Verordnung (EU) 2024/1689 · Rechtsstand September 2026
Der EU AI Act ist da. Die Frage ist nur noch, wie gut Sie vorbereitet sind.
Seit dem 2. August 2026 gilt die KI-Verordnung in weiten Teilen. Der Digital Omnibus hat einige Fristen entschärft — aber nicht die Pflicht, zu wissen, welche KI Sie einsetzen und wer dafür verantwortlich ist.
- Aktuelle Fristen nach dem Digital Omnibus vom Juli 2026
- Konkrete Beispiele aus acht Branchen
- Ehrliche Einordnung: was ISO 42001 abdeckt — und was nicht
- 2. Aug. 2026
- KI-Verordnung allgemein anwendbar
- 2. Dez. 2027
- Hochrisiko-KI nach Anhang III
- 2. Aug. 2028
- KI in regulierten Produkten (Anhang I)
- bis 35 Mio. €
- Bussgeldrahmen
Transparenzpflichten nach Art. 50 greifen
verschoben durch den Digital Omnibus
verschoben durch den Digital Omnibus
oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken
Fristen
Was wann gilt — Stand September 2026
Der Digital Omnibus zur KI wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Er verschiebt die Pflichten für Hochrisiko-KI deutlich nach hinten — alles Übrige bleibt.
2. Februar 2025
Verbotene KI-Praktiken (Art. 5) und Pflicht zur KI-Kompetenz (Art. 4)
gilt — vom Omnibus nicht berührt2. August 2025
Pflichten für Modelle mit allgemeinem Verwendungszweck (GPAI, Art. 53)
gilt — Durchsetzung seit August 20262. August 2026
Allgemeine Anwendbarkeit der Verordnung, Transparenzpflichten (Art. 50)
gilt seit einem Monat2. Dezember 2027
Hochrisiko-KI nach Anhang III (eigenständige Systeme)
verschoben, ursprünglich 2. August 20262. August 2028
Hochrisiko-KI nach Anhang I (KI in regulierten Produkten)
verschoben
Was die Verschiebung nicht bedeutet: Sie ist keine Entwarnung. Verbotene Praktiken, KI-Kompetenz, Transparenzpflichten und die GPAI-Regeln gelten bereits. Und wer 2027 eine Hochrisiko-Konformität nachweisen muss, hat dafür nicht 15 Monate — sondern muss bis dahin ein funktionierendes Risikomanagement betreiben, das Daten aus dem laufenden Betrieb braucht.
Betroffenheit
Zwei Fragen entscheiden über Ihre Pflichten
1 – Welche Rolle haben Sie? Die Verordnung unterscheidet vor allem zwischen *Anbietern* — wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt — und *Betreibern*, die ein KI-System in eigener Verantwortung einsetzen. Die meisten Unternehmen sind Betreiber. Betreiberpflichten sind schlanker, aber sie existieren: bestimmungsgemässe Verwendung, menschliche Aufsicht, Information der betroffenen Personen, Protokollierung.
2 – In welche Risikoklasse fällt das System? Verboten, hochriskant, mit Transparenzpflicht oder minimal riskant. Die Einstufung nehmen Sie vor — niemand tut das für Sie. Und genau hier scheitern die meisten: Es gibt kein Verzeichnis, also gibt es auch keine Einstufung.
- Verboten
Social Scoring, Emotionserkennung am Arbeitsplatz, ungezieltes Scraping von Gesichtsbildern und weitere Praktiken nach Art. 5. Gilt seit Februar 2025.
- Hochrisiko
u. a. Personalauswahl, Kreditwürdigkeit, Bildungszugang, kritische Infrastruktur, Strafverfolgung, plus KI in regulierten Produkten.
- Transparenzpflichtig
Chatbots, generierte Inhalte, Deepfakes: Menschen müssen wissen, dass sie es mit KI zu tun haben. Gilt seit August 2026.
- Minimales Risiko
der grösste Teil. Keine besonderen Pflichten, aber die KI-Kompetenzpflicht nach Art. 4 gilt trotzdem.
Acht Branchen, acht konkrete Fälle
Abstrakte Risikoklassen helfen niemandem. Hier steht, wie die Verordnung in der Praxis auf den Tisch kommt.
