 3 bis zum 02.08.2027 Zeit. Termin erreicht Art. 113 Buchst. b (Kap. III Abschn. 4, Kap. V, VII, XII, Art. 78)
02.08.2026 Allgemeiner Geltungsbeginn, einschließlich Art. 50: Hinweise bei direkter KI-Interaktion, maschinenlesbare Kennzeichnung durch Anbieter und Offenlegung bestimmter Inhalte durch Betreiber. Für Anbieter von vor dem 02.08.2026 in Verkehr gebrachten Systemen verlängert Art. 111 Abs. 4 die Frist zu Art. 50 Abs. 2 auf den 02.12.2026. Termin erreicht Art. 113 (Regelfall), Art. 50
02.12.2026 Neue Verbote erfassen bestimmte KI-Praktiken zur Erzeugung oder Manipulation nicht einvernehmlichen intimen Materials und von Darstellungen sexuellen Kindesmissbrauchs. Maßgeblich sind die Voraussetzungen und Ausnahmen in Art. 5. Außerdem endet für Anbieter von vor dem 02.08.2026 in Verkehr gebrachten Systemen die Übergangsfrist zur maschinenlesbaren Kennzeichnung nach Art. 50 Abs. 2. steht bevor Art. 5 Abs. 1 Buchst. ba/bb, Abs. 1a/1b; Art. 111 Abs. 4; Art. 113 Buchst. a
02.08.2027 Die Mitgliedstaaten müssen mindestens ein nationales KI-Reallabor betriebsbereit haben. Ein gemeinsames Reallabor mehrerer Mitgliedstaaten ist möglich. steht bevor Art. 57
02.12.2027 Kapitel III Abschnitte 1 bis 3 gelten für Hochrisiko-Systeme nach Art. 6 Abs. 2 und Anhang III, etwa bei der Bewerberauswahl. Art. 6 Abs. 5 ist von der Verschiebung ausgenommen; für Bestandssysteme gelten die Übergangsregeln des Art. 111. steht bevor Art. 113 Buchst. c Ziff. i; Art. 6 Abs. 2; Anhang III
02.08.2028 Kapitel III Abschnitte 1 bis 3 gelten für Hochrisiko-Systeme nach Art. 6 Abs. 1 und Anhang I, ausgenommen Art. 6 Abs. 5. Die besonderen Produktregeln des Art. 2 Abs. 2 und die Übergangsregeln des Art. 111 sind zu beachten. Nicht jedes KI-System in einem Produkt ist hochriskant. steht bevor Art. 113 Buchst. c Ziff. ii; Art. 6 Abs. 1; Anhang I

Was ändert der Digital Omnibus an den Fristen?

Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Die neuen Hochrisiko-Termine sind damit beschlossen und wirksam festgelegt.

Änderungen, Übergangsregeln und KI-Kompetenz

Kapitel III Abschnitte 1 bis 3 gelten für Hochrisiko-Systeme nach Artikel 6 Absatz 2 und Anhang III ab dem 2. Dezember 2027, für Systeme nach Artikel 6 Absatz 1 und Anhang I ab dem 2. August 2028. Artikel 6 Absatz 5 ist von der Verschiebung ausgenommen. Für Produkte nach Anhang I Abschnitt B begrenzt Artikel 2 Absatz 2 den anwendbaren Pflichtenkatalog. Bei Bestandssystemen ist Artikel 111 zu beachten.

Weitere Termine: Die neuen Verbote nach Artikel 5 Absatz 1 Buchstaben ba/bb und Absätzen 1a/1b gelten ab dem 2. Dezember 2026. Bis dahin müssen Anbieter entsprechender Bestandssysteme auch Artikel 50 Absatz 2 erfüllen. Nationale KI-Reallabore müssen bis zum 2. August 2027 betriebsbereit sein; mehrere Mitgliedstaaten können ein gemeinsames Reallabor betreiben.

Der Omnibus ändert außerdem Artikel 4: Anbieter und Betreiber müssen die Entwicklung der KI-Kompetenz ihrer Beschäftigten und Beauftragten durch passende Maßnahmen fördern. Ein bestimmtes Niveau jeder einzelnen Person müssen sie nicht garantieren. Die Kommission bestätigt das Inkrafttreten; die einzelnen Änderungen stehen im amtlichen Änderungstext.

Welche Risikoklassen kennt der AI Act?

