Which AI regulations apply to my organisation?

The regulations that apply depend on where your organisation is based, where your customers or affected individuals are located, and what your AI systems do. The EU AI Act applies to any organisation that places an AI system on the EU market or whose AI systems affect individuals in the EU, regardless of where the organisation is incorporated. ISO 42001 is a voluntary standard but increasingly expected by enterprise customers and auditors. NIST AI RMF is voluntary and US-focused but widely adopted globally. US state laws (Colorado, Illinois, Texas, California) apply if you have customers or employees in those states. Organisations with operations in multiple jurisdictions typically face overlapping requirements.

What is the EU AI Act compliance deadline?

The EU AI Act entered into force on 1 August 2024 and applies in phases. Prohibited AI practices have applied since 2 February 2025, and GPAI model obligations since 2 August 2025. Transparency obligations under Article 50 (chatbot disclosure, deepfake labelling) apply from 2 August 2026; providers of generative AI systems placed on the market before that date have until 2 December 2026 to meet Article 50(2)'s machine-readable marking duty. The omnibus adopted in June 2026 also postponed the high-risk deadlines: stand-alone Annex III systems (employment, education, essential services, law enforcement, etc.) must comply by 2 December 2027, and AI embedded in Annex I regulated products by 2 August 2028. Organisations should keep preparing now, conformity assessments take time and the first Article 50 duties land in August 2026.

How does ISO 42001 relate to the EU AI Act?

ISO 42001 is an AI management system standard that provides a framework for managing AI responsibly. It is related to the EU AI Act in that implementing ISO 42001 will help organisations meet many EU AI Act requirements, particularly around governance structures, risk management, documentation, and accountability. However, ISO 42001 certification does not provide automatic EU AI Act compliance, and the EU AI Act has specific technical requirements (bias testing, explainability, accuracy benchmarks) that go beyond the ISO 42001 management system scope. The two frameworks are complementary, many organisations use ISO 42001 as the management backbone and map EU AI Act technical requirements on top.

What are the penalties for EU AI Act non-compliance?

EU AI Act penalties are tiered by violation type: deploying a prohibited AI system (Article 5 violations) carries fines of up to €35 million or 7% of global annual turnover, whichever is higher; non-compliance with other obligations for providers and deployers of high-risk AI systems carries fines of up to €15 million or 3% of global annual turnover; supplying incorrect or misleading information to national authorities carries fines of up to €7.5 million or 1.5% of global annual turnover. These penalties are comparable to GDPR enforcement levels and are applied per violation, not per organisation, multiple simultaneous violations could stack.

Sichern Sie sich Ihre kostenlose 30-Tage-Testversion zur Risikoerkennung für generative KI:30 Tage Risikoerkennung für generative KI:Jetzt starten

Demo buchen

Kostenlose Vorlage · Regulatorische Compliance

KI-Tracker für
regulatorische Compliance

Verfolgen Sie die Compliance über den EU AI Act, NIST AI RMF, ISO 42001 und aufkommende KI-Vorschriften in den USA und im UK hinweg. Inklusive Anforderungs-Mapping, Lückenanalyse und Nachverfolgung von Abhilfemaßnahmen für Ihr KI-Governance-Programm.

Vorlage herunterladen Demo buchen

Aktualisiert im Juli 2026

4 frameworks

EU AI Act, NIST, ISO 42001, US-Bundesstaaten

Dez. 2027

Frist für hohes Risiko (Anhang III) nach dem EU AI Act

35 Mio. €

Höchststrafe für verbotene KI

Kostenlos

zur Nutzung und Anpassung

Warum Sie einen KI-Tracker für regulatorische Compliance brauchen

Die KI-Regulierung hat sich seit 2024 dramatisch beschleunigt. Organisationen stehen nun überlappenden Compliance-Pflichten über mehrere Rechtsräume und Rahmenwerke hinweg gegenüber, und ohne einen strukturierten Tracker sind Lücken unvermeidlich.

