appforge
VO (EU) 2024/1689 · Art. 50 gilt · Hochrisiko ab 02.12.2027

EU AI Act Umsetzung für Ihr Unternehmen

  • Hochrisiko02.12.2027
  • Art. 50gilt seit 02.08.2026
  • Bußgeldbis 35 Mio. EUR
  • Anhang I02.08.2028

Die Hochrisiko-Anforderungen der KI-Verordnung gelten nicht mehr ab August 2026. Die Verordnung (EU) 2026/1744, der Digital Omnibus on AI, ist am 27.07.2026 in Kraft getreten und hat Kapitel III Abschnitte 1 bis 3 auf den 02.12.2027 gelegt. Was bereits gilt, ist der andere Teil der Verordnung: die Verbote nach Art. 5 seit Februar 2025, die GPAI-Regeln und der Bußgeldrahmen seit August 2025 und die Transparenzpflichten nach Art. 50 seit dem 02.08.2026. Wir ordnen Ihre KI-Systeme der Verordnung zu und setzen um, was daraus folgt.

Gap-Analyse anfragen
30 Minuten Erstgespräch
Stand 14. August 2026

Was der Digital Omnibus verschoben hat, und was nicht

Sechs Tage vor dem alten Stichtag hat die EU den Kalender neu geschrieben. Die politische Einigung fiel am 07.05.2026, das Parlament stimmte am 16.06.2026 zu, der Rat am 29.06.2026, die Veröffentlichung im Amtsblatt erfolgte am 24.07.2026, das Inkrafttreten am 27.07.2026. Verschoben wurde damit das Hochrisiko-Paket um 16 Monate, für in Produkte eingebettete Systeme um 12 Monate.

Für den deutschsprachigen Markt ist das aus einem zweiten Grund relevant. Der AI Act ist eine Verordnung, gilt also in Deutschland, Österreich und Ungarn im identischen Wortlaut und ohne nationalen Umsetzungsakt. Die neuen Fristen sind aber noch nicht überall angekommen: Die häufig zitierte Zeitleiste auf artificialintelligenceact.eu wurde zuletzt am 01.08.2024 aktualisiert und zeigt am 14.08.2026 weiterhin den 02.08.2026 als Hochrisiko-Stichtag. Wenn Ihnen ein Angebot oder ein Fachbeitrag mit dieser Frist begegnet, arbeitet die Quelle mit dem alten Kalender.

Anwendbar

  • Art. 50 Transparenzpflichten seit dem 02.08.2026: Chatbot-Hinweis, maschinenlesbare Kennzeichnung synthetischer Inhalte, Deepfake-Kennzeichnung, Hinweis bei Emotionserkennung.
  • Art. 5 Verbotstatbestände seit dem 02.02.2025, dazu seit dem Omnibus das Verbot von KI zur Erzeugung von CSAM und nicht einvernehmlichen intimen Bildern.
  • Art. 53 bis 55 für GPAI-Anbieter und der Bußgeldrahmen nach Art. 99, beides seit dem 02.08.2025.
  • Die Durchsetzungsbefugnisse der Kommission gegenüber GPAI-Anbietern, darunter Auskunftsverlangen, Modellzugang und Rückruf.

Verschoben auf den 02.12.2027

  • Kapitel III Abschnitt 1, also Art. 8 bis 15: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz gegenüber dem Betreiber, menschliche Aufsicht, Genauigkeit und Robustheit.
  • Kapitel III Abschnitt 2, also Art. 16 bis 25, dazu Art. 17 Qualitätsmanagement, Art. 43 Konformitätsbewertung, Art. 47 EU-Konformitätserklärung, Art. 48 CE-Kennzeichnung und Art. 49 Registrierung.
  • Kapitel III Abschnitt 3, also Art. 26 Betreiberpflichten und Art. 27 Grundrechte-Folgenabschätzung. Die FRIA ist damit ebenfalls verschoben, was viele Fachseiten noch nicht abbilden.
  • Für Hochrisiko-KI in Produkten nach Anhang I gilt statt dessen der 02.08.2028.
Einstufung

Vier Risikostufen, und warum die Verwendung entscheidet

Die Verordnung stuft nach dem Zweck ein, nicht nach der Technik. Dasselbe Sprachmodell kann in der Bewerbervorauswahl ein Hochrisiko-System sein und in der internen Protokollzusammenfassung ein System mit minimalem Risiko. Wer nach Technologie sortiert, bekommt am Ende die falsche Pflichtenliste.

