Hochrisiko

EU AI Act Frist verpasst: Was tun bei verspäteter Compliance?

Stand: Mai 2026 · Innopulse Consulting GmbH, Zug

Auf einen Blick

Wer eine EU AI Act Frist verpasst, hat keine Toleranz-Garantie — aber pragmatische Optionen. Schritt 1: System bei Bedarf abschalten. Schritt 2: Compliance-Roadmap dokumentieren. Schritt 3: Aufsicht aktiv informieren. Eine ehrliche, dokumentierte Recovery hat besseres Bussgeld-Outcome als heimlicher Weiterbetrieb.

Der EU AI Act sieht keine Toleranz-Klauseln in den Stichtagen vor. Wer die Frist 2. Februar 2025, 2. August 2025 oder insbesondere 2. August 2026 verpasst, ist formal in Verstoss — und dem vollen Bussgeld-Risiko ausgesetzt (bis zu 35 Mio. EUR / 7 % Umsatz für Art. 5, bis zu 15 Mio. EUR / 3 % Umsatz für Hochrisiko). In der Praxis aber hat die Aufsicht erhebliches Ermessen, und bisher haben BNetzA, RTR und AI Office signalisiert, dass sie auf "Aufklärung statt Sanktion" setzen, ähnlich wie die DSGVO-Aufsicht 2018/2019. Diese Seite zeigt einen pragmatischen Eskalationsplan: Was sofort tun? Wie kommuniziert man mit der Aufsicht? Wann lohnt sich ein Anwalt? Welche Recovery-Roadmap minimiert Bussgelder und Reputationsschaden?

Schritt 1 (Tag 1-7): Sofortmassnahmen

Wenn Sie merken, dass eine Frist verpasst wurde:

Stop-Loss bei Art. 5: Verbotene KI-Praktiken (Emotionserkennung am Arbeitsplatz, Social Scoring, Massenscraping) sofort abschalten — null Toleranz
Hochrisiko-KI ohne Konformitätsbewertung: Inverkehrbringen / Inbetriebnahme stoppen bis CE-Kennzeichen vorliegt
Logging und Audit-Trail aktivieren: Wenn nicht aktiviert, sofort einrichten — auch wenn unvollständig
Internes Memo: Geschäftsführung schriftlich informieren
Anwalt einschalten: Bei Hochrisiko-KI oder Art. 5-Verdacht innert 7 Tagen Anwalts-Termin

Wichtig: Nicht heimlich weiterbetreiben. Bei Aufsichts-Untersuchung ist heimlicher Weiterbetrieb ein massiver Strafverschärfungs-Faktor.

Schritt 2 (Woche 1-4): Compliance-Roadmap dokumentieren

Erstellen Sie eine realistische Compliance-Roadmap mit:

IST-Stand: Was ist erfüllt, was nicht?
Gap-Analyse pro Pflicht (Art. 9-15, Art. 27 FRIA)
Massnahmen mit Verantwortlichen und Deadlines
Endtermin: realistisch maximal 6-12 Monate nach Frist
Budget und Personal-Allokation

Diese Roadmap dient zwei Zwecken: 1. Intern: Klare Steuerung, dass Compliance erreicht wird 2. Extern: Bei Aufsichts-Anfrage zeigen Sie eine konstruktive, dokumentierte Reaktion — was Bussgelder massiv reduziert (Art. 99 Abs. 7 lit. d).

Schritt 3: Aktive Kommunikation mit der Aufsicht?

Soll man die Aufsichtsbehörde proaktiv informieren?

Pro Selbst-Anzeige: - Bei Art. 5-Verstössen oder klaren Hochrisiko-Verstössen: Aufsicht erfährt es ohnehin (Whistleblower, Beschwerden, Routinekontrollen). Selbst-Anzeige zeigt good faith — meist signifikante Bussgeld-Reduktion. - Im DSGVO-Kontext gibt es eine Pflicht zur Meldung bei Datenpannen (Art. 33 DSGVO). Beim AI Act gibt es noch keine explizite Self-Reporting-Pflicht für Compliance-Lücken — aber bei systemic-risk-GPAI ja (Art. 55 Abs. 1 lit. c).

