Zeitplan AI Act und Digitalrecht: die Fristen 2026 bis 2028

Zwischen Herbst 2026 und Sommer 2028 sieht sich ein Unternehmen, das KI nutzt, Cloud-Dienste einkauft oder Software herausgibt, rund zehn europäischen Fristen gegenüber, dazu einigen US-Gesetzen, wenn es jenseits des Atlantiks verkauft. Jeder Rechtsakt hat seinen eigenen Zeitplan, und mehrere wurden 2026 überarbeitet. Diese Seite fasst sie an einem Ort zusammen, Datum für Datum.

Es ist eine laufend aktualisierte Seite unserer Rubrik Unternehmens-KI: Stand 19. Oktober 2026, jedes Datum an diesem Tag in seiner amtlichen Quelle nachgelesen. Dies ist keine Rechtsberatung: Ob ein Rechtsakt Sie betrifft, entscheiden letztlich Ihr Datenschutzbeauftragter, Ihr Steuerberater oder ein Anwalt.

Kurz gesagt

• Die nächste Frist des AI Act fällt auf den 2. Dezember 2026: Kennzeichnung der Inhalte, die von bereits auf dem Markt befindlichen Werkzeugen erzeugt werden, und zwei neue Verbote.
• Die Hochrisiko-Regeln werden auf den 2. Dezember 2027 (Personalgewinnung, Personalverwaltung, Kredit) und den 2. August 2028 (in regulierte Produkte integrierte KI) verschoben.
• Ab dem 12. Januar 2027 dürfen Cloud-Anbieter in Anwendung des Data Act keine Wechselentgelte mehr berechnen.
• Seit dem 11. September 2026 muss ein Hersteller von Software oder vernetzten Geräten eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden melden; seine Sicherheitsanforderungen folgen am 11. Dezember 2027.
• NIS2 hat in Frankreich noch immer kein Anwendungsdatum, und die Ausstellung elektronischer Rechnungen durch KMU beginnt spätestens am 1. September 2027.

Die Fristen von 2026 bis 2028

1. 1. September 2026

   Alle Unternehmen müssen elektronische Rechnungen empfangen können; Großunternehmen und mittelgroße Unternehmen stellen sie aus.

2. 11. September 2026

   Cyber Resilience Act, Pflicht zur Meldung aktiv ausgenutzter Schwachstellen und schwerwiegender Vorfälle.

3. 12. September 2026

   Data Act, ab diesem Datum in Verkehr gebrachte vernetzte Geräte müssen ihre Daten konstruktionsbedingt zugänglich machen.

4. 2. Dezember 2026

   AI Act, Ende der Kennzeichnungsfrist für bereits auf dem Markt befindliche generative Werkzeuge, und zwei neue Verbote.

5. 9. Dezember 2026

   Frist für die Umsetzung der neuen Produkthaftungsrichtlinie, die Software einschließt.

6. 1. Januar 2027

   In Colorado treten das Gesetz über automatisierte Entscheidungen und das Gesetz über die Sicherheit von Chatbots in Kraft.

7. 12. Januar 2027

   Data Act, Ende der Entgelte für den Wechsel des Cloud-Anbieters.

8. 20. Januar 2027

   Die europäische Maschinenverordnung gilt, auch für Maschinen, deren Sicherheitsfunktionen auf KI beruhen.

9. 1. Juli 2027

   In Kalifornien keine Sanktion und keine Kündigung mehr, die allein auf einem automatisierten System beruht.

10. 2. August 2027

    AI Act, Konformität der Modelle mit allgemeinem Verwendungszweck, die vor dem 2. August 2025 erschienen sind; mindestens ein KI-Reallabor je Mitgliedstaat.

11. 1. September 2027

    Spätestens jetzt stellen KMU und Kleinstunternehmen ihre Rechnungen elektronisch aus.

12. 2. Dezember 2027

    AI Act, Hochrisiko-Regeln für die Anwendungen des Anhangs III.

13. 11. Dezember 2027

    Cyber Resilience Act, grundlegende Cybersicherheitsanforderungen.

14. 2. August 2028

    AI Act, Hochrisiko-Regeln für KI in den Produkten des Anhangs I.

