EU AI Act, 2024–2030: alle Fristen, die deine Website betreffen

Der EU AI Act, die KI-Verordnung, ist seit dem 1. August 2024 in Kraft, gilt aber in Stufen, und im Juli 2026 hat die EU mehrere davon verschoben. Dieser Leitfaden listet alle Fristen von 2024 bis 2030 so, wie die Verordnung jetzt nach dem Digital Omnibus on AI lautet, und sagt zu jeder, was sie für eine ganz normale Firmenwebsite bedeutet: den Chatbot in der Ecke, die KI-Bilder auf der Startseite, die mit KI entworfenen Blogartikel. Kurz gesagt: Die Transparenzpflichten gelten seit dem 2. August 2026, das nächste wichtige Datum ist der 2. Dezember 2026, und die Hochrisiko-Regeln, vor denen die meisten Angst haben, erreichen die meisten Websites gar nicht.

Sechs Jahre KI-Verordnung, Stufe für Stufe

Jede Zeile ist eine Stufe der Verordnung, von ihrem ersten bis zu ihrem letzten Datum. Wähle eine aus, um zu sehen, was gilt, was es für eine Website bedeutet und welche datierten Meilensteine darin liegen.

Alle Fristen der KI-Verordnung und was sie für eine Website bedeuten

Aus dem Amtsblatt-Text der Verordnung (EU) 2024/1689 (Artikel 111 und 113) in der Fassung der Verordnung (EU) 2026/1744, gelesen am 10. Oktober 2026. Anbieter entwickeln ein KI-System oder nehmen es unter eigenem Namen in Betrieb; Betreiber setzen es in ihrem Unternehmen ein.

Was der AI Act ist und warum sich seine Fristen verschoben haben

Der AI Act, die Verordnung (EU) 2024/1689, ist das Gesetz der EU über künstliche Intelligenz. Er wurde am 13. Juni 2024 unterzeichnet, am 12. Juli veröffentlicht und ist seit dem 1. August 2024 in Kraft. Er gilt nicht auf einen Schlag, sondern in Stufen, und jede Stufe betrifft eine andere Gruppe: zuerst die verbotenen Praktiken, dann die Firmen hinter den großen KI-Modellen, dann die Transparenzpflichten, die normale Websites erreichen, und zuletzt die Hochrisiko-Systeme.

Im Juli 2026 haben sich die Stufen verschoben. Die Verordnung (EU) 2026/1744, der Digital Omnibus on AI, am 8. Juli angenommen und seit dem 27. Juli 2026 in Kraft, hat die Hochrisiko-Regeln für Anhang III um 16 Monate und für Anhang I um 12 Monate verschoben, zwei Verbote ergänzt, die Pflicht zur KI-Kompetenz neu gefasst und Generatoren, die schon auf dem Markt sind, bis Dezember Zeit gegeben, ihre Ausgaben zu kennzeichnen. Jedes Datum in diesem Leitfaden ist am Amtsblatt-Text beider Verordnungen geprüft. Er erklärt, was die Verordnung sagt; eine Rechtsberatung für ein bestimmtes System ist er nicht.

2. Februar 2025: verbotene Praktiken und KI-Kompetenz

Seit dem 2. Februar 2025 verbietet Artikel 5 eine kurze Liste von Anwendungen: KI, die Menschen zu Entscheidungen manipuliert oder täuscht, die ihnen erheblich schaden, KI, die ihr Alter, eine Behinderung oder ihre soziale oder wirtschaftliche Lage ausnutzt, Social Scoring, Kriminalitätsprognosen allein auf Basis von Profiling, das ungezielte Auslesen von Gesichtsbildern für Erkennungsdatenbanken, Emotionserkennung am Arbeitsplatz und in Schulen, die Einordnung von Menschen nach sensiblen Merkmalen anhand biometrischer Daten und, mit engen Ausnahmen, biometrische Echtzeit-Fernidentifizierung wie Gesichtserkennung durch die Polizei im öffentlichen Raum. Für eine Website sind die ersten beiden relevant: Eine KI-Funktion, die Besucher durch Täuschung zum Kauf drängen soll, ist die KI-Version von Dark Patterns, und für verbotene Praktiken gelten die höchsten Bußgelder der Verordnung.

