KI-Verordnung Fristen 2025–2027: Der vollständige Fahrplan

Welche Pflichten der EU-KI-Verordnung seit 2025 gelten, welche Stichtage 2026 und 2027 anstehen und welche Vorbereitungsfristen Unternehmen jetzt einplanen müssen

Mehr als ein Jahr nach den ersten Anwendungsstufen der EU-KI-Verordnung steht im August 2026 der nächste – und in seiner Tragweite zentrale – Stichtag bevor. Ab dem 02.08.2026 greifen die vollständigen Pflichten für Hochrisiko-KI und die Transparenz- und Kennzeichnungspflichten für Chatbots, Deepfakes und KI-generierte Inhalte. Wer jetzt keinen verbindlichen Compliance-Plan hat, läuft in vermeidbare Bußgeld- und Abmahnrisiken.

Die KI-Verordnung im Überblick: Vier Anwendungsstufen bis 2027

Die EU-Verordnung über künstliche Intelligenz (KI-Verordnung, KI-VO) ist im August 2024 in Kraft getreten. Anders als bei der DSGVO, die nach zweijähriger Übergangsfrist auf einen Schlag wirksam wurde, entfaltet die KI-VO ihre Pflichten in vier aufeinanderfolgenden Stufen. Diese Staffelung soll Unternehmen und Behörden eine geordnete Umsetzung ermöglichen – führt in der Praxis aber dazu, dass Compliance-Verantwortliche mit einem rollenden Pflichtenkatalog arbeiten müssen.

In Deutschland ist die Bundesnetzagentur seit 2025 zentrale Marktüberwachungsbehörde, ergänzt durch sektorspezifische Aufsichten. Die Rechtsgrundlage für ihre Befugnisse liefert das KI-Marktüberwachungs- und Innovationsgesetz (KI-MIG). Verstöße gegen die KI-VO können je nach Verstoßart mit Bußgeldern von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Konzernumsatzes geahndet werden – maßgeblich ist der höhere Betrag.

Jede der vier Anwendungsstufen bringt eigene Pflichten und eigene Risiken. Die folgenden Abschnitte zeichnen die Stufen einzeln nach – mit Schwerpunkt darauf, was bereits gilt, was unmittelbar bevorsteht und was Unternehmen jetzt vorbereiten müssen.

Wenn Sie keinen aktuellen Überblick über Ihren Compliance-Stand haben, sollten Sie eine strukturierte Bestandsaufnahme nicht hinauszögern.

Seit 02.02.2025 wirksam: Verbote nach Art. 5 und KI-Kompetenzpflicht nach Art. 4

Mit dem 02.02.2025 sind die ersten Pflichten der KI-Verordnung wirksam geworden. Sie betreffen zwei sehr unterschiedliche Felder, gelten aber gleichermaßen seit über einem Jahr.

Zum einen sind sämtliche verbotenen KI-Praktiken nach Art. 5 KI-VO seitdem untersagt. Dazu gehören Systeme zum Social Scoring durch staatliche Stellen, manipulative KI, die Verwundbarkeiten gezielt ausnutzt, ungerichtete Sammlung von Gesichtsdaten aus dem Internet zum Aufbau von Datenbanken, Echtzeit-Biometrie im öffentlichen Raum mit eng begrenzten Ausnahmen für die Strafverfolgung, KI zur Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie biometrische Kategorisierung nach sensiblen Merkmalen wie Religion oder politischer Überzeugung. Verstöße gegen Art. 5 werden mit dem höchsten Bußgeldrahmen geahndet.

Zum anderen verlangt Art. 4 KI-VO seit dem 02.02.2025 von jedem Unternehmen, das KI-Systeme einsetzt oder anbietet, ausreichende KI-Kompetenz der eingesetzten Mitarbeiter. Die Pflicht gilt funktionsbezogen – Geschäftsführung, IT, HR und Fachbereiche brauchen jeweils das Wissen, das ihre Aufgaben erfordern – und sie ist als Dauerpflicht angelegt. Eine einmalige Schulung im Jahr 2025 genügt zwei Jahre später nicht mehr.

