Fristen für Betreiber
Termine, die Betreiber von KI-Systemen betreffen — wann Pflichten aus dem AI Act in Kraft treten, Fristen ablaufen und Konsultationen laufen.
2026
läuft
EDSA: Leitlinien 02/2026 zur AnonymisierungBehördenpositionOffen
Der Europäische Datenschutzausschuss hat am 7. Juli 2026 erstmals seit 2014 Leitlinien zur Anonymisierung vorgelegt. Sie folgen einem relativen Ansatz: Derselbe Datenbestand kann für die eine Stelle personenbezogen und für die andere anonym sein.
EDSA: Leitlinien 03/2026 zum Web Scraping im Kontext generativer KIBehördenpositionOffen
Der Europäische Datenschutzausschuss hat am 7. Juli 2026 erstmals einen umfassenden datenschutzrechtlichen Rahmen für das großflächige Absammeln öffentlich zugänglicher Daten zum Training generativer KI vorgelegt. Die Leitlinien stehen bis zum 30. Oktober 2026 in öffentlicher Konsultation.
30. Oktober 2026: Ende der EDSA-Konsultation zu Web Scraping und AnonymisierungFrist
Bis zu diesem Tag können Stellungnahmen zu den Leitlinien 03/2026 zum Web Scraping und zu den Leitlinien zur Anonymisierung eingereicht werden.
2. Dezember 2026: Umsetzungsfrist der PlattformarbeitsrichtlinieFrist
Bis zu diesem Tag müssen die Mitgliedstaaten die Rechts- und Verwaltungsvorschriften in Kraft setzen, die zur Umsetzung der Richtlinie (EU) 2024/2831 erforderlich sind.
2. Dezember 2026: neue Verbote und Ende der Übergangsfrist für synthetische InhalteFrist
An diesem Tag greifen zwei neue Verbotstatbestände nach Art. 5 KI-VO, und die Übergangsfrist für vor dem 2. August 2026 in Verkehr gebrachte Systeme zur Erzeugung synthetischer Inhalte endet.
Algorithmisches Management in der Plattformarbeit (Richtlinie (EU) 2024/2831)Pflicht
Die Plattformarbeitsrichtlinie enthält erstmals unionsweite Regeln zu automatisierten Beobachtungs- und Entscheidungssystemen in der Arbeitsorganisation. Die Bestimmungen zum algorithmischen Management gelten auch für Personen ohne Arbeitsvertrag.
9. Dezember 2026: Umsetzungsfrist der ProdukthaftungsrichtlinieFrist
Bis zu diesem Tag müssen die Mitgliedstaaten die Richtlinie (EU) 2024/2853 umgesetzt haben. Ab dann gilt für Software und KI-Systeme, die in Verkehr gebracht werden, die verschuldensunabhängige Produkthaftung. Die Vorgängerrichtlinie von 1985 wird zum selben Tag aufgehoben.
Software und KI als Produkt: die neue ProdukthaftungsrichtliniePflicht
Die Richtlinie (EU) 2024/2853 bezieht Software ausdrücklich in die verschuldensunabhängige Produkthaftung ein; KI-Systeme sind ein Unterfall davon. Sie gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht werden. In Deutschland soll ein vollständig neu gefasstes Produkthaftungsgesetz sie umsetzen.
2027
31. März 2027: erster Tätigkeitsbericht der KI-MarktüberwachungskammerFrist
Die unabhängige KI-Marktüberwachungskammer bei der Bundesnetzagentur legt dem Bundestag jährlich einen Tätigkeitsbericht vor. Der erste betrifft das Jahr 2026 und ist bis zum 31. März 2027 zu übermitteln.
1. August 2027: Leitlinien zur Vermeidung von Doppelarbeit bei Anhang-I-SystemenFrist
Bis zu diesem Tag veröffentlicht die Kommission Leitlinien, die Wirtschaftsakteuren zeigen, wie sie die KI-spezifischen Anforderungen in bestehende Risiko- und Qualitätsmanagementsysteme einfügen können — statt sie doppelt zu führen.
Die acht Anforderungen an Hochrisiko-KI-Systeme (Art. 8 bis 15 KI-VO)Pflicht
Kapitel III Abschnitt 2 der KI-Verordnung legt fest, was ein Hochrisiko-KI-System können muss: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz gegenüber Betreibern, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit.
