Der EU AI Act tritt nicht an einem Tag in Kraft, sondern in Stufen. Genau das macht die Frage "Bis wann muss ich was tun?" so unübersichtlich. Dieser Beitrag ordnet jeden Stichtag der Pflicht zu, die er auslöst - mit Artikelbezug.
Geltungstermine nach Art. 113 der Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744.
Die Verordnung (EU) 2024/1689 ist am 1. August 2024 in Kraft getreten. In Kraft heißt aber nicht anwendbar: Art. 113 legt fest, dass die einzelnen Kapitel zu unterschiedlichen Zeitpunkten wirksam werden. Der allgemeine Geltungsbeginn war der 2. August 2026, davor und danach greifen mehrere Sonderregeln.
Wer wissen will, ob er heute schon etwas tun muss, braucht deshalb zwei Angaben: welche Pflicht und welche Rolle. Die Frist allein sagt nichts. Ein Maschinenbauer, der Microsoft Copilot einsetzt, hat seit Februar 2025 eine Pflicht, aber eine ganz andere als ein Hersteller, der ein KI-System in ein zulassungspflichtiges Produkt einbaut.
Die Änderungsverordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt der EU veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Sie verschiebt die Hochrisiko-Termine auf den 2. Dezember 2027 und den 2. August 2028. Das ist geltendes Recht, keine Ankündigung.
Zwei Stichtage liegen hinter uns. Beide werden im Mittelstand regelmäßig übersehen, weil sie vor dem viel diskutierten Hauptdatum lagen.
Nach Art. 113 gelten die Kapitel I und II seit dem 2. Februar 2025. Damit sind die verbotenen KI-Praktiken nach Art. 5 anwendbar - darunter Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Ebenfalls seitdem gilt Art. 4: Anbieter und Betreiber müssen Maßnahmen zur Förderung der KI-Kompetenz ihres Personals treffen. Die Verordnung (EU) 2026/1744 hat diese Vorschrift abgemildert; ein bestimmter Kenntnisstand jeder einzelnen Person muss nicht garantiert werden. Eine Nachweispflicht in Form eines Zertifikats sieht die Verordnung nicht vor.
Seit dem 2. August 2025 gelten nach Art. 113 unter anderem Kapitel V (Modelle mit allgemeinem Verwendungszweck), Kapitel VII (Governance) und Kapitel XII (Sanktionen) - letzteres mit Ausnahme von Art. 101. Für Anwenderunternehmen ist vor allem der letzte Punkt bemerkenswert: Der Sanktionsrahmen ist bereits seit über einem Jahr anwendbar. Details dazu im Beitrag Was kostet ein Verstoß gegen den EU AI Act?
Der 2. August 2026 ist der allgemeine Geltungsbeginn nach Art. 113. Drei Dinge sind seitdem neu und betreffen den Mittelstand unmittelbar:
Zwei Regelungen laufen auf den 2. Dezember 2026 zu. Erstens die Übergangsfrist für die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2: Anbieter generativer KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, haben nach der Verordnung (EU) 2026/1744 vier Monate Zeit, sie umzusetzen. Zweitens werden zu diesem Datum die beiden neuen Verbotstatbestände anwendbar, die dieselbe Änderungsverordnung in Art. 5 eingefügt hat: KI-Systeme zur Erzeugung nicht einvernehmlicher intimer Darstellungen und zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs.
Die Verordnung (EU) 2026/1744 hat die beiden Hochrisiko-Termine getrennt und nach hinten gelegt. Welcher der beiden gilt, hängt davon ab, über welchen der zwei Wege ein System als Hochrisiko eingestuft wird.
Der Weg über die Anwendungsbereiche: Beschäftigung und Personalauswahl, Bildung, Kreditwürdigkeitsprüfung, Risikobewertung in der Lebens- und Krankenversicherung, kritische Infrastruktur, Strafverfolgung, Migration. Das ist der Weg, über den mittelständische Unternehmen typischerweise betroffen sind - etwa mit einem Bewerber-Screening-Tool.
Der Weg über die Produktsicherheit: KI als Sicherheitsbauteil eines Produkts, das unter eine der in Anhang I gelisteten Harmonisierungsvorschriften fällt und einer Konformitätsbewertung durch Dritte unterliegt. Betrifft vor allem Hersteller regulierter Produkte, etwa im Maschinenbau oder in der Medizintechnik.
Die Verschiebung ist keine Entwarnung, sondern eine Verlängerung der Vorbereitungszeit. Wer heute nicht weiß, ob eines seiner Systeme unter Anhang III fällt, weiß es im Dezember 2027 auch nicht - er hat dann nur weniger Zeit. Die Einstufung selbst ist der Aufwand, nicht die Frist. Wie die Einstufung methodisch abläuft, beschreibt die Seite Methodik der Risikoeinordnung.
Aus den Terminen lässt sich eine kurze, ehrliche Reihenfolge ableiten. Sie ist bewusst klein gehalten, weil der häufigste Fehler nicht Untätigkeit ist, sondern der Versuch, mit einem Großprojekt zu starten.
Der kostenlose Schnell-Check zur Betroffenheit deckt die Schritte eins bis drei in fünf Fragen ab, ohne Login und ohne E-Mail-Adresse. Wer die Ergebnisse anschließend dokumentieren und exportieren will, findet die dafür vorgesehenen Werkzeuge unter Funktionen von CompliKI und die Tarife auf der Seite Preise und Lizenzumfang.
Dieser Beitrag gibt Geltungstermine der Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 wieder und ersetzt keine individuelle juristische Würdigung des Einzelfalls. Für verbindliche Angaben zu Geltungsterminen, Übergangsfristen und Ausnahmen sind ausschließlich die offiziellen Quellen der EU maßgeblich. Eine Garantie auf jederzeitige Vollständigkeit besteht nicht.
Der kostenlose Schnell-Check klärt Rolle und Risikoniveau in fünf Fragen - ohne Login und ohne E-Mail-Adresse.