  1. Stufe 1Art. 5

    Verbotene Praktiken

    gilt seit 02.02.2025

    Typische Fälle

    Social Scoring, unterschwellige Manipulation, ungezieltes Auslesen von Gesichtsbildern aus dem Netz, Emotionserkennung am Arbeitsplatz und in der Ausbildung. Neu seit dem Omnibus: KI zur Erzeugung von CSAM und nicht einvernehmlichen intimen Bildern.

    Pflichten

    Kein Betrieb in der EU, in keiner Form. Bußgeld bis 35.000.000 EUR oder 7 % des weltweiten Jahresumsatzes.

  2. Stufe 2Art. 6, Anhang III

    Hohes Risiko

    ab 02.12.2027, Anhang I ab 02.08.2028

    Typische Fälle

    Bewerberauswahl und Beförderungsentscheidungen, Kreditwürdigkeitsprüfung, Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung, Prüfungsbewertung, Sicherheitsbauteile kritischer Infrastruktur, biometrische Identifizierung.

    Pflichten

    Risikomanagement, Datenqualität, technische Dokumentation nach Anhang IV, Protokollierung, menschliche Aufsicht, Konformitätsbewertung, CE-Kennzeichnung, Registrierung in der EU-Datenbank, für einen Teil der Betreiber zusätzlich die FRIA nach Art. 27.

  3. Stufe 3Art. 50

    Transparenzrisiko

    gilt seit 02.08.2026

    Typische Fälle

    Chatbots im Kundenservice, generative Text-, Bild-, Audio- und Videoausgabe, Deepfakes, Emotionserkennung und biometrische Kategorisierung außerhalb der verbotenen Fälle.

    Pflichten

    Hinweis, dass der Nutzer mit einer Maschine spricht. Maschinenlesbare Kennzeichnung synthetischer Inhalte. Kennzeichnung von Deepfakes und von KI-Texten zu Angelegenheiten öffentlichen Interesses.

  4. Stufe 4keine eigene Norm

    Minimales Risiko

    keine Frist

    Typische Fälle

    Spamfilter, Spiele-KI, Empfehlungslogik im Onlineshop, Codevervollständigung in der internen Entwicklungsumgebung.

    Pflichten

    Keine besonderen Pflichten aus dem AI Act. Die DSGVO gilt weiter, sobald personenbezogene Daten verarbeitet werden. Nach Einschätzung der Kommission fällt die große Mehrheit der KI-Systeme in der EU hierunter.

Die vollständige Aufzählung der acht Hochrisiko-Bereiche steht in Anhang III. Für den Mittelstand ist Nummer 5 der interessante Punkt: Kreditwürdigkeitsprüfung sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung sind ausdrücklich genannt, Betrugserkennung ist ausgenommen. Die Schritt-für-Schritt-Version finden Sie in der Hochrisiko-Checkliste mit 24 Schritten.

Zeitplan

Die Fristen nach dem Omnibus, von 2024 bis 2028

Quelle für die geänderten Daten ist die Seite der Europäischen Kommission zum Rechtsrahmen für KI in Verbindung mit dem Rechtsakt VO (EU) 2026/1744 auf EUR-Lex.

