EU AI Act: Was österreichische KMU ab 2026 wirklich tun müssen

Was regelt der EU AI Act?

Der EU AI Act (Verordnung (EU) 2024/1689) regelt Entwicklung und Einsatz von künstlicher Intelligenz in der EU nach Risiko: Je größer das Risiko einer Anwendung, desto strenger die Pflichten. Als EU-Verordnung gilt der AI Act in Österreich unmittelbar. Er unterscheidet zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen auf den Markt bringen, und Betreibern, die ein KI-System in eigener Verantwortung beruflich nutzen. Die meisten KMU sind Betreiber.

Unsicherheit ist verbreitet: Laut Statistik Austria nennen 11 % der österreichischen Unternehmen ohne KI-Nutzung rechtliche Unklarheiten als Grund, KI nicht einzusetzen. Für typische KMU-Anwendungen sind die Pflichten aber überschaubar, wie die Übersicht zeigt.

Welche Fristen gelten beim AI Act?

Der AI Act ist am 1. August 2024 in Kraft getreten und wird schrittweise anwendbar. Der Digital Omnibus on AI hat 2026 mehrere Fristen verschoben: Laut Europäischer Kommission wurde der Vorschlag am 19. November 2025 vorgelegt, die politische Einigung folgte am 7. Mai 2026, in Kraft ist die Änderung seit 27. Juli 2026. Die wichtigsten Termine im Überblick:

KI-Kompetenz: Was müssen Betriebe seit 2025 tun?

Betriebe, die KI einsetzen, sollen seit 2. Februar 2025 für ausreichende KI-Kompetenz ihrer Mitarbeiter:innen sorgen. Gemeint ist, dass alle, die mit KI arbeiten, deren Möglichkeiten, Grenzen und Risiken kennen – passend zu ihrer Aufgabe. Die Pflicht nach Art. 4 wurde 2026 per Digital Omnibus abgeschwächt; der Kern bleibt: Wer KI im Betrieb nutzt, sollte das Team darauf vorbereiten. Eine Begriffserklärung steht im Glossar unter KI-Kompetenz.

Ein Zertifikat oder eine bestimmte Schulungsdauer schreibt der AI Act nicht vor. Beispiel (erfunden): Ein Steuerberatungsbüro in Linz legt fest, dass Mandantendaten nur im Geschäftskonto eines KI-Werkzeugs mit Auftragsverarbeitungsvertrag verarbeitet werden, und übt mit dem Team an echten Aufgaben. Für ein KMU reichen in der Regel einfache, dokumentierte Maßnahmen:

• Eine kurze interne Regel: welche KI-Werkzeuge erlaubt sind und wofür.
• Keine vertraulichen oder personenbezogenen Daten in frei zugängliche KI-Tools ohne Vertrag.
• KI-Ergebnisse werden vor der Verwendung von einem Menschen geprüft.
• Eine Schulung für alle, die regelmäßig mit KI arbeiten, mit Beispielen aus dem eigenen Betrieb.
• Eine Notiz, wer wann geschult wurde und welche Regeln gelten.

Müssen Chatbots und Telefonassistenten gekennzeichnet werden?

Ja, Chatbots und KI-Telefonassistenten müssen seit 2. August 2026 erkennbar machen, dass Menschen mit einer KI interagieren, sofern das nicht ohnehin offensichtlich ist. Das regelt Art. 50 Abs. 1 AI Act. Die Information muss laut Art. 50 Abs. 5 „spätestens zum Zeitpunkt der ersten Interaktion“ und in klarer und eindeutiger Weise erfolgen. Die Pflicht trifft in erster Linie den Anbieter des Systems; für den Betrieb, der den Chatbot auf seiner Website einsetzt, heißt das praktisch: Der Hinweis muss sichtbar sein, bevor die erste Nachricht geschrieben wird.

Ein Beispiel für einen Hinweis im Chatfenster: „Hier antwortet ein KI-Assistent auf Basis unserer Website. Für eine persönliche Beratung erreicht ihr uns telefonisch.“ Beim Telefonassistenten genügt ein Satz zu Beginn des Gesprächs. Wie ein Website-Chatbot sonst aufgebaut sein sollte, erklärt der Ratgeber KI-Chatbot für die Website; das Glossar beschreibt die Transparenzpflicht für Chatbots.

Müssen KI-generierte Texte und Bilder gekennzeichnet werden?

