Die meisten Fristentabellen, die Sie finden, sind falsch. Der Omnibus vom Juni 2026 hat zwei dieser Daten verschoben und den Rest unangetastet gelassen. Veröffentlichte Leitfäden, die vor Juni 2026 geschrieben wurden - und das ist immer noch die Mehrheit -, sagen Anbietern von Hochrisikosystemen, sie seien bereits zu spät dran, und Chatbot-Teams, sie hätten weitere achtzehn Monate. Beides ist das Gegenteil der Wahrheit.
Hier ist jedes Datum der KI-Verordnung, auf das es ankommt, im Stand nach dem Omnibus. Die geltenden Pflichten zuerst, denn das sind die, die Sie in diesem Quartal etwas kosten können.
Jetzt durchsetzbar
| Pflicht | Gilt seit | Durchsetzbar | Wen |
|---|---|---|---|
| Artikel 5 - verbotene Praktiken | 2. Feb. 2025 | 2. Aug. 2026 | Alle |
| Artikel 4 - KI-Kompetenz | 2. Feb. 2025 | 2. Aug. 2026 | Anbieter und Betreiber |
| Artikel 50 - Transparenz | 2. Aug. 2026 | 2. Aug. 2026 | Chatbots, generative Systeme, Deepfakes |
| Artikel 53 - GPAI-Anbieter | 2. Aug. 2025 | 2. Aug. 2026 | Anbieter von Modellen mit allgemeinem Verwendungszweck |
| Governance- und Sanktionsrahmen | 2. Aug. 2025 | 2. Aug. 2026 | Nationale Behörden |
Achten Sie auf das Muster in dieser Tabelle. Vier getrennte Pflichtenbündel wurden im Lauf des Jahres 2025 zu verschiedenen Zeitpunkten anwendbar, und jedes einzelne wurde am selben Tag durchsetzbar: am 2. August 2026. An diesem Datum haben die Aufsichtsbehörden ihre Bußgeldbefugnisse bekommen. Davor waren das Pflichten ohne Zähne. Danach sind es Pflichten mit Zähnen.
Was Artikel 5 tatsächlich verbietet
Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken, vorbehaltlich enger Ausnahmen. Soziale Bewertung durch oder im Auftrag von Behörden. Emotionserkennung am Arbeitsplatz und in der Bildung. Ungezieltes Auslesen von Gesichtsbildern zum Aufbau von Erkennungsdatenbanken. Ausbeuterische Manipulation schutzbedürftiger Gruppen. Vorausschauende Polizeiarbeit allein auf Grundlage von Profiling.
Das sind Verbote, keine Pflichten. Es gibt keine Dokumentation, die sie zulässig macht.
Was Artikel 50 tatsächlich verlangt
- 50(1) - Systeme, die unmittelbar mit Menschen interagieren, müssen bei oder vor der ersten Interaktion offenlegen, dass sie KI sind, sofern das für eine angemessen aufmerksame Person nicht offensichtlich ist.
- 50(2) - Anbieter generativer Systeme müssen synthetische Ausgaben in einem maschinenlesbaren Format als künstlich erzeugt kennzeichnen. Diese Pflicht liegt beim Anbieter des generativen Systems, nicht bei allen, die eines nutzen.
- 50(4) - Betreiber müssen Deepfakes offenlegen und KI-erzeugte Texte offenlegen, die zur Unterrichtung der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden - es sei denn, die Inhalte wurden einer menschlichen Prüfung unterzogen und eine Person trägt die redaktionelle Verantwortung für ihre Veröffentlichung.
Wenn Sie einen Chatbot ausliefern, ist das Ihre Frist, und sie ist verstrichen. Die Korrektur ist meist eine Zeile Text in der Begrüßung. Es ist die billigste Pflicht der gesamten Verordnung und die am häufigsten versäumte, weil sie nie als Frist präsentiert wurde - sie kam als Teil eines Pakets, von dem allen gesagt wurde, es sei verschoben worden.
