Zwei Fristen betreffen fast jedes Unternehmen
Der 2. Februar 2025 ist verstrichen: seither gelten die verbotenen Praktiken und die Pflicht zur KI-Kompetenz — unabhängig von Risikoklasse und Unternehmensgröße. Der 2. August 2026 bringt Transparenz- und Hochrisiko-Pflichten. Alles Weitere betrifft überwiegend Hersteller, nicht Anwender.
Wann gilt was?
- 1. August 2024Inkrafttreten
- Die Verordnung ist in Kraft. Ab hier laufen alle weiteren Fristen — die Verpflichtungen greifen aber gestaffelt.
- 2. Februar 2025Verbotene Praktiken und KI-Kompetenz
- Die verbotenen Praktiken gelten. Zugleich greift die Pflicht zur KI-Kompetenz nach Artikel 4 — für jedes Unternehmen, das KI einsetzt, unabhängig von Risikoklasse und Größe.
- 2. August 2025Allzweck-KI und Aufsichtsstruktur
- Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck, Vorschriften zu Sanktionen und die Benennung der nationalen Behörden.
- 2. August 2026Hauptanwendung
- Der Großteil der Verordnung wird anwendbar, einschließlich der Pflichten für Hochrisiko-Systeme nach Anhang III und der Transparenzpflichten nach Artikel 50.
- 2. August 2027Hochrisiko in Produkten
- Systeme, die als Sicherheitsbauteil in bereits regulierte Produkte eingebaut sind (Anhang I) — längere Frist wegen der bestehenden Konformitätsverfahren.
- 2. August 2030Bestandssysteme der öffentlichen Hand
- Für vor dem Stichtag in Betrieb genommene Hochrisiko-Systeme in Behörden gelten eigene Übergangsregeln.
Welche Frist wird am häufigsten übersehen?
Die aus dem Februar 2025 — und zwar deshalb, weil sie unspektakulär ist. Die Aufmerksamkeit richtet sich auf 2026 und die Hochrisiko-Systematik, die für die meisten Unternehmen gar nicht einschlägig ist. Die Pflicht zur KI-Kompetenz nach Artikel 4 dagegen gilt bereits und trifft jeden, der KI einsetzt.
Sie verlangt keine Zertifizierung und keinen Kurs von der Stange. Verlangt wird, dass die Personen, die mit den Systemen arbeiten, deren Möglichkeiten und Grenzen verstehen — bezogen auf die eingesetzten Werkzeuge und die eigenen Daten. Nachweisbar muss das sein, sonst existiert es im Streitfall nicht.
Die zweite häufig übersehene Konstellation: Pflichten knüpfen an den tatsächlichen Einsatz an, nicht an eine Entscheidung der Geschäftsführung. Wo Mitarbeiter ohne Freigabe KI nutzen — und das ist der Normalfall — laufen die Pflichten bereits.
Was ist jetzt zu tun?
Drei Schritte, in dieser Reihenfolge. Erstens Bestandsaufnahme: welche KI-Werkzeuge werden tatsächlich genutzt, von wem, mit welchen Daten — ohne Sanktionsandrohung, sonst wird die Liste unvollständig.Zweitens Einordnung: jeder Anwendungsfall einer Risikoklasse zugeordnet, mit Begründung. Drittens Schulung an den eigenen Werkzeugen, dokumentiert.
Für ein Unternehmen mit Standardwerkzeugen sind das zwei bis drei Wochen. Der aufwendigste Teil ist nicht die Dokumentation, sondern die ehrliche Bestandsaufnahme — sie fördert regelmäßig Werkzeuge zutage, von denen die IT nie gehört hat.
Häufige Fragen
Welche Frist ist für ein normales Unternehmen relevant?+
Zwei. Der 2. Februar 2025 ist bereits verstrichen: seither gelten die verbotenen Praktiken und die Pflicht zur KI-Kompetenz nach Artikel 4 — für jedes Unternehmen, das KI einsetzt. Der 2. August 2026 bringt die Transparenzpflichten und die Hochrisiko-Anforderungen. Wer nur Standardwerkzeuge nutzt, ist von der zweiten Frist meist wenig betroffen, von der ersten aber sehr wohl.
Gilt die Schulungspflicht wirklich schon?+
Ja, seit dem 2. Februar 2025. Sie hängt nicht an einer Risikoklasse und nicht an der Unternehmensgröße — wer KI einsetzt, muss dafür sorgen, dass die damit befassten Personen über ausreichende Kompetenz verfügen. Das ist die am häufigsten übersehene Pflicht der gesamten Verordnung, weil sie so unspektakulär ist.
Was passiert, wenn eine Frist verstrichen ist?+
Es gibt keinen automatischen Bußgeldbescheid. Relevant wird es bei einer Prüfung, einem Vorfall oder einer Beschwerde — und dann zählt, ob eine dokumentierte Einordnung und ein Schulungsnachweis vorliegen. Beides nachträglich zu erstellen ist möglich, aber deutlich unangenehmer als vorher.
Ändern sich diese Termine noch?+
Über Verschiebungen einzelner Fristen wird auf europäischer Ebene diskutiert, insbesondere für Hochrisiko-Pflichten. Verlassen sollte man sich darauf nicht: die bereits geltenden Pflichten aus dem Februar 2025 sind davon ohnehin nicht betroffen.
Wir setzen KI erst 2027 ein. Betrifft uns das früher?+
Die Pflichten knüpfen an den Einsatz an, nicht an ein Datum. Wer heute nichts einsetzt, hat heute nichts zu tun — mit einer Ausnahme: in vielen Häusern wird längst KI genutzt, nur ohne Freigabe. Diese Schattennutzung löst die Pflichten aus, unabhängig davon, was offiziell beschlossen wurde.
Was tun wir zuerst?+
Bestandsaufnahme: welche KI-Werkzeuge werden tatsächlich genutzt, von wem, mit welchen Daten. Ohne diese Liste lässt sich weder einordnen noch schulen — und sie deckt regelmäßig mehr auf als erwartet.