Zur Orientierung werden häufig vier Stufen verwendet: verboten, hohes Risiko, Transparenz und minimales Risiko. Rechtlich entscheidend sind die einzelnen Tatbestände. Transparenzpflichten können auch neben Hochrisikopflichten gelten. Für GPAI-Modelle gibt es eigene Anbieterpflichten.

Risikoklassen und ihre Voraussetzungen vergleichen

Die Einstufung folgt dem Zweck und dem konkreten Einsatz. Bei Anhang III sind auch die Ausnahmen des Artikels 6 Absatz 3 zu prüfen; Systeme mit Profiling natürlicher Personen gelten dort weiterhin als hochriskant. Nicht jedes System in einem Produkt fällt unter Artikel 6 Absatz 1.

Ein Spamfilter hat üblicherweise keine Hochrisikopflichten. Allgemeine Regeln wie Artikel 4 verschwinden dadurch nicht. Bei GPAI werden nach Artikel 51 Absatz 2 hohe Wirkungskapazitäten vermutet, wenn die Trainingsrechenleistung mehr als 10 hoch 25 FLOPs beträgt. Das ist keine unumstößliche automatische Einstufung: Artikel 52 erlaubt begründete Gegenargumente; auch andere Kriterien können zur Einstufung führen.

Orientierung nach Einsatz und Rolle; die Pflichten können sich überlagern
EinordnungBeispielePflichtenGilt ab
Verbotene Praktiken, Art. 5 Bestimmtes Social Scoring; Emotionserkennung am Arbeitsplatz mit gesetzlichen Ausnahmen Die konkret verbotene Praxis darf nicht eingesetzt werden ursprüngliche Verbote: 02.02.2025; neue Verbote: 02.12.2026
Hochrisiko, Art. 6 und Anhang I/III Etwa Bewerberauswahl oder bestimmte Sicherheitsbauteile Anbieter: unter anderem Risikomanagement und Dokumentation. Betreiber: eigene Pflichten nach Art. 26. Produkt- und Übergangsregeln beachten Kapitel III Abschnitte 1 bis 3 ohne Art. 6 Abs. 5: 02.12.2027 (III), 02.08.2028 (I)
Transparenz, Art. 50 Direkte KI-Interaktion; Deepfakes; bestimmte veröffentlichte Texte Anbieterkennzeichnung und Betreiberhinweise mit jeweils eigenen Voraussetzungen und Ausnahmen 02.08.2026; Anbieterfrist für Bestandssysteme zu Abs. 2: 02.12.2026
Minimales Risiko Spamfilter; KI in Videospielen Keine Hochrisikopflichten allein aus diesem Einsatz. Art. 4 und gegebenenfalls Art. 50 bleiben relevant keine eigene Hochrisikofrist
GPAI, Kapitel V Allgemein einsetzbare Sprach- und Basismodelle Eigene Anbieterpflichten; bei systemischem Risiko zusätzliche Anforderungen 02.08.2025; zuvor in Verkehr gebrachte Modelle: bis 02.08.2027

So bestimmen Sie die Risikoklasse Ihres KI-Systems

Einstufung Schritt für Schritt prüfen
  1. Zweck, Einsatzbereich und Rolle erfassen. Beschreiben Sie Einsatz und Verantwortlichkeiten. Prüfen Sie den Anwendungsbereich nach Artikel 2 und Ihre Rolle nach Artikel 3. Datenschutz ist zusätzlich zu prüfen, wenn personenbezogene Daten verarbeitet werden.
  2. Verbotene Praktiken prüfen. Gleichen Sie den Einsatz mit Artikel 5 ab, einschließlich Voraussetzungen, Ausnahmen und dem jeweiligen Anwendungsbeginn.
  3. Hochrisiko-Einstufung prüfen. Prüfen Sie Artikel 6 mit Anhang I und III sowie die dortigen Ausnahmen. Ordnen Sie erst danach die passende Frist und gegebenenfalls Artikel 111 für Bestandssysteme zu.
  4. Transparenzpflichten zuordnen. Klären Sie für jede Funktion, welche Pflicht nach Artikel 50 Anbieter und welche Betreiber trifft. Unterscheiden Sie maschinenlesbare Kennzeichnung, Hinweise zur KI-Interaktion und Offenlegung veröffentlichter Inhalte.
  5. GPAI-Rolle und Ergebnis festhalten. Die Nutzung eines Modells macht Sie nicht automatisch zu dessen Anbieter. Prüfen Sie Ihre Rolle und gegebenenfalls Kapitel V. Dokumentieren Sie Einstufung, Quellen und die zugeordneten Pflichten.

