--- title: "AI Act Fristen 2026: Risikoklassen und Digital Omnibus" description: "Alle Fristen der KI-Verordnung im Überblick: Was ab wann gilt, welche Risikoklassen der AI Act kennt und was der Digital Omnibus 2026 an Terminen verschiebt." canonical: "https://veronto.de/daten/ai-act-fristen" --- # AI Act Fristen 2026: Risikoklassen und Digital Omnibus Die KI-Verordnung (EU) 2024/1689 gilt seit dem 1. August 2024 gestaffelt. Seit 2. Februar 2025 sind verbotene Praktiken untersagt. Seit 2. August 2025 gelten Regeln für KI-Modelle für allgemeine Zwecke, Governance und Sanktionen. Ab 2. August 2026 folgen die Transparenzpflichten. Der Digital Omnibus verschiebt die Hochrisiko-Pflichten auf den 2. Dezember 2027 (Anhang III) und 2. August 2028 (in Produkten). Die interaktive Zeitachse auf der Seite zeigt alle acht Termine filterbar nach Rolle und Risikoklasse, die Digital-Omnibus-Verschiebungen als markierte Pfeile. Rechtsgrundlage: Verordnung (EU) 2024/1689 (ABl. L, 2024/1689 vom 12.07.2024, CELEX 32024R1689) und der Digital Omnibus zur KI (Europäisches Parlament 16.06.2026 mit 423 Ja, 57 Nein, 174 Enthaltungen; Rat 29.06.2026; unterzeichnet am 08.07.2026; die Veröffentlichung im Amtsblatt stand zum Stand 21.07.2026 noch aus und wird bis spätestens 30.07.2026 erwartet). Keine Rechtsberatung. Stand der Angaben: 21. Juli 2026. ## Geltungsbeginn der KI-Verordnung nach dem Digital Omnibus | Datum | Was gilt | Status | Rechtsgrundlage | | --- | --- | --- | --- | | 1. August 2024 | Inkrafttreten der KI-Verordnung, gestaffelter Geltungsbeginn nach Artikel 113 | in Kraft | Art. 113 | | 2. Februar 2025 | Verbotene Praktiken (Art. 5) und KI-Kompetenz (Art. 4) | in Kraft | Art. 113 Buchst. a | | 2. August 2025 | KI-Modelle für allgemeine Zwecke (GPAI), Governance, Sanktionen, benannte Stellen | in Kraft | Art. 113 Buchst. b | | 2. August 2026 | Allgemeiner Geltungsbeginn inklusive Transparenzpflichten nach Art. 50 Abs. 1, 3 und 4 | anstehend | Art. 113, Art. 50 | | 2. Dezember 2026 | Neues Verbot für nicht einvernehmliche intime Inhalte und CSAM; Kennzeichnung von Bestandssystemen nach Art. 50 Abs. 2 | anstehend | Art. 5, Art. 50 Abs. 2 | | 2. August 2027 | Frist für nationale KI-Reallabore (Regulatory Sandboxes) | anstehend | Art. 57 | | 2. Dezember 2027 | Hochrisiko-KI nach Anhang III (eigenständige Systeme), verschoben vom 2. August 2026 | anstehend | Art. 6 Abs. 2, Anhang III | | 2. August 2028 | Hochrisiko-KI als Sicherheitsbauteil in Produkten (Anhang I), verschoben vom 2. August 2027 | anstehend | Art. 6 Abs. 1, Anhang I | ## Was der Digital Omnibus ändert - Hochrisiko-Pflichten nach Anhang III (eigenständige Systeme): vom 2. August 2026 auf den 2. Dezember 2027 verschoben. - Hochrisiko-KI in Produkten (Anhang I, Art. 6 Abs. 1): vom 2. August 2027 auf den 2. August 2028 verschoben. - Feste Daten: Rat und Parlament legten feste Fristen fest und lösten damit den ursprünglich vorgesehenen, an die Verfügbarkeit von Normen gekoppelten Mechanismus ab. - Neues Verbot: KI-generierte nicht einvernehmliche intime Inhalte und CSAM werden