Der AI Act im Herbst 2026: Was gilt jetzt und was wurde verschoben?

Was gilt jetzt vom AI Act und was wurde verschoben?

Am 13. Oktober 2026 gelten die verbotenen Praktiken, die Regeln zur KI-Kompetenz, die Regeln für Modelle mit allgemeinem Verwendungszweck und die Transparenzregeln. Verschoben wurden die Anforderungen an Hochrisikosysteme: vom 2. August 2026 auf den 2. Dezember 2027 für die Anwendungen aus Anhang III und auf den 2. August 2028 für KI in regulierten Produkten.

Diese Verschiebung ist kein Vorschlag mehr: Das Europäische Parlament und der Rat haben sie im Juni 2026 verabschiedet. Wir haben alle Angaben am 13. Oktober 2026 anhand der Quellen der Europäischen Kommission, des Parlaments und des Rates geprüft. Dieses Thema verändert sich schnell: Prüfen Sie den Zeitplan des AI Act Service Desk der Kommission, bevor Sie Ihre Planung darauf stützen.

Wie ist der Zeitplan des AI Act aufgebaut?

Der AI Act (KI-Verordnung) ist die Verordnung (EU) 2024/1689. Sie ist am 1. August 2024 in Kraft getreten und wird schrittweise anwendbar. Die Kommission nennt auf ihrer Übersichtsseite zum Rechtsrahmen für KI (aktualisiert am 3. August 2026) die derzeit geltenden Daten.

Stand: 13. Oktober 2026. „Verabschiedet“ bedeutet hier: Es steht im verabschiedeten Text, das Datum liegt aber noch in der Zukunft.

Was gilt seit dem 2. Februar 2025?

Verbotene Praktiken

Artikel 5 verbietet bestimmte Anwendungen unabhängig davon, wer sie nutzt. Die Kommission spricht von acht Verboten, die seit Februar 2025 gelten, und einem neunten, das der Omnibus ergänzt hat. Bei einem Chatbot, der Texte erstellt oder Dokumente durchsucht, spielen diese Verbote selten eine Rolle. Wer KI einsetzen möchte, um Verhalten oder Emotionen von Mitarbeitenden zu beurteilen, sollte zuerst den Artikel lesen.

KI-Kompetenz: neu gefasst, aber nicht abgeschafft

Artikel 4 verpflichtete Anbieter und Betreiber, für ausreichende KI-Kompetenz ihres Personals zu sorgen. Der Omnibus hat den Artikel ersetzt. Im verabschiedeten Text des Omnibus steht nun, dass Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen, unter Berücksichtigung von Kenntnissen, Erfahrung, Ausbildung und dem Kontext, in dem das System eingesetzt wird. Ausdrücklich steht dabei, dass die Pflicht nicht verlangt, für jeden Mitarbeitenden ein bestimmtes Niveau zu gewährleisten. Die Kommission und die Mitgliedstaaten sollen Organisationen dabei unterstützen, unter anderem mit Praxisbeispielen.

Die Pflicht besteht also weiter. Sie ist als Bemühen statt als Ergebnis formuliert. Was das für einen Arbeitgeber bedeutet, erläutern wir im Artikel über KI-Kompetenz.

Was gilt seit dem 2. August 2025?

Seit diesem Datum gelten die Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, etwa den Modellen hinter ChatGPT, Claude und Mistral Vibe. Diese Pflichten treffen die Entwickler der Modelle, nicht Sie als Nutzer. Zum selben Datum musste die europäische Governance eingerichtet sein, und die Mitgliedstaaten mussten ihre Aufsichtsbehörden benannt und Sanktionen geregelt haben. Die Niederlande haben Letzteres noch nicht gesetzlich festgelegt; dazu weiter unten mehr.

Was gilt seit dem 2. August 2026 zusätzlich?

Nach dem Zeitplan der Kommission wurde am 2. August 2026 der größte Teil der Verordnung anwendbar, und auf europäischer und nationaler Ebene begann die Durchsetzung der bereits geltenden Regeln: Verbote, KI-Kompetenz, Modellregeln und Transparenz. Nicht zu diesem Datum wirksam wurden die Anforderungen an Hochrisikosysteme.

Die Transparenzregeln aus Artikel 50

Artikel 50 verteilt die Pflichten auf zwei Rollen.