Was ist laut AI Act verboten?

Artikel 5 verbietet bestimmte Praktiken, etwa Social Scoring mit sachfremder oder unverhältnismäßiger Benachteiligung und Emotionserkennung am Arbeitsplatz. Die Voraussetzungen und Ausnahmen sind für jede Praxis gesondert geregelt.

Verbotene Praktiken und gesetzliche Ausnahmen

Für Emotionserkennung gelten beispielsweise Ausnahmen für medizinische oder Sicherheitszwecke. Die biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zur Strafverfolgung unterliegt einem eigenen Verbot mit engen Ausnahmen. Eine bloße Schlagwortliste ersetzt diese Prüfung nicht.

Ab dem 2. Dezember 2026 ist außerdem die gezielte KI-Nutzung für realistische intime Darstellungen bestimmbarer Personen ohne wirksame Zustimmung oder für Darstellungen sexuellen Kindesmissbrauchs verboten. Das Inverkehrbringen und die Inbetriebnahme entsprechender Systeme sind untersagt, wenn sie dafür bestimmt sind oder solche Ergebnisse ohne erhebliche Änderungen vorhersehbar und wiederholbar ohne ausreichende Schutzvorkehrungen ermöglichen.

Artikel 5 Absätze 1a und 1b regeln Ausnahmen, etwa für Bearbeitungen intimer Inhalte ohne zusätzliche Entblößung oder veränderte sexuelle Handlungen sowie nach nationalem Recht gerechtfertigte Fälle beim Kindesmissbrauchsverbot. Schutzvorkehrungen erlauben keine Systeme, die ausdrücklich für die verbotenen Zwecke bestimmt sind.

Welche Transparenzpflichten gelten seit August 2026?

Artikel 50 trennt Anbieterpflichten und Betreiberpflichten. Anbieter müssen direkte KI-Interaktion erkennbar machen, sofern sie nicht offensichtlich ist, und synthetische Ausgaben technisch kennzeichnen. Betreiber müssen unter anderem Deepfakes offenlegen. Nicht jede Pflicht gilt für jeden Inhalt.

KI-Hinweise, Deepfakes und Kennzeichnung unterscheiden

Artikel 50 Absatz 2 verpflichtet Anbieter generativer KI zur maschinenlesbaren Kennzeichnung und technischen Erkennbarkeit. Ausgenommen sind unterstützende Standardbearbeitung und Änderungen, die Eingaben oder deren Bedeutung nicht wesentlich verändern. Für Anbieter von vor dem 2. August 2026 in Verkehr gebrachten Systemen verlängert Artikel 111 Absatz 4 nur diese Pflicht bis zum 2. Dezember 2026.

Betreiber müssen Deepfakes nach Absatz 4 offenlegen. Bei erkennbar künstlerischen, kreativen, satirischen oder fiktionalen Werken genügt ein angemessener Hinweis, der das Werk nicht beeinträchtigt. Für veröffentlichte KI-Texte zur Information über Angelegenheiten von öffentlichem Interesse gilt eine Ausnahme bei menschlicher Prüfung oder redaktioneller Kontrolle mit klarer redaktioneller Verantwortung. Diese Text-Ausnahme gilt nicht für Deepfakes.

Bei zulässiger Emotionserkennung oder biometrischer Kategorisierung sind betroffene Personen nach Absatz 3 zu informieren. Erforderliche Hinweise müssen spätestens beim ersten Kontakt klar erkennbar und barrierefrei zugänglich sein. Die jeweiligen Absätze enthalten begrenzte Ausnahmen für gesetzlich zugelassene Strafverfolgungszwecke; Absatz 1 nimmt öffentliche Anzeigenportale davon aus.

Pseudonymisierung kennzeichnet weder den KI-Einsatz noch die künstliche Herkunft eines Inhalts. Sie ersetzt deshalb keinen erforderlichen KI-Hinweis. Pseudonymisierte Daten können weiterhin personenbezogen sein. Die Transparenzregeln im amtlichen Service Desk und die Datenschutzprüfung sind getrennt zu bearbeiten.

Wie hoch sind die Bußgelder nach dem AI Act?

Für verbotene Praktiken sind bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Vorjahresumsatzes möglich. Andere Pflichtverstöße nach Artikel 99 Absatz 4 können bis zu 15 Millionen Euro oder 3 Prozent kosten. Grundsätzlich gilt der höhere Höchstbetrag; für KMU gelten besondere Obergrenzen.