in Art. 5 aufgenommen und sind ab dem 2. Dezember 2026 verboten. - Transparenz: Die Pflichten nach Art. 50 Abs. 1, 3 und 4 bleiben beim 2. August 2026; die Kennzeichnungspflicht für Bestandssysteme nach Art. 50 Abs. 2 gilt ab dem 2. Dezember 2026. - Nationale KI-Reallabore (Regulatory Sandboxes): Frist auf den 2. August 2027 verschoben. - Weitere Änderungen: vereinfachte Registrierung für nicht hochriskante Systeme, zentrale Durchsetzung der GPAI-Pflichten beim KI-Büro, Nutzung personenbezogener Daten zur Erkennung und Korrektur von Verzerrungen unter Schutzvorkehrungen. - Die Grundarchitektur der KI-Verordnung (risikobasierter Ansatz, verbotene Praktiken, GPAI-Regeln) bleibt bestehen. ## Die Risikoklassen der KI-Verordnung im Vergleich | Risikoklasse | Beispiele | Pflichten | Gilt ab | | --- | --- | --- | --- | | Unannehmbar (verboten), Art. 5 | Social Scoring, ungezieltes Auslesen von Gesichtsbildern, Emotionserkennung am Arbeitsplatz | Einsatz vollständig untersagt | 2. Februar 2025 | | Hoch, Art. 6 mit Anhang I und III | Kreditwürdigkeitsprüfung, Personalauswahl, kritische Infrastruktur, Strafverfolgung | Risikomanagement, Daten-Governance, Dokumentation, menschliche Aufsicht, Konformitätsbewertung | 2. Dezember 2027 (Anhang III), 2. August 2028 (Anhang I) | | Begrenzt (Transparenz), Art. 50 | Chatbots, Deepfakes, KI-generierte Inhalte | Offenlegung und Kennzeichnung gegenüber Nutzern | 2. August 2026 | | Minimal | Spamfilter, KI in Videospielen | Keine besonderen Pflichten, freiwillige Kodizes werden gefördert | keine besondere Frist | | GPAI (paralleles Regime), Kapitel V | Große Sprach- und Basismodelle; systemisches Risiko ab 10 hoch 25 FLOP | Technische Dokumentation, Urheberrechts-Richtlinie, Zusammenfassung der Trainingsdaten | 2. August 2025 | ## Bußgeldrahmen der KI-Verordnung | Verstoß | Rahmen | Rechtsgrundlage | | --- | --- | --- | | Verbotene Praktiken (Art. 5) | bis 35 Mio. Euro oder 7 % | Art. 99 Abs. 3 | | Sonstige Pflichtverstöße, u. a. Art. 16, 22, 23, 24, 26 sowie Transparenzpflichten nach Art. 50 | bis 15 Mio. Euro oder 3 % | Art. 99 Abs. 4 | | Falsche, unvollständige oder irreführende Auskünfte an benannte Stellen oder Behörden | bis 7,5 Mio. Euro oder 1 % | Art. 99 Abs. 5 | | Anbieter von KI-Modellen für allgemeine Zwecke (Geldbußen durch die Kommission) | bis 15 Mio. Euro oder 3 % | Art. 101 | Bezugsgröße ist jeweils der weltweite Jahresumsatz des vorangegangenen Geschäftsjahres; der höhere Betrag gilt. Für KMU und Start-ups gilt der niedrigere der beiden Beträge (Art. 99 Abs. 6). Die Sanktionsvorschriften gelten seit dem 2. August 2025, Art. 101 seit dem 2. August 2026. ## So bestimmen Sie die Risikoklasse Ihres KI-Systems 1. **Zweck und Einsatzbereich erfassen.** Beschreiben, was das System tut, wer es einsetzt und ob personenbezogene Daten verarbeitet werden, denn dann greifen AI Act und DSGVO zusammen. 2. **Verbotene Praktiken nach Artikel 5 ausschließen.** Einsatz mit den verbotenen Praktiken abgleichen, etwa Social Scoring oder Emotionserkennung am Arbeitsplatz; solche Systeme sind seit dem 2. Februar 2025 untersagt. 