Informationspflicht gegenüber Beschäftigten und deren Vertretung (Art. 26 Abs. 7 KI-VO)Pflicht
Betreiber, die Arbeitgeber sind, müssen vor Inbetriebnahme eines Hochrisiko-KI-Systems am Arbeitsplatz die Arbeitnehmervertretung und die betroffenen Beschäftigten informieren.
Pflichten der Betreiber von Hochrisiko-KI-Systemen (Art. 26 KI-VO)Pflicht
Wer ein Hochrisiko-KI-System einsetzt, trifft eigene Pflichten neben denen des Anbieters — unter anderem zu Eingabedaten, menschlicher Aufsicht, Überwachung und Vorfallmeldung. Die Pflichten greifen mit dem verschobenen Geltungsbeginn für Hochrisiko-Systeme.
Grundrechte-Folgenabschätzung (Art. 27 KI-VO)Pflicht
Einrichtungen des öffentlichen Rechts, private Einrichtungen mit öffentlichen Diensten und Betreiber bestimmter Systeme nach Anhang III Nr. 5 müssen vor Inbetriebnahme eines Hochrisiko-KI-Systems eine Grundrechte-Folgenabschätzung durchführen und deren Ergebnisse der Marktüberwachungsbehörde mitteilen.
Klassifizierungsregeln für Hochrisiko-KI-Systeme (Art. 6 KI-VO)Pflicht
Artikel 6 bestimmt auf zwei Wegen, wann ein KI-System als hochriskant gilt: über Anhang I bei eingebetteten Systemen in regulierten Produkten und über Anhang III bei eigenständigen Systemen.
Anforderungen an eigenständige Hochrisiko-KI-Systeme (Anhang III)Pflicht
Die Pflichten für Hochrisiko-Systeme etwa in Personalauswahl, Kreditvergabe, Bildung und kritischer Infrastruktur wurden um 16 Monate verschoben und greifen erst ab dem 2. Dezember 2027.
Hochrisiko: Beschäftigung und Personalmanagement (Anhang III Nr. 4)Pflicht
KI-Systeme für Einstellung und Auswahl sowie für Entscheidungen über Arbeitsbedingungen, Beförderung, Kündigung, Aufgabenzuweisung und Leistungsbewertung gelten als hochriskant. Erfasst sind auch Plattformtätige.
Hochrisiko: allgemeine und berufliche Bildung (Anhang III Nr. 3)Pflicht
KI-Systeme für Zulassung, Bewertung von Lernergebnissen, Einstufung des Bildungsniveaus und Prüfungsüberwachung gelten als hochriskant — auf allen Ebenen der allgemeinen und beruflichen Bildung.
Hochrisiko: Biometrie (Anhang III Nr. 1)Pflicht
Biometrische Fernidentifizierung, biometrische Kategorisierung nach sensiblen Merkmalen und Emotionserkennung gelten als hochriskant — soweit ihr Einsatz überhaupt zugelassen ist. Die bloße Verifizierung ist ausgenommen.
Hochrisiko: Zugang zu grundlegenden Diensten (Anhang III Nr. 5)Pflicht
KI-Systeme für die Prüfung von Ansprüchen auf öffentliche Leistungen, für Kreditwürdigkeitsprüfung, für Risikobewertung bei Lebens- und Krankenversicherungen sowie für die Notrufbearbeitung gelten als hochriskant. Zwei dieser Bereiche lösen die Grundrechte-Folgenabschätzung aus.
Hochrisiko: kritische Infrastruktur (Anhang III Nr. 2)Pflicht
KI-Systeme als Sicherheitsbauteile bei Verwaltung und Betrieb kritischer digitaler Infrastruktur, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- und Stromversorgung gelten als hochriskant. Von der Grundrechte-Folgenabschätzung ist dieser Bereich ausgenommen.
2. Dezember 2027: Geltungsbeginn der Hochrisiko-Vorschriften für Anhang-III-SystemeFrist
An diesem Tag gelten Kapitel III Abschnitte 1, 2 und 3 der KI-Verordnung für KI-Systeme, die nach Artikel 6 Absatz 2 und Anhang III als hochriskant eingestuft sind. Ausgenommen ist Artikel 6 Absatz 5. Der ursprüngliche Termin war der 2. August 2026.
Verschoben von 2.8.2026
2028
Januar 2028: erste Evaluierung der KI-AufsichtsstrukturFrist
Die Bundesregierung muss die nach dem KI-MIG errichtete Aufsichts- und Behördenstruktur spätestens achtzehn Monate nach Inkrafttreten evaluieren und dem Bundestag berichten. Das Gesetz trat am 29. Juli 2026 in Kraft.
