Die Europäische Union passt den Zeitplan für den AI Act an: Die strengen Pflichten für eigenständige Hochrisiko-KI-Systeme, darunter auch Anwendungen in öffentlichen Diensten, werden von August 2026 auf Dezember 2027 verschoben.
Für Künstliche Intelligenz, die als Sicherheitskomponente in regulierten Produkten verbaut ist, gilt die Umsetzungsfrist künftig ab August 2028. Aktualisierte Vorschriften zu verbotenen Praktiken greifen wiederum ab Dezember 2026. Dies geht aus aktuellen Berichten von Fachmedien hervor.
Gesetzliche Verankerung und neue Übergangsfristen
Die regulatorischen Anpassungen stützen sich auf die Verordnung (EU) 2026/1744, auch bekannt als Digital Omnibus, die seit dem 27. Juli 2026 in Kraft ist.
Demnach gelten die detaillierten Hochrisiko-Pflichten gemäß Anhang III nun ab dem 2. Dezember 2027. Für KI-Systeme in regulierten Produkten nach Anhang I ist der Stichtag der 2. August 2028. Zugleich wurde die bisherige Klausel gestrichen, nach der die Regeln griffen, sobald harmonisierte Normen vorliegen.
Andere Bereiche des Gesetzeswerks bleiben hingegen bereits wirksam. So gelten die Transparenzvorschriften nach Artikel 50 seit dem 2. August 2026. Für die Kennzeichnung synthetischer Inhalte in bestehenden Altsystemen läuft eine Übergangsfrist bis zum 2. Dezember 2026. Bei Verstößen drohen empfindliche Sanktionen: Für verbotene Praktiken sieht der Rahmen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor.
Angesichts der drohenden Bußgelder bei Verstößen gegen die neuen EU-Vorgaben sollten Unternehmen ihre Compliance-Strategie frühzeitig anpassen. Dieser kostenlose Download verschafft Ihnen den Überblick über Fristen, Pflichten und Risikoklassen, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen
Sonstige Verstöße können mit bis zu 15 Millionen Euro oder 3 Prozent geahndet werden, während falsche Angaben mit bis zu 7,5 Millionen Euro oder 1,5 Prozent belegt werden können.
Gründe für den Aufschub und offene Standards
Auf dem 8. IT-Leaders-Summit in Baku verwies Andres Ojaver von Hedman und der Technischen Universität Tallinn auf die praktischen Hürden hinter der Verzögerung. Als zentrale Gründe nannte er eine unfertige Infrastruktur, Verzögerungen bei harmonisierten Standards, noch laufende Leitlinien sowie eine vielerorts fehlende nationale Marktaufsicht.
Zudem sei eine engere Abstimmung mit bestehenden Regelwerken wie der Datenschutz-Grundverordnung (GDPR), der NIS2-Richtlinie und dem Cyber Resilience Act erforderlich. Auch das EU AI Office kündigte an, zeitnah über formale Schritte zur Anpassung der Umsetzungsfristen zu entscheiden, bis Prüfstandards für Konformitätsbewertungen vollständig vorliegen.
Da viele KI-Systeme als Hochrisiko eingestuft werden könnten, ist eine präzise Einordnung für die rechtssichere Anwendung unerlässlich. Dieser kostenlose Report klärt darüber auf, welche neuen Regeln die EU-KI-Verordnung aufstellt und was Unternehmen nun konkret tun müssen. Kostenlosen Umsetzungsleitfaden zum AI Act sichern
Parallel dazu treibt die EU-Kommission die technische Standardisierung voran. Am 14. Oktober 2026 veröffentlichte die Behörde per Durchführungsbeschluss (EU) 2026/2274 die Referenz auf EN 18286:2026 im Amtsblatt. Dabei handelt es sich um den ersten harmonisierten Standard zum AI Act, der Qualitätsmanagementsysteme abdeckt.
Entwickelt wurde die Norm vom gemeinsamen technischen Komitee CEN/CENELEC JTC 21 und am 12. Juli ratifiziert. Die Anwendung gewährt Anbietern eine widerlegbare Vermutung der Konformität für die abgedeckten Teile von Artikel 17. Sie ersetzt jedoch keine Zertifikate für das gesamte Gesetz; Verpflichtungen zu Risikomanagement, Daten-Governance, Transparenz, menschlicher Aufsicht und Cybersicherheit verbleiben in der Verantwortung der Anbieter.
Während neun weitere Normen, darunter zur Cybersicherheit und zum Risikomanagement, noch erarbeitet werden, bereiten sich Mitgliedstaaten auf die Durchsetzung vor. In Italien regelt ein Gesetzesdekret vom 7. Oktober 2026 mit Inkrafttreten am 23. Oktober die nationalen Zuständigkeiten: AgID fungiert künftig als Notifizierungsstelle, während die Sicherheitsbehörde ACN die Marktaufsicht übernimmt.