KI-Verordnung 2027: Fristen und Pflichten für Unternehmen
Die EU-KI-Verordnung gilt seit dem 2. August 2026 weitgehend. 2027 kommen weitere Stichtage hinzu, der wichtigste am 2. Dezember 2027: Dann gelten die Pflichten für Hochrisiko-KI nach Anhang III. Dieser Beitrag zeigt, was schon gilt, was 2027 folgt und wie Sie das Jahr planen. Stand: 15. November 2026, Quelle: Zeitplan der EU-Kommission.
Was heute schon gilt
Seit dem 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die Regel zur KI-Kompetenz nach Artikel 4. Seit dem 27. Juli 2026 gilt Artikel 4 in geänderter Fassung: Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen.
Seit dem 2. August 2025 gelten die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck. Seit dem 2. August 2026 gilt die Verordnung weitgehend, unter anderem mit den Transparenzpflichten nach Artikel 50.
Am 2. Dezember 2026 endet die Übergangsfrist für die Kennzeichnung erzeugter Inhalte bei älteren Systemen, und zwei neue Verbote treten in Kraft. Einzelheiten stehen im Beitrag KI-Kennzeichnungspflicht: Was ab 2. Dezember 2026 gilt.
Die Stichtage 2027 und 2028
2. August 2027: Jeder Mitgliedstaat soll mindestens ein KI-Reallabor in Betrieb haben. Dort können Unternehmen KI-Systeme unter Aufsicht der Behörden entwickeln und erproben.
2. Dezember 2027: Die Pflichten für Hochrisiko-KI nach Anhang III gelten. Ursprünglich war dafür der 2. August 2026 vorgesehen. Die Verordnung (EU) 2026/1744 hat den Termin verschoben.
2. August 2028: Die Pflichten für Hochrisiko-KI in Produkten nach Anhang I gelten, zum Beispiel für KI als Sicherheitsbauteil in Maschinen oder Medizinprodukten.
Welche Einsätze unter Anhang III fallen
Anhang III nennt acht Bereiche: Biometrie, kritische Infrastruktur, allgemeine und berufliche Bildung, Beschäftigung und Personalmanagement, Zugang zu wesentlichen privaten und öffentlichen Diensten, Strafverfolgung, Migration und Grenzkontrolle sowie Justiz und demokratische Prozesse.
Für mittelständische Unternehmen sind vor allem zwei Bereiche wichtig. Erstens Personal: KI-Systeme, die Stellenanzeigen gezielt ausspielen, Bewerbungen sichten oder Bewerber bewerten, und Systeme, die über Beförderung, Kündigung oder Aufgabenverteilung mitentscheiden oder Leistung und Verhalten überwachen.
Zweitens Finanzen und Versicherung: KI-Systeme, die die Kreditwürdigkeit prüfen oder Bonitätswerte bilden, außer zur Aufdeckung von Betrug, sowie Systeme, die Risiken und Preise bei Lebens- und Krankenversicherungen bewerten.
Ob ein System tatsächlich als Hochrisiko-KI gilt, hängt vom konkreten Einsatzzweck ab. Ein Sprachmodell im Büroalltag ist nicht automatisch Hochrisiko-KI. Wird dasselbe Modell zur Auswahl von Bewerbern eingesetzt, kann das anders sein.
Was Betreiber von Hochrisiko-KI ab Dezember 2027 tun müssen
Artikel 26 regelt die Pflichten der Betreiber, also der Unternehmen, die ein Hochrisiko-System einsetzen. Dazu gehören unter anderem: das System nach der Gebrauchsanweisung des Anbieters nutzen, die menschliche Aufsicht Personen mit der nötigen Kompetenz, Schulung und Befugnis übertragen und den Betrieb überwachen.
Automatisch erzeugte Protokolle müssen Betreiber, soweit sie diese kontrollieren, mindestens sechs Monate aufbewahren, sofern andere Vorschriften nichts anderes bestimmen. Arbeitgeber müssen die Arbeitnehmervertretung und die betroffenen Beschäftigten informieren, bevor sie ein Hochrisiko-System am Arbeitsplatz einsetzen.
Ihr Fahrplan für 2027
Januar bis März: Erfassen Sie alle KI-Systeme im Unternehmen und klären Sie, ob Sie Anbieter oder Betreiber sind. Prüfen Sie, ob Systeme in Personal, Finanzen oder anderen Bereichen aus Anhang III arbeiten.
April bis Juni: Legen Sie Zuständigkeiten fest, aktualisieren Sie Ihre KI-Richtlinie und dokumentieren Sie die Maßnahmen zur KI-Kompetenz. Fragen Sie bei Anbietern von Hochrisiko-Systemen nach Gebrauchsanweisung und Konformitätsnachweisen.
Juli bis September: Planen Sie menschliche Aufsicht, Protokollierung und die Information von Betriebsrat und Beschäftigten. Bei neuen Projekten im Personalbereich beziehen Sie diese Punkte von Anfang an ein.
Oktober bis 2. Dezember 2027: Schließen Sie offene Punkte ab und prüfen Sie, ob alle Hochrisiko-Einsätze die Betreiberpflichten erfüllen.
Wer in Deutschland zuständig ist
Nach § 2 KI-MIG ist grundsätzlich die Bundesnetzagentur die zuständige Marktüberwachungsbehörde. Sonderzuständigkeiten bleiben bestehen, etwa für regulierte Finanztätigkeiten und öffentliche Stellen der Länder. Quelle: KI-MIG, BGBl. 2026 I Nr. 223.
Häufige Fragen zur KI-Verordnung 2027
Wurden die Fristen für Hochrisiko-KI verschoben? Ja. Mit der Verordnung (EU) 2026/1744 gelten die Pflichten für Hochrisiko-KI nach Anhang III ab dem 2. Dezember 2027 und nach Anhang I ab dem 2. August 2028.
Gilt die KI-Verordnung auch für kleine Unternehmen? Ja. Sie gilt unabhängig von der Größe des Unternehmens. Welche Pflichten greifen, hängt von Ihrer Rolle und vom Einsatzzweck des Systems ab.
Ist ChatGPT im Unternehmen Hochrisiko-KI? Nicht allein deshalb. Es kommt auf den Einsatz an. Die Auswahl von Bewerbern mit KI fällt zum Beispiel unter Anhang III.
Was muss ich 2027 als Erstes tun? Eine vollständige Liste Ihrer KI-Systeme mit Rolle und Einsatzzweck. Ohne diese Liste lässt sich keine Pflicht sicher zuordnen.
Unterstützung bei der Planung
Im KI-Compliance-Assessment erstellen wir mit Ihnen die Liste Ihrer KI-Systeme, ordnen Rollen und Risikobereiche zu und planen die Schritte bis Dezember 2027. Das Assessment kostet ab 4.990 € zzgl. MwSt. Die rechtliche Prüfung im Einzelfall bleibt bei Ihrer Rechtsberatung. Mehr zur Beratung zur EU-KI-Verordnung oder direkt ein Erstgespräch vereinbaren.
Quellen
EU-Kommission, AI Act Service Desk: Zeitplan der Umsetzung, Artikel 26, Anhang III, Verordnung (EU) 2026/1744 und KI-MIG. Abgerufen am 15. November 2026. Dieser Beitrag ersetzt keine Rechtsberatung.
