KI-Verordnung: alle Fristen der Reihe nach.

Was beginnt

In Kraft sind die Verbote der inakzeptablen Praktiken — Manipulation, Social Scoring, Emotionserkennung am Arbeitsplatz — und die Pflicht zur KI-Kompetenz nach Artikel 4 der Verordnung (EU) 2024/1689, anwendbar über Artikel 113 Absatz 3 Buchstabe a. Die Verordnung (EU) 2026/1744 hat Artikel 4 mit Wirkung vom 27. Juli 2026 neu gefasst: Anbieter und Betreiber ergreifen Maßnahmen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag mit dem Betrieb und der Nutzung der Systeme befasst sind; die Vorschrift stellt ausdrücklich klar, dass für niemanden ein bestimmtes Niveau garantiert werden muss. Derselbe Rechtsakt fügt Artikel 5 zwei neue Verbote hinzu, die allerdings erst ab dem 2. Dezember 2026 gelten.

Wen es betrifft

Anbieter und Betreiber im Sinne der KI-Verordnung: jede Organisation, die KI-Systeme einsetzt, nicht nur wer sie herstellt.

Was zu tun ist

Eine schriftliche interne Richtlinie zum KI-Einsatz, unterzeichnet und bekannt gemacht; ein Schulungsnachweis mit Unterlagen, Terminen und Teilnehmerlisten. Nach dem Omnibus verlangt Artikel 4 Maßnahmen, kein Ergebnis: An dem, was Sie vorlegen können müssen, ändert das nichts, denn die Maßnahmen sind ohnehin zu belegen. Artikel 4 hat in Artikel 99 keinen eigenen Bußgeldrahmen. Er ist aber der Nachweis, der fehlt, sobald eine Behörde einen ernsteren Fall untersucht.

Was beginnt

Die Pflichten des Kapitels V für KI-Modelle mit allgemeinem Verwendungszweck sind förmlich in Kraft: technische Dokumentation und Transparenz für die Standardmodelle (Artikel 53), verschärfte Pflichten zur Bewertung und Minderung für Modelle mit systemischem Risiko (Artikel 55).

Wen es betrifft

Wer solche Modelle herstellt und, nachgelagert, wer einen eigenen Dienst auf einem fremden Modell aufsetzt.

Was zu tun ist

Führen Sie die eingesetzten Modelle auf, die unmittelbaren und die mittelbaren. Das Zeitfenster, in dem Sie die Unterlagen anfordern konnten, ohne selbst schon unter Frist zu stehen, ist geschlossen: Artikel 101, der die Kommission ermächtigt, unmittelbar gegen Modellanbieter vorzugehen, ist die einzige Vorschrift, die von der Vorverlegung auf den 2. August 2025 ausgenommen ist (Artikel 113 Absatz 3 Buchstabe b), und gilt seit dem 2. August 2026. Was damals eine Bitte war, ist jetzt eine Frage mit einer Frist dahinter.

Was beginnt

Das Gesetz Nr. 132 vom 23. September 2025 — das erste umfassende nationale KI-Gesetz in Europa — legt die Grundsätze fest, ordnet die nationale Aufsicht den Behörden AgID und ACN zu und trifft Sonderregeln für Gesundheitswesen, öffentliche Verwaltung, Arbeit und Justiz. Im Gesundheitswesen bleibt die Entscheidung stets bei den Angehörigen der Heilberufe (Artikel 7 Absatz 5); in der Verwaltung bleibt die Verantwortung für den Bescheid bei der Person, nicht beim System (Artikel 14 Absatz 2).

Wen es betrifft

Wer in Italien KI-Systeme in Zusammenhängen einsetzt, die Menschen betreffen: Patienten, Bürger, Beschäftigte, Bewerber.