DatumNormWas anwendbar wird
01.08.2024erledigtArt. 113Inkrafttreten der KI-VerordnungAb diesem Tag laufen die Übergangsfristen von 6, 12, 24 und 36 Monaten. Unmittelbare Pflichten entstehen noch keine.
02.02.2025giltArt. 4, Art. 5Verbotene Praktiken und KI-KompetenzDie Verbotstatbestände greifen unionsweit. Der Omnibus hat Art. 4 abgeschwächt: aus der Pflicht, ein ausreichendes Maß an KI-Kompetenz sicherzustellen, wurde die Pflicht, deren Entwicklung zu fördern.
02.08.2025giltArt. 53 bis 55, Art. 99GPAI-Pflichten und BußgeldrahmenAnbieter von Modellen mit allgemeinem Verwendungszweck liefern technische Dokumentation, Informationen für nachgelagerte Anbieter, eine Urheberrechtsstrategie und eine Zusammenfassung der Trainingsinhalte. Der Bußgeldrahmen wird anwendbar.
27.07.2026erledigtVO (EU) 2026/1744Der Digital Omnibus tritt in KraftSechs Tage vor dem alten Hochrisiko-Stichtag. Kapitel III Abschnitte 1 bis 3 rutschen auf den 02.12.2027, in Produkte eingebettete Systeme nach Anhang I auf den 02.08.2028. Neu ist außerdem die Kategorie Small Mid-Cap mit abgesenkter Bußgeldobergrenze.
02.08.2026giltArt. 50Transparenzpflichten werden anwendbarChatbot-Hinweis, maschinenlesbare Kennzeichnung synthetischer Inhalte, Deepfake-Kennzeichnung, Hinweis bei Emotionserkennung. Am selben Tag beginnen die Durchsetzungsbefugnisse der Kommission gegenüber GPAI-Anbietern.
02.12.2026offenArt. 50 Abs. 2, Art. 5Ende der SchonfristenFür generative Systeme, die vor dem 02.08.2026 im Markt waren, endet die Übergangszeit für die maschinenlesbare Kennzeichnung. Zeitgleich läuft die Umsetzungsfrist für das neue Verbot von CSAM- und NCII-Generierung aus.
02.08.2027offenArt. 57, Art. 6Reallabore und AltmodelleDie Mitgliedstaaten müssen ihre KI-Reallabore betriebsbereit haben. GPAI-Modelle, die vor dem 02.08.2025 im Markt waren, müssen die Anforderungen erfüllen. Die Kommission legt Leitlinien zur Einstufung nach Art. 6 vor.
02.12.2027offenKapitel III, Abschnitte 1 bis 3Hochrisiko-Systeme nach Anhang IIIDer neue Hauptstichtag. Art. 8 bis 15 zu Risikomanagement, Daten, Dokumentation, Protokollierung, Transparenz, menschlicher Aufsicht und Robustheit, dazu Art. 16 bis 25 für Anbieter, Art. 26 für Betreiber und Art. 27 für die Grundrechte-Folgenabschätzung.
02.08.2028offenArt. 6 Abs. 1, Anhang IIn Produkte eingebettete Hochrisiko-KIMedizinprodukte, Maschinen, Fahrzeugtechnik, Spielzeug: Wo die KI Sicherheitsbauteil eines bereits harmonisierten Produkts ist, bleiben zwölf Monate mehr. Hier ist die Konformitätsbewertung durch eine benannte Stelle der Regelfall.
Rollen

Anbieter oder Betreiber: die Grenze verläuft beim Namen

Diese Unterscheidung entscheidet über den Umfang Ihrer Pflichten, und sie wird regelmäßig falsch getroffen. Anbieter nach Art. 3 Nr. 3 ist, wer ein System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Betreiber nach Art. 3 Nr. 4 ist, wer es in eigener Verantwortung verwendet. Wer die Software geschrieben hat, spielt dabei keine Rolle.

Praktisch heißt das: Lassen Sie einen Dienstleister ein KI-System bauen und betreiben es unter Ihrem Namen, sind Sie der Anbieter und tragen Art. 16. Der Dienstleister ist Zulieferer. Das ist ein Vertragsthema, kein technisches, und es gehört vor Projektstart geklärt.