AI Act: vier Termine nach der Überarbeitung im Juli

Die europäische KI-Verordnung wurde durch die Verordnung (EU) 2026/1744 überarbeitet, die seit dem 27. Juli 2026 in Kraft ist. Der offizielle Zeitplan des Service Desk der Kommission berücksichtigt dies: Die verbotenen Praktiken und die KI-Kompetenz gelten seit Februar 2025, die Regeln für Modelle mit allgemeinem Verwendungszweck seit August 2025 und der Großteil des Textes, darunter die Transparenz nach Artikel 50, seit dem 2. August 2026. Es bleiben vier Fristen:

• 2. Dezember 2026: Werkzeuge, die Bilder, Videos, Töne oder Texte erzeugen und vor dem 2. August 2026 auf dem Markt waren, müssen ihre Inhalte kennzeichnen; zwei Verbote kommen hinzu, zu ohne Einwilligung erzeugten intimen Bildern und zu Inhalten sexuellen Kindesmissbrauchs. Die Einzelheiten stehen in unserem Leitfaden zur Kennzeichnung generierter Inhalte.
• 2. August 2027: Die vor dem 2. August 2025 erschienenen Modelle mit allgemeinem Verwendungszweck müssen konform sein, und jeder Mitgliedstaat muss mindestens ein KI-Reallabor eröffnet haben.
• 2. Dezember 2027: Die Hochrisiko-Regeln gelten für Personalgewinnung, Personalverwaltung, Kreditwürdigkeitsprüfung und die übrigen Anwendungen des Anhangs III.
• 2. August 2028: Sie gelten für KI in bereits regulierten Produkten (Medizinprodukte, Spielzeug, Aufzüge).

Was die Überarbeitung Artikel für Artikel verschoben hat, erklärt was der digitale Omnibus am AI Act geändert hat, und was diese Regeln von einem Unternehmen verlangen, das KI nutzt, steht in unserem Leitfaden zu AI Act und DSGVO für KMU.

Cybersicherheit: Der CRA hat begonnen, NIS2 wartet

Der Cyber Resilience Act richtet sich an Hersteller von „Produkten mit digitalen Elementen“: Software, Anwendungen, vernetzte Geräte. Seit dem 11. September 2026 müssen sie aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle auf der zentralen Plattform melden, die die europäische Agentur für Cybersicherheit am selben Tag in Betrieb genommen hat.

www.enisa.europa.eu/index.php/news/the-cra-single-reporting-platform-is-launched

Die Fristen sind kurz, laut der Seite der Kommission zu den Meldungen: eine Frühwarnung binnen 24 Stunden nach Kenntnisnahme, eine vollständige Meldung binnen 72 Stunden, dann ein Abschlussbericht spätestens 14 Tage nach Bereitstellung eines Patches bei einer ausgenutzten Schwachstelle oder binnen eines Monats bei einem schwerwiegenden Vorfall. Die grundlegenden Cybersicherheitsanforderungen gelten ab dem 11. Dezember 2027, erinnert die ENISA.

NIS2, die Richtlinie, die Cybersicherheitspflichten auf Tausende Einrichtungen aus 18 Sektoren ausweitet, ist in Frankreich noch immer nicht umgesetzt: Die Nationalversammlung hat das Resilienzgesetz am 6. Oktober 2026 von ihrer Tagesordnung genommen. Wo der Text steht und was Sie tun können, ohne darauf zu warten, lesen Sie in unserem Überblick zu NIS2 in Frankreich.

Produkte: Software und Maschinen

Zwei Produktrechtsakte ändern die Lage für alle, die herstellen oder Software herausgeben:

• 9. Dezember 2026: Die Richtlinie (EU) 2024/2853 über die Haftung für fehlerhafte Produkte muss umgesetzt sein und betrifft Produkte, die nach diesem Datum in Verkehr gebracht werden; ihre Produktdefinition schließt Software ausdrücklich ein, so die Kanzlei Gibson Dunn.
• 20. Januar 2027: Die Verordnung (EU) 2023/1230 über Maschinen gilt verbindlich, mit Bestimmungen für Maschinen, deren Sicherheitsfunktionen auf KI beruhen, so die Europäische Kommission.

Daten und Cloud: der Data Act in drei Schritten

Der Data Act gilt seit dem 12. September 2025. Zwei Schritte folgen, laut der Analyse der Kanzlei McCann FitzGerald:

• 12. September 2026: Ein ab diesem Datum in Verkehr gebrachtes vernetztes Gerät muss so konzipiert sein, dass sein Nutzer auf seine Daten zugreifen kann; die Pflicht gilt nicht rückwirkend.
• 12. Januar 2027: Die Entgelte für den Wechsel des Cloud-Anbieters entfallen. Seit dem 11. Januar 2024 durften sie in Anwendung von Artikel 29 der Verordnung bereits die direkt mit dem Wechsel verbundenen Kosten nicht übersteigen.

Für ein Unternehmen, das einen Hoster verlassen will, beseitigt dieses Datum ein Kostenargument, nicht die Migrationsarbeit. Die Methode steht in Cloud-Migration ohne Bruch, die Frage der Abhängigkeit in Kann man auf die US-Cloud-Riesen verzichten.

