Fristen für Öffentliche Verwaltung
Termine, die Behörden und die öffentliche Verwaltung betreffen — wann Pflichten aus dem AI Act in Kraft treten, Fristen ablaufen und Konsultationen laufen.
2026
läuft
EDSA: Leitlinien 02/2026 zur AnonymisierungBehördenpositionOffen
Der Europäische Datenschutzausschuss hat am 7. Juli 2026 erstmals seit 2014 Leitlinien zur Anonymisierung vorgelegt. Sie folgen einem relativen Ansatz: Derselbe Datenbestand kann für die eine Stelle personenbezogen und für die andere anonym sein.
30. Oktober 2026: Ende der EDSA-Konsultation zu Web Scraping und AnonymisierungFrist
Bis zu diesem Tag können Stellungnahmen zu den Leitlinien 03/2026 zum Web Scraping und zu den Leitlinien zur Anonymisierung eingereicht werden.
2. Dezember 2026: Umsetzungsfrist der PlattformarbeitsrichtlinieFrist
Bis zu diesem Tag müssen die Mitgliedstaaten die Rechts- und Verwaltungsvorschriften in Kraft setzen, die zur Umsetzung der Richtlinie (EU) 2024/2831 erforderlich sind.
2027
31. März 2027: erster Tätigkeitsbericht der KI-MarktüberwachungskammerFrist
Die unabhängige KI-Marktüberwachungskammer bei der Bundesnetzagentur legt dem Bundestag jährlich einen Tätigkeitsbericht vor. Der erste betrifft das Jahr 2026 und ist bis zum 31. März 2027 zu übermitteln.
1. August 2027: Leitlinien zur Vermeidung von Doppelarbeit bei Anhang-I-SystemenFrist
Bis zu diesem Tag veröffentlicht die Kommission Leitlinien, die Wirtschaftsakteuren zeigen, wie sie die KI-spezifischen Anforderungen in bestehende Risiko- und Qualitätsmanagementsysteme einfügen können — statt sie doppelt zu führen.
2. August 2027: Delegierte Rechtsakte zur Beschränkung von Anforderungen bei DoppelregulierungFrist
Bis zu diesem Tag erlässt die Kommission delegierte Rechtsakte, die festlegen, welche Anforderungen der KI-Verordnung beschränkt werden können, wenn sektorales Produktrecht bereits ein gleichwertiges Schutzniveau bietet.
2. September 2027: Leitlinien zum Plan für die Beobachtung nach dem InverkehrbringenFrist
Bis zu diesem Tag nimmt die Kommission Leitlinien samt Muster für den Plan zur Beobachtung nach dem Inverkehrbringen an. Das zuvor vorgesehene verbindliche Muster per Durchführungsrechtsakt entfällt — Anbieter erhalten mehr Gestaltungsspielraum.
Die acht Anforderungen an Hochrisiko-KI-Systeme (Art. 8 bis 15 KI-VO)Pflicht
Kapitel III Abschnitt 2 der KI-Verordnung legt fest, was ein Hochrisiko-KI-System können muss: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, Transparenz gegenüber Betreibern, menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit.
Informationspflicht gegenüber Beschäftigten und deren Vertretung (Art. 26 Abs. 7 KI-VO)Pflicht
Betreiber, die Arbeitgeber sind, müssen vor Inbetriebnahme eines Hochrisiko-KI-Systems am Arbeitsplatz die Arbeitnehmervertretung und die betroffenen Beschäftigten informieren.
Pflichten der Betreiber von Hochrisiko-KI-Systemen (Art. 26 KI-VO)Pflicht
Wer ein Hochrisiko-KI-System einsetzt, trifft eigene Pflichten neben denen des Anbieters — unter anderem zu Eingabedaten, menschlicher Aufsicht, Überwachung und Vorfallmeldung. Die Pflichten greifen mit dem verschobenen Geltungsbeginn für Hochrisiko-Systeme.
Grundrechte-Folgenabschätzung (Art. 27 KI-VO)Pflicht
Einrichtungen des öffentlichen Rechts, private Einrichtungen mit öffentlichen Diensten und Betreiber bestimmter Systeme nach Anhang III Nr. 5 müssen vor Inbetriebnahme eines Hochrisiko-KI-Systems eine Grundrechte-Folgenabschätzung durchführen und deren Ergebnisse der Marktüberwachungsbehörde mitteilen.