Auslöser nach Art. 25Folge
Sie bringen Ihren Namen oder Ihre Marke auf einem bereits in Verkehr gebrachten Hochrisiko-System an.Sie werden Anbieter, sofern vertraglich nichts anderes vereinbart ist.
Sie nehmen eine wesentliche Änderung vor, und das System bleibt hochriskant.Sie werden Anbieter für die geänderte Fassung. Der ursprüngliche Anbieter muss kooperieren und technischen Zugang gewähren.
Sie ändern die Zweckbestimmung eines Systems, auch eines GPAI-Systems, so, dass es dadurch hochriskant wird.Sie werden Anbieter. Dieser Fall trifft Unternehmen, die ein Standardmodell in eine Personalentscheidung einbauen.
Sanktionen

Bußgelder nach Art. 99

Drei Stufen, jeweils der höhere von zwei Werten. Für KMU und Start-ups kehrt Art. 99 Abs. 6 das um: dort gilt der niedrigere Wert als Obergrenze. Der Omnibus hat die Beträge unverändert gelassen und zusätzlich die Kategorie Small Mid-Cap eingeführt, also Unternehmen unter 750 Beschäftigten und bis 150 Mio. EUR Umsatz, mit abgesenkter Obergrenze bei der zweiten und dritten Stufe.

Art. 99 Abs. 3

35.000.000 EUR oder 7 %

Verbotene Praktiken

Bezugsgröße ist der weltweite Jahresumsatz des vorangegangenen Geschäftsjahres. Es gilt der höhere Betrag.

Art. 99 Abs. 4

15.000.000 EUR oder 3 %

Anbieter-, Betreiber- und Transparenzpflichten

Betrifft unter anderem Art. 16, 22 bis 26 sowie Art. 50. Art. 25 kam mit dem Omnibus in diese Stufe.

Art. 99 Abs. 5

7.500.000 EUR oder 1 %

Unrichtige Angaben gegenüber Behörden

Gilt auch gegenüber benannten Stellen. Unvollständige Auskunft zählt bereits.

Für GPAI-Modelle gilt ein eigener Weg: Nach Art. 101 kann die Kommission selbst Geldbußen von bis zu 15.000.000 EUR oder 3 % gegen Modellanbieter verhängen, unabhängig von der nationalen Marktüberwachung.

Zusammenarbeit

Was wir liefern

Wir sind ein Entwicklungshaus, keine Kanzlei. Die juristische Bewertung im Einzelfall bleibt bei Ihrer Rechtsabteilung. Was wir können, ist der technische Teil: die Systeme finden, sauber einordnen, die Nachweise erzeugen und die Anforderungen aus Art. 12 bis 15 im Code umsetzen.

  1. 1

    Bestandsaufnahme und Einstufung

    Wir katalogisieren jedes KI-System im Betrieb, im Pilot und im Lieferantenvertrag, einschließlich der Copilot-Funktionen, die mit einem SaaS-Update ins Haus gekommen sind. Danach die Einstufung nach Art. 5, Art. 6 und Anhang III, mit dokumentierter Begründung auch dort, wo das Ergebnis minimales Risiko lautet.

  2. 2

    Umsetzung der Transparenzpflichten

    Chatbot-Hinweis, Kennzeichnung generativer Ausgaben, Deepfake-Label. Das ist die einzige Baustelle mit einem Datum in der Vergangenheit, deshalb steht sie vorn. Für Bestandssysteme endet die Schonfrist der maschinenlesbaren Kennzeichnung am 02.12.2026.

  3. 3

    Technische Dokumentation und FRIA

    Für jedes Hochrisiko-System die Unterlagen nach Anhang IV, die Betriebsanleitung nach Art. 13, das Risikomanagement nach Art. 9 und die Grundrechte-Folgenabschätzung nach Art. 27, soweit sie Sie trifft. Geschrieben so, dass ein Prüfer damit arbeiten kann.

