Ein kompakter Überblick: was die Verordnung (EU) 2024/1689 regelt, welche Rollen sie unterscheidet, welche Risikoklassen es gibt und welche Schritte sich für mittelständische Unternehmen anbieten. Mit Verweis auf die offiziellen Quellen - aber ausdrücklich keine Rechtsberatung.
Die Verordnung (EU) 2024/1689 trat am 1. August 2024 in Kraft. Ihre Vorschriften werden stufenweise anwendbar - verschiedene Pflichten greifen zu unterschiedlichen Zeitpunkten. Die maßgebliche, tagesaktuelle Darstellung der Geltungstermine pflegt die Europäische Kommission selbst.
Die Verordnung ist am 01. August 2024 in Kraft getreten. Damit beginnt der Lauf der gestaffelten Geltungstermine.
Sechs Monate nach Inkrafttreten greifen die Verbote nach Art. 5 sowie die Anforderungen an KI-Kompetenz (AI Literacy) nach Art. 4. Hinweis: Die Änderungsverordnung (EU) 2026/1744 hat die Art.-4-Formulierung abgemildert - Unternehmen müssen Maßnahmen zur Förderung der KI-Kompetenz treffen, ohne einen bestimmten Kenntnisstand jeder einzelnen Person garantieren zu müssen. Diese Fassung ist seit dem 27. Juli 2026 geltendes Recht.
Zwölf Monate nach Inkrafttreten greifen die GPAI-Pflichten und große Teile der Governance-Vorschriften.
Mit dem allgemeinen Geltungsbeginn gelten seit dem 2. August 2026 unter anderem die Transparenzpflichten nach Art. 50: Offenlegung bei der Interaktion mit Chatbots und anderen KI-Systemen, Kennzeichnung KI-generierter oder manipulierter Inhalte (einschließlich Deepfakes) sowie Information bei Emotionserkennung und biometrischer Kategorisierung. Ebenfalls seit diesem Datum aktiv: die Marktüberwachung - in Deutschland regelt das Durchführungsgesetz (KI-MIG, in Kraft seit 29.07.2026) die Zuständigkeiten; die Bundesnetzagentur übernimmt die Marktüberwachung, soweit keine bestehenden sektoralen Strukturen greifen, und koordiniert die Aufsicht über das neue KoKIVO - sowie die Bußgeldbefugnis der EU-Kommission gegenüber GPAI-Anbietern (Art. 101). Eine Übergangsregel gibt es nur für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2: Anbieter generativer KI-Systeme, die vor dem 02.08.2026 in Verkehr gebracht wurden, müssen sie bis zum 02.12.2026 umsetzen.
Die Verschiebung der Hochrisiko-Termine ist geltendes Recht: Die Änderungsverordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Damit gelten verbindlich: 2. Dezember 2027 für Hochrisiko-KI nach Art. 6 Abs. 2 und Anhang III sowie 2. August 2028 für Hochrisiko-KI nach Art. 6 Abs. 1 und Anhang I (in regulierte Produkte eingebettet).
Das Europäische Parlament hat die Änderungsverordnung zur Verschiebung der Hochrisiko-Termine angenommen.
formal beschlossen
Der Rat der Europäischen Union hat endgültig zugestimmt. Das Gesetzgebungsverfahren ist damit abgeschlossen.
formal beschlossen
Veröffentlichung im Amtsblatt der EU als Verordnung (EU) 2026/1744.
veröffentlicht
Inkrafttreten am dritten Tag nach der Veröffentlichung. Die neuen Termine sind seitdem geltendes Recht.
in Kraft
Neuer Anwendungstermin für Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 und Anhang III - etwa HR, Bildung, Kreditwürdigkeitsprüfung oder kritische Infrastruktur.
beschlossener neuer Termin
Neuer Anwendungstermin für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 und Anhang I, die in regulierte Produkte eingebettet sind.
beschlossener neuer Termin
Die neuen Termine 2. Dezember 2027 und 2. August 2028 sind seit dem 27. Juli 2026 formal geltendes Recht (Verordnung (EU) 2026/1744); eine Rückkehr zum 2. August 2026 ist nicht vorgesehen. Unabhängig davon gelten seit dem 2. August 2026 die übrigen Vorschriften der Verordnung, insbesondere die Transparenzpflichten nach Art. 50. Maßgeblich bleiben die offiziellen Quellen der EU.
Die Zusammenstellung ist eine Orientierung. Für verbindliche Angaben zu Geltungsterminen, Übergangsfristen und Ausnahmen sind ausschließlich die offiziellen Quellen der EU maßgeblich.