Klassifizierungsregeln für Hochrisiko-KI-Systeme (Art. 6 KI-VO)Pflicht
Artikel 6 bestimmt auf zwei Wegen, wann ein KI-System als hochriskant gilt: über Anhang I bei eingebetteten Systemen in regulierten Produkten und über Anhang III bei eigenständigen Systemen.
Anforderungen an eigenständige Hochrisiko-KI-Systeme (Anhang III)Pflicht
Die Pflichten für Hochrisiko-Systeme etwa in Personalauswahl, Kreditvergabe, Bildung und kritischer Infrastruktur wurden um 16 Monate verschoben und greifen erst ab dem 2. Dezember 2027.
Hochrisiko: allgemeine und berufliche Bildung (Anhang III Nr. 3)Pflicht
KI-Systeme für Zulassung, Bewertung von Lernergebnissen, Einstufung des Bildungsniveaus und Prüfungsüberwachung gelten als hochriskant — auf allen Ebenen der allgemeinen und beruflichen Bildung.
Hochrisiko: Biometrie (Anhang III Nr. 1)Pflicht
Biometrische Fernidentifizierung, biometrische Kategorisierung nach sensiblen Merkmalen und Emotionserkennung gelten als hochriskant — soweit ihr Einsatz überhaupt zugelassen ist. Die bloße Verifizierung ist ausgenommen.
Hochrisiko: Zugang zu grundlegenden Diensten (Anhang III Nr. 5)Pflicht
KI-Systeme für die Prüfung von Ansprüchen auf öffentliche Leistungen, für Kreditwürdigkeitsprüfung, für Risikobewertung bei Lebens- und Krankenversicherungen sowie für die Notrufbearbeitung gelten als hochriskant. Zwei dieser Bereiche lösen die Grundrechte-Folgenabschätzung aus.
Hochrisiko: kritische Infrastruktur (Anhang III Nr. 2)Pflicht
KI-Systeme als Sicherheitsbauteile bei Verwaltung und Betrieb kritischer digitaler Infrastruktur, des Straßenverkehrs oder der Wasser-, Gas-, Wärme- und Stromversorgung gelten als hochriskant. Von der Grundrechte-Folgenabschätzung ist dieser Bereich ausgenommen.
Hochrisiko: Migration, Asyl und Grenzkontrolle (Anhang III Nr. 7)Pflicht
KI-Systeme als Lügendetektoren, zur Risikobewertung einreisender Personen, zur Unterstützung bei der Prüfung von Asyl- und Visumanträgen und zur Identifizierung natürlicher Personen gelten als hochriskant. Die Überprüfung von Reisedokumenten ist ausgenommen.
Hochrisiko: Rechtspflege und demokratische Prozesse (Anhang III Nr. 8)Pflicht
KI-Systeme zur Unterstützung von Justizbehörden bei der Rechtsanwendung und Systeme zur Beeinflussung von Wahlergebnissen oder Wahlverhalten gelten als hochriskant. Rein organisatorische Kampagnenwerkzeuge sind ausgenommen.
Hochrisiko: Strafverfolgung (Anhang III Nr. 6)Pflicht
KI-Systeme zur Risikobewertung von Personen, als Lügendetektoren, zur Bewertung der Verlässlichkeit von Beweismitteln und zur Erstellung von Profilen gelten im Bereich der Strafverfolgung als hochriskant — soweit ihr Einsatz zugelassen ist.
2. Dezember 2027: Geltungsbeginn der Hochrisiko-Vorschriften für Anhang-III-SystemeFrist
An diesem Tag gelten Kapitel III Abschnitte 1, 2 und 3 der KI-Verordnung für KI-Systeme, die nach Artikel 6 Absatz 2 und Anhang III als hochriskant eingestuft sind. Ausgenommen ist Artikel 6 Absatz 5. Der ursprüngliche Termin war der 2. August 2026.
Verschoben von 2.8.2026
2028
28. Januar 2028: Benennungsantrag bereits notifizierter Stellen nach der KI-VerordnungFrist
Stellen, die bereits nach dem sektoralen Produktrecht des Anhangs I Abschnitt A notifiziert sind, müssen bis zu diesem Tag zusätzlich ihre Benennung nach der KI-Verordnung beantragen. Der Termin betrifft nicht Stellen, die erstmals eine Notifizierung anstreben.
Januar 2028: erste Evaluierung der KI-AufsichtsstrukturFrist
Die Bundesregierung muss die nach dem KI-MIG errichtete Aufsichts- und Behördenstruktur spätestens achtzehn Monate nach Inkrafttreten evaluieren und dem Bundestag berichten. Das Gesetz trat am 29. Juli 2026 in Kraft.