In der Praxis ist gerade die KI-Kompetenzpflicht der häufigste Anlass für Abmahnungen und Bußgeldverfahren. Wer keinen dokumentierten Schulungsnachweis vorlegen kann, steht im Aufsichts- oder Wettbewerbsverfahren in der schwächeren Position – auch wenn der primäre Vorwurf ein anderer ist.

Wenn Ihre Mitarbeiter heute mit KI arbeiten, ohne dass eine strukturierte Schulung dokumentiert ist, ist Ihre Compliance-Lage bereits angreifbar. Eine rechtliche Prüfung Ihres Stands ist der erste Schritt.

Seit 02.08.2025 wirksam: Pflichten für General-Purpose-KI (GPAI)

Mit dem 02.08.2025 sind eigenständige Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI) wirksam geworden. GPAI-Modelle sind die großen Foundation-Modelle, die als Grundlage für eine Vielzahl nachgelagerter Anwendungen dienen – also Sprach-, Bild- und Multimodal-Modelle namhafter Hersteller.

GPAI-Anbieter müssen seither technische Dokumentation über Modellarchitektur, Trainingsdaten und Leistungsmerkmale bereitstellen, eine Strategie zur Einhaltung des Urheberrechts dokumentieren und – soweit anwendbar – eine Zusammenfassung der Trainingsdaten öffentlich zugänglich machen. Modelle mit systemischen Risiken, also Modelle mit besonders hoher Leistungsfähigkeit oder weitreichender gesellschaftlicher Wirkung, unterliegen darüber hinaus verschärften Sicherheits-, Risikobewertungs- und Meldepflichten.

Für Unternehmen, die GPAI-Modelle einsetzen, ergeben sich aus diesen Anbieter-Pflichten konkrete Rechte: Auskunft über die wesentlichen Modelleigenschaften, Zugang zu Dokumentation für die eigene Compliance, Information über systemische Risiken. Diese Rechte müssen vertraglich abgesichert werden – die Default-Lieferantenverträge vieler Anbieter erfüllen den Standard häufig nicht.

Wenn Sie GPAI-Modelle in Ihrem Unternehmen verwenden, sollten Sie Ihre Lieferantenverträge auf KI-VO-Klauseln prüfen lassen.

Ab 02.08.2026: Hochrisiko-KI und Transparenzpflicht nach Art. 50

Der 02.08.2026 ist der zentrale Stichtag der KI-Verordnung. Ab diesem Datum greifen die vollständigen Konformitäts-, Dokumentations- und Überwachungspflichten für Hochrisiko-KI – und parallel die Transparenz- und Kennzeichnungspflichten nach Art. 50.

Hochrisiko-KI umfasst Systeme nach Anhang III der Verordnung. Dazu gehören unter anderem KI für Personalauswahl und Recruiting, für Kreditwürdigkeitsprüfung und Versicherungstarifierung, für biometrische Identifikation, für die Verwaltung kritischer Infrastruktur, für Bildungs- und Berufsausbildungszwecke sowie für Strafverfolgung und Migrationskontrolle. Anbieter dieser Systeme müssen Risikomanagementsysteme einrichten, technische Dokumentation nach Anhang IV der Verordnung erstellen, Daten-Governance dokumentieren, Konformitätsbewertungen durchführen und ihre Systeme in der EU-Datenbank für Hochrisiko-KI registrieren. Betreiber haben eigene Pflichten: Einsatzdokumentation, Überwachung, Schulung der Bediener, in sensiblen Einsatzbereichen zusätzliche Grundrechte-Folgenabschätzung.