Am selben Tag begann die Pflicht zur KI-Kompetenz aus Artikel 4: Firmen, die KI entwickeln oder einsetzen, müssen Maßnahmen ergreifen, damit die Leute, die damit arbeiten, sie verstehen. Der Omnibus hat sie am 27. Juli 2026 neu gefasst, von der Pflicht, für „ein ausreichendes Maß an KI-Kompetenz“ zu sorgen, hin zu Maßnahmen, um deren Entwicklung „zu unterstützen“, und der neue Text sagt ausdrücklich, dass kein bestimmtes Niveau garantiert werden muss. Artikel 4 gehört außerdem nicht zu den Pflichten, für die Artikel 99 eine Bußgeldhöhe festlegt. In der Praxis reicht ein kurzer schriftlicher Leitfaden für alle, die auf deiner Website KI-Tools nutzen: was sie in einen Chatbot kopieren dürfen und wer KI-Texte prüft, bevor sie online gehen.

2. August 2025: Regeln für die Firmen hinter den Modellen

Seit dem 2. August 2025 müssen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also die großen Sprach- und Bildmodelle hinter den meisten Chatbots und Generatoren, eine technische Dokumentation führen, den Firmen, die auf ihren Modellen aufbauen, Informationen geben, eine Strategie zur Einhaltung des EU-Urheberrechts haben und eine Zusammenfassung der Trainingsinhalte veröffentlichen. Seit dem 2. August 2026 kann die Kommission sie mit Geldbußen belegen, und Modelle, die schon vor dem 2. August 2025 auf dem Markt waren, haben bis zum 2. August 2027 Zeit.

Nichts davon ist die Aufgabe eines Website-Betreibers. Einen nützlichen Nebeneffekt hat es aber: Wenn du einen Chatbot oder ein Tool auf der API eines Modellanbieters baust, muss dir der Anbieter Dokumentation zum Modell geben, und genau die brauchst du, um die Fragen im nächsten Abschnitt zu beantworten. Die meisten Firmen in der EU stehen an diesem Punkt und nutzen KI, die jemand anderes gebaut hat, wie die Zahlen dazu zeigen, wohin die IT-Budgets in der EU fließen.

2. August 2026: Chatbots und KI-Inhalte müssen offengelegt werden

Artikel 50 ist der Teil der KI-Verordnung, der normale Websites erreicht, und der Omnibus hat ihn nicht verschoben: Er gilt seit dem 2. August 2026. Er enthält vier Pflichten. Ein KI-System, das mit Menschen interagiert, muss ihnen sagen, dass es eine KI ist, sofern das nicht offensichtlich ist. KI-Systeme, die Audio, Bilder, Videos oder Texte erzeugen, müssen ihre Ausgaben maschinenlesbar kennzeichnen. Emotionserkennung und biometrische Kategorisierung müssen den Menschen, bei denen sie eingesetzt werden, mitgeteilt werden. Und Deepfakes sowie KI-Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, muss offenlegen, wer sie veröffentlicht.

Wenn ein Besucher mit ihm chatten kann, muss er sagen, dass er eine KI ist, spätestens in seiner ersten Nachricht. Artikel 50 Absatz 5 verlangt, dass die Information klar und eindeutig ist, spätestens bei der ersten Interaktion gegeben wird und barrierefrei ist. Die Pflicht trifft den Anbieter, und den definiert die Verordnung als den, der ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Betrieb nimmt. Ein Chatbot, der für deine Website auf der API eines Modells gebaut wurde und unter deiner Marke läuft, bringt dich nah an diese Definition. Bei einem fertigen Widget ist es die Pflicht des Widget-Anbieters, aber deine Besucher sehen nur deine Website. Mehr zur Auswahl in KI-Chatbots für Unternehmen.