Termin noch nicht verbindlich
2029
Juli 2029: Evaluierung der Wirksamkeit der KI-AufsichtFrist
Spätestens drei Jahre nach Inkrafttreten des KI-MIG evaluiert die Bundesregierung die Wirksamkeit der Aufsichtsstruktur — mit fünf im Gesetz benannten Maßstäben, darunter Innovationsfreundlichkeit und Bürokratiearmut.
Termin noch nicht verbindlich
2030
2. August 2030: Sonderfrist für behördlich verwendete BestandssystemeFrist
Für Hochrisiko-KI-Systeme, die bestimmungsgemäß von Behörden verwendet werden sollen, müssen Anbieter und Betreiber die Pflichten in jedem Fall bis zum 2. August 2030 erfüllen.
31. Dezember 2030: Frist für KI-Komponenten in IT-Großsystemen (Anhang X)Frist
KI-Komponenten der europäischen IT-Großsysteme im Raum der Freiheit, der Sicherheit und des Rechts — SIS, VIS, Eurodac, EES, ETIAS, ECRIS-TCN und die Interoperabilitätsrahmen — müssen bis zum 31. Dezember 2030 mit der Verordnung in Einklang gebracht werden, wenn sie vor dem 2. August 2027 in Verkehr gebracht oder in Betrieb genommen wurden.
2026
Was die Länder nach dem KI-MIG selbst benennen müssenPflichtIn Kraft
Das KI-MIG überlässt den Ländern drei Benennungen: die Marktüberwachungsbehörden für KI-Systeme eigener Behörden, die Marktüberwachungsbehörden für Mediendienstanbieter und die notifizierenden Behörden für Seilbahnen. Welche Länder das umgesetzt haben, ist nicht öffentlich dokumentiert.
Nationale KI-Aufsicht in Deutschland (KI-MIG)PflichtIn Kraft
Das KI-Marktüberwachungs- und Innovationsförderungsgesetz bestimmt seit dem 29. Juli 2026 die Bundesnetzagentur zur zentralen Marktüberwachungs-, Anlauf- und Beschwerdestelle für die KI-Verordnung.
Wer beaufsichtigt was: die Zuständigkeitsverteilung nach § 2 KI-MIGPflichtIn Kraft
Das KI-MIG verteilt die Marktüberwachung auf acht Fallgruppen. Die Bundesnetzagentur ist nur zuständig, soweit nichts anderes bestimmt ist — und das ist es in sieben Absätzen. Für KI-Systeme öffentlicher Stellen der Länder liegt die Aufsicht bei den Ländern.
Verarbeitung besonderer Kategorien personenbezogener Daten zur Erkennung von Verzerrungen (Art. 4a KI-VO)PflichtIn Kraft
Die Digital-Omnibus-Verordnung fügt einen neuen Artikel 4a ein. Er erlaubt ausnahmsweise die Verarbeitung besonderer Kategorien personenbezogener Daten, soweit dies zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist — unter sechs kumulativen Bedingungen.
BSI und ProPK: Cybersicherheitsmonitor 2026BehördenpositionIn Kraft
Die jährliche Bürgerbefragung von BSI und Polizeilicher Kriminalprävention hat 2026 den Schwerpunkt Online-Betrug und Künstliche Intelligenz. Jede zehnte Person war allein im Vorjahr von einer Straftat im Internet betroffen; 47 Prozent halten sich für fähig, KI-generierte Inhalte zu erkennen.
DSK: Forderung nach gesetzlicher Regelung für das Polizeiprojekt P20-DatenhausBehördenpositionOffen
Die Datenschutzkonferenz hat im Januar 2026 klare gesetzliche Grundlagen für den Betrieb des P20-Datenhauses gefordert.
EDSA und EDSB: Gemeinsame Stellungnahme 1/2026 zum Digitalen Omnibus zur KIBehördenpositionIn Kraft
Der Europäische Datenschutzausschuss hat gemeinsam mit dem Europäischen Datenschutzbeauftragten am 20. Januar 2026 zum Vorschlag für den Digitalen Omnibus zur KI Stellung genommen. Beide tragen das Ziel der Vereinfachung mit, widersprechen aber der Streichung der Registrierungspflicht, der Abschwächung der KI-Kompetenzpflicht und der Lockerung des Maßstabs für die Verarbeitung besonderer Datenkategorien.