Was zu tun ist

Legen Sie die menschliche Verantwortung mit Namen fest, nicht mit Funktionen, und bereiten Sie die Hinweise dort vor, wo KI im Einsatz ist. Das erste Paket der Durchführungsdekrete hat am 10. Juni 2026 die vorläufige Beratung im Ministerrat durchlaufen und wurde am 4. August 2026 vom Ministerrat Nr. 185 in abschließender Beratung gebilligt, gestützt auf die Ermächtigung des Artikels 24: Es sind zwei gesetzesvertretende Dekrete, eines zum Einsatz von KI in der polizeilichen Tätigkeit und zur zivil- und strafrechtlichen Haftung (Regierungsentwurf Nr. 418), eines zu den Befugnissen der nationalen Behörden und zur KI in der Ausbildung (Regierungsentwurf Nr. 421). Am 12. August 2026 stand keines von beiden im italienischen Amtsblatt (Gazzetta Ufficiale): Keines der Inhaltsverzeichnisse der Serie Generale von Nr. 179 vom 4. August bis Nr. 185 vom 11. August führt sie auf, auch nicht die beiden ordentlichen Beilagen zu Nr. 181 und die ordentliche Beilage Nr. 30/L zu Nr. 185; am 12. August war noch kein Amtsblatt erschienen. Die Gegenprobe liefert die Nummerierung: Das zuletzt veröffentlichte gesetzesvertretende Dekret ist Nr. 149 vom 7. August 2026, am 11. August in der ordentlichen Beilage Nr. 30/L zusammen mit Nr. 147 und Nr. 148 erschienen — alle drei in Steuersachen —, und die Nummerierung der Rechtsakte ist mit dem Dekret des Ministerpräsidenten vom 12. Juni 2026 im Amtsblatt Nr. 185 bei Nr. 150 angelangt. Solange sie nicht veröffentlicht sind, gelten sie nicht. Die Benennung der Behörden der KI-Verordnung wartet allerdings nicht auf dieses Dekret: Sie steht bereits in diesem Gesetz, in Artikel 20 Absatz 2, in Kraft seit dem 10. Oktober 2025, der die Digitalagentur AgID als notifizierende Behörde und die Cybersicherheitsagentur ACN als Marktüberwachungsbehörde und zentrale Anlaufstelle im Sinne des Artikels 70 der Verordnung bestimmt, unbeschadet der Rolle von Banca d’Italia, CONSOB und IVASS als Marktüberwachungsbehörden nach Artikel 74 Absatz 6. Der Entwurf soll diesen Behörden Verfahren, Prüfbefugnisse und ein Sanktionsregime geben und die Datenschutzbehörde für Artikel 74 Absatz 8 hinzufügen: Solange er nicht im Amtsblatt steht, fehlen die operativen Befugnisse, nicht die Benennung. Die Ermächtigungen der Artikel 16 und 24 laufen am 10. Oktober 2026 ab, doch die Verlängerung fällt unterschiedlich aus: sechzig Tage für Artikel 16 Absatz 2 und für die strafrechtliche Ermächtigung des Artikels 24 Absatz 4, drei Monate für die des Artikels 24 Absatz 1, die dem Verfahren des Artikels 31 des Gesetzes Nr. 234/2012 folgt. Automatisch greift sie in keinem Fall: Sie setzt voraus, dass die Frist für die parlamentarische Stellungnahme in den dreißig Tagen vor Ablauf der Ermächtigung oder danach endet. Artikel 24 ist inzwischen geändert worden: Das Gesetzesdekret Nr. 107 vom 26. Juni 2026, in Kraft seit dem 27. Juni, hat den neuen Absatz 5-bis eingefügt — bis zu 100 Mio. EUR aus dem Programm „PN scuola 2021-2027“ für die KI-Kompetenz nach Artikel 24 Absatz 2 Buchstabe e — und Absatz 6 angepasst. An den Fristen der Ermächtigung ändert das nichts. Bis dahin gilt das Angekündigte nicht.

