Hochrisiko-KI: Fristen verschoben auf 2027 und 2028

Die Pflichten für Hochrisiko-KI-Systeme gelten später als ursprünglich geplant: für Systeme nach Anhang III ab dem 02.12.2027, für Systeme nach Anhang I ab dem 02.08.2028. Das hat der Digital Omnibus festgelegt, in Kraft seit dem 27.07.2026.¹

Was ist passiert?

Die Ursprungsfassung der KI-Verordnung sah vor, dass die Hochrisiko-Pflichten für Systeme nach Anhang III ab dem 02.08.2026 gelten und für Systeme nach Anhang I ab dem 02.08.2027. Der Digital Omnibus, die Verordnung (EU) 2026/1744, hat Art. 113 neu gefasst:¹

c) Kapitel III Abschnitte 1, 2 und 3, mit Ausnahme von Artikel 6 Absatz 5, gelten ab dem: i) 2. Dezember 2027 in Bezug auf KI-Systeme, die gemäß Artikel 6 Absatz 2 und Anhang III als hochriskant eingestuft sind, und ii) 2. August 2028 in Bezug auf KI-Systeme, die gemäß Artikel 6 Absatz 1 und Anhang I als hochriskant eingestuft sind. (Art. 113 Abs. 3 Buchst. c in der Fassung von Art. 1 Nr. 40 VO (EU) 2026/1744)

Der Kommissionsvorschlag vom 19.11.2025 hatte noch einen anderen Weg vorgesehen: Die Pflichten sollten sechs beziehungsweise zwölf Monate nach einem Beschluss der Kommission über Unterstützungsmaßnahmen gelten, spätestens aber am 02.12.2027 und 02.08.2028. Beschlossen wurden nur die festen Daten, ohne Beschlussmechanismus.²¹

Was gilt jetzt?

Zwei Wege führen zum Hochrisiko-System. Der erste über Anhang III: KI in bestimmten Einsatzbereichen, in denen sie über Menschen mitentscheidet, etwa bei Personalauswahl, Bildung oder Kreditwürdigkeit. Für diese Systeme gelten Kapitel III Abschnitte 1 bis 3 ab dem 02.12.2027. Der zweite über Anhang I: KI als Sicherheitsbauteil in Produkten, die nach anderen EU-Vorschriften von einer Drittstelle geprüft werden, etwa Medizinprodukte, Spielzeug oder Aufzüge. Für sie gilt der 02.08.2028.¹³

Unverändert bleibt der 02.08.2030 für Hochrisiko-Systeme, die Behörden schon vorher nutzen (Art. 111 Abs. 2). Der Omnibus hat den Absatz neu gefasst und den Termin beibehalten.¹³

Bis zu den neuen Daten sind die Hochrisiko-Pflichten nicht anwendbar. Andere Teile der Verordnung gelten längst: die Verbote nach Art. 5 seit dem 02.02.2025, Art. 4 zur KI-Kompetenz ebenso, die Transparenzpflichten nach Art. 50 seit dem 02.08.2026.³

Für wen ändert sich etwas?

Anbieter von Hochrisiko-Systemen haben mehr Zeit für Risikomanagement, technische Dokumentation, Konformitätsbewertung und Registrierung.

Betreiber solcher Systeme, etwa eine Personalabteilung mit einem Bewerber-Tool, haben die Pflichten aus Art. 26 ebenfalls erst ab dem 02.12.2027. Dazu gehört Art. 26 Abs. 2:³

Die Betreiber übertragen natürlichen Personen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen, die menschliche Aufsicht und lassen ihnen die erforderliche Unterstützung zukommen. (Art. 26 Abs. 2 VO (EU) 2024/1689)

Diese Anforderung an die Personen, die ein Hochrisiko-System beaufsichtigen, gilt also noch nicht. Bis dahin ist Art. 4 die Grundlage für ihre KI-Kompetenz. Wer heute schon weiß, dass er 2027 ein solches System betreiben wird, kann die Zeit nutzen, um die Aufsicht zu planen und die Personen vorzubereiten.

Verstöße gegen Art. 16 und Art. 26 sind, sobald die Pflichten gelten, nach Art. 99 Abs. 4 mit bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes bedroht. Der Rahmen von 35 Mio. € gilt nur für Verbote.¹

Was ändert sich auf dieser Seite?

Auf Fristen stehen die Daten 02.08.2026 und 02.08.2027 für Hochrisiko-Systeme mit dem Status „überholt“ und einem Verweis auf die neuen Daten. Der Check auf Betroffenheits-Check rechnet bei HR-, Scoring- und Bildungssystemen mit dem 02.12.2027, bei Medizin- und Produktsoftware mit dem 02.08.2028.