Zwanzig Tage. So lange lag zwischen der Veröffentlichung der KI-Verordnung im Amtsblatt der EU und ihrem tatsächlichen Inkrafttreten – eine Randnotiz, die in kaum einem Fristenkalender zum EU AI Act auftaucht, weil sie unwichtig wirkt. Sie ist es nicht: Wer diesen Startpunkt nicht kennt, verrechnet sich bei den Übergangsfristen 2026 leicht um Wochen. Die Verordnung (EU) 2024/1689 wurde am 12. Juli 2024 veröffentlicht und trat am 1. August 2024 in Kraft. Von diesem Stichtag aus zählen sämtliche Fristen 2026, die jetzt für die Compliance im Mittelstand akut werden – und ohne dokumentierte KI-Kompetenz in der Belegschaft lässt sich keine einzige davon sauber erfüllen.
Der Fristenkalender des EU AI Act in vier Etappen
Die Verordnung tritt nicht an einem einzigen Tag vollständig in Kraft, sondern gestaffelt – und genau diese Staffelung sorgt in Geschäftsführungssitzungen regelmäßig für Verwirrung. Ab dem 2. Februar 2025 galten die verbotenen Praktiken nach Art. 5 sowie die Anforderungen an die KI-Kompetenz nach Art. 4. Zum 2. August 2025 folgten die Governance-Vorschriften und die Pflichten für Anbieter von Modellen mit allgemeinem Verwendungszweck (GPAI). Der 2. August 2026 bringt die vollständige Anwendung der Verordnung inklusive der Hochrisiko-Pflichten aus Anhang III. Ein vierter Termin fehlt in den meisten Fristenkalendern schlicht: Für Hochrisiko-Systeme, die als Sicherheitskomponente in bereits regulierten Produkten stecken – Maschinen, Medizintechnik, Aufzüge –, gilt erst der 2. August 2027 nach Art. 6 Abs. 1 in Verbindung mit Anhang I.
Die Februar-Frist wirkt noch heute nach
Mandanten fragen mich regelmäßig, ob die Februar-Frist inzwischen erledigt sei, weil sie ja schon eine Weile zurückliegt. Ist sie nicht: Die Pflicht zur KI-Kompetenz ist keine einmalige Maßnahme, sondern eine fortlaufende Verpflichtung, die mit jedem neuen KI-Tool im Unternehmen erneut greift. Was ein angemessenes Maß an KI-Kompetenz konkret verlangt, habe ich in einem eigenen Beitrag zu Art. 4 KI-VO aufgeschlüsselt; an dieser Stelle zählt nur, dass die Uhr seit 2025 läuft und nicht neu startet, sobald ein weiteres System eingeführt wird. In einem Workshop bei einem mittelständischen Zulieferer brachte der IT-Leiter Art. 4 nach einer einzigen Erklärung so präzise auf den Punkt, dass ich fragte, wie er das im Sinne der Compliance-Anforderung dokumentiert – die Antwort war ein einfaches Protokoll mit Datum, Teilnehmerliste und Verständnisfragen. Genau diese Kombination verlangen Prüfer, kein Zertifikat mit Hochglanz-Logo.
Hochrisiko-Systeme haben ab August 2026 keine Schonfrist mehr
Für Anhang-III-Systeme – Personalmanagement, kritische Infrastruktur, Bildung, Strafverfolgung – endet am 2. August 2026 jede Übergangsregelung, und welche Software im Einzelfall darunterfällt, ist ein eigenes Thema, das ich an anderer Stelle mit Beispielen aus dem Mittelstand durchgehe. Otto Wesseler, Geschäftsführer eines Logistikunternehmens im Rhein-Ruhr-Korridor, meldete sich bei mir, nachdem eine interne Revision ergeben hatte, dass die Routenoptimierung seiner Disponenten ohne jede formale Risikoklassifizierung lief. Erst als ich ihm vorrechnete, in welche Bußgeldkategorie ein unklassifiziertes Hochrisiko-System fallen kann, wurde ihm die Dringlichkeit klar – Zahlen überzeugen ihn schneller als Paragraphenverweise.
Erst die Rolle klären, dann den Kalender lesen
Ob eine Frist Sie als Anbieter oder als Betreiber trifft, hängt davon ab, wie tief Sie in ein bestehendes KI-System eingreifen – ein Thema, das ich an anderer Stelle im Detail auflöse. Für Zulieferer in Lieferketten kommt eine zusätzliche Verschärfung hinzu: Auftraggeber verlangen ab 2026 eigene Compliance-Nachweise von ihren Zulieferern, unabhängig von der Mindestfrist der Verordnung selbst, und wie diese Weitergabe der Pflicht entlang der Lieferkette im Detail funktioniert, ist ebenfalls ein eigenes Thema. Wer zusätzlich mit Marketing oder Vertrieb arbeitet, sollte die Transparenzpflichten für KI-generierte Inhalte im Kundenkontakt nicht erst im Sommer 2026 zum ersten Mal nachlesen.