Was beginnt

Die Transparenzpflichten des Artikels 50 greifen: Wer mit einem KI-System interagiert, muss darüber informiert werden; synthetische Inhalte sind in einem maschinenlesbaren Format zu kennzeichnen; Deepfakes sind offenzulegen. Die nationalen Sanktionen des Artikels 99 gelten bereits seit dem 2. August 2025 — zu diesem Termin kommt das letzte Stück hinzu, Artikel 101: Die Kommission kann gegen Anbieter von KI-Modellen mit allgemeinem Verwendungszweck unmittelbar Geldbußen von bis zu 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres oder 15 Mio. EUR verhängen, je nachdem, welcher Betrag höher ist. Für generative Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, ist die Kennzeichnung nach Artikel 50 Absatz 2 ab dem 2. Dezember 2026 geschuldet. Die Leitlinien der Kommission vom 20. Juli 2026 (C(2026) 5054 final) stellen in Randnummer 153 klar, dass die Pflicht unabhängig vom Zeitpunkt des Inverkehrbringens oder der Inbetriebnahme besteht und dass Systeme, die teils interaktiv und teils generativ sind, den Aufschub nur für die Kennzeichnung in Anspruch nehmen können. Am 31. Juli 2026, einen Tag vor dem Termin, hat die Kommission die erste Liste der Unterzeichner des Verhaltenskodex zur Transparenz KI-erzeugter Inhalte veröffentlicht — rund 190 Organisationen — und angekündigt, dass das Büro für KI gemeinsam mit den nationalen Behörden ab dem 2. August mit der Durchsetzung der Verordnung beginnt.

Wen es betrifft

Jede Organisation, die KI gegenüber Kunden oder Bürgern sichtbar einsetzt, und jeder, der ein Modell mit allgemeinem Verwendungszweck übernimmt.

Was zu tun ist

Kennzeichnung erzeugter Inhalte, Offenlegung bei Chatbots, aktualisierte Hinweistexte: Das ist Arbeit von Wochen, nicht von Monaten, und die vier zusätzlichen Monate gelten allein für die Kennzeichnung bereits in Verkehr gebrachter generativer Systeme. Von Modellanbietern fordern Sie schriftlich an: technische Dokumentation, Informationen für nachgelagerte Anbieter, die Strategie zur Einhaltung des Urheberrechts, die hinreichend detaillierte Zusammenfassung der für das Training verwendeten Inhalte und die Angabe, ob der Anbieter dem Praxisleitfaden beigetreten ist. Die Antworten werden archiviert. Der Termin fällt auf einen Sonntag: Der erste Werktag ist Montag, der 3. August. In Italien gibt es die Aufsichtsbehörde sehr wohl, und nicht erst seit heute: Artikel 20 Absatz 2 des Gesetzes Nr. 132/2025, in Kraft seit dem 10. Oktober 2025, benennt die Digitalagentur AgID als notifizierende Behörde und die Cybersicherheitsagentur ACN als Marktüberwachungsbehörde und zentrale Anlaufstelle im Sinne des Artikels 70 der KI-Verordnung; die Kommission führt die ACN unter den gemeldeten Anlaufstellen — ohne Sternchen, also als Benennung, deren Annahme nicht mehr aussteht. Was fehlt, ist das Gesetzesdekret, das diesen Behörden Verfahren, Prüfbefugnisse und ein Sanktionsregime gibt und die Datenschutzbehörde für die Systeme des Artikels 74 Absatz 8 benennt — Biometrie zu Zwecken der Strafverfolgung, der Grenzkontrolle und der Justiz: Der Entwurf, Regierungsentwurf Nr. 421, wurde am 4. August 2026 vom Ministerrat in abschließender Beratung gebilligt und wartete am 12. August noch auf die Veröffentlichung im Amtsblatt. In demselben Dekret stehen die nationalen Sanktionsvorschriften, die Artikel 99 von jedem Mitgliedstaat verlangt, abgestuft und mit niedrigeren Höchstbeträgen als in der Verordnung: Auch sie bestehen bislang nur auf dem Papier und noch nicht im Amtsblatt. Keine dieser Lücken verschiebt die Pflicht: Sie gilt ohnehin, und sie trifft diejenigen, die sie erfüllen müssen, nicht diejenigen, die sie überwachen werden.