  4. 4

    Protokollierung und menschliche Aufsicht im Code

    Art. 12 und Art. 14 sind Entwicklungsarbeit, keine Dokumentenarbeit. Wir bauen die Ereignisprotokollierung, die Aufbewahrung über mindestens sechs Monate nach Art. 26, den Freigabeschritt für kritische Entscheidungen und die Abwehr von Prompt Injection.

Warum ein Partner aus Budapest

Ungarn ist EU-Mitgliedstaat. Für Sie entfallen damit Drittlandtransfer, Standardvertragsklauseln und Transfer Impact Assessment. Vor Projektstart schließen wir einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, mit Liste der Unterauftragsverarbeiter und Beschreibung der technischen und organisatorischen Maßnahmen. Der AI Act gilt bei uns im gleichen Wortlaut wie bei Ihnen, weshalb wir dieselben Nachweise brauchen wie Sie.

Abgegrenzte Arbeitspakete liefern wir als Werkvertrag nach § 631 BGB mit definierter Abnahme und Gewährleistung. Die fachliche Führung der Entwickler bleibt bei uns, Vertragspartner ist unsere ungarische Gesellschaft, damit liegt keine Arbeitnehmerüberlassung vor. Zeitzone und Anreise sind identisch mit einem Team in Deutschland, der Flug nach Budapest dauert unter zwei Stunden.

Zu den Kosten sagen wir das, was wir belegen können. Für die Compliance-Arbeit selbst veröffentlichen wir keine Pauschale, weil der Aufwand mit der Zahl der Systeme skaliert. Aus unserer öffentlichen Preisliste, umgerechnet zu 385 HUF/EUR und ohne Gewähr: KI-Integration in bestehende Systeme 7.800 bis 20.800 EUR, individuelle KI-Lösung mit Agenten, lokalem Modellbetrieb und Datenhoheit 13.000 bis 39.000 EUR. Zum Vergleich liegt der Medianstundensatz deutscher IT-Freelancer laut Freelancer-Kompass 2026, veröffentlicht am 02.07.2026, bei 95 EUR, in der Softwareentwicklung bei 90 EUR.

Quellen

Stand: 14.08.2026. Diese Seite ersetzt keine Rechtsberatung. Für die verbindliche Bewertung Ihres Einzelfalls sprechen Sie mit Ihrer Rechtsabteilung oder einer Kanzlei.

FAQ

Häufige Fragen zum EU AI Act

Verschoben wurde das Hochrisiko-Paket. Die Verordnung (EU) 2026/1744, bekannt als Digital Omnibus on AI, trat am 27.07.2026 in Kraft und legte Kapitel III Abschnitte 1 bis 3, also Art. 8 bis Art. 27, auf den 02.12.2027. Für Hochrisiko-KI, die in ein bereits reguliertes Produkt nach Anhang I eingebaut ist, gilt der 02.08.2028. Nicht verschoben wurde alles andere: die Verbote nach Art. 5 gelten seit dem 02.02.2025, die GPAI-Pflichten und der Bußgeldrahmen nach Art. 99 seit dem 02.08.2025, und die Transparenzpflichten nach Art. 50 seit dem 02.08.2026. Wer heute einen Chatbot betreibt oder generative Inhalte veröffentlicht, ist also bereits in der Pflicht.

Verwandte Themen

Verwandte Themen und Leistungen

Der AI Act steht selten allein. Diese Themen gehören in dieselbe Planung.

Gap-Analyse und Fahrplan bis zum 02.12.2027

Im Erstgespräch klären wir Umfang und Rollen. Danach bekommen Sie ein schriftliches Angebot mit Terminen. Ergebnis des Projekts: Inventar mit Einstufung je System, Nachweis der Art.-50-Umsetzung, FRIA-Entwurf, wo sie greift, und eine priorisierte Maßnahmenliste bis zum Stichtag.

Gap-Analyse anfragen →30 Minuten Erstgespräch
Projekt starten