Termin noch nicht verbindlich
Anforderungen an KI in regulierten Produkten (Anhang I)Pflicht
Für KI als Sicherheitsbauteil in Produkten, die bereits unionsrechtlich harmonisiert sind — etwa Medizinprodukte, Aufzüge oder Druckgeräte —, wurde der Geltungsbeginn um ein Jahr auf den 2. August 2028 verschoben.
2. August 2028: Geltungsbeginn der Hochrisiko-Vorschriften für Anhang-I-SystemeFrist
An diesem Tag gelten Kapitel III Abschnitte 1, 2 und 3 der KI-Verordnung für KI-Systeme, die nach Artikel 6 Absatz 1 und Anhang I als hochriskant eingestuft sind — KI als Sicherheitsbauteil in bereits regulierten Produkten. Der ursprüngliche Termin war der 2. August 2027.
Verschoben von 2.8.2027
2029
Juli 2029: Evaluierung der Wirksamkeit der KI-AufsichtFrist
Spätestens drei Jahre nach Inkrafttreten des KI-MIG evaluiert die Bundesregierung die Wirksamkeit der Aufsichtsstruktur — mit fünf im Gesetz benannten Maßstäben, darunter Innovationsfreundlichkeit und Bürokratiearmut.
Termin noch nicht verbindlich
2030
2. August 2030: Sonderfrist für behördlich verwendete BestandssystemeFrist
Für Hochrisiko-KI-Systeme, die bestimmungsgemäß von Behörden verwendet werden sollen, müssen Anbieter und Betreiber die Pflichten in jedem Fall bis zum 2. August 2030 erfüllen.
31. Dezember 2030: Frist für KI-Komponenten in IT-Großsystemen (Anhang X)Frist
KI-Komponenten der europäischen IT-Großsysteme im Raum der Freiheit, der Sicherheit und des Rechts — SIS, VIS, Eurodac, EES, ETIAS, ECRIS-TCN und die Interoperabilitätsrahmen — müssen bis zum 31. Dezember 2030 mit der Verordnung in Einklang gebracht werden, wenn sie vor dem 2. August 2027 in Verkehr gebracht oder in Betrieb genommen wurden.
2026
Transparenzpflichten für KI-Systeme und KI-Inhalte (Art. 50 KI-VO)PflichtIn Kraft
Wer KI-Systeme betreibt, die mit Menschen interagieren oder synthetische Inhalte erzeugen, muss dies seit dem 2. August 2026 offenlegen und Inhalte maschinenlesbar kennzeichnen.
Was die Länder nach dem KI-MIG selbst benennen müssenPflichtIn Kraft
Das KI-MIG überlässt den Ländern drei Benennungen: die Marktüberwachungsbehörden für KI-Systeme eigener Behörden, die Marktüberwachungsbehörden für Mediendienstanbieter und die notifizierenden Behörden für Seilbahnen. Welche Länder das umgesetzt haben, ist nicht öffentlich dokumentiert.
Nationale KI-Aufsicht in Deutschland (KI-MIG)PflichtIn Kraft
Das KI-Marktüberwachungs- und Innovationsförderungsgesetz bestimmt seit dem 29. Juli 2026 die Bundesnetzagentur zur zentralen Marktüberwachungs-, Anlauf- und Beschwerdestelle für die KI-Verordnung.
Wer beaufsichtigt was: die Zuständigkeitsverteilung nach § 2 KI-MIGPflichtIn Kraft
Das KI-MIG verteilt die Marktüberwachung auf acht Fallgruppen. Die Bundesnetzagentur ist nur zuständig, soweit nichts anderes bestimmt ist — und das ist es in sieben Absätzen. Für KI-Systeme öffentlicher Stellen der Länder liegt die Aufsicht bei den Ländern.
Verarbeitung besonderer Kategorien personenbezogener Daten zur Erkennung von Verzerrungen (Art. 4a KI-VO)PflichtIn Kraft
Die Digital-Omnibus-Verordnung fügt einen neuen Artikel 4a ein. Er erlaubt ausnahmsweise die Verarbeitung besonderer Kategorien personenbezogener Daten, soweit dies zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist — unter sechs kumulativen Bedingungen.
Kommission: Leitlinien und FAQ zu den TransparenzpflichtenBehördenpositionIn Kraft
Die Europäische Kommission hat am 20. Juli 2026 die endgültigen Leitlinien zur Umsetzung des Art. 50 KI-VO veröffentlicht — knapp zwei Wochen vor Geltungsbeginn. Sie präzisieren Anwendungsbereich und Ausgestaltung der Hinweise und werden durch einen eigenen Verhaltenskodex ergänzt.