Bußgeldrahmen und KMU-Sonderregeln nachsehen

Falsche, unvollständige oder irreführende Auskünfte nach Artikel 99 Absatz 5 können bis zu 7,5 Millionen Euro oder 1 Prozent kosten. Bei Art. 99 Abs. 3 bis 5 gilt für KMU einschließlich Start-ups der niedrigere Höchstbetrag (Abs. 6). Für kleine Midcap-Unternehmen gilt dies nur bei Abs. 4 und 5 (Abs. 6a). Diese Sonderregeln gelten nicht für GPAI-Geldbußen nach Art. 101.

Gegen GPAI-Modellanbieter kann die Kommission bei vorsätzlichen oder fahrlässigen Verstößen nach Artikel 101 bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Vorjahresumsatzes verhängen, maßgeblich ist der höhere Betrag. Die konkrete Geldbuße hängt vom Einzelfall ab. Zum Vergleich zeigt der DSGVO-Bußgeldrechner den anderen Sanktionsrahmen der DSGVO.

Bußgeldobergrenzen; Umsatzanteile beziehen sich auf den weltweiten Vorjahresumsatz. Grundsätzlich gilt der höhere Betrag, Sonderregeln stehen unter der Tabelle.
Verstoß Rahmen Rechtsgrundlage
Verbotene Praktiken (Art. 5) bis 35 Mio. Euro oder 7 % Art. 99 Abs. 3
Sonstige Pflichtverstöße von Anbietern, Betreibern, bevollmächtigten Vertretern, Einführern, Händlern und benannten Stellen, unter anderem Art. 16, 22, 23, 24, 26 sowie Transparenzpflichten nach Art. 50 bis 15 Mio. Euro oder 3 % Art. 99 Abs. 4
Falsche, unvollständige oder irreführende Auskünfte an benannte Stellen oder Behörden bis 7,5 Mio. Euro oder 1 % Art. 99 Abs. 5
Anbieter von KI-Modellen für allgemeine Zwecke (Geldbußen durch die Kommission) bis 15 Mio. Euro oder 3 % Art. 101

Bei Art. 99 Abs. 3 bis 5 gilt für KMU einschließlich Start-ups der niedrigere Höchstbetrag (Abs. 6). Für kleine Midcap-Unternehmen gilt dies nur bei Abs. 4 und 5 (Abs. 6a). Diese Sonderregeln gelten nicht für GPAI-Geldbußen nach Art. 101.

Häufige Fragen zu den AI-Act-Fristen

Müssen Unternehmen eine KI-Schulung kaufen?

Artikel 4 verpflichtet Anbieter und Betreiber zu passenden Maßnahmen, die die Entwicklung der KI-Kompetenz ihrer Beschäftigten und Beauftragten fördern. Er schreibt weder einen bestimmten externen Kurs noch den Kauf eines Zertifikats vor. Die Maßnahmen richten sich unter anderem nach Vorkenntnissen, Einsatz und betroffenen Personen.

Schreibt der AI Act Pseudonymisierung vor?

Artikel 4a nennt Pseudonymisierung ausdrücklich als Schutzmaßnahme bei der dort ausnahmsweise erlaubten Verarbeitung besonderer Kategorien personenbezogener Daten zur Erkennung und Korrektur von Verzerrungen. Das ist ein enger Anwendungsfall mit mehreren gleichzeitig zu erfüllenden Bedingungen, keine allgemeine Pflicht für jeden KI-Einsatz und keine Vorgabe für den Kauf einer bestimmten Software.

Gelten für KI mit personenbezogenen Daten auch DSGVO-Pflichten?

Bei der Verarbeitung personenbezogener Daten ist zusätzlich das einschlägige Datenschutzrecht zu beachten. Der Anwendungsbereich des AI Act hängt nicht davon ab, ob solche Daten vorkommen. Pseudonymisierte Daten können personenbezogen bleiben; Pseudonymisierung ersetzt keine KI-Kennzeichnung.

Weiterführend

Quellen und Rechtsstand

Quellenstand: 11.09.2026. Allgemeine Information, keine Rechtsberatung. Maßgeblich sind der amtliche Wortlaut der KI-Verordnung und ihre Änderungen. Der AI Act Service Desk erläutert einzelne Artikel; Änderungen sind mit der Verordnung (EU) 2026/1744 abzugleichen.