KI-Verordnung: Fristen von 2024 bis 2030 im Zeitplan
Jedes Anwendungsdatum der KI-Verordnung von 2024 bis 2030, mit dem Artikel dahinter, den betroffenen Rollen und den Bußgeldstufen.
Die KI-Verordnung gilt in Stufen für Anbieter und Betreiber von KI-Systemen in der EU. Acht Verbote gelten ab dem 2. Februar 2025, zwei weitere ab dem 2. Dezember 2026.
Die Transparenzpflichten gelten ab dem 2. August 2026, die Hochrisiko-Regeln ab dem 2. Dezember 2027 (Anhang III) und ab dem 2. August 2028 (Anhang I). Bereits auf dem Markt befindliche oder in Betrieb genommene Hochrisiko-Systeme sind erst nach wesentlichen Konzeptionsänderungen erfasst (Artikel 111 Absatz 2). Verstöße gegen die in Artikel 99 Absatz 4 genannten Pflichten werden mit Geldbußen geahndet. Sie betragen bis zu 15 Millionen EUR oder 3 % des gesamten weltweiten Jahresumsatzes, je nachdem, was höher ist. Nächster Schritt: Suchen Sie unten das Datum Ihres Systems.
Jedes Datum schaltet einen anderen Teil der Verordnung frei
1. August 2024
Die Verordnung tritt in Kraft
Die Verordnung ist am zwanzigsten Tag nach ihrer Veröffentlichung im Amtsblatt in Kraft getreten (Artikel 113). Ihre Pflichten gelten ab den späteren Terminen unten.
2. Februar 2025
Verbote und KI-Kompetenz gelten
Die Kapitel I und II gelten. Sie enthalten die Verbote des Artikels 5, außer den Buchstaben ba und bb sowie den Absätzen 1a und 1b, und die Pflicht aus Artikel 4, dass Anbieter und Betreiber die KI-Kompetenz (Fähigkeiten und Verständnis) ihres Personals fördern (Artikel 113 Buchstabe a).
2. August 2025
Regeln für GPAI-Modelle, Governance und Sanktionen gelten
Die Vorschriften für Anbieter von GPAI-Modellen (Kapitel V, Artikel 51 bis 56), notifizierte Stellen, die Governance (Kapitel VII), die Sanktionen (Kapitel XII, außer Artikel 101) und Artikel 78 über die Vertraulichkeit gelten (Artikel 113 Buchstabe b).
2. August 2026
Transparenzpflichten und allgemeines Anwendungsdatum
Alle Bestimmungen ohne anderen Termin gelten ab diesem Tag (Artikel 113). Dazu gehören die Transparenzpflichten des Artikels 50: Personen informieren, dass sie mit einem KI-System interagieren, synthetische Inhalte kennzeichnen und Deepfakes offenlegen. Die Kommission kann ab diesem Tag Geldbußen gegen GPAI-Anbieter nach Artikel 101 verhängen. Die Artikel 102 bis 110, die andere Rechtsakte der Union ändern, galten schon früher, ab dem 27. Juli 2026 (Artikel 113 Buchstabe d).
2. Dezember 2026
Zwei neue Verbote und die Kennzeichnungsfrist für ältere Systeme
Die zwei neuen Verbote des Artikels 5, Buchstaben ba und bb, gelten zusammen mit Artikel 5 Absätze 1a und 1b (Artikel 113 Buchstabe a). Anbieter von KI-Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, müssen bis zu diesem Tag die erforderlichen Schritte unternehmen, um die Pflicht zur maschinenlesbaren Kennzeichnung nach Artikel 50 Absatz 2 zu erfüllen (Artikel 111 Absatz 4).
2. August 2027
Ältere GPAI-Modelle müssen die Regeln einhalten
Anbieter von GPAI-Modellen, die vor dem 2. August 2025 in Verkehr gebracht wurden, müssen bis zu diesem Tag die erforderlichen Schritte unternehmen, um die Verordnung einzuhalten (Artikel 111 Absatz 3). Außerdem müssen die Mitgliedstaaten mindestens ein KI-Reallabor betreiben (Artikel 57 Absatz 1).
2. Dezember 2027
Die Hochrisiko-Regeln gelten für Systeme nach Anhang III
Die Artikel 6 bis 27 (Kapitel III Abschnitte 1 bis 3, außer Artikel 6 Absatz 5) gelten für KI-Systeme, die nach Artikel 6 Absatz 2 und Anhang III Hochrisiko-Systeme sind (Artikel 113 Buchstabe c Ziffer i). Sie legen die Anforderungen an Hochrisiko-Systeme (Artikel 8 bis 15) und die Pflichten von Anbietern, Betreibern und anderen Beteiligten (Artikel 16 bis 27) fest.