ZAK: KI-Suchmaschinen und Chatbots sind InhalteanbieterBehördenpositionOffen
Die Kommission für Zulassung und Aufsicht der Medienanstalten hat im Juli 2026 erstmals Bescheide gegen Google und Perplexity erlassen und deutsches Medienrecht auf KI-Antworten angewendet.
Verhaltenskodex zur Transparenz KI-generierter InhalteBehördenpositionIn Kraft
Ein zweiter, eigenständiger Verhaltenskodex — nicht zu verwechseln mit dem für Modelle mit allgemeinem Verwendungszweck. Er richtet sich an Anbieter und Betreiber generativer KI-Systeme; bis Ende Juli 2026 haben ihn rund 190 Organisationen unterzeichnet.
LG München I: Google als unmittelbarer Störer für eine fehlerhafte KI-ÜbersichtUrteilOffen
Das Landgericht München I untersagte Google im Eilverfahren, in der Funktion Übersicht mit KI unwahre Tatsachenbehauptungen über zwei Münchner Verlage zu verbreiten, und stufte den Anbieter als unmittelbaren Störer ein. Die Entscheidung ist nicht rechtskräftig.
OLG Hamm: Chatbot-Antworten sind eigene geschäftliche Handlungen des UnternehmensUrteilOffen
Ein KI-Chatbot erfand Facharzttitel für die Geschäftsführer des Unternehmens, das ihn einsetzte. Das Oberlandesgericht Hamm sah darin eine irreführende geschäftliche Handlung nach § 5 UWG und stellte fest, dass ein Chatbot kein Dritter ist. Die Revision zum Bundesgerichtshof ist zugelassen.
EDSA und EDSB: Gemeinsame Stellungnahme 1/2026 zum Digitalen Omnibus zur KIBehördenpositionIn Kraft
Der Europäische Datenschutzausschuss hat gemeinsam mit dem Europäischen Datenschutzbeauftragten am 20. Januar 2026 zum Vorschlag für den Digitalen Omnibus zur KI Stellung genommen. Beide tragen das Ziel der Vereinfachung mit, widersprechen aber der Streichung der Registrierungspflicht, der Abschwächung der KI-Kompetenzpflicht und der Lockerung des Maßstabs für die Verarbeitung besonderer Datenkategorien.
2025
DSK: Reformvorschläge zur DSGVO mit Anpassungen für KIBehördenpositionIn Kraft
Die Datenschutzkonferenz fordert, spezifische Rechtsgrundlagen für Entwicklung, Training und Betrieb von KI-Modellen und KI-Systemen gesetzlich festzulegen, und schlägt eine Informationspflicht in Art. 13 Abs. 2 und Art. 14 Abs. 2 DSGVO sowie eine entsprechende Ergänzung beim Auskunftsrecht vor.
LG München I: Memorisierung von Liedtexten in Sprachmodellen verletzt UrheberrechtUrteilOffen
Das Landgericht München I gab der GEMA gegen zwei Unternehmen der OpenAI-Gruppe im Wesentlichen recht. Das Urteil ist nicht rechtskräftig, OpenAI hat Berufung eingelegt.
DSK: Orientierungshilfe zu generativen KI-Systemen mit RAG-MethodeBehördenpositionIn Kraft
Die Datenschutzkonferenz veröffentlichte im Oktober 2025 eine Orientierungshilfe zu datenschutzrechtlichen Besonderheiten generativer KI-Systeme, die Retrieval Augmented Generation einsetzen.
DSK: Stellungnahme zum Entwurf des KI-DurchführungsgesetzesBehördenpositionEntschieden
Die Datenschutzkonferenz wandte sich im Oktober 2025 gegen die vorgesehene Zuweisung der allgemeinen Aufsichtszuständigkeiten an die Bundesnetzagentur und forderte, datenschutzrechtliche Fragen abschließend den Datenschutzaufsichtsbehörden zuzuweisen.
LG Hamburg: Betreiber muss sich Chatbot-Aussagen wie eigene zurechnen lassenUrteilEntschieden
Ein KI-Chatbot hatte behauptet, ein Verein werde durch Steuergelder finanziert. Das Landgericht Hamburg erließ eine einstweilige Verfügung und stellte fest, dass der Betreiber sich die Aussagen zurechnen lassen muss — allgemeine Hinweise auf die Fehlbarkeit von KI genügen nicht.