Dez. 2027

EU-AI-Act-Frist für hohes Risiko auf Dezember 2027 verschoben

Der im Juni 2026 verabschiedete Digital-Omnibus verschob die Hochrisiko-Pflichten nach Anhang III auf den 2. Dezember 2027 und für in Anhang-I-Produkte eingebettete KI auf den 2. August 2028. Die Transparenzpflichten nach Artikel 50 gelten weiterhin ab dem 2. August 2026; nur die maschinenlesbare Kennzeichnungspflicht nach Artikel 50 Absatz 2 erhält eine Übergangsfrist bis zum 2. Dezember 2026 für generative KI-Systeme, die vor diesem Datum bereits auf dem Markt sind. Die Arbeit geht also weiter.

3 frameworks

Überlappende Anforderungen erfordern eine einheitliche Nachverfolgung

EU AI Act, ISO 42001 und NIST AI RMF haben überlappende, aber nicht identische Anforderungen. Ohne einen einheitlichen Tracker entstehen Lücken zwischen den Rahmenwerken.

Jan. 2026

KI-Gesetze der US-Bundesstaaten sind jetzt in Kraft

Das texanische TRAIGA und Illinois' HB 3773 traten am 1. Januar 2026 in Kraft, Kaliforniens SB 53 gilt bereits, und Colorados neu gefasstes Gesetz SB 26-189 folgt am 1. Januar 2027. Organisationen mit US-Geschäft müssen klären, welche Gesetze welche Systeme erfassen.

Audit

Compliance-Nachweise müssen über die Zeit gepflegt werden

Aufsichtsbehörden erwarten Nachweise fortlaufender Compliance, keine Momentaufnahme. Ein Tracker liefert den Prüfpfad, der ein systematisches Compliance-Management belegt.

Der Compliance-Tracker

Klappen Sie jeden Abschnitt auf, um die Compliance-Anforderungen und das Bewertungsrahmenwerk anzuzeigen. Füllen Sie die Statusfelder für jede Anforderung aus, um Ihre Lückenanalyse aufzubauen.

Schritt 1: Jedes KI-System nach Risikostufe einordnen

Unannehmbares Risiko (verboten)

Compliance erforderlich: 2. Feb. 2025 (in Kraft)

Biometrische Echtzeitüberwachung im öffentlichen Raum; Social Scoring durch Behörden; Ausnutzung der Schwächen bestimmter Gruppen; unterschwellige Manipulation. Der Omnibus von Juni 2026 ergänzte KI-generierte nicht einvernehmliche Intimbilder und Darstellungen von Kindesmissbrauch. Diese Systeme müssen sofort vom Markt genommen werden.

Hohes Risiko (Anhang III)

Compliance erforderlich: 2. Dez. 2027 (durch den Omnibus von Juni 2026 verschoben)

Beschäftigungs- und HR-Entscheidungen; Bildung und berufliche Ausbildung; Zugang zu wesentlichen Diensten (Kredit, Versicherung, Leistungen); Strafverfolgung; Migration und Asyl; Rechtspflege. Es gelten alle Pflichten.

Begrenztes Risiko

Compliance erforderlich: 2. Aug. 2026 (Art.-50(2)-Kennzeichnung für bereits vermarktete Systeme: 2. Dez. 2026)

KI-Systeme, die mit natürlichen Personen interagieren (Chatbots); KI, die Inhalte erzeugt oder manipuliert (Deepfakes, synthetische Medien). Nur Transparenzpflichten, die KI-Natur muss offengelegt werden.

Minimales Risiko

Keine zusätzlichen Pflichten

Alle anderen KI-Systeme, Spamfilter, KI-gestützte Spiele, Empfehlungssysteme außerhalb der Kontexte von Anhang III. Keine zusätzlichen Pflichten nach dem EU AI Act über das bestehende Recht hinaus.

Wesentliche Pflichten für KI mit hohem Risiko (Systeme nach Anhang III)

Risikomanagementsystem (Art. 9)