• Anbieter von Systemen, die mit Menschen kommunizieren: Das System muss so gestaltet sein, dass Menschen wissen, dass sie es mit KI zu tun haben, sofern dies für eine angemessen informierte Person nicht offensichtlich ist.
• Anbieter generativer Systeme: Ausgaben müssen in einem maschinenlesbaren Format als künstlich erzeugt oder manipuliert erkennbar sein. Für Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026.
• Betreiber von Emotionserkennung oder biometrischer Kategorisierung: Sie informieren die Personen, auf die das System angewendet wird.
• Betreiber, die Deepfakes erzeugen: Sie legen offen, dass Bild, Ton oder Video künstlich erzeugt oder manipuliert wurden.
• Betreiber, die KI-Texte zu Angelegenheiten von öffentlichem Interesse veröffentlichen: Sie legen offen, dass der Text durch KI erzeugt wurde, es sei denn, ein Mensch hat ihn geprüft und jemand trägt die redaktionelle Verantwortung.

Die Information muss klar sein und spätestens beim ersten Kontakt erfolgen. Artikel 50 selbst wurde nicht verschoben. Nur die Kennzeichnungspflicht aus Absatz 2 hat für bestehende Systeme eine Übergangsfrist erhalten.

Was regelt der digitale Omnibus zu KI?

Vom Vorschlag zum Gesetz

Die Kommission schlug den Omnibus am 19. November 2025 als Teil eines umfassenderen Digitalpakets vor. Nach dem Briefing des Wissenschaftlichen Dienstes des Europäischen Parlaments legte der Rat seine Position am 13. März 2026 und das Parlament am 26. März 2026 fest, folgte am 7. Mai 2026 eine Einigung und billigte das Parlament diese am 16. Juni 2026. Der Rat verabschiedete die Verordnung am 29. Juni 2026, wie das Abstimmungsergebnis des Rates zeigt. Laut Kommission ist der Omnibus am 27. Juli 2026 in Kraft getreten. Die Kommission verweist auf den Text im Amtsblatt unter der Nummer 2026/1744.

Der Anlass steht im selben Briefing: Harmonisierte Normen und Hilfsmittel für die Hochrisikoanforderungen waren nicht rechtzeitig fertig, und einige Mitgliedstaaten hatten ihre Aufsichtsbehörden noch nicht benannt.

Die wichtigsten Änderungen

• Hohes Risiko, Anhang III: Die Anforderungen gelten ab dem 2. Dezember 2027 statt ab dem 2. August 2026.
• Hohes Risiko, Anhang I: KI in regulierten Produkten wie Maschinen, Spielzeug und Aufzügen folgt am 2. August 2028.
• Bestehende Systeme: Ein Hochrisikosystem, das vor dem Anwendungsdatum auf den Markt gebracht wurde, fällt nur dann unter die Verordnung, wenn seine Gestaltung danach erheblich verändert wird. Für Systeme, die für Behörden bestimmt sind, gilt in jedem Fall der 2. August 2030.
• Neues Verbot: KI, die ohne Einwilligung intime Bilder von Personen erstellt oder manipuliert oder Material zum sexuellen Kindesmissbrauch erzeugt, ist ab dem 2. Dezember 2026 verboten.
• KI-Kompetenz: Artikel 4 wurde wie oben beschrieben neu gefasst.
• Kleinere Unternehmen: Vereinfachungen, die für KMU galten, gelten nun auch für eine Gruppe etwas größerer Unternehmen, die „Small Mid-Caps“.
• Aufsicht: Das KI-Büro der Kommission erhält mehr Aufsichtsbefugnisse über Systeme, die auf Modellen mit allgemeinem Verwendungszweck aufbauen.

Was noch ein Vorschlag ist

Das Paket vom November 2025 enthielt einen zweiten Vorschlag zu Daten und zur DSGVO. Dafür läuft ein eigenes Verfahren. Wir haben am 13. Oktober 2026 keinen verabschiedeten Text dieses Vorschlags gefunden; die jüngsten Unterlagen, die wir gesehen haben, weisen auf laufende Beratungen im Rat hin. Behandeln Sie Angaben dazu als Vorschlag und verfolgen Sie den Stand in den Registern des Parlaments und des Rates.

Wer führt in den Niederlanden die Aufsicht?

