Seit dem 2. August 2025 gelten die GPAI-Pflichten des EU AI Acts verbindlich; Hochrisiko-KI-Systeme folgen gestaffelt ab August 2026 und 2027. Führende Wirtschaftsverbände fordern unter dem Label „EU AI Champions Initiative“ ein zweijähriges Aussetzen dieser Fristen. Für Anbieter kleiner Sprachmodelle und GPAI-Systeme ist die Uhr bereits abgelaufen: Konformität ist seit August 2025 Pflicht. Der freiwillige KI-Verhaltenskodex entlastet nur bedingt, denn wer ihn ignoriert, muss seine Regelkonformität anderweitig lückenlos belegen. Unternehmen, die noch keine Implementierungsroadmap besitzen, riskieren Wettbewerbsnachteile gegenüber etablierten US-Anbietern, auf die viele Geschäftsleitungen laut Branchenbeobachtern bereits ausweichen.

EU AI Act 2025: Was GPAI-Anbieter und Hochrisiko-KI-Betreiber jetzt konkret umsetzen müssen

Ab dem 2. August 2025 gelten die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) verbindlich. Die Anforderungen an Hochrisiko-KI-Systeme folgen gestaffelt zum 2. August 2026 und 2. August 2027. Europas Wirtschaft steht damit vor einer mehrstufigen Implementierungsroadmap, deren Komplexität und Kosten unter Unternehmen zunehmend offen diskutiert werden.

Zeitplan: Drei Phasen bis zur Vollimplementierung

Der AI Act ist am 1. August 2024 in Kraft getreten, die Umsetzung erfolgt schrittweise. Die wichtigsten Stationen laut Plattform Lernende Systeme:

• 2. Februar 2025: Verbote für KI-Systeme mit “unannehmbarem Risiko” wurden verbindlich, darunter Social Scoring und nicht-einvernehmliche biometrische Identifikation.
• 2. August 2025: GPAI-Pflichten greifen. Anbieter großer Sprachmodelle wie ChatGPT oder Gemini müssen nun Transparenz-, Dokumentations- und Meldepflichten erfüllen.
• 2. August 2026 und 2027: Anforderungen für Hochrisiko-KI-Systeme werden schrittweise verbindlich.

Für GPAI-Anbieter hat das EU AI Office bereits im Dezember 2024 erste Entwürfe eines Code of Practice vorgelegt. Die Einhaltung dieses Verhaltenskodex ist laut Heise freiwillig. Wer ihn nicht befolgt, muss jedoch auf anderem Weg nachweisen, wie er die Konformität mit dem AI Act sicherstellt.

Kleine Sprachmodelle vs. Hochrisiko-Systeme: Unterschiedliche Anforderungsprofile

Die Regulierung unterscheidet nicht primär nach Modellgröße, sondern nach Verwendungszweck und Risikoklasse. Das hat praktische Konsequenzen:

GPAI-Modelle (darunter auch kleinere Sprachmodelle, sofern sie allgemein eingesetzt werden) unterliegen seit August 2025 vor allem Transparenz- und Dokumentationspflichten. Anbieter müssen technische Dokumentation bereitstellen, Trainingsdaten offenlegen und Urheberrechtsvorgaben einhalten. Systeme mit besonders hohen Auswirkungsrisiken, etwa solche mit mehr als 10^25 FLOPs Trainingsaufwand, unterliegen zusätzlichen Anforderungen.

Hochrisiko-KI-Systeme hingegen, zum Beispiel KI in der Personalauswahl, Kreditvergabe oder kritischer Infrastruktur, müssen Konformitätsbewertungen durchlaufen, Audit-Trails führen und menschliche Aufsicht gewährleisten. Die vollständigen Anforderungen gelten erst ab 2026 beziehungsweise 2027, doch die Vorbereitungen müssen jetzt beginnen. Details zu den Konformitätsbewertungsverfahren für Hochrisiko-KI sind bereits bekannt.

Wer ein kleines Sprachmodell ausschließlich intern und in einem klar abgegrenzten Niedrigrisikokontext betreibt, kann unter strengen Bedingungen in einer niedrigeren Risikoklasse verbleiben. Sobald das Modell jedoch als Hochrisikoanwendung eingestuft wird, gelten unabhängig von seiner Größe die strengeren Anforderungen. Einen Überblick zur Risikoklassifizierung nach AI Act finden Sie in unserer Übersicht.

Wirtschaft fordert “Stop the Clock”

Hochrangige Vertreter aus Industrie und Digitalwirtschaft, zusammengeschlossen in der “EU AI Champions Initiative”, fordern laut t3n von der EU-Kommission ein zweijähriges Aussetzen der Implementierungsfristen. Die Begründung: Die Umsetzung der AI-Act-Anforderungen sei für Unternehmen äußerst ressourcenaufwendig. Geschäftsleitungen stellten sich die Frage, ob es nicht kostengünstiger sei, auf bereits entwickelte Produkte aus dem Silicon Valley zurückzugreifen, anstatt eigene konforme Lösungen zu entwickeln. Das liefe dem EU-Ziel einer eigenständigen KI-Wettbewerbsfähigkeit entgegen.