Vom Omnibus verschoben
| Pflicht | War | Jetzt | Wen |
|---|---|---|---|
| Hochrisiko nach Anhang III - Artikel 9-15, 17, 43, 49, 73 | 2. Aug. 2026 | 2. Dez. 2027 | Beschäftigung, Kredit, Bildung, wesentliche Dienste, Strafverfolgung, Migration, Justiz, Biometrie, kritische Infrastruktur |
| Hochrisiko nach Anhang I - KI in regulierten Produkten | 2. Aug. 2027 | Aug. 2028 | Medizinprodukte, Maschinen, Fahrzeuge, Spielzeug und andere CE-gekennzeichnete Produkte |
Das ist der Teil, über den berichtet wurde als "die EU hat die KI-Verordnung verschoben". Er ist real und er ist bedeutsam - aber er betrifft nur diese beiden Zeilen.
Verschoben ist nicht dasselbe wie fern. Eine Konformitätsbewertung, eine vollständige technische Dokumentation nach Anhang IV und ein funktionierendes Risikomanagementsystem brauchen für ein kleines Team zwölf bis achtzehn Monate, und die Warteschlange einer notifizierten Stelle lässt sich nicht mit Budget verkürzen. Dezember 2027 bedeutet Scoping im Jahr 2026 und Arbeitsbeginn im ersten Halbjahr 2027. Teams, die die Verschiebung als achtzehn Monate Ruhe behandeln, werden sie damit verbringen, festzustellen, dass die prüfende Stelle ausgebucht ist.
Was Anbieter von Hochrisikosystemen schulden, und wann
Wenn Sie als Anbieter in Anhang III landen, ist das der vollständige Satz. Alles davon greift am 2. Dezember 2027.
| Artikel | Pflicht | Realistische Vorlaufzeit |
|---|---|---|
| Art. 9 | Risikomanagementsystem, fortlaufend und über den gesamten Lebenszyklus dokumentiert | 3-6 Monate |
| Art. 10 | Daten-Governance - Trainings- und Testdaten auf Verzerrungen geprüft | 2-4 Monate, mit externem Audit länger |
| Art. 11 | Technische Dokumentation (Anhang IV) | 2-4 Monate |
| Art. 12 | Automatische Protokollierung, vollständig und aufbewahrt | Wochen, wenn Logging bereits existiert |
| Art. 13 | Betriebsanleitung für Ihre Betreiber | 2-4 Wochen |
| Art. 14 | Menschliche Aufsicht by Design - eine Person muss verstehen und übersteuern können | Produktarbeit, planen Sie ein Quartal ein |
| Art. 15 | Genauigkeit, Robustheit und Cybersicherheit, dokumentiert | 2-3 Monate |
| Art. 17 | Qualitätsmanagementsystem | 3-6 Monate |
| Art. 43 | Konformitätsbewertung und CE-Kennzeichnung | Hängt von der Warteschlange der notifizierten Stelle ab |
| Art. 49 | Registrierung in der EU-Datenbank | Tage, sobald der Rest steht |
| Art. 73 | Verfahren zur Meldung schwerwiegender Vorfälle | 1-2 Wochen |
Rechnen Sie das ehrlich zusammen, und der Dezember 2027 sieht nicht mehr großzügig aus. Artikel 13 lohnt sich unabhängig von der Frist vorzuziehen: Ihre Geschäftskunden sind Betreiber mit eigenen Pflichten aus Artikel 26, und die können sie ohne Dokumentation von Ihnen nicht erfüllen. Sie früh zu liefern verwandelt eine Pflicht in ein Verkaufsargument.
Pflichten der Betreiber - Artikel 26
Wenn Sie ein fremdes Hochrisikosystem nutzen, statt eines zu liefern, ist Ihr Satz deutlich kleiner und greift ebenfalls am 2. Dezember 2027:
- Das System entsprechend der Betriebsanleitung des Anbieters verwenden
- Die menschliche Aufsicht einer kompetenten Person mit Übersteuerungsbefugnis zuweisen
- Sicherstellen, dass die Eingabedaten für die Zweckbestimmung erheblich sind
- Den Betrieb überwachen und schwerwiegende Vorfälle melden
- Protokolle aufbewahren, soweit sie in Ihrer Kontrolle liegen
- Beschäftigte und betroffene Personen informieren
- Als öffentliche Stelle oder Erbringer öffentlicher Dienste eine Grundrechte-Folgenabschätzung nach Artikel 27 durchführen
Keine Konformitätsbewertung. Keine CE-Kennzeichnung. Keine Registrierung in der EU-Datenbank. Wenn Ihnen das als Betreiber angeboten wurde, prüfen Sie Ihre Rolle noch einmal.