Dokumentation und Kosten: Was Prüfer wirklich sehen wollen
Ludwig Sachse, ein früherer Kollege, der heute als Projektleiter bei einem Prüf- und Zertifizierungsdienstleister arbeitet, lässt Schulungsnachweise ohne überprüfbare Dokumentationsausgabe grundsätzlich nicht durchgehen – kein Teilnahme-PDF, sondern ein Beleg, wer wann was gelernt und verstanden hat. Wie diese Dokumentationspflichten im Detail aussehen und wie Sie sie effizient statt bürokratisch abbilden, ist ein eigenes Thema, das mehr Raum braucht als ein Absatz hier. Zur Kostenfrage kann ich an dieser Stelle nur so viel sagen: Ein belastbarer Vergleich der Kosten pro Mitarbeiter unterscheidet sich je nach Schulungsform so stark, dass eine pauschale Zahl in einem Fristenartikel mehr verschleiert als sie klärt. Wo im Unternehmen zusätzlich ein betrieblicher Datenschutzbeauftragter aktiv ist, überschneiden sich die Themen KI-Kompetenz und Datenschutz an mehr Stellen, als den meisten IT-Leitern bewusst ist.
Haftung und Bußgeld: Was auf dem Spiel steht
Bußgelder von bis zu 35 Millionen Euro oder 7 % des Jahresumsatzes klingen abstrakt, bis ein Kunde konkret nach dem Compliance-Zertifikat fragt und keines vorliegt. Wie genau sich dieses Risiko auf die Geschäftsführung persönlich auswirkt, habe ich in einem eigenen Beitrag zur Haftung der Geschäftsführung vermeiden aufgearbeitet – hier reicht der Hinweis, dass Unwissenheit vor Gericht kein Argument ist. Wer die Verordnungstexte ausschließlich in der deutschen Übersetzung liest, verliert an einigen Stellen Nuancen, die im Streitfall relevant werden können, und ob sich die Arbeit mit dem englischen Original für Ihre Branche lohnt, ist eine eigene Abwägung wert. Selbst nach Jahren mit der Verordnung gibt es Formulierungen bei der Abgrenzung zwischen wesentlicher Änderung und normaler Wartung, die auch erfahrene Berater ins Grübeln bringen.
Sollten Sie Schulungen intern aufbauen oder einkaufen?
Bevor Sie diese Frage beantworten, eine Warnung aus der Praxis: Ein Mandant beauftragte vor der Februar-Frist eine Rechtsanwaltskanzlei mit der Vorbereitung und erhielt ein sauberes juristisches Gutachten, aber keinen einzigen umsetzbaren Schulungsplan für die Belegschaft – das Gutachten landete im Aktenordner, während die Mitarbeiter weiter ohne Anleitung mit den Tools arbeiteten. Ob interne oder externe Expertise für Ihr Unternehmen sinnvoller ist, hängt von Unternehmensgröße und vorhandenem Know-how ab und verdient eine eigene, ehrliche Abwägung.
Wenn Sie extern einkaufen, prüfen Sie Anbieter nach denselben Kriterien wie jeden anderen Compliance-Dienstleister – eine Checkliste dafür erspart Ihnen die Erfahrung, erst nach Vertragsschluss zu merken, dass der Anbieter nur oberflächliches Basiswissen liefert. Manche Anbieter verkaufen einen zweistündigen 'AI-Act-Crashkurs' als vollständige Schulung, das reicht für die Pflicht nach Art. 4 nicht annähernd aus, egal wie professionell die Landingpage aussieht. Ob E-Learning oder Präsenz-Workshop die passende Form ist, hängt von Unternehmensgröße und Lerntyp der Belegschaft ab und ist eine Abwägung, die ich an anderer Stelle vertieft habe. Es stellt sich zudem oft die Frage, ob man auf einen Standard KI-Führerschein oder Individualschulung: Vergleich für KMU setzen sollte; meine Erfahrung zeigt, dass ein Standard-Zertifikat für die allgemeine Belegschaft reicht, während IT und Fachabteilungen tiefere Workshops brauchen. Existiert ein Betriebsrat, ist die Wahl der Schulungsform zusätzlich ein Mitbestimmungsthema, keine reine Geschäftsführungsentscheidung.
Der Fahrplan endet nicht im August 2026
Der 2. August 2026 ist der lauteste Termin im Kalender, aber nicht der letzte. Für produktintegrierte Hochrisiko-Systeme läuft die Uhr bis 2027 weiter, und die Pflicht zur KI-Kompetenz aus dem Februar 2025 bleibt dauerhaft bestehen, nicht nur bis zu einem Stichtag. Nehmen Sie den Fristenkalender als das, was er ist: eine Abfolge von Kontrollpunkten, an denen Sie belegen müssen, dass Ihre KI-Systeme klassifiziert, dokumentiert und Ihre Mitarbeiter geschult sind – keine einmalige Hürde, die nach dem Überspringen erledigt ist. Wer jetzt beginnt, sein KI-Inventar vollständig zu listen und gegen Anhang III zu prüfen, hat bis zum nächsten Stichtag echten Handlungsspielraum statt Zeitdruck.