Die Kritik ist nicht ohne Grundlage: Gerade für den deutschen Mittelstand sind die Konformitätskosten erheblich. Gleichzeitig bleibt die EU-Kommission bisher bei ihrem Zeitplan.

Vier praktische Implikationen für Entscheider

1. GPAI-Pflichten sind ab sofort scharf. Wer als Anbieter oder Betreiber eines allgemeinen Sprachmodells tätig ist, muss seit dem 2. August 2025 die Dokumentations- und Transparenzpflichten erfüllen. Wer den freiwilligen KI-Verhaltenskodex nicht unterzeichnet, trägt die Beweislast für alternative Konformitätsnachweise selbst.

2. Hochrisiko-Systeme: Jetzt planen, nicht warten. Die Fristen 2026 und 2027 wirken weit entfernt, doch Konformitätsbewertungen, Auditprozesse und technische Dokumentation erfordern Vorlaufzeit. Sandbox-Programme der EU bieten Startups und KMU die Möglichkeit, Systeme unter regulatorischer Begleitung zu testen.

3. Produktauswahl unter Compliance-Druck. Die Debatte um “Stop the Clock” zeigt: Unternehmen, die heute KI-Systeme beschaffen, müssen Compliance-Fähigkeit als Kaufkriterium werten. Anbieter aus Drittstaaten ohne EU-Konformität könnten mittelfristig vom Markt ausgeschlossen werden. Informationen zu Importverboten für nicht-konforme KI-Systeme sind relevant.

4. BSI-Anforderungen parallel beachten. Neben dem AI Act gelten für Betreiber kritischer Infrastrukturen weiterhin die BSI-Grundschutzanforderungen für LLM-Systeme. Beide Regelwerke müssen koordiniert umgesetzt werden, was den Aufwand weiter erhöht.

Quellen

• Ist der AI Act noch zu retten? Ja – mit diesen drei Änderungen (t3n)
• AI Act: Überblick und Umsetzungsschritte (Plattform Lernende Systeme)
• AI Act: Was im KI-Verhaltenskodex der EU für Anbieter steht (Heise, 19.08.2025)

Häufige Fragen

Wann treten die Pflichten des AI Act für Anbieter von GPAI-Modellen in Kraft?

Die Anforderungen für Anbieter sogenannter General-Purpose-AI-Modelle (GPAI) sind seit dem 2. August 2025 verbindlich. Der AI Act selbst ist bereits am 1. August 2024 in Kraft getreten, die Umsetzung erfolgt jedoch schrittweise bis zur vollständigen Einführung am 2. August 2027.

Wann gelten die Vorschriften für Hochrisiko-KI-Systeme?

Für Hochrisiko-KI-Systeme treten die Anforderungen des AI Act gestaffelt in den Jahren 2026 und 2027 in Kraft. Das Verbot von KI-Systemen mit unannehmbarem Risiko, etwa Social Scoring oder nicht-einvernehmliche biometrische Identifikation, ist bereits seit dem 2. Februar 2025 verbindlich.

Was ist der KI-Verhaltenskodex und ist seine Einhaltung verpflichtend?

Der KI-Verhaltenskodex ist ein vom EU AI Office erarbeiteter Leitfaden für GPAI-Anbieter. Seine Einhaltung ist freiwillig. Wer ihn nicht befolgt, muss jedoch gegenüber den Behörden eigenständig nachweisen, wie er die Konformität mit dem AI Act sicherstellt.

Warum fordern Wirtschaftsvertreter einen Stopp der Umsetzungsfristen?

Die sogenannte EU AI Champions Initiative sowie weitere hochrangige Vertreter aus Industrie und Digitalwirtschaft fordern von der EU-Kommission einen zweijährigen Aufschub der Umsetzungsfristen. Ihr Argument: Die Implementierung der AI-Act-Anforderungen sei für Unternehmen sehr ressourcenaufwendig und könnte dazu führen, dass Firmen stattdessen auf fertige Produkte aus dem Silicon Valley zurückgreifen, was Europas technologische Wettbewerbsfähigkeit schwächen würde.

Welchen Zeitplan verfolgt der AI Act bis zur vollständigen Anwendung?

Der AI Act wurde am 12. Juli 2024 im Amtsblatt der EU veröffentlicht und trat am 1. August 2024 in Kraft. Die Umsetzung läuft schrittweise: Das Verbot unannehmbarer Risiken gilt seit Februar 2025, GPAI-Pflichten seit August 2025, Hochrisiko-Anforderungen folgen 2026 und 2027. Die vollständige Einführung ist für den 2. August 2027 vorgesehen.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.