Sanktionen, und die Zahl, die alle verkehrt herum wiedergeben
| Verstoß | Obergrenze für große Unternehmen |
|---|---|
| Verbotene Praktiken (Art. 5) | 35 Mio. € oder 7% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist |
| Die meisten anderen Pflichten | 15 Mio. € oder 3%, je nachdem, welcher Betrag höher ist |
| Falsche Auskünfte gegenüber Behörden | 7,5 Mio. € oder 1%, je nachdem, welcher Betrag höher ist |
Artikel 99(6) kehrt das für KMU und Start-ups um: Das Bußgeld ist der niedrigere der beiden Werte, nicht der höhere. Für ein Unternehmen mit 1,4 Mio. € Umsatz liegt die Obergrenze für einen Verstoß der zweiten Stufe bei rund 42.000 €, nicht bei 15 Mio. €. Nahezu jeder Artikel, den Sie lesen werden, nennt kleinen Unternehmen die Zahl für große, was eine Mischung aus Panik und Abwendung erzeugt - und keines von beidem erzeugt Compliance.
Die realistischen kurzfristigen Kosten für ein kleines Unternehmen waren nie das Bußgeld. Es ist der Beschaffungsfragebogen des Großkunden, den Sie nicht beantworten können, und der Deal, der in der Rechtsabteilung des Käufers stecken bleibt. Das passiert Jahre, bevor eine Behörde Ihren Namen gehört hat, und es passiert ständig.
Daten, die in Ihren Kalender gehören
- Jetzt - die Artikel 4, 5, 50 und 53 sind durchsetzbar. Wenn Sie einen Chatbot haben oder Inhalte erzeugen, ist das eine Aufgabe für diese Woche, nicht für 2027.
- Q1 2027 - wenn Sie hochriskant sind, holen Sie ein festes Angebot und eine Vorlaufzeit von einer notifizierten Stelle ein. Nicht zum Kaufen, zum Wissen.
- Q2 2027 - der letzte bequeme Zeitpunkt, um die Konformitätsarbeit für den Termin im Dezember 2027 zu beginnen.
- 2. Dezember 2027 - die Hochrisiko-Pflichten aus Anhang III gelten.
- August 2028 - die Hochrisiko-Pflichten aus Anhang I gelten.
Welche davon gelten für Sie?
Sechs Fragen, sofortiges Ergebnis. Oder die vollständige Bewertung mit 32 Fragen für einen personalisierten Gap-Report mit Ihren Pflichten und Fristen, Artikel für Artikel.
Kostenlosen Check startenKeine Karte, kein Konto. Vollständiger Gap-Report ab 59 €. Einen echten Report ansehen (auf Englisch).
Selbsteinschätzung, keine Rechtsberatung. Diese Seite und der Reglynn-Report sind eine strukturierte Selbsteinschätzung auf Grundlage der KI-Verordnung (Verordnung 2024/1689 in der Fassung des Omnibus vom Juni 2026). Sie zeigen, wo Sie voraussichtlich stehen und was Sie mit einer qualifizierten Beraterin oder einem qualifizierten Berater prüfen sollten. Reglynn ist keine notifizierte Stelle und stellt keine Zertifikate aus.
Wie das entstanden ist. Reglynn-Reports werden von einem KI-System auf Basis von Claude von Anthropic erstellt und vor dem Versand geprüft. Reglynn ist ein KI-System mit begrenztem Risiko nach Artikel 50; wir legen den Einsatz von KI überall dort offen, wo er stattfindet, auch in unserem Chat-Assistenten. Unsere eigene Selbsteinschätzung.