2. August 2028
Die Hochrisiko-Regeln gelten für Produkte nach Anhang I
Dieselben Artikel gelten für KI-Systeme, die nach Artikel 6 Absatz 1 Hochrisiko-Systeme sind, weil sie Produkte nach Rechtsakten des Anhangs I oder deren Sicherheitsbauteile sind (Artikel 113 Buchstabe c Ziffer ii). Für Produkte nach Anhang I Abschnitt B gelten nur Artikel 6 Absatz 1, Artikel 60a und die Artikel 102 bis 112; die Artikel 57 bis 59 gelten nur, soweit die Hochrisiko-Anforderungen in diese Rechtsvorschriften integriert sind (Artikel 2 Absatz 2). Bei Produkten nach Anhang I Abschnitt A können einzelne Anforderungen eingeschränkt werden, wenn diese Rechtsvorschriften ein gleichwertiges oder höheres Schutzniveau bieten (Artikel 2 Absatz 13).
2. August 2030
Hochrisiko-KI-Systeme für Behörden: erforderliche Maßnahmen zur Einhaltung
In jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, bis zu diesem Tag die erforderlichen Maßnahmen zur Einhaltung. Die Regel steht im Absatz über Systeme, die vor den oben genannten Hochrisiko-Terminen in Verkehr gebracht oder in Betrieb genommen wurden (Artikel 111 Absatz 2).
31. Dezember 2030
IT-Großsysteme der EU müssen die Regeln einhalten
KI-Systeme, die Komponenten der in Anhang X aufgeführten IT-Großsysteme sind und vor dem 2. August 2027 in Verkehr gebracht oder in Betrieb genommen wurden, müssen bis zu diesem Tag die Verordnung einhalten (Artikel 111 Absatz 1).
Anbieter, Betreiber, Einführer, Händler und Modellanbieter haben jeweils eigene Pflichten
Anbieter
Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr oder nehmen es in Betrieb (Artikel 3 Nummer 3). Bei Hochrisiko-Systemen tragen sie die Hauptpflichten: Risikomanagement, technische Dokumentation, Konformitätsbewertung und Beobachtung nach dem Inverkehrbringen (Artikel 9 bis 17, 43 und 72).
Betreiber
Betreiber verwenden ein KI-System in eigener Verantwortung, außer im Rahmen einer persönlichen, nicht beruflichen Tätigkeit (Artikel 3 Nummer 4). Bei Hochrisiko-Systemen müssen sie die Gebrauchsanweisung befolgen, die menschliche Aufsicht zuweisen, den Betrieb überwachen und die ihrer Kontrolle unterliegenden Protokolle für einen dem Zweck angemessenen Zeitraum aufbewahren, mindestens sechs Monate, sofern nicht anderes Unions- oder nationales Recht bestimmt. Arbeitgeber müssen vor der Verwendung eines Systems am Arbeitsplatz die Arbeitnehmervertreter und die betroffenen Arbeitnehmer informieren (Artikel 26). Öffentliche Stellen und einige andere Betreiber müssen außerdem zuvor die Auswirkungen auf die Grundrechte bewerten (Artikel 27).
Einführer und Händler
Einführer bringen ein KI-System in der EU in Verkehr, das den Namen oder die Marke einer in einem Drittland niedergelassenen Person trägt. Händler stellen ein System weiter unten in der Lieferkette bereit (Artikel 3 Nummern 6 und 7). Bevor sie das bei einem Hochrisiko-KI-System tun, prüfen beide die CE-Kennzeichnung, die EU-Konformitätserklärung und die Gebrauchsanweisung. Einführer prüfen zusätzlich die Konformitätsbewertung und die technische Dokumentation (Artikel 23 und 24).
Anbieter von GPAI-Modellen
Anbieter von GPAI-Modellen müssen das Modell dokumentieren, nachgelagerte Anbieter informieren, eine Zusammenfassung der Trainingsinhalte veröffentlichen und eine Urheberrechtsstrategie festlegen (Artikel 53). Modelle mit systemischem Risiko haben zusätzliche Pflichten (Artikel 55).
