EU AI Act Compliance: 12-Monats-Roadmap bis Dezember 2027

1. Status EU AI Act 05/2026 + Digital-Omnibus-Vorschlag

Die KI-VO (Verordnung (EU) 2024/1689) ist seit 01.08.2024 in Kraft. Die Anwendung erfolgt phasenweise. Die EU-Kommission hat am 19.11.2025 den Digital-Omnibus-Vorschlag vorgestellt — Stand 02.05.2026 läuft der Trilog, eine Verschiebung der Hochrisiko-Fristen ist NICHT beschlossen. Geltend ist:

2. Phase 1 (JETZT): AI Literacy + Verbote

Seit 02.02.2025 in Kraft — keine Übergangsfrist mehr.

• Art. 4 AI Literacy: Schulung aller Personen, die mit KI in Berührung kommen. Inhalte: KI-Definition, Risikoklassen, verbotene Praktiken, Transparenzpflichten, menschliche Aufsicht. Mit Quiz und Zertifikat.
• Art. 5 Verbote: 8 Hauptkategorien — Manipulation, Vulnerabilitäts-Ausnutzung, Social Scoring, Echtzeit-Biometrie öffentlich, Predictive Policing, Bilddatenbanken durch wahlloses Scraping, Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung. Bußgeld bis 35 Mio. EUR / 7 %.

3. Phase 2 (08/2026): Transparenz + FRIA

Kurzantwort: Ab 02.08.2026 greifen zwei zentrale Pflichten: Art. 50 verlangt maschinenlesbare Kennzeichnung KI-generierter Audio-, Video-, Bild- und Text-Inhalte, ausdrückliche Deepfake-Offenlegung sowie KI-Hinweise bei Chatbots. Art. 27 fordert eine FRIA für öffentliche Stellen und Privatakteure mit öffentlichen Aufgaben — insbesondere Kreditscoring (Anhang III Nr. 5b) und Lebens-/KV-Scoring (Nr. 5c).

Ab 02.08.2026:

• Art. 50 Transparenz: KI-generierte Audio/Video/Bild/Text müssen als KI-erzeugt kennzeichenbar sein (maschinenlesbar). Deepfakes: ausdrücklich offengelegt. Chatbots: KI-Hinweis.
• Art. 27 FRIA: für öffentliche Stellen + private mit öffentlichen Aufgaben (Kreditscoring nach Anhang III Nr. 5b, Lebens-/Krankenversicherungs-Scoring nach 5c). Inhalt: Beschreibung des KI-Einsatzes, betroffene Personen, Risiken für Grundrechte, Schutzmaßnahmen.

4. Phase 3 (Hochrisiko-KI Anhang III ab 02.08.2026)

Ab 02.08.2026 (rechtsverbindlich; Vorschlag Digital Omnibus 19.11.2025: Verschiebung auf 02.12.2027 — Trilog läuft, noch nicht beschlossen):

• Risikomanagement-System (Art. 9)
• Data-Governance-Konzept (Art. 10)
• Technische Dokumentation Anhang IV (Art. 11)
• Logging-Konzept (Art. 12)
• Transparenz gegenüber Betreibern (Art. 13)
• Menschliche Aufsicht (Art. 14)
• Genauigkeit / Robustheit / Cybersecurity (Art. 15)
• QMS-Handbuch (Art. 17, nur Anbieter)
• Konformitätsbewertung (Art. 43)
• EU-Datenbank-Eintrag (Art. 49)
• Post-Market-Monitoring (Art. 72)
• Incident Response (Art. 73)

5. KI-System-Inventar — der Startpunkt

Kurzantwort: Jede EU-AI-Act-Compliance startet mit einem KI-System-Inventar. Pro System sind sechs Felder zu erfassen: Name und Anbieter, Use Case, Rolle (Anbieter/Betreiber/beides), Risikoklasse (verboten nach Art. 5 / Hochrisiko nach Anhang III / GPAI / minimal), verarbeitete Datenarten inklusive besonderer Kategorien sowie Verantwortliche für Aufsicht und Eskalation.

Pro KI-System dokumentieren:

1. Name + Anbieter: ChatGPT/Microsoft Copilot/eigene Lösung
2. Use Case: Marketing-Texte, HR-Screening, Code-Generation
3. Rolle: Anbieter / Betreiber / beides
4. Risikoklasse: verboten (Art. 5) / Hochrisiko (Anhang III) / GPAI / minimal
5. Datenarten: Welche personenbezogenen / besondere Kategorien?
6. Aufsicht: Wer überwacht? Welche Eskalation?

6. Anbieter vs. Betreiber

Kurzantwort: Anbieter entwickeln oder bringen ein KI-System in Verkehr und tragen die Hauptpflichten (Konformitätsbewertung, Tech-Doku Anhang IV, EU-DB-Eintrag, Risikomanagement); rund 10 % der KMU sind Anbieter. Betreiber nutzen ein KI-System unter eigener Verantwortung (~90 % der KMU) und müssen bestimmungsgemäße Nutzung sicherstellen, Eingabedaten-Relevanz prüfen, Logs aufbewahren und ggf. eine FRIA durchführen. Bei substantial modification (Art. 25) wechselt der Betreiber in die Anbieter-Rolle.

7. 12-Monats-Aktionsplan

Kurzantwort: Der 12-Monats-Plan startet mit KI-Inventar, Art.-5-Screening und AI-Literacy-Schulung (Monat 1-2), gefolgt von Acceptable Use Policy (M3), GPAI-Compliance-Prüfung (M4-5), Art.-50-Transparenz-Workflow (M6), FRIA für Kreditscoring/öffentliche Aufgaben (M7), Risikomanagement-System nach Art. 9 sofern Anbieter (M8-9), Tech-Doku Anhang IV (M10-11) und Audit-Simulation plus GF-Briefing zur 12/2027-Bereitschaft (M12).

8. Budget & Aufwand

Kurzantwort: Der Aufwand skaliert mit der Rolle: Reine Betreiber im KMU-Segment liegen bei rund 0,2 FTE über 4 Monate (5.000-20.000 EUR plus Schulung), Hochrisiko-Betreiber bei 0,5 FTE × 6 Monate (zusätzlich 15.000-40.000 EUR), Hochrisiko-Anbieter bei 1 FTE × 12 Monate inkl. Konformitätsbewertung (50.000-200.000 EUR) und GPAI-Anbieter bei 2-5 FTE × 12 Monate (250.000-1.000.000 EUR).