Contra Selbst-Anzeige: - Bei nicht-publizen Verstössen ohne Kunden-Beschwerde: Wenn die Roadmap kurzfristig (3-6 Monate) zu Compliance führt, kann Schweigen praktikabel sein — solange die Recovery dokumentiert läuft. - Achtung: Anwalt einbeziehen. Selbst-Anzeige ist ein strategischer Akt mit unklarer Strafrechts-Schnittstelle.

Schritt 4: Recovery und Resilience

Mittelfristig:

Compliance-Verantwortlicher ernennen (Hauptamtlich oder als Compliance-Officer-Rolle)
AI-Governance-Komitee etablieren mit Legal, IT, Compliance, Business
Externes Audit nach 6 Monaten zur Validierung der Recovery
Lessons Learned: Warum wurde die Frist verpasst? Strukturelle vs. einmalige Fehler?
Update-Pipeline: Bei künftigen Stichtagen (Annex I 2027, Public-Sector 2030) frühe Vorbereitung

Reputations-Schutz: - Keine offensive Pressekommunikation zur Compliance-Lücke (es sei denn, sie wird ohnehin öffentlich) - Kunden-Vertragsanhänge: Bei Compliance-Klausel-Verletzung proaktiv anbieten, nachzubessern - Investor / Bord-Information: Schriftlich, mit Roadmap und Risiko-Einschätzung

Häufige Fragen

Wie hoch ist das Bussgeld-Risiko bei verspäteter Compliance?

Theoretisch bis zu 35 Mio. EUR / 7 % (Art. 5) oder 15 Mio. EUR / 3 % (Hochrisiko). Praktisch: Ohne öffentliches Bekanntwerden, mit dokumentierter Recovery-Roadmap, ohne Personenschaden — Bussgelder unter 100k EUR realistisch. Bei systemischem Verstoss oder Personenschaden steigen die Risiken exponentiell.

Reduziert eine Self-Anzeige das Bussgeld?

Art. 99 Abs. 7 lit. d listet "actions taken to mitigate the harm" als Strafzumessungs-Faktor. Self-Anzeige + dokumentierte Recovery + Kooperation mit Aufsicht reduzieren in der DSGVO-Praxis Bussgelder um 30-70%. Erwartete Praxis im AI Act ähnlich.

Müssen wir Kunden über die Verspätung informieren?

Bei Art. 26 Abs. 11 EU AI Act: Wenn Hochrisiko-KI ohne ausreichende Compliance Bewerber, Kunden, Bürger betraf, gibt es Information-Pflichten. Ein generelles Compliance-Versäumnis ohne konkrete Personen-Wirkung erfordert keine aktive Kunden-Information — aber Vertragsanhänge mit AI-Act-Compliance-Klauseln sind oft betroffen.

Wir sind ein KMU — gilt die KMU-Reduktion auch bei Frist-Verspätung?

Ja. Art. 99 Abs. 7 EU AI Act sieht eine generelle KMU-Reduktion vor, unabhängig vom Verstoss-Typ. Verspätung ist ein Verstoss wie jeder andere. Aber: KMU-Reduktion ist kein Freischein. Systematische Nicht-Compliance kann auch KMU mit substanziellen Bussgeldern treffen.

Relevante Rechtsgrundlagen

Art. 99 EU AI ActArt. 26 EU AI ActArt. 27 EU AI Act

Klassifizieren Sie Ihre KI-Systeme — kostenlos

In 5 Minuten Risiko-Klasse, FRIA-Pflicht und Compliance-Aufwand für jedes KI-System.

Kostenloser EU AI Act Quick-Check →

Innopulse Consulting GmbH — EU AI Act Compliance

Verfasst auf Basis der Verordnung (EU) 2024/1689, EDPB-Guidelines und CJEU-Rechtsprechung (C-634/21 SCHUFA, C-203/22 Dun & Bradstreet). Gotthardstrasse 30, 6300 Zug, Schweiz · UID CHE-219.727.921.

Hinweis: Technische Orientierung — kein Ersatz für anwaltliche Rechtsberatung.

Alle Fristen Quick-Check