Es gibt drei Bußgeldstufen, für KMU gilt die niedrigere Grenze
Bis zu 35 Millionen EUR oder 7 % des gesamten weltweiten Jahresumsatzes, je nachdem, was höher ist
Für verbotene Praktiken nach Artikel 5 (Artikel 99 Absatz 3).
Bis zu 15 Millionen EUR oder 3 % des gesamten weltweiten Jahresumsatzes, je nachdem, was höher ist
Für Verstöße gegen die Pflichten der Anbieter (Artikel 16), der Bevollmächtigten (Artikel 22), der Einführer (Artikel 23), der Händler (Artikel 24), der Anbieter und Akteure nach Artikel 25 Absätze 2 und 4 und der Betreiber (Artikel 26). Ebenso für Verstöße gegen die Transparenzpflichten des Artikels 50 und die Anforderungen an notifizierte Stellen nach den Artikeln 31, 33 Absätze 1, 3 und 4 und 34 (Artikel 99 Absatz 4). Die Kommission kann Anbieter von GPAI-Modellen bis zur selben Höhe mit Geldbußen belegen (Artikel 101).
Bis zu 7,5 Millionen EUR oder 1 % des gesamten weltweiten Jahresumsatzes, je nachdem, was höher ist
Für falsche, unvollständige oder irreführende Angaben gegenüber notifizierten Stellen oder nationalen Behörden auf deren Auskunftsverlangen (Artikel 99 Absatz 5).
Bis zum niedrigeren der beiden Beträge
Für KMU, einschließlich Start-ups, beträgt jede Geldbuße höchstens den niedrigeren Wert aus Prozentsatz und Betrag (Artikel 99 Absatz 6). Kleine Midcap-Unternehmen (Unternehmen, die der KMU-Definition entwachsen sind) erhalten dieselbe Regel für die beiden niedrigeren Stufen (Artikel 99 Absatz 6a).
Häufig gestellte Fragen
Gilt die KI-Verordnung auch für Unternehmen außerhalb der EU?
Ja. Artikel 2 Absatz 1 erfasst Anbieter, die KI-Systeme oder KI-Modelle mit allgemeinem Verwendungszweck in der EU in Verkehr bringen, unabhängig vom Sitz (Buchstabe a), sowie Anbieter und Betreiber in einem Drittland, wenn die Ausgabe des Systems in der EU verwendet wird (Buchstabe c). Erfasst sind auch Einführer, Händler, Produkthersteller und Bevollmächtigte (Buchstaben d bis f). Artikel 2 setzt Grenzen, zum Beispiel für militärische, Verteidigungs- und nationale Sicherheitszwecke (Absatz 3) und die wissenschaftliche Forschung (Absätze 6 und 8).
Was gilt, wenn mein KI-System schon auf dem Markt ist?
Die Verbote des Artikels 5 gelten für alle Systeme, unabhängig davon, wann sie in Verkehr gebracht wurden. Ein Hochrisiko-System, das vor dem 2. Dezember 2027 (Anhang III) oder dem 2. August 2028 (Anhang I) in Verkehr gebracht oder in Betrieb genommen wurde, fällt nur dann unter die Verordnung, wenn sich sein Design ab diesem Tag wesentlich ändert. Das gilt nicht für Komponenten der in Anhang X genannten IT-Großsysteme (Artikel 111 Absätze 1 und 2). In jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030. GPAI-Modelle, die vor dem 2. August 2025 in Verkehr gebracht wurden, müssen bis zum 2. August 2027 konform sein (Artikel 111 Absatz 3). Systeme für synthetische Inhalte, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen Artikel 50 Absatz 2 bis zum 2. Dezember 2026 erfüllen (Artikel 111 Absatz 4).
Welcher Termin gilt für mein KI-System?
Das hängt vom System ab. Verbotene Praktiken: 2. Februar 2025, mit zwei neuen Verboten ab dem 2. Dezember 2026. GPAI-Modelle: 2. August 2025. Transparenzpflichten nach Artikel 50: 2. August 2026. Hochrisiko-Systeme nach Anhang III: 2. Dezember 2027. Hochrisiko-Systeme nach Anhang I: 2. August 2028. Die Verordnung (EU) 2026/1744 hat die beiden Hochrisiko-Termine vom 2. August 2026 (Anhang III) und vom 2. August 2027 (Anhang I) auf die oben genannten Daten verschoben.
Verwandte Leitfäden
Scanara bereitet Nachweise aus Ihren Repositorien vor
Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.