AI Act: Fristen, Pflichten und die Legal- und Compliance-Kapazität, die Sie dafür brauchen

Kurzantwort: Der EU AI Act (Verordnung (EU) 2024/1689) gilt gestaffelt: Die Verbote nach Art. 5 und die KI-Kompetenz nach Art. 4 gelten seit dem 2. Februar 2025, die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck seit dem 2. August 2025 und die Transparenzpflichten nach Art. 50 seit dem 2. August 2026. Der Digital Omnibus on AI (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) hat die Hochrisiko-Pflichten verschoben: für Anhang-III-Systeme wie HR-Software auf den 2. Dezember 2027, für Produkte nach Anhang I auf den 2. August 2028. Am 2. Dezember 2026 kommen zwei neue Verbote und die Kennzeichnungspflicht für generative Altsysteme hinzu.

Dieser Ratgeber richtet sich an General Counsel, Heads of Compliance und Datenschutzverantwortliche in Deutschland und in der Schweiz. Er ordnet die AI-Act-Fristen nach dem Omnibus, zeigt, welche Rolle Ihr Unternehmen hat, welche Arbeitspakete Legal und Compliance übernehmen und wie viel Kapazität dafür realistisch nötig ist.

AI-Act-Fristen: die Zeitleiste der Pflichten

Die Pflichten des AI Act greifen in sieben Stufen zwischen Februar 2025 und August 2028. Die Tabelle zeigt den Stand nach dem Digital Omnibus.

Nach dem Kalenderfenster folgt der 2. August 2030 für Hochrisiko-Systeme von Behörden. Alle Stichtage für Legal und Compliance in der Schweiz, Deutschland und der EU bündelt unser Regulatorik-Kalender.

Was der Digital Omnibus geändert hat

• Hochrisiko verschoben: Anhang III gilt ab 02.12.2027 statt ab 02.08.2026, Anhang I ab 02.08.2028.
• KI-Kompetenz neu gefasst: Anbieter und Betreiber müssen Massnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern. Ein bestimmtes Kompetenzniveau schreibt Art. 4 nicht mehr vor. Die Kommission veröffentlicht Praxisbeispiele.
• Zwei neue Verbote ab 02.12.2026.
• Erleichterungen für kleine Midcaps (SMC): vereinfachte technische Dokumentation und beim Bussgeld der jeweils niedrigere Betrag (Art. 99 Abs. 6a).
• Bias-Erkennung: Der neue Art. 4a erlaubt ausnahmsweise die Verarbeitung sensibler Daten.
• Unverändert: die GPAI-Pflichten seit 02.08.2025.

Wer betroffen ist: Anbieter, Betreiber, Einführer

Welche Pflichten gelten, hängt von der Rolle ab, die Ihr Unternehmen für ein bestimmtes KI-System einnimmt. Ein Unternehmen kann für verschiedene Systeme verschiedene Rollen haben. Die Begriffe definiert Art. 3 Nr. 3 bis 7 AI Act.

• Anbieter entwickeln ein KI-System oder ein GPAI-Modell oder lassen es entwickeln und bringen es unter eigenem Namen oder eigener Marke in Verkehr oder nehmen es in Betrieb. Sie tragen den grössten Pflichtenumfang, etwa Dokumentation und Kennzeichnung.
• Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein, zum Beispiel ein Bewerber-Screening-Tool oder einen Chatbot im Kundendienst. Die meisten Unternehmen sind in dieser Rolle.
• Einführer und Händler: Einführer sind in der EU ansässig und bringen Systeme von Anbietern aus Drittstaaten in der EU in Verkehr. Händler stellen Systeme auf dem EU-Markt bereit. Bei Hochrisiko-Systemen müssen beide prüfen, ob der Anbieter seine Pflichten erfüllt hat (Art. 23 und 24).

Für Betreiber sind 2026 vor allem drei Punkte relevant: die Massnahmen zur KI-Kompetenz, die Transparenzpflichten nach Art. 50 und die Vorbereitung auf Hochrisiko-Anwendungen bis Dezember 2027. Wer ein Hochrisiko-System unter eigenem Namen oder eigener Marke anbietet, es wesentlich verändert oder die Zweckbestimmung eines Systems so ändert, dass es zum Hochrisiko-System wird, gilt selbst als Anbieter (Art. 25 Abs. 1).

Arbeitspakete für Legal und Compliance

Ein AI-Act-Programm besteht in der Praxis aus sieben Arbeitspaketen, die Legal und Compliance gemeinsam mit IT, HR und Einkauf bearbeiten.