Die Transparenzpflichten nach Art. 50 KI-VO treffen praktisch jedes Unternehmen mit Außenauftritt. Chatbots müssen ab dem 02.08.2026 erkennbar als KI gekennzeichnet sein. KI-generierte oder -bearbeitete Bilder, Audio- und Videoinhalte – einschließlich Deepfakes – müssen entsprechend markiert werden. KI-generierte Texte zu Fragen von öffentlichem Interesse benötigen ebenfalls eine Kennzeichnung. Verstöße sind über das Wettbewerbsrecht direkt abmahnbar.

In der Praxis bedeutet das: Unternehmen, die heute Chatbots im Kundenservice einsetzen, müssen die Kennzeichnung bis spätestens Ende Juli 2026 implementiert haben. Wer Marketing-Inhalte mit KI-Bildgeneratoren erstellt, braucht eine Kennzeichnungspraxis. Wer KI in HR oder Kreditvergabe einsetzt, steht vor erheblichem Dokumentationsaufwand für die Hochrisiko-Konformität.

Wenn Sie bis zum 02.08.2026 keinen verbindlichen Umsetzungsplan haben, ist eine anwaltliche Bewertung Ihres Compliance-Stands jetzt fällig.

Ab 02.08.2027: Bestandssysteme und Übergangsregeln

Der letzte Stichtag des regulären Anwendungsfahrplans ist der 02.08.2027. Ab diesem Datum müssen auch Hochrisiko-KI-Systeme, die vor dem 02.08.2026 in Verkehr gebracht wurden, vollständig konform sein. Die Verordnung gewährt damit ein Jahr Übergangsfrist für Bestandssysteme – aber nur unter der Bedingung, dass das System seit dem 02.08.2026 nicht wesentlich verändert wurde.

Was eine wesentliche Änderung im Sinne der KI-VO ist, hat unmittelbare wirtschaftliche Folgen. Bereits eine signifikante Anpassung der Modellparameter, eine Erweiterung der Zweckbestimmung oder ein substanzielles Update der Trainingsdaten kann dazu führen, dass das System rechtlich als neu in Verkehr gebracht gilt – mit der Folge, dass die vollständigen Hochrisiko-Pflichten sofort greifen. Bestandsschutz besteht in dieser Konstellation nicht mehr.

Für KI-Systeme, die im Auftrag öffentlicher Behörden eingesetzt werden, gilt zusätzlich eine kürzere Anpassungsfrist von zwei Jahren ab dem 02.08.2026. Unternehmen, die mit der öffentlichen Hand zusammenarbeiten, müssen diese Frist gesondert mitdenken.

Wenn Sie bestehende KI-Systeme betreiben, sollten Sie heute prüfen, welche dieser Systeme unter Anhang III fallen und welche davon im laufenden Betrieb noch wesentliche Anpassungen erfahren werden.

Vorbereitungszeitplan: Was Unternehmen bis Ende 2026 einleiten sollten

Vom heutigen Stand aus betrachtet, bleibt für die Vorbereitung auf den 02.08.2026 ein überschaubares Zeitfenster. Eine strukturierte Compliance-Roadmap sollte mindestens die folgenden Schritte enthalten, idealerweise in dieser Reihenfolge:

• Bestandsaufnahme aller KI-Systeme: Systematische Erfassung aller im Unternehmen eingesetzten, beschafften oder entwickelten KI-Systeme – einschließlich Schatten-KI, die ohne IT-Freigabe genutzt wird.
• Rollen- und Risikoeinstufung: Zuordnung jedes Systems zu einer Risikoklasse und Klärung, ob das Unternehmen jeweils Anbieter, Betreiber, Importeur oder Händler ist.
• Lückenanalyse und Maßnahmenplan: Gegenüberstellung der geltenden Pflichten mit dem tatsächlichen Compliance-Stand, priorisiert nach Bußgeldrelevanz und zeitlicher Dringlichkeit.
• Schulung und Kompetenznachweis: Funktionsspezifische Schulung der Belegschaft mit dokumentierten Lernzielen und Teilnahmenachweisen.
• Vertragsprüfung: Anpassung der Lieferanten-, Lizenz- und Kundenverträge an die KI-VO – insbesondere Klauseln zu Rollenklärung, Konformitätszusicherung, Haftung und Datennutzung.
• Dokumentationssystem: Aufbau eines KI-Inventars mit Systemdossiers, Prozessdokumentation und Nachweisarchiv – bei Hochrisiko-KI inklusive Risikomanagementsystem und technischer Dokumentation nach Anhang IV.
• Kennzeichnungs-Implementierung: Technische Vorbereitung der Kennzeichnung von Chatbots, KI-Bildern und Deepfakes bis spätestens Ende Juli 2026.