3. **Hochrisiko nach Anhang I oder III prüfen.** Anwendungsfall mit den Hochrisiko-Bereichen wie Personalauswahl, Kreditwürdigkeitsprüfung oder kritischer Infrastruktur vergleichen; Pflichten gelten ab 2. Dezember 2027 (eigenständig) und 2. August 2028 (in Produkten). 4. **Transparenzpflichten nach Artikel 50 abklären.** Interagiert das System direkt mit Menschen oder erzeugt es Inhalte, greifen ab dem 2. August 2026 Kennzeichnungspflichten. 5. **GPAI-Bezug prüfen und Einstufung dokumentieren.** Bei KI-Modellen für allgemeine Zwecke die Pflichten aus Kapitel V prüfen und das Ergebnis nachvollziehbar festhalten. ## Häufige Fragen **Was ist laut AI Act verboten?** Artikel 5 verbietet KI mit unannehmbarem Risiko: Social Scoring, ungezieltes Auslesen von Gesichtsbildern zum Aufbau von Datenbanken, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, biometrische Kategorisierung nach sensiblen Merkmalen sowie manipulative Techniken. Diese Verbote gelten seit dem 2. Februar 2025. Ab dem 2. Dezember 2026 kommt ein Verbot KI-generierter nicht einvernehmlicher intimer Inhalte hinzu. **Ab wann gilt der AI Act?** Die KI-Verordnung ist am 1. August 2024 in Kraft getreten und gilt gestaffelt. Verbotene Praktiken seit dem 2. Februar 2025, GPAI-Regeln seit dem 2. August 2025, allgemeiner Geltungsbeginn mit Transparenzpflichten am 2. August 2026, Hochrisiko-Pflichten gestaffelt bis zum 2. August 2028. **Was ändert der Digital Omnibus?** Er verschiebt die Hochrisiko-Pflichten (Anhang III auf den 2. Dezember 2027, Anhang I auf den 2. August 2028), führt ein neues Verbot für KI-generierte intime Inhalte und CSAM ab Dezember 2026 ein und verschiebt die Frist für nationale KI-Reallabore auf den 2. August 2027. Die Transparenzpflichten nach Artikel 50 bleiben beim 2. August 2026. **Welche Risikoklassen kennt die KI-Verordnung?** Vier Risikoklassen: unannehmbares Risiko (verboten), hohes Risiko, begrenztes Risiko mit Transparenzpflichten und minimales Risiko. Zusätzlich regelt Kapitel V die KI-Modelle für allgemeine Zwecke; systemisches Risiko liegt ab einer Trainingsrechenleistung von 10 hoch 25 FLOP vor. **Gelten für KI mit personenbezogenen Daten auch DSGVO-Pflichten?** Ja. Sobald ein KI-System personenbezogene Daten verarbeitet, gelten AI Act und DSGVO parallel. Der AI Act regelt Transparenz, Risiko und Governance, die DSGVO die Rechtmäßigkeit der Verarbeitung. ## Weiter - [ChatGPT im Unternehmen: Datenschutz im Griff behalten](https://veronto.de/blog/chatgpt-unternehmen-datenschutz) - [KI-Tools im DSGVO-Vergleich](https://veronto.de/daten/ki-tools-dsgvo-vergleich) - [Datentransfer-Weltkarte: internationale Datenflüsse](https://veronto.de/daten/datentransfer-weltkarte) - [DSGVO-Bußgeldrechner: Rahmen und Kriterien](https://veronto.de/daten/dsgvo-bussgeldrechner) - [alias: Live-Pseudonymisierung für Sprachmodelle](https://veronto.de/alias) - [redact: Daten in Dokumenten schwärzen und anonymisieren](https://veronto.de/redact) - [Interaktive Zeitachse auf der Seite](https://veronto.de/daten/ai-act-fristen)