2025
DSK: Reformvorschläge zur DSGVO mit Anpassungen für KIBehördenpositionIn Kraft
Die Datenschutzkonferenz fordert, spezifische Rechtsgrundlagen für Entwicklung, Training und Betrieb von KI-Modellen und KI-Systemen gesetzlich festzulegen, und schlägt eine Informationspflicht in Art. 13 Abs. 2 und Art. 14 Abs. 2 DSGVO sowie eine entsprechende Ergänzung beim Auskunftsrecht vor.
DSK: Stellungnahme zum Entwurf des KI-DurchführungsgesetzesBehördenpositionEntschieden
Die Datenschutzkonferenz wandte sich im Oktober 2025 gegen die vorgesehene Zuweisung der allgemeinen Aufsichtszuständigkeiten an die Bundesnetzagentur und forderte, datenschutzrechtliche Fragen abschließend den Datenschutzaufsichtsbehörden zuzuweisen.
DSK: Automatisierte Datenanalyse durch Polizeibehörden verfassungskonform gestaltenBehördenpositionOffen
Die Datenschutzkonferenz fordert spezifische Rechtsgrundlagen für komplexe Datenanalyseverfahren bei der Polizei. Sie verweist auf die Vorgaben des Bundesverfassungsgerichts und sieht im Projekt P20 die Möglichkeit quelloffener Lösungen.
Modelle mit systemischem Risiko: Einstufung und zusätzliche Pflichten (Art. 51, 52 und 55 KI-VO)PflichtIn Kraft
Die KI-Verordnung kennt eine eigene Kategorie für die leistungsfähigsten Modelle. Wer ein solches anbietet, muss es mit Angriffstests bewerten, systemische Risiken auf Unionsebene mindern, für Cybersicherheit sorgen und schwerwiegende Vorfälle unverzüglich dem Büro für Künstliche Intelligenz melden.
Öffentliche Zusammenfassung der Trainingsinhalte (Art. 53 Abs. 1 lit. d KI-VO)PflichtIn Kraft
Anbieter von KI-Modellen mit allgemeinem Verwendungszweck müssen eine hinreichend detaillierte Zusammenfassung der Trainingsinhalte veröffentlichen — nach einer verbindlichen Vorlage des Büros für Künstliche Intelligenz vom 24. Juli 2025. Die Pflicht trifft auch Anbieter quelloffener Modelle.
2. August 2025: Frist zur Benennung nationaler BehördenFristAufgehoben
Bis zu diesem Tag mussten die Mitgliedstaaten mindestens eine notifizierende und eine Marktüberwachungsbehörde benennen sowie Sanktionsvorschriften erlassen. Deutschland hat die Frist verfehlt.
Verhaltenskodex für KI-Modelle mit allgemeinem VerwendungszweckBehördenpositionIn Kraft
Die Kommission veröffentlichte am 10. Juli 2025 einen freiwilligen Verhaltenskodex, mit dem Anbieter von GPAI-Modellen die Einhaltung der Art. 53 und 55 KI-VO nachweisen können. Die Kommission führt die Unterzeichnerliste öffentlich und schreibt sie laufend fort.
KI-Kompetenz des Personals (Art. 4 KI-VO)PflichtIn Kraft
Anbieter und Betreiber von KI-Systemen müssen sich um die KI-Kompetenz ihres Personals kümmern. Die Digital-Omnibus-Verordnung hat die Pflicht von einer Sicherstellungs- zu einer Förderpflicht abgeschwächt.
Verbotene KI-Praktiken (Art. 5 KI-VO)PflichtIn Kraft
Bestimmte KI-Anwendungen sind in der EU seit dem 2. Februar 2025 untersagt. Zum 2. Dezember 2026 kommen zwei weitere Verbote hinzu.
2024
EDSA: KI-Modelle sind selten anonym (Stellungnahme 28/2024)BehördenpositionIn Kraft
Der Europäische Datenschutzausschuss hält fest, dass mit personenbezogenen Daten trainierte KI-Modelle regelmäßig dem Datenschutzrecht unterliegen, und benennt Maßstäbe für Anonymität und berechtigtes Interesse.
DSK: Orientierungshilfe Künstliche Intelligenz und DatenschutzBehördenpositionIn Kraft
Die Datenschutzkonferenz veröffentlichte im Mai 2024 eine Orientierungshilfe für Verantwortliche zur Auswahl, Implementierung und Nutzung von KI-Systemen. Sie ist an einen typischen Entscheidungsprozess bei der Einführung neuer Anwendungssysteme angelehnt.