Was beginnt

Zwei Termine am selben Tag, beide aus der Verordnung (EU) 2026/1744. Es gelten die zwei Verbote, die Artikel 5 der KI-Verordnung hinzugefügt wurden; sie erfassen Inverkehrbringen, Inbetriebnahme und Verwendung: KI-Systeme, die realistische Bild-, Video- oder Tonaufnahmen oder vergleichbares Material erzeugen oder manipulieren, in denen intime Körperteile einer bestimmbaren natürlichen Person dargestellt werden oder diese Person an eindeutig sexuellen Handlungen beteiligt gezeigt wird, ohne ihre freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Einwilligung; und KI-Systeme, die Darstellungen von sexuellem Missbrauch von Kindern oder pornografische Darbietungen im Sinne von Artikel 2 Buchst. c und e der Richtlinie 2011/93/EU erzeugen oder manipulieren. Und es endet die viermonatige Übergangsfrist für Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen und vor dem 2. August 2026 in Verkehr gebracht wurden, zur Kennzeichnung nach Artikel 50 Absatz 2.

Wen es betrifft

Wer generative KI-Systeme anbietet, die vor August bereits im Produktivbetrieb waren, und wer Werkzeuge anbietet, die Bilder, Video, Ton und Texte erzeugen oder verändern.

Was zu tun ist

War ein generativer Dienst am 1. August 2026 bereits auf dem Markt, enden die vier Monate hier: maschinenlesbare Kennzeichnung der Ausgaben, mit einer technischen Lösung, die wirksam, interoperabel, belastbar und zuverlässig ist. Bei den Verboten ist der Anwendungsbereich enger, als die Überschrift vermuten lässt: Inverkehrbringen und Inbetriebnahme sind nur verboten, wenn diese Erzeugung die Zweckbestimmung des Systems ist oder wenn sie ein nach vernünftigem Ermessen absehbares und reproduzierbares Ergebnis ist und zumutbare und angemessene technische Sicherheitsmaßnahmen fehlen, die das zuverlässig verhindern; für den Betreiber greift das Verbot nur, wenn er das System gerade dazu verwendet, solches Material zu erzeugen. Wer den eigenen Nutzern ein fremdes Modell zugänglich macht, lässt sich schriftlich bestätigen, welche Schutzvorkehrungen der Anbieter getroffen hat, und archiviert die Antwort: Der Bußgeldrahmen des Artikels 5 ist der höchste der Verordnung.

Was beginnt

Die Richtlinie (EU) 2024/2853 gilt für Produkte, die nach dem 8. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden – so Art. 2 Abs. 1 in der Fassung der Berichtigung im Amtsblatt L 2026/90364 vom 7. Mai 2026, die «nach dem 9. Dezember 2026» ersetzt hat; erfasst sind damit auch Produkte, die am 9. Dezember selbst in Verkehr gebracht werden. Bis zum 9. Dezember 2026 müssen die Mitgliedstaaten sie umgesetzt haben. Der Begriff des Produkts erfasst nun ausdrücklich Software — und damit KI-Systeme —, unabhängig vom Vertriebsweg.

Wen es betrifft

Wer Software oder KI-Systeme unter eigenem Namen oder eigener Marke in Verkehr bringt oder in ein Produkt oder eine Dienstleistung einbaut.