Für Bilder ist der Maßstab die Deepfake-Definition der Verordnung: ein durch KI erzeugter Bild-, Ton- oder Videoinhalt, der echten Personen, Gegenständen, Orten oder Ereignissen ähnelt und fälschlicherweise als echt erscheinen würde. Ein KI-„Foto“ von deinem Team, deinen Räumen oder deinem Produkt, das als echt präsentiert wird, ist der klare Fall; eine erkennbar illustrierte Grafik auf der Startseite nicht. Bei Texten gilt die Pflicht nur für Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und sie entfällt, wenn ein Mensch den Text geprüft hat und jemand die redaktionelle Verantwortung trägt. Ein Blogartikel, den du mit KI entworfen, dann bearbeitet und mit deinem Namen veröffentlicht hast, fällt nicht darunter, Produktbeschreibungen auch nicht.

2. Dezember 2026: gekennzeichnete Ausgaben und zwei neue Verbote

KI-Systeme, die Audio, Bilder, Videos oder Texte erzeugen und schon vor dem 2. August 2026 auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit, ihre Ausgaben maschinenlesbar zu kennzeichnen. Diese Frist hat der Omnibus eingefügt. Die Verordnung nennt die Techniken, an die sie denkt: Wasserzeichen, Metadaten, kryptografische Herkunftsnachweise, Protokollierung und Fingerabdrücke. Im Mai 2026 hat die Kommission Studien dazu veröffentlicht, wie das für Texte, für Bilder und Videos und für Audio funktioniert. Wenn Besucher auf deiner Website etwas erzeugen können, etwa Produkt-Mock-ups oder KI-Texte, kommt die Kennzeichnung meist vom Modellanbieter, aber prüf, ob sie deine eigene Verarbeitung übersteht: Beim Konvertieren oder Komprimieren eines Bildes können die Metadaten verloren gehen.

Am selben Tag gelten zwei Verbote, die der Omnibus ergänzt hat: KI-Systeme, die ohne ausdrückliche Einwilligung realistische intime Bilder einer erkennbaren Person erzeugen, und KI-Systeme, die Material über sexuellen Kindesmissbrauch erzeugen. Sie erfassen Systeme, die dafür gebaut sind, und Systeme, die das ohne angemessene Schutzvorkehrungen leicht können. Mit einer normalen Firmenwebsite haben sie nichts zu tun, aber wenn deine Website Bilder von Menschen erzeugt, sind diese Schutzvorkehrungen jetzt Pflicht.

Dezember 2027 und August 2028: Hochrisiko-KI-Systeme

Die schwersten Pflichten, Risikomanagement, Datenqualität, Protokollierung, menschliche Aufsicht und eine Konformitätsbewertung, gelten für Hochrisiko-Systeme. Für die Anwendungen aus Anhang III waren sie für den 2. August 2026 vorgesehen; seit dem Omnibus gelten sie ab dem 2. Dezember 2027. Für KI in Produkten, die unter EU-Sicherheitsrecht fallen und in Anhang I stehen, hat sich das Datum vom 2. August 2027 auf den 2. August 2028 verschoben. Hochrisiko-Systeme, die Behörden einsetzen, haben bis zum 2. August 2030 Zeit.

Eine Unternehmenswebsite, ein Onlineshop oder ein Buchungsformular ist kein Hochrisiko-System; bei der Hochrisiko-Liste geht es um KI, die über Menschen entscheidet. Anhang III nennt Personalauswahl (gezielte Stellenanzeigen, das Filtern von Bewerbungen, die Bewertung von Bewerbern), Kreditwürdigkeitsprüfung, Preise für Lebens- und Krankenversicherungen, Bildung und den Zugang zu grundlegenden öffentlichen Leistungen, dazu Biometrie, Polizei, Migration und Justiz. Auf einer Website heißt das: eine Karriereseite, deren KI Bewerber sortiert, oder ein Checkout, der per KI über Ratenkauf entscheidet. Der Omnibus hat außerdem klargestellt, dass KI, die nur der Nutzerunterstützung, Leistungsoptimierung, Automatisierung oder Bequemlichkeit dient, keine Sicherheitskomponente ist.

