KI-Verordnung: alle Fristen der Reihe nach.

Was beginnt

In Kraft sind die Verbote der inakzeptablen Praktiken — Manipulation, Social Scoring, Emotionserkennung am Arbeitsplatz — und die Pflicht zur KI-Kompetenz nach Artikel 4 der Verordnung (EU) 2024/1689, anwendbar über Artikel 113 Absatz 3 Buchstabe a. Die Verordnung (EU) 2026/1744 hat Artikel 4 mit Wirkung vom 27. Juli 2026 neu gefasst: Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag mit dem Betrieb und der Nutzung der Systeme befasst sind; die Vorschrift stellt ausdrücklich klar, dass für niemanden ein bestimmtes Niveau garantiert werden muss. Derselbe Rechtsakt fügt Artikel 5 zwei neue Verbote hinzu, die allerdings erst ab dem 2. Dezember 2026 gelten.

Wen es betrifft

Anbieter und Betreiber im Sinne der KI-Verordnung: jede Organisation, die KI-Systeme einsetzt, nicht nur wer sie herstellt.

Was zu tun ist

Eine schriftliche interne Richtlinie zum KI-Einsatz, unterzeichnet und bekannt gemacht; ein Schulungsnachweis mit Unterlagen, Terminen und Teilnehmerlisten. Nach dem Omnibus verlangt Artikel 4 Maßnahmen, kein Ergebnis: An dem, was Sie vorlegen können müssen, ändert das nichts, denn die Maßnahmen sind ohnehin zu belegen. Artikel 4 hat in Artikel 99 keinen eigenen Bußgeldrahmen. Er ist aber der Nachweis, der fehlt, sobald eine Behörde einen ernsteren Fall untersucht.

Was beginnt

Die Pflichten des Kapitels V für KI-Modelle mit allgemeinem Verwendungszweck sind förmlich in Kraft: technische Dokumentation und Transparenz für die Standardmodelle (Artikel 53), verschärfte Pflichten zur Bewertung und Minderung für Modelle mit systemischem Risiko (Artikel 55).

Wen es betrifft

Wer solche Modelle herstellt und, nachgelagert, wer einen eigenen Dienst auf einem fremden Modell aufsetzt.

Was zu tun ist

Führen Sie die eingesetzten Modelle auf, die unmittelbaren und die mittelbaren. Die Durchsetzungsbefugnisse der Kommission greifen ein Jahr später: Das ist das Zeitfenster, in dem Sie die Unterlagen anfordern können, ohne selbst schon unter Frist zu stehen.

Was beginnt

Das Gesetz Nr. 132 vom 23. September 2025 — das erste umfassende nationale KI-Gesetz in Europa — legt die Grundsätze fest, ordnet die nationale Aufsicht den Behörden AgID und ACN zu und trifft Sonderregeln für Gesundheitswesen, öffentliche Verwaltung, Arbeit und Justiz. Im Gesundheitswesen bleibt die Entscheidung stets bei den Angehörigen der Heilberufe (Artikel 7 Absatz 5); in der Verwaltung bleibt die Verantwortung für den Bescheid bei der Person, nicht beim System (Artikel 14 Absatz 2).

Wen es betrifft

Wer in Italien KI-Systeme in Zusammenhängen einsetzt, die Menschen betreffen: Patienten, Bürger, Beschäftigte, Bewerber.

Was zu tun ist

Legen Sie die menschliche Verantwortung mit Namen fest, nicht mit Funktionen, und bereiten Sie die Hinweise dort vor, wo KI im Einsatz ist. Das erste Paket der Durchführungsdekrete hat am 10. Juni 2026 lediglich die vorläufige Beratung im Ministerrat durchlaufen; am 28. Juli 2026 war keines im italienischen Amtsblatt (Gazzetta Ufficiale) veröffentlicht. Die Entwürfe liegen den Parlamentsausschüssen als Regierungsentwürfe Nr. 418 — Polizei, straf- und zivilrechtliche Haftung, zugewiesen am 26. Juni 2026 mit Frist zum 25. August — und Nr. 421 — Befugnisse der nationalen Behörden und KI in der Ausbildung, zugewiesen am 7. Juli mit Frist zum 16. August — zur Stellungnahme vor. Entwurf Nr. 418 ist weiterhin in Prüfung; zu Entwurf Nr. 421 haben dagegen am 29. Juli 2026 die vereinigten Ausschüsse IX und X eine zustimmende Stellungnahme mit Anmerkungen und der Haushaltsausschuss eine zustimmende Stellungnahme mit Hinweisen abgegeben; die Stellungnahme des Ausschusses XIV für EU-Politik steht noch aus, Frist ist der 16. August. Es ist der Entwurf, der die Behörden der KI-Verordnung benennt — Marktüberwachung bei der Cybersicherheitsagentur ACN, Notifizierung bei der Digitalagentur AgID, Banca d’Italia, CONSOB und IVASS für Hochrisikoanwendungen im Bank-, Versicherungs- und Finanzwesen, die Datenschutzbehörde für Artikel 74 Absatz 8 —, und solange er nicht im Amtsblatt steht, hat Italien keine benannte Behörde. Die Ermächtigungen der Artikel 16 und 24 laufen am 10. Oktober 2026 ab, verlängerbar um sechzig Tage: Bis dahin gilt das Angekündigte nicht.