Die Verordnung gilt unmittelbar, aber jeder Mitgliedstaat regelt selbst, wer die Aufsicht führt und wie Sanktionen verhängt werden. In den Niederlanden geschieht das mit dem Durchführungsgesetz zur KI-Verordnung. Dazu begann am 20. April 2026 eine Online-Konsultation, die bis einschließlich 1. Juni 2026 lief. Danach folgen die Auswertung der Stellungnahmen, das Gutachten des Raad van State und die Beratung in der Tweede Kamer, dem niederländischen Abgeordnetenhaus.

Das vorgeschlagene System

• Sektorale Aufsichtsbehörden: Bestehende Aufsichtsbehörden kontrollieren KI in ihrem jeweiligen Bereich. Die Rijksinspectie Digitale Infrastructuur nennt unter anderem die Inspectie Leefomgeving en Transport, die Inspectie Gezondheidszorg en Jeugd, die NVWA und die Nederlandse Arbeidsinspectie.
• Autoriteit Persoonsgegevens (AP), die niederländische Datenschutzaufsichtsbehörde: Aufsichtsbehörde für Bereiche ohne klare sektorale Aufsichtsbehörde und gemeinsam mit der RDI Koordinatorin.
• RDI: Koordinatorin, zentrale Anlaufstelle für die Niederlande und Begleiterin der Reallabore.

Stand des Gesetzes

Wir haben am 13. Oktober 2026 keine Regierungsquelle gefunden, die belegt, dass der Gesetzentwurf bei der Tweede Kamer eingereicht wurde. In Fachmedien steht, die Einreichung sei auf 2027 verschoben worden; wir konnten dies aber nicht anhand einer Parlamentsunterlage prüfen. Gehen Sie deshalb davon aus, dass das System noch ein Vorschlag ist und sich die Benennung der Aufsichtsbehörden ändern kann.

Für Ihre Pflichten macht das wenig Unterschied. Die bereits geltenden Regeln gelten auch ohne Durchführungsgesetz, und die DSGVO bleibt neben dem AI Act anwendbar, sobald Sie mit personenbezogenen Daten arbeiten.

Was bedeutet das, wenn Ihre Organisation KI-Chatbots nutzt?

Sie sind Betreiber

Eine Organisation, die ein KI-System in eigener Verantwortung einsetzt, heißt in der Verordnung Betreiber. Das gilt bereits, wenn Mitarbeitende einen Chatbot für ihre Arbeit nutzen. Die umfangreichsten Pflichten liegen bei den Anbietern, aber Ihre Rolle bringt eigene Pflichten mit sich.

• Jetzt: Sie unterstützen die KI-Kompetenz Ihrer Mitarbeitenden und vermeiden verbotene Praktiken.
• Jetzt, sofern relevant: Sie legen Deepfakes und KI-Texte offen, die Sie ohne menschliche Prüfung zu Angelegenheiten von öffentlichem Interesse veröffentlichen.
• Ab dem 2. Dezember 2027, sofern relevant: die Pflichten für den Einsatz von Hochrisikosystemen.

Wann liegt ein hohes Risiko vor?

Ein Chatbot, der beim Zusammenfassen, Schreiben oder Suchen hilft, ist nicht automatisch ein Hochrisikosystem. Entscheidend ist der Zweck, für den Sie KI einsetzen. Anhang III nennt acht Bereiche, darunter Beschäftigung und Personalmanagement, Zugang zu wesentlichen Dienstleistungen und Rechtspflege.

Lassen Sie KI Bewerbungsschreiben bewerten oder die Leistung von Mitarbeitenden überwachen, befinden Sie sich im Bereich Beschäftigung. Der Punkt zur Rechtspflege betrifft KI, die eine Justizbehörde bei der Ermittlung und Anwendung von Tatsachen und Recht unterstützt oder auf ähnliche Weise bei der alternativen Streitbeilegung eingesetzt wird. Eine Kanzlei, die mit KI ihre eigenen Akten durchsucht, fällt nicht ohne Weiteres darunter. Für sie sind die Berufsregeln der strengste Maßstab; diese behandeln wir im Artikel über Berufsgeheimnis und KI.