1. KI-Inventar: alle eingesetzten und entwickelten KI-Systeme erfassen, mit Zweck, Anbieter, Datenarten und verantwortlicher Stelle.
2. Rollen und Risikoklassen: je System die Rolle (Anbieter, Betreiber, Einführer) und die Risikoklasse bestimmen; verbotene Praktiken nach Art. 5 ausschliessen, inklusive der neuen Verbote ab 02.12.2026.
3. KI-Kompetenz: Schulungs- und Sensibilisierungsmassnahmen nach Art. 4 festlegen und dokumentieren.
4. Transparenz: Hinweise und Kennzeichnungen nach Art. 50 umsetzen, etwa bei Chatbots und generierten Inhalten.
5. Verträge: Einkaufsverträge mit KI-Anbietern um Informations-, Dokumentations- und Mitwirkungspflichten ergänzen.
6. Datenschutz-Schnittstelle: bei voraussichtlich hohem Risiko eine Datenschutz-Folgenabschätzung durchführen (Art. 35 DSGVO, Art. 22 DSG).
7. Hochrisiko-Vorbereitung: Systeme aus Anhang III, etwa im Recruiting, bis 02.12.2027 auf die Betreiberpflichten nach Art. 26 vorbereiten: Einsatz nach Betriebsanleitung, menschliche Aufsicht durch geschulte Personen, Aufbewahrung der automatisch erzeugten Protokolle für mindestens sechs Monate, Information der Arbeitnehmervertretung und der betroffenen Beschäftigten vor dem Einsatz am Arbeitsplatz sowie Information der Personen, über die das System Entscheidungen trifft oder vorbereitet.

Wie Sie daraus eine dauerhafte Struktur mit Rollen und Gremien machen, beschreibt der Ratgeber AI Governance im Unternehmen aufbauen. Für KI-Funktionen in neuen Produkten hilft der Beitrag zu Datenschutz bei Produktlaunches.

Deutschland: Aufsicht nach dem KI-Durchführungsgesetz

In Deutschland ist das KI-Durchführungsgesetz (KI-MIG) am 29. Juli 2026 in Kraft getreten. Die Bundesnetzagentur ist zentrale Marktüberwachungsbehörde und Koordinierungsstelle, soweit keine andere Fachbehörde zuständig ist. Für KI-Systeme, die Banken, Versicherer, Zahlungsinstitute und andere BaFin-beaufsichtigte Unternehmen in direktem Zusammenhang mit ihrer regulierten Finanztätigkeit einsetzen, ist die BaFin zuständig (§ 2 Abs. 3 KI-MIG, BGBl. 2026 I Nr. 223).

Schweiz: Betroffenheit und Stand der eigenen Regulierung

Die Schweiz übernimmt den AI Act nicht. Schweizer Unternehmen können trotzdem betroffen sein, wenn sie KI-Systeme in der EU in Verkehr bringen oder wenn die Ergebnisse ihrer Systeme in der EU verwendet werden (Art. 2 Abs. 1 lit. a und c). Das betrifft zum Beispiel Softwareanbieter mit EU-Kunden und Konzerne mit EU-Tochtergesellschaften.

• KI-Konvention: Der Bundesrat entschied am 12. Februar 2025, die KI-Konvention des Europarats zu ratifizieren und das Schweizer Recht anzupassen.
• Zwischenstand: Am 28. Oktober 2026 nahm der Bundesrat einen Zwischenstand zur Kenntnis. Er setzt auf verbindliche Regeln, wo Grundrechte betroffen sind (Datenschutz, Transparenz, Nichtdiskriminierung), ergänzt durch Leitlinien und freiwillige Selbstverpflichtungen. Laut dem Bundesamt für Kommunikation (BAKOM) ist die Vernehmlassung für den Frühling 2027 vorgesehen (Stand Oktober 2026).
• Datenschutz: Bearbeitet eine KI-Anwendung Personendaten, gilt das revidierte Datenschutzgesetz, inklusive Datenschutz-Folgenabschätzung bei voraussichtlich hohem Risiko (Art. 22 DSG).
• Finanzsektor: Die FINMA hat in der Aufsichtsmitteilung 08/2024 „Governance und Risikomanagement beim Einsatz künstlicher Intelligenz“ vom 18. Dezember 2024 ihre Erwartungen beschrieben.