Was beginnt

Die Transparenzpflichten des Artikels 50 greifen: Wer mit einem KI-System interagiert, muss darüber informiert werden; synthetische Inhalte sind in einem maschinenlesbaren Format zu kennzeichnen; Deepfakes sind offenzulegen. Die nationalen Sanktionen des Artikels 99 gelten bereits seit dem 2. August 2025 — zu diesem Termin kommt das letzte Stück hinzu, Artikel 101: Die Kommission kann gegen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck unmittelbar Geldbußen von bis zu 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres oder 15 Mio. EUR verhängen, je nachdem, welcher Betrag höher ist. Für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, ist die Kennzeichnung nach Artikel 50 Absatz 2 ab dem 2. Dezember 2026 geschuldet. Die Leitlinien der Kommission vom 20. Juli 2026 (C(2026) 5054 final) stellen in Randnummer 153 klar, dass die Pflicht unabhängig vom Zeitpunkt des Inverkehrbringens oder der Inbetriebnahme besteht und dass Systeme, die teils interaktiv und teils generativ sind, den Aufschub nur für die Kennzeichnung in Anspruch nehmen können. Am 31. Juli 2026, einen Tag vor dem Termin, hat die Kommission die erste Liste der Unterzeichner des Verhaltenskodex zur Transparenz KI-erzeugter Inhalte veröffentlicht — rund 190 Organisationen, 83 im Abschnitt für Anbieter und 152 im Abschnitt für Betreiber — und angekündigt, dass das Büro für KI gemeinsam mit den nationalen Behörden ab dem 2. August mit der Durchsetzung der Verordnung beginnt.

Wen es betrifft

Jede Organisation, die KI gegenüber Kunden oder Bürgern sichtbar einsetzt, und jeder, der ein Modell mit allgemeinem Verwendungszweck übernimmt.

Was zu tun ist

Kennzeichnung erzeugter Inhalte, Offenlegung bei Chatbots, aktualisierte Hinweistexte: Das ist Arbeit von Wochen, nicht von Monaten, und die vier zusätzlichen Monate gelten allein für die Kennzeichnung bereits in Verkehr gebrachter generativer Systeme. Von Modellanbietern fordern Sie schriftlich an: technische Dokumentation, Informationen für nachgelagerte Anbieter, die Strategie zur Einhaltung des Urheberrechts, die hinreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte und die Angabe, ob der Anbieter dem Praxisleitfaden beigetreten ist. Die Antworten werden archiviert. Der Termin fällt auf einen Sonntag: Der erste Werktag ist Montag, der 3. August. In Italien ist die Aufsichtsbehörde noch nicht gesetzlich benannt — der Entwurf des Gesetzesdekrets, der die Marktüberwachung der Cybersicherheitsagentur ACN, die Notifizierung der Digitalagentur AgID und eine eng umgrenzte Zuständigkeit der Datenschutzbehörde zuweist, hat am 29. Juli 2026 die zustimmende Stellungnahme mit Anmerkungen der vereinigten Ausschüsse IX und X erhalten, ist aber nicht im Amtsblatt veröffentlicht. Das ist kein Grund zu warten: Die Pflicht gilt ohnehin, und sie trifft diejenigen, die sie erfüllen müssen, nicht diejenigen, die sie überwachen werden.

Was beginnt

Zwei Termine am selben Tag, beide aus der Verordnung (EU) 2026/1744. Es gelten die zwei Verbote, die Artikel 5 der KI-Verordnung hinzugefügt wurden: KI-Systeme, die realistische Bild-, Video- oder Tonaufnahmen erzeugen oder manipulieren, in denen intime Körperteile einer bestimmbaren natürlichen Person dargestellt werden oder diese Person an eindeutig sexuellen Handlungen beteiligt gezeigt wird, ohne dass sie zugestimmt hat, und KI-Systeme, die Darstellungen von sexuellem Missbrauch von Kindern erzeugen. Und es endet die viermonatige Übergangsfrist für Anbieter generativer KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, zur Kennzeichnung synthetischer Inhalte nach Artikel 50 Absatz 2.

Wen es betrifft

Wer generative KI-Systeme anbietet, die vor August bereits im Produktivbetrieb waren, und wer Werkzeuge anbietet, die Bilder, Video und Ton erzeugen oder verändern.