Bußgelder: die drei Stufen und die niedrigere Obergrenze für kleinere Firmen

Artikel 99 legt drei Höchstbeträge fest. Verbotene Praktiken: bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Die meisten anderen Pflichten, darunter Artikel 50: bis zu 15 Millionen Euro oder 3 %. Irreführende Angaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 %. Für große Firmen gilt der höhere Betrag, für KMU einschließlich Start-ups der niedrigere, und der Omnibus hat diese niedrigere Obergrenze auf kleine Midcap-Unternehmen ausgeweitet. Für KI-Systeme setzen nationale Behörden die Regeln durch, für die Modellanbieter das Büro für Künstliche Intelligenz der Kommission.

Was du bis zum 2. Dezember 2026 auf deiner Website tun solltest

Fang mit einer Bestandsaufnahme an: jede Stelle, an der KI mit deinen Besuchern spricht, Inhalte für sie erzeugt oder über sie entscheidet. Das heißt: das Chat-Widget, KI-Bilder, KI-Texte, jeder Generator, den Besucher nutzen können, und jedes Formular, dessen Antworten eine KI vorsortiert. Die meisten Firmenwebsites kommen auf ein oder zwei Zeilen.

Dann erledigst du jede Zeile. Der Chatbot sagt in seiner ersten Nachricht im Widget, dass er eine KI ist. Ein realistisches KI-Bild von echten Menschen, Orten oder Produkten bekommt einen sichtbaren Hinweis direkt daneben. KI-Text, der die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informiert, bekommt eine namentlich genannte redaktionelle Verantwortung oder einen Hinweis. Beim Generator klärst du mit dem Anbieter die maschinenlesbare Kennzeichnung und prüfst, ob deine Bildverarbeitung sie entfernt. Wenn etwas auf der Liste Bewerber vorsortiert oder über Kredite entscheidet, fang jetzt mit der Hochrisiko-Arbeit an, denn im Dezember 2027 muss sie fertig sein, nicht erst beginnen. Wenn du willst, dass jemand die Website mit dir durchgeht: Das gehört zu unserer Arbeit im Bereich KI und Automatisierung.

Quellen

Jedes Datum und jede Artikelnummer hier stammt aus dem Amtsblatt-Text der Verordnung (EU) 2024/1689 und der Verordnung (EU) 2026/1744, gelesen am 10. Oktober 2026. Die Seiten der Kommission fassen dasselbe Gesetz zusammen.

• Publications Office of the EU — Regulation (EU) 2024/1689 (Artificial Intelligence Act) ↗

  Unterzeichnet am 13. Juni 2024, Amtsblatt vom 12. Juli 2024. Artikel 4 KI-Kompetenz, Artikel 5 verbotene Praktiken, Artikel 50 Transparenz, Artikel 99 Bußgelder, Artikel 113 Fristen.

• Publications Office of the EU — Regulation (EU) 2026/1744 (Digital Omnibus on AI) ↗

  Angenommen am 8. Juli 2026, Amtsblatt vom 24. Juli 2026, in Kraft seit dem 27. Juli 2026. Neue Fristen in Artikel 113, Kennzeichnungsfrist in Artikel 111 Absatz 4, zwei neue Verbote, Artikel 4 neu gefasst.

• European Commission — AI Act ↗

  Die Zusammenfassung der Kommission zu den Risikostufen und zum Zeitplan nach dem Omnibus: Anhang III ab 2. Dezember 2027, Anhang I ab 2. August 2028.

• Publications Office of the EU — Technical solutions for marking and detecting AI generated text content in the context of Article 50(2) AI Act ↗

  Studie für die Kommission vom Mai 2026 zur Kennzeichnung KI-generierter Texte.

• Publications Office of the EU — Technical solutions for marking and detecting AI-generated image and video content in the context of Article 50(2) AI Act ↗

  Studie für die Kommission vom Mai 2026 zur Kennzeichnung KI-generierter Bilder und Videos.