Personal und Recruiting
Auswahl, Beförderung, Leistungsbewertung — nach Anhang III grundsätzlich Hochrisiko
Ein Unternehmen nutzt automatisiertes Lebenslauf-Screening. Ab Dezember 2027 braucht es dafür Risikomanagement, Datenqualitätsnachweise, Protokollierung und dokumentierte menschliche Aufsicht. Wer heute anfängt, hat die Belege bis dahin. Wer 2027 anfängt, hat sie nicht.
Finanz und Versicherung
Bonitätsbewertung natürlicher Personen und Risikobewertung in der Lebens- und Krankenversicherung — Hochrisiko
Ein Kreditinstitut mit KI-gestütztem Scoring muss erklären können, welche Merkmale einfliessen, wie Verzerrungen geprüft wurden und wer eine Ablehnung überstimmen kann.
Gesundheit und Medizintechnik
KI als Medizinprodukt fällt unter Anhang I — Frist August 2028, dafür mit voller Produktkonformität
Ein Anbieter von Bildauswertungssoftware muss die KI-Anforderungen in seine bestehende Konformitätsbewertung integrieren, nicht daneben.
Industrie und Maschinenbau
KI als Sicherheitsbauteil in Maschinen — Anhang I
Ein Maschinenbauer mit KI-gestützter Fehlererkennung an der Presse braucht die KI-Dokumentation als Teil der Maschinen-Konformität.
Öffentliche Verwaltung
Zugang zu Leistungen, Bildungszugang, Migrations- und Strafverfolgungskontext — Hochrisiko, teils zusätzliche Grundrechte-Folgenabschätzung
Eine Behörde, die Anträge vorsortiert, muss die Entscheidung nachvollziehbar und anfechtbar halten — und die Betroffenen informieren.
Bildung und Weiterbildung
Zulassung, Bewertung, Prüfungsüberwachung — Hochrisiko
Eine Anbieterin mit automatisierter Prüfungsbewertung braucht Fairnessnachweis, Fehlerquoten und einen Weg zur menschlichen Überprüfung.
Software und SaaS
Rolle kann von Betreiber zu Anbieter kippen — der teuerste Irrtum in der Praxis
Ein SaaS-Anbieter integriert ein fremdes Modell und vermarktet die Funktion unter eigenem Namen. Damit wird er zum Anbieter — mit deutlich weitergehenden Pflichten, als sein Team annimmt.
Handel und Marketing
Chatbots, generierte Inhalte, Personalisierung — Transparenzpflichten nach Art. 50, seit August 2026
Ein Händler mit KI-Chatbot und KI-generierten Produktbildern muss beides kennzeichnen. Das ist keine Zukunftsmusik, das gilt jetzt.
Wo ISO 42001 die Pflichten der Verordnung strukturell abdeckt
Kein Ersatz für eine Konformitätsbewertung — aber die Struktur, in der die geforderten Nachweise überhaupt entstehen.