Was zu tun ist

War ein generativer Dienst am 1. August 2026 bereits auf dem Markt, enden die vier Monate hier: maschinenlesbare Kennzeichnung der Ausgaben, mit einer technischen Lösung, die wirksam, interoperabel, belastbar und zuverlässig ist. Bei den Verboten ist der Anwendungsbereich enger, als die Überschrift vermuten lässt: Inverkehrbringen und Inbetriebnahme sind nur verboten, wenn diese Erzeugung die Zweckbestimmung des Systems ist oder wenn sie ein nach vernünftigem Ermessen absehbares und reproduzierbares Ergebnis ist und zumutbare und angemessene technische Sicherheitsmaßnahmen fehlen, die das zuverlässig verhindern. Wer den eigenen Nutzern ein fremdes Modell zugänglich macht, lässt sich schriftlich bestätigen, welche Schutzvorkehrungen der Anbieter getroffen hat, und archiviert die Antwort: Der Bußgeldrahmen des Artikels 5 ist der höchste der Verordnung.

Was beginnt

Die Richtlinie (EU) 2024/2853 gilt für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden; bis zum selben Tag müssen die Mitgliedstaaten sie umgesetzt haben. Der Begriff des Produkts erfasst nun ausdrücklich Software — und damit KI-Systeme —, unabhängig vom Vertriebsweg.

Wen es betrifft

Wer Software oder KI-Systeme unter eigenem Namen oder eigener Marke in Verkehr bringt oder in ein Produkt oder eine Dienstleistung einbaut.

Was zu tun ist

Technische Dokumentation und Entscheidungsprotokolle verstärken: Sie sind die erste Verteidigung gegen die Vermutung der Fehlerhaftigkeit, die eintritt, wenn ein Beklagter der Offenlegungspflicht nicht nachkommt. In Italien steht die Ermächtigung im Gesetz Nr. 36 vom 17. März 2026, Anlage A Nummer 4, und ist nach Artikel 31 Absatz 1 des Gesetzes Nr. 234/2012 bis zum 9. August 2026 auszuüben; am 28. Juli 2026 war kein Entwurf an die Kammern übermittelt. Für Ihre Unterlagen zählt der europäische Termin: Er verschiebt sich durch die nationale Umsetzung nicht.

Was beginnt

Nach dem Aufschub durch die Verordnung (EU) 2026/1744 gelten die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III — Personalauswahl, Kreditwürdigkeit, allgemeine und berufliche Bildung, kritische Infrastruktur, Rechtspflege — ab dem 2. Dezember 2027. Mit ihnen verschiebt sich alles, was für die Betreiber daran hängt, einschließlich der Grundrechte-Folgenabschätzung: Sie ist von Betreibern verlangt, die Einrichtungen des öffentlichen Rechts sind oder als private Einrichtungen öffentliche Dienste erbringen.

Wen es betrifft

Wer Systeme nach Anhang III entwickelt und wer sie einsetzt.

Was zu tun ist

Der Aufschub streicht die Pflichten nicht, er verschiebt sie: Banken, Behörden und große Auftraggeber schreiben die Anforderungen der KI-Verordnung heute schon in ihre Leistungsbeschreibungen. Grundrechte-Folgenabschätzung und Datenschutz-Folgenabschätzung überschneiden sich weitgehend, und es lohnt sich, beide aus einer Analyse zu erzeugen: Seit dem 27. Juli 2026 lässt Artikel 27 Absatz 4 in der Fassung des Omnibus ausdrücklich zu, dass der Betreiber auf die einschlägigen Abschnitte der Datenschutz-Folgenabschätzung verweist oder Teile davon in die Grundrechte-Folgenabschätzung aufnimmt. Und der Aufschub ist keine Pause: Die Verbote des Artikels 5 waren nie Teil des verschobenen Pakets, und für Systeme im Personalbereich gilt in Italien die Pflicht, Beschäftigte über Logik, Zwecke und Datenkategorien zu unterrichten, bereits seit 2022 (Artikel 1-bis des Legislativdekrets Nr. 152/1997).

Was beginnt

Für KI-Systeme, die in Produkte eingebaut sind, die bereits sektorspezifisch geregelt sind — Anhang I: Medizinprodukte, Maschinen, Kraftfahrzeuge —, gilt der 2. August 2028.

Wen es betrifft

Hersteller geregelter Produkte, die KI enthalten, und wer solche Produkte in größere Anlagen einbaut.

Was zu tun ist

Seit dem 27. Juli 2026 verschiebt die Verordnung (EU) 2026/1744 die Maschinenverordnung — die Verordnung (EU) 2023/1230 — von Abschnitt A in Abschnitt B des Anhangs I der KI-Verordnung. Ein KI-System, das Sicherheitsbauteil einer Maschine ist, bleibt nach Artikel 6 Absatz 1 hochriskant, aber die Anforderungen kommen nicht mehr aus Kapitel III der KI-Verordnung: Sie wandern in Anhang III der Maschinenverordnung, über delegierte Rechtsakte, die ab dem 2. August 2028 gelten. Ein Satz technischer Unterlagen, eine Konformitätsbewertung, die notifizierte Stelle des Maschinenwegs — die allerdings auch nach der KI-Verordnung benannt sein muss: Artikel 43 Absatz 3 in der Fassung des Omnibus gibt Stellen, die bereits nach Anhang I Abschnitt A notifiziert sind, bis zum 28. Januar 2028 Zeit, die Benennung zu beantragen. Fragen Sie Ihre Stelle, ob sie den Antrag gestellt hat.