Rollen und Kapazität für ein AI-Act-Programm

Die meisten AI-Act-Programme brauchen zwei bis vier Rollen, die nicht dauerhaft im Team vorhanden sind. Die folgende Aufteilung ist ein Beispiel für ein mittelgrosses Unternehmen und keine Norm.

Alpinum Solutions stellt diese Fachkräfte über Staff Leasing oder Freelancing bereit, in Teilzeit oder Vollzeit, einzeln oder als Projektteam. Im Staff Leasing liegt das fachliche Weisungsrecht beim Unternehmen und die Fachkraft arbeitet integriert im Team; im Freelancing arbeitet sie eigenverantwortlich im Rahmen des vereinbarten Mandats. Ausgewählte Profile liegen in der Regel innerhalb von 48 Stunden vor; den Einsatzbeginn stimmen Unternehmen und Alpinum gemeinsam ab.

Grenzen und Risiken

Die Verantwortung für die Einhaltung des AI Act bleibt beim Unternehmen und seiner Geschäftsleitung. Temporäre Fachkräfte arbeiten zu, bereiten Entscheidungen vor und setzen um. Alpinum ist keine Kanzlei. Für verbindliche Auslegungsfragen, etwa zur Einstufung eines Grenzfalls als Hochrisiko-System, bleibt die eigene Rechtsabteilung oder eine Kanzlei zuständig. Weil die Kommission Leitlinien und Praxisbeispiele nachreicht, sollten Klassifizierungen mindestens jährlich überprüft werden.

Häufige Fragen zu den AI-Act-Fristen

Gilt der AI Act für Schweizer Unternehmen?

Nicht als Schweizer Recht, aber über seinen Anwendungsbereich. Schweizer Unternehmen sind betroffen, wenn sie KI-Systeme in der EU anbieten oder wenn Ergebnisse ihrer Systeme in der EU verwendet werden (Art. 2 Abs. 1 lit. a und c). Hinzu kommen EU-Tochtergesellschaften als Betreiber. Für rein inländische Anwendungen gelten in der Schweiz das revidierte Datenschutzgesetz und künftig die Regeln zur Umsetzung der KI-Konvention.

Was hat der Digital Omnibus verschoben?

Der Digital Omnibus on AI (VO (EU) 2026/1744) verschiebt die Hochrisiko-Pflichten: Anhang-III-Systeme, etwa im HR-Bereich, ab 2. Dezember 2027 statt 2. August 2026; Produkte nach Anhang I ab 2. August 2028. Die Kennzeichnung nach Art. 50 Abs. 2 gilt für generative Altsysteme ab 2. Dezember 2026. Die GPAI-Pflichten und die übrigen Transparenzpflichten wurden nicht verschoben.

Welche Bussgelder drohen?

Für verbotene Praktiken sieht Art. 99 bis 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes vor, für sonstige Pflichtverstösse bis 15 Mio. EUR oder 3 %, für falsche Angaben bis 7,5 Mio. EUR oder 1 % (Art. 99 Abs. 3 bis 5; massgeblich ist jeweils der höhere Betrag). Für KMU und seit dem Omnibus auch für kleine Midcaps gilt jeweils der niedrigere Betrag.

Müssen Unternehmen KI-Kompetenz nachweisen?

Seit dem 27. Juli 2026 verlangt Art. 4 in der neuen Fassung, dass Anbieter und Betreiber Massnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern. Ein bestimmtes Niveau ist nicht vorgeschrieben. Sinnvoll ist trotzdem eine Dokumentation der Schulungen und Richtlinien, damit das Unternehmen gegenüber Aufsicht und Revision zeigen kann, was es getan hat.

Welche Behörde ist in Deutschland zuständig?

Nach dem KI-Durchführungsgesetz, in Kraft seit 29. Juli 2026, ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde und Koordinierungsstelle, soweit keine andere Fachbehörde zuständig ist. Für einzelne Sektoren sind andere Behörden zuständig. Im Finanzsektor ist es die BaFin für KI-Systeme, die in direktem Zusammenhang mit einer regulierten Finanztätigkeit stehen (§ 2 Abs. 3 KI-MIG).

Nächster Schritt

Beschreiben Sie, welche KI-Systeme Sie einsetzen und welche Frist für Sie zuerst zählt. Wir zeigen Ihnen passende Profile für Ihr AI-Act-Programm.

• Data Protection und AI Governance
• AI Governance im Unternehmen aufbauen
• Regulatorik-Kalender Legal & Compliance
• Bedarf besprechen

Stand: 30. Oktober 2026.