Fällt Ihre Anwendung darunter, verlangt Artikel 26 unter anderem, dass Sie das System gemäß der Gebrauchsanweisung verwenden, die menschliche Aufsicht Personen mit passenden Kenntnissen und Befugnissen übertragen, den Betrieb überwachen, Protokolldateien mindestens sechs Monate aufbewahren und Beschäftigte sowie ihre Vertretungen vorab informieren. Ob Ihre Anwendung ein hohes Risiko aufweist, ist eine rechtliche Beurteilung. Lassen Sie sie im Zweifel prüfen.

Was regeln Sie bereits jetzt?

Die Verschiebung gibt Zeit für die Hochrisikoanforderungen. Sie ändert nichts daran, was heute gilt.

1. Erfassen Sie Ihre KI-Nutzung. Welche Tools, von wem, wofür, auch auf privaten Konten. Siehe unseren Artikel über Schatten-KI.
2. Bestimmen Sie pro Anwendung Ihre Rolle und das Risiko. Sind Sie Betreiber oder entwickeln Sie selbst etwas für andere? Berührt der Zweck einen Bereich aus Anhang III?
3. Prüfen Sie auf verbotene Praktiken. Vor allem bei allem, was Mitarbeitende, Bewerber oder Kunden beurteilt.
4. Sorgen Sie für KI-Kompetenz. Eine kurze, wiederholte Schulung, die zu den Aufgaben Ihrer Mitarbeitenden passt, und ein Nachweis darüber, wer sie absolviert hat.
5. Dokumentieren Sie Transparenz. Wann weisen Sie darauf hin, dass etwas durch KI erstellt wurde, und wer prüft Texte vor der Veröffentlichung?
6. Verfassen Sie eine KI-Richtlinie. Zulässige Tools, verbotene Eingaben, Kontrolle der Ergebnisse, Vorfälle. Einen Aufbau finden Sie im Artikel über das Erstellen einer KI-Richtlinie.
7. Vergessen Sie die DSGVO nicht. Auftragsverarbeitungsvertrag, Verarbeitungsverzeichnis und gegebenenfalls eine DSFA. Siehe unseren Artikel über die DSFA für KI-Tools.
8. Nehmen Sie den 2. Dezember 2027 in Ihre Planung auf. Wenn eine Anwendung ein hohes Risiko aufweisen könnte, beginnen Sie jetzt mit der Beurteilung und fragen Sie Ihren Anbieter nach seiner Planung.

Was PrivaSearch dabei leistet

PrivaSearch macht Dokumente durchsuchbar, nachdem personenbezogene Daten durch Pseudonyme ersetzt wurden und ein Kollege dies geprüft hat. Es trifft keine Entscheidungen über Personen: Es liefert Textstellen mit Quellenangabe, und ein Mensch beurteilt, was er damit macht. Die Seite zur DSGVO und zum AI Act erläutert pro Bereich, welche Maßnahmen wir getroffen haben und was in Ihrer Verantwortung bleibt. Dort steht auch, dass die Gestaltung eine Einstufung außerhalb der Hochrisikokategorien unterstützt, abhängig vom vorgesehenen Einsatz und der Arbeitsweise. Die Einstufung Ihrer Nutzung nehmen Sie selbst vor.

Drei Bestandteile berühren Anforderungen des AI Act. Die menschliche Prüfung ist verpflichtend. Antworten haben eine Quellenangabe, damit Nutzer nachvollziehen können, woher eine Textstelle stammt. Und Mitarbeitende absolvieren eine kurze Schulung zur KI-Kompetenz mit regelmäßiger Wiederholung; ohne gültige Schulung öffnet sich der Arbeitsbereich nicht, und auch die Verbindung zu einem KI-Assistenten verweigert den Zugriff. Diese Verbindung funktioniert mit Claude, ChatGPT Business und Mistral Vibe. Die Schritte stehen auf der Seite So funktioniert PrivaSearch.

Ihre Umgebung erstellt außerdem eine KI-Richtlinie und eine DSFA-Vorlage auf Grundlage Ihrer eigenen Einrichtung. Das sind Ausgangsdokumente, keine Rechtsberatung: Die Prüfung durch einen Juristen oder Ihren Datenschutzbeauftragten und die Festlegung bleiben Ihre Aufgabe. Pseudonymisierte Daten bleiben für Ihre Organisation personenbezogene Daten.

Was geschieht, wenn die KI-Nutzung ungeregelt bleibt, steht auf der Seite über die Risiken. Möchten Sie sehen, wie das in der Praxis aussieht, fragen Sie eine Demo an.