Was zu tun ist

Technische Dokumentation und Entscheidungsprotokolle verstärken: Sie sind die erste Verteidigung gegen die Vermutung der Fehlerhaftigkeit, die eintritt, wenn ein Beklagter der Offenlegungspflicht nicht nachkommt. In Italien steht die Ermächtigung im Gesetz Nr. 36 vom 17. März 2026, Anlage A Nummer 4, und ist nach Artikel 31 Absatz 1 des Gesetzes Nr. 234/2012 bis zum 9. August 2026 auszuüben. Der Ministerrat hat den Entwurf am 4. August 2026 in vorläufiger Beratung gebilligt, und die Übermittlung an die Kammern kam rechtzeitig: Es ist der Regierungsentwurf Nr. 434, am 7. August 2026 dem II. Rechtsausschuss zugewiesen, Stellungnahme bis zum 16. September 2026 — genau vierzig Tage nach der Übermittlung, wie es Artikel 31 Absatz 3 des Gesetzes Nr. 234/2012 verlangt. Da dieser Termin nach dem 9. August liegt, ist die dreimonatige Verlängerung eingetreten: Die Ermächtigung ist nun bis zum 9. November 2026 auszuüben. Für Ihre Unterlagen zählt der europäische Termin: Er verschiebt sich durch die nationale Umsetzung nicht.

Was beginnt

Nach dem Aufschub durch die Verordnung (EU) 2026/1744 gelten die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III — Personalauswahl, Kreditwürdigkeit, allgemeine und berufliche Bildung, kritische Infrastruktur, Rechtspflege — ab dem 2. Dezember 2027. Mit ihnen verschiebt sich alles, was für die Betreiber daran hängt, einschließlich der Grundrechte-Folgenabschätzung: Sie ist von Betreibern verlangt, die Einrichtungen des öffentlichen Rechts sind oder als private Einrichtungen öffentliche Dienste erbringen.

Wen es betrifft

Wer Systeme nach Anhang III entwickelt und wer sie einsetzt.

Was zu tun ist

Der Aufschub streicht die Pflichten nicht, er verschiebt sie: Banken, Behörden und große Auftraggeber schreiben die Anforderungen der KI-Verordnung heute schon in ihre Leistungsbeschreibungen. Grundrechte-Folgenabschätzung und Datenschutz-Folgenabschätzung überschneiden sich weitgehend, und es lohnt sich, beide aus einer Analyse zu erzeugen: Seit dem 27. Juli 2026 lässt Artikel 27 Absatz 4 in der Fassung des Omnibus ausdrücklich zu, dass der Betreiber auf die einschlägigen Abschnitte der Datenschutz-Folgenabschätzung verweist oder Teile davon in die Grundrechte-Folgenabschätzung aufnimmt. Und der Aufschub ist keine Pause: Die Verbote des Artikels 5 waren nie Teil des verschobenen Pakets, und für Systeme im Personalbereich gilt in Italien die Pflicht, Beschäftigte über Logik, Zwecke und Datenkategorien zu unterrichten, bereits seit 2022 (Artikel 1-bis des Legislativdekrets Nr. 152/1997).

Was beginnt

Für KI-Systeme, die in Produkte eingebaut sind, die bereits sektorspezifisch geregelt sind — Anhang I: Medizinprodukte, Maschinen, Kraftfahrzeuge —, gilt der 2. August 2028.

Wen es betrifft

Hersteller geregelter Produkte, die KI enthalten, und wer solche Produkte in größere Anlagen einbaut.

Was zu tun ist

Seit dem 27. Juli 2026 verschiebt die Verordnung (EU) 2026/1744 die Maschinenverordnung — die Verordnung (EU) 2023/1230 — von Abschnitt A in Abschnitt B des Anhangs I der KI-Verordnung. Ein KI-System, das Sicherheitsbauteil einer Maschine ist, bleibt nach Artikel 6 Absatz 1 hochriskant, aber die Anforderungen kommen nicht mehr aus Kapitel III der KI-Verordnung: Sie wandern in Anhang III der Maschinenverordnung, über delegierte Rechtsakte, die ab dem 2. August 2028 gelten. Ein Satz technischer Unterlagen, eine Konformitätsbewertung, die notifizierte Stelle des Maschinenwegs — die allerdings auch nach der KI-Verordnung benannt sein muss: Artikel 43 Absatz 3 in der Fassung des Omnibus gibt Stellen, die bereits nach Anhang I Abschnitt A notifiziert sind, bis zum 28. Januar 2028 Zeit, die Benennung zu beantragen. Fragen Sie Ihre Stelle, ob sie den Antrag gestellt hat.