Die Verordnung unterscheidet sechs Akteursrollen: Provider, Produkthersteller, Deployer, Bevollmächtigter, Importeur und Distributor. Aus der Rolle ergeben sich die konkreten Pflichten; eine Organisation kann mehrere Rollen gleichzeitig einnehmen. Für mittelständische Unternehmen sind vor allem die folgenden vier relevant.
Wer ein KI-System entwickelt, in Verkehr bringt oder in Betrieb nimmt - unter eigenem Namen oder eigener Marke. Höchste Pflichtendichte bei Hochrisiko-Systemen: Risiko- und Qualitätsmanagement, technische Dokumentation, Konformitätsbewertung, EU-Datenbank-Eintrag.
Wer ein KI-System in der eigenen Tätigkeit einsetzt. Pflichten u.a. zur Sicherstellung menschlicher Aufsicht, zur Einhaltung der Anbieterhinweise, zur Information betroffener Personen und in Pflichtfällen zur Durchführung einer FRIA.
Wer ein KI-System aus einem Drittland in die EU einführt. Sorgfaltspflichten u.a. zur Prüfung der Konformität, zur Verifikation der CE-Kennzeichnung und der mitgelieferten Dokumentation.
Wer ein KI-System auf dem EU-Markt bereitstellt, ohne Provider oder Importeur zu sein. Pflichten zur Sichtprüfung von Kennzeichnung und Dokumentation, Mitwirkung bei Marktüberwachung.
Daneben kennt die Verordnung den Produkthersteller (bringt ein Produkt mit eingebettetem Hochrisiko-KI-System unter eigenem Namen in Verkehr) und den Bevollmächtigten (vertritt Provider aus Drittländern in der EU). Wichtig: Wer ein bestehendes KI-System wesentlich verändert oder unter eigenem Namen anbietet, kann zum Provider werden - mit den entsprechenden Pflichten. CompliKI hilft bei dieser Abgrenzung.
Die Verordnung kategorisiert KI-Systeme nach ihrem Risiko. Die Risikoklasse bestimmt, welche Pflichten greifen.
Bestimmte KI-Anwendungen sind in der EU verboten: z.B. soziale Bewertung durch Behörden, bestimmte biometrische Echtzeit-Identifikation in öffentlichem Raum, manipulative Techniken mit erheblichem Schadenspotenzial. Die Verordnung (EU) 2026/1744 ergänzt zwei weitere Verbote (u.a. KI-Systeme zur Erzeugung nicht-einvernehmlicher intimer Darstellungen), anwendbar ab dem 02.12.2026.
KI-Systeme in sensiblen Bereichen wie Beschäftigung, Bildung, Strafverfolgung, Migration, kritischer Infrastruktur oder bei der Bewertung von Kreditwürdigkeit. Umfangreiche Pflichten bei Provider und Deployer.
Systeme mit Transparenz-Pflichten - z.B. Chatbots, Deepfakes, KI-generierte Inhalte, Emotionserkennung. Pflicht zur Information der Nutzer und zur klaren Kennzeichnung. Diese Pflichten nach Art. 50 gelten seit dem 2. August 2026.
Die große Mehrheit der KI-Systeme. Keine spezifischen Pflichten nach EU AI Act, allgemeine Regeln (DSGVO, Produktsicherheit, Haftung, branchenspezifisches Recht) gelten unverändert.
Zusätzlich gelten für General-Purpose-AI (GPAI) eigene Transparenz- und Dokumentationspflichten, mit weitergehenden Pflichten für GPAI mit systemischem Risiko.
Was wir aus Gesprächen mit kleinen und mittleren Unternehmen am häufigsten hören - und wie man damit pragmatisch umgeht.
Der EU AI Act lässt sich nicht in einen Satz pressen. Die folgenden Hinweise sollen helfen, häufige Vereinfachungen einzuordnen.
Was wir hier ausdrücklich nicht tun
Keine Rechtsberatung: Die Inhalte auf dieser Seite ersetzen keine individuelle juristische Würdigung des Einzelfalls.
Keine verbindliche Aussage zu Bußgeldern: Bußgeldhöhen hängen von Verstoß, Verhalten, Größe und nationaler Praxis ab.
Keine Bewertung konkreter Produkte: Aussagen zu einzelnen Tools ergeben sich erst nach strukturierter Erfassung im Inventar.
Keine Garantie der Tagesaktualität: Die Verordnung und die Anwendungspraxis entwickeln sich weiter. Wir aktualisieren laufend, geben aber keine Garantie auf jederzeitige Vollständigkeit.
Diese Links führen direkt zu den maßgeblichen Inhalten der EU und ihrer Institutionen.
Rechtsstand der Website: August 2026 (Stand 6. August 2026)
Starten Sie mit dem kostenlosen Schnell-Check oder direkt mit der strukturierten Erfassung in CompliKI.