Eine seriöse Bestandsaufnahme für ein mittelständisches Unternehmen dauert zwei bis sechs Wochen. Vertragsprüfungen und Schulungskonzeption laufen parallel über mehrere Monate. Wer im Mai 2026 noch keine Bestandsaufnahme hat, sollte den Prozess innerhalb der nächsten Wochen anstoßen.

Eine anwaltlich begleitete Roadmap-Erstellung gibt Ihnen Planungssicherheit für die kommenden Monate und schließt die Compliance-Lücken in der richtigen Reihenfolge.

Wann lohnt sich anwaltliche Beratung bei der KI-Verordnung?

Anwaltliche Beratung ist immer dann angezeigt, wenn rechtliche Bewertungen mit unmittelbaren wirtschaftlichen Konsequenzen verknüpft sind. Bei der KI-Verordnung trifft das in fast jeder relevanten Konstellation zu – die Bußgeldrahmen, die Abmahnrisiken und die Haftung der Geschäftsführung sind erheblich.

Konkret lohnt sich eine anwaltliche Prüfung in mindestens fünf Situationen: bei der Risikoeinstufung eines KI-Systems mit ungewisser Anhang-III-Zuordnung, bei der Konformitätsbewertung von Hochrisiko-KI, bei der Vertragsverhandlung mit KI-Anbietern und großen Plattformen, bei einer Abmahnung oder einem Bußgeldverfahren wegen eines KI-Verstoßes und bei der Übernahme der KI-Beauftragten-Funktion als externe Dienstleistung.

Anders als rein technische Berater liefert eine Anwaltskanzlei rechtliche Bewertungen mit Bindungswirkung im Mandat, die Verschwiegenheit nach § 43a BRAO und – im Konfliktfall – die Vertretung vor Behörden und Gerichten. Diese Kontinuität ist im Verteidigungsfall der entscheidende Vorteil.

Wenn Sie heute noch keinen rechtlichen Sparringspartner für KI-Fragen haben, sollten Sie die Auswahl nicht erst dann angehen, wenn die erste Abmahnung im Briefkasten liegt.

Fazit: KI-Verordnung Fristen 2025–2027 – worauf es jetzt ankommt

Die KI-Verordnung ist nicht mehr Zukunftsregulierung, sondern geltendes Recht. Seit 2025 sind Verbote und Kompetenzpflicht wirksam, seit August 2025 die GPAI-Pflichten. Im August 2026 folgt der zentrale Stichtag: vollständige Hochrisiko-Pflichten und Transparenz-Kennzeichnung. Bis August 2027 müssen auch Bestandssysteme konform sein.

Für Unternehmen heißt das: Die Zeit für Abwarten ist vorbei. Wer die ersten Stichtage versäumt hat, sollte den Compliance-Stand jetzt strukturiert nachholen – beginnend mit Bestandsaufnahme, Risikoeinstufung und Schulungsdokumentation. Wer den 02.08.2026 unvorbereitet erreicht, riskiert nicht nur Bußgelder und Abmahnungen, sondern auch Vertragsstrafen aus voreilig unterschriebenen Unterlassungserklärungen.

Wir entwickeln mit Ihnen die passende Roadmap und begleiten Ihre KI-Compliance bis zum vollständigen Stichtag 2027.

FAQs – Häufig gestellte Fragen zur KI-Verordnung und ihren Fristen