Elektronische Rechnungsstellung: September 2026, dann September 2027

Seit dem 1. September 2026 müssen alle umsatzsteuerpflichtigen Unternehmen in Frankreich elektronische Rechnungen empfangen können, aber nur Großunternehmen, mittelgroße Unternehmen und Behörden stellen sie aus. Laut den häufigen Fragen der französischen Steuerverwaltung wird die Ausstellungspflicht spätestens am 1. September 2027 „auf mittlere, kleine und Kleinstunternehmen ausgeweitet“, zusammen mit der Übermittlung der Rechnungs- und Zahlungsdaten an die Verwaltung.

Außerhalb Europas: zwei US-Bundesstaaten im Blick

Ein europäisches Unternehmen mit Kunden oder Beschäftigten in den Vereinigten Staaten kann mangels eines Bundesgesetzes zur KI unter die Gesetze des jeweiligen Bundesstaates fallen. Zwei Termine stehen bevor:

• Colorado, 1. Januar 2027: Das Gesetz SB 26-189 verpflichtet Nutzer einer Technologie für automatisierte Entscheidungen, Verbraucher zu informieren und ihnen nach einer nachteiligen Entscheidung deren Rolle zu erklären; das Gesetz HB 26-1263 regelt Konversations-Chatbots. Beide treten am selben Tag in Kraft, laut der Seite des Generalstaatsanwalts von Colorado, der ihre Durchführungsbestimmungen fertigstellt.
• Kalifornien, 1. Juli 2027: Das Gesetz SB 947 verbietet, Beschäftigte allein auf Grundlage eines automatisierten Systems zu sanktionieren oder zu entlassen. Sein Inhalt wird in die Rolle des Menschen gegenüber dem Urteil der KI erläutert.

Was sich genau rund um Neujahr ändert, von Colorado bis zur Maschinenverordnung, hat einen eigenen Artikel: was sich am 1. Januar 2027 im Digitalbereich ändert.

Was Sie betrifft, je nachdem, was Sie tun

Nicht alle Termine betreffen alle Unternehmen. Fünf Situationen, in der Reihenfolge ihrer Häufigkeit:

1. Sie nutzen generative KI-Werkzeuge: 2. Dezember 2026 (prüfen, ob Ihre Werkzeuge ihre Inhalte kennzeichnen, Ihre Deepfakes offenlegen), dann 2. Dezember 2027, wenn eine Anwendung Personalgewinnung, Personal oder Kredit berührt.
2. Sie kaufen Cloud-Dienste ein: 12. Januar 2027, Ende der Wechselentgelte.
3. Sie geben Software, eine Anwendung oder ein vernetztes Gerät heraus: CRA-Meldepflicht seit dem 11. September 2026, Sicherheitsanforderungen am 11. Dezember 2027, neue Produkthaftung für alles, was Sie nach dem 9. Dezember 2026 in Verkehr bringen.
4. Sie gehören zu einem der 18 NIS2-Sektoren, ab 50 Personen: kein Datum in Frankreich, aber ein bereits veröffentlichter Referenzrahmen der ANSSI.
5. Sie sind ein französisches KMU: Ausstellung elektronischer Rechnungen spätestens am 1. September 2027.

Für KI-Anwendungen steht das Gesamtvorgehen, von der Bestandsaufnahme der Werkzeuge bis zur Richtlinie, in unserem Leitfaden zur Einführung von KI im Unternehmen.

Um zu erfahren, welche Ihrer KI-Anwendungen sich dem Hochrisiko nähern und welche bei einem Anbieter bleiben können, geht unser Angebot KI zum fairen Preis von Ihren tatsächlichen Werkzeugen aus. Die übrigen Nachrichten des Monats, von Metas Bedingungen für das Crawlen von Websites bis zu den neuen Modellen, finden Sie in unseren KI-News für Führungskräfte im Oktober.

Häufige Fragen

Quellen

1. Service Desk der Kommission (neuer Tab)ai-act-service-desk.ec.europa.eu
2. Der Seite der Kommission zu den Meldungen (neuer Tab)digital-strategy.ec.europa.eu
3. Erinnert die ENISA (neuer Tab)enisa.europa.eu
4. Die Kanzlei Gibson Dunn (neuer Tab)gibsondunn.com
5. Die Europäische Kommission (neuer Tab)single-market-economy.ec.europa.eu
6. Der Analyse der Kanzlei McCann FitzGerald (neuer Tab)mccannfitzgerald.com
7. Den häufigen Fragen der französischen Steuerverwaltung (neuer Tab)impots.gouv.fr
8. Der Seite des Generalstaatsanwalts von Colorado (neuer Tab)coag.gov