LG Frankfurt: Haftung für KI-Suchübersichten ist grundsätzlich möglichUrteilEntschieden
Das Landgericht Frankfurt am Main wies den Eilantrag eines Ärzteverbunds gegen eine KI-Übersicht ab — arbeitete aber sämtliche Voraussetzungen einer Haftung des Suchmaschinenbetreibers heraus. Es ist die erste deutsche Entscheidung zu diesem Format.
Sanktionen und Bußgelder (Art. 99 KI-VO)PflichtIn Kraft
Die Verordnung sieht dreistufige Geldbußen vor: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Millionen oder 3 Prozent bei Verstößen gegen zentrale Akteurspflichten einschließlich der Transparenzpflichten, bis zu 7,5 Millionen oder 1 Prozent bei falschen Auskünften.
DSK: Technische und organisatorische Maßnahmen bei Entwicklung und Betrieb von KI-SystemenBehördenpositionIn Kraft
Die Orientierungshilfe vom Juni 2025 richtet sich vorrangig an Entwickler und Hersteller und beschreibt Anforderungen entlang des Lebenszyklus eines KI-Systems, von der Designphase bis zum Betrieb.
KI-Kompetenz des Personals (Art. 4 KI-VO)PflichtIn Kraft
Anbieter und Betreiber von KI-Systemen müssen sich um die KI-Kompetenz ihres Personals kümmern. Die Digital-Omnibus-Verordnung hat die Pflicht von einer Sicherstellungs- zu einer Förderpflicht abgeschwächt.
Verbotene KI-Praktiken (Art. 5 KI-VO)PflichtIn Kraft
Bestimmte KI-Anwendungen sind in der EU seit dem 2. Februar 2025 untersagt. Zum 2. Dezember 2026 kommen zwei weitere Verbote hinzu.
2024
EDSA: KI-Modelle sind selten anonym (Stellungnahme 28/2024)BehördenpositionIn Kraft
Der Europäische Datenschutzausschuss hält fest, dass mit personenbezogenen Daten trainierte KI-Modelle regelmäßig dem Datenschutzrecht unterliegen, und benennt Maßstäbe für Anonymität und berechtigtes Interesse.
DSK: Orientierungshilfe Künstliche Intelligenz und DatenschutzBehördenpositionIn Kraft
Die Datenschutzkonferenz veröffentlichte im Mai 2024 eine Orientierungshilfe für Verantwortliche zur Auswahl, Implementierung und Nutzung von KI-Systemen. Sie ist an einen typischen Entscheidungsprozess bei der Einführung neuer Anwendungssysteme angelehnt.
LG Kiel: Portalbetreiber haftet für Falschangabe seiner KIUrteilEntschieden
Ein Online-Portal behauptete aufgrund eines KI-Fehlers, ein Unternehmen sei wegen Vermögenslosigkeit aus dem Handelsregister gelöscht worden. Das Landgericht Kiel entschied zugunsten des Unternehmens — die früheste der hier erfassten deutschen Entscheidungen zur Haftung für KI-Ausgaben.
ArbG Hamburg: keine Mitbestimmung bei bloßer Erlaubnis der ChatGPT-NutzungUrteilEntschieden
Das Arbeitsgericht Hamburg wies im Januar 2024 die Eilanträge eines Konzernbetriebsrats zurück. Der Arbeitgeber hatte die Nutzung von KI-Systemen über private Zugänge lediglich erlaubt, nicht vorgeschrieben, und die Systeme nicht auf eigener Hardware installiert.
2021
KI im Betriebsverfassungsgesetz (§§ 80, 90, 95 BetrVG)PflichtIn Kraft
Das Betriebsrätemodernisierungsgesetz hat den Begriff der Künstlichen Intelligenz 2021 an drei Stellen im BetrVG verankert: bei der Hinzuziehung von Sachverständigen, bei der Unterrichtung über Planungen und bei Auswahlrichtlinien. Den Begriff der Künstlichen Intelligenz in § 87 BetrVG hat es dagegen nicht eingefügt.
Mitbestimmung des Betriebsrats bei der Einführung von KI-Systemen (§ 87 BetrVG)PflichtIn Kraft
Ob der Betriebsrat bei der Einführung eines KI-Systems mitzubestimmen hat, richtet sich nach § 87 Abs. 1 BetrVG. Maßgeblich ist insbesondere Nummer 6, wonach die technische Einrichtung zur Überwachung von Verhalten oder Leistung bestimmt sein muss.