Was ISO 42001 dafür liefert
- Risikomanagementsystem (Art. 9)KI-Risikobewertung und -behandlung über den gesamten Lebenszyklus
- Daten und Daten-Governance (Art. 10)Anforderungen an Herkunft, Qualität und Verwendung von Daten
- Technische Dokumentation (Art. 11)Dokumentierte Informationen und Systemverzeichnis
- Aufzeichnungspflichten und Protokollierung (Art. 12)Überwachung, Messung, Aufzeichnung von KI-Systemen
- Transparenz gegenüber Betreibern (Art. 13)Transparenz- und Kommunikationsanforderungen
- Menschliche Aufsicht (Art. 14)Rollen, Verantwortlichkeiten, Eingriffsmöglichkeiten
- Genauigkeit, Robustheit, Cybersicherheit (Art. 15)teilweise — Cybersicherheit vor allem über ISO/IEC 27001
- Qualitätsmanagementsystem des Anbieters (Art. 17)genau das ist ein AIMS nach 42001
- KI-Kompetenz (Art. 4)Kompetenz-, Schulungs- und Bewusstseinsanforderungen
- Konformitätsbewertung und CE (Art. 43)nicht abgedeckt — eigenes Verfahren
- Registrierung in der EU-Datenbank (Art. 49)nicht abgedeckt — eigene Pflicht
Deckung
- Risikomanagementsystem (Art. 9)hoch
- Daten und Daten-Governance (Art. 10)hoch
- Technische Dokumentation (Art. 11)mittel — die produktspezifische Tiefe kommt aus Anhang IV, nicht aus der Norm
- Aufzeichnungspflichten und Protokollierung (Art. 12)mittel
- Transparenz gegenüber Betreibern (Art. 13)mittel
- Menschliche Aufsicht (Art. 14)hoch
- Genauigkeit, Robustheit, Cybersicherheit (Art. 15)mittel (Kombination mit 27001 empfohlen)
- Qualitätsmanagementsystem des Anbieters (Art. 17)hoch
- KI-Kompetenz (Art. 4)hoch
- Konformitätsbewertung und CE (Art. 43)keine
- Registrierung in der EU-Datenbank (Art. 49)keine
Klartext
Was ein ISO-42001-Zertifikat leistet — und was es nicht leistet
Im Markt wird gerade viel behauptet. Deshalb hier unsere Position, so klar wie möglich:
Ein ISO-42001-Zertifikat begründet keine Konformitätsvermutung nach der KI-Verordnung. Diese entsteht ausschliesslich über harmonisierte Normen, die im Amtsblatt der EU gelistet sind; die zugehörige europäische Normungsarbeit läuft noch. Wer Ihnen etwas anderes verspricht, verkauft Ihnen ein Risiko.
Was ISO 42001 leistet: Sie zwingt Ihre Organisation, das zu tun, was die Verordnung ohnehin voraussetzt — wissen, welche KI im Haus ist, Verantwortung zuweisen, Risiken bewerten, Daten steuern, Aufsicht sicherstellen, Vorfälle behandeln. Und sie lässt das extern prüfen. Wenn eine Behörde, ein Grosskunde oder ein Versicherer fragt, ist der Unterschied zwischen „wir arbeiten daran" und einem geprüften Managementsystem erheblich.
Häufige Fragen zum EU AI Act
Sehr wahrscheinlich ja, sobald Sie KI-Systeme in der EU in Verkehr bringen oder deren Ergebnisse in der EU verwendet werden. Die Verordnung wirkt über die EU-Grenze hinaus, ähnlich wie die DSGVO.
Auch dann sind Sie Betreiber. Die Pflicht zur KI-Kompetenz nach Art. 4 gilt unabhängig von der Risikoklasse, und interne Anwendungen im Personalbereich können sehr wohl Hochrisiko sein.
Er wurde am 24. Juli 2026 veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Die Pflichten für Hochrisiko-KI nach Anhang III verschieben sich auf den 2. Dezember 2027, für Anhang I auf den 2. August 2028. Verbotene Praktiken, KI-Kompetenz, GPAI-Regeln und Transparenzpflichten bleiben unverändert.
Bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken; niedrigere Rahmen für andere Verstösse. Der massgebliche Betrag ist jeweils der höhere.
Nein. Es begründet keine Konformitätsvermutung, deckt aber einen grossen Teil der organisatorischen Anforderungen ab und ist der beste heute verfügbare Nachweis der Reife.
Anbieter entwickelt oder bringt unter eigenem Namen in Verkehr; Betreiber setzt in eigener Verantwortung ein. Wer ein fremdes Modell unter eigener Marke anbietet oder wesentlich verändert, kann zum Anbieter werden — das wird in der Praxis regelmässig unterschätzt.
Mit dem Verzeichnis. Ohne zu wissen, welche KI-Systeme im Haus laufen, lässt sich keine Klasse bestimmen und keine Pflicht ableiten. Genau dort setzt auch ISO 42001 an.
Nein. Wir stellen den Stand verständlich dar; die Einstufung Ihrer Systeme und die rechtliche Bewertung im Einzelfall gehören in fachkundige Hände.
Von „wir sollten mal" zu „wir können es belegen"
Selbstcheck ausfüllen oder direkt rechnen, was ISO 42001 — allein oder mit 27001 — bei Ihnen kostet.