KI-generierte Texte von KMU müssen in den meisten Fällen nicht gekennzeichnet werden, Deepfakes dagegen schon. Art. 50 Abs. 4 AI Act verpflichtet Betreiber offenzulegen, wenn Bild-, Ton- oder Videoinhalte ein Deepfake sind, also echten Personen, Orten oder Ereignissen täuschend ähnlich sehen. Für Texte gilt die Offenlegungspflicht nur, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren – und auch dann nicht, wenn ein Mensch den Text inhaltlich geprüft hat und jemand die redaktionelle Verantwortung trägt.

Für Produktbeschreibungen, Social-Media-Beiträge oder Newsletter, die eine Person im Betrieb prüft und freigibt, besteht nach Art. 50 deshalb in der Regel keine Kennzeichnungspflicht. Freiwillig kennzeichnen ist trotzdem möglich, etwa mit „mit KI-Unterstützung erstellt und von uns geprüft“. Getrennt davon müssen Anbieter generativer KI ihre Ergebnisse maschinenlesbar markieren (Art. 50 Abs. 2); für Systeme, die bereits vor August 2026 am Markt waren, gilt dafür nach dem Digital Omnibus eine Übergangsfrist bis 2. Dezember 2026. Das betrifft die Hersteller der Werkzeuge, nicht den Betrieb, der sie nutzt.

Wann ist eine KI-Anwendung im Betrieb hochriskant?

Hochriskant ist eine KI-Anwendung nur in bestimmten, im Anhang III des AI Act aufgezählten Bereichen. Für KMU am relevantesten ist der Bereich Beschäftigung: KI, die Bewerbungen filtert oder bewertet, über Beförderungen oder Kündigungen mitentscheidet oder Leistung und Verhalten von Mitarbeiter:innen überwacht. Weitere Bereiche sind unter anderem die Prüfung der Kreditwürdigkeit, Bildung und Prüfungen, kritische Infrastruktur und biometrische Identifizierung.

Typische KMU-Anwendungen wie ein Website-Chatbot, Textentwürfe, Übersetzungen, das Auslesen von Rechnungen oder eine Online-Terminbuchung sind keine Hochrisiko-Systeme. Wer KI im Personalbereich nutzt, sollte sich bis 2. Dezember 2027 vorbereiten: Betreiber müssen das System dann gemäß Gebrauchsanweisung verwenden, menschliche Aufsicht sicherstellen, Protokolle aufbewahren und betroffene Mitarbeiter:innen informieren. Schon seit 2. Februar 2025 verboten ist etwa Emotionserkennung am Arbeitsplatz. Wer unsicher ist, ob eine Anwendung in einen Bereich nach Anhang III fällt, sollte das vor dem Einsatz klären lassen, nicht danach.

Checkliste: AI Act für KMU

Mit dieser Checkliste lässt sich rasch klären, wo ein Betrieb steht. Sie ersetzt keine Rechtsberatung, deckt aber die Pflichten ab, die typische KMU betreffen. Am besten wird sie einmal im Jahr wiederholt, weil neue KI-Funktionen oft über Software-Updates in bestehende Programme kommen. Für den Datenschutz beim Chatbot siehe den Ratgeber Chatbot DSGVO-konform betreiben.

Wo bekommen KMU in Österreich Unterstützung?

Erste Anlaufstelle für Fragen zum AI Act in Österreich ist die KI-Servicestelle der RTR. Die KI-Servicestelle bei der Rundfunk und Telekom Regulierungs-GmbH informiert über Pflichten von Anbietern und Betreibern, Risikostufen, Transparenzpflichten und Fristen und bietet häufige Fragen und Leitfäden. Sie stellt außerdem einen quelloffenen AI-Act-Chatbot samt technischer und rechtlicher Dokumentation bereit und ist per E-Mail unter ki@rtr.at erreichbar. Für die rechtliche Einschätzung eines konkreten Falls sind Rechtsanwält:innen oder das Rechtsservice der WKO die richtigen Ansprechpartner.

Pipeline hilft bei der praktischen Umsetzung: Bestandsaufnahme der KI-Werkzeuge im Betrieb, Einordnung nach Risikoklasse, Kennzeichnung von Chatbots und KI-Schulungen für das Team. Auch hier gilt der Grundsatz „Erst das Problem, dann das Werkzeug.“: zuerst klären, welche KI tatsächlich im Einsatz ist, dann die Pflichten ableiten. Eine Rechtsberatung ersetzt das nicht.

Häufige Fragen

Dieser Artikel ist eine allgemeine Information und ersetzt keine Rechts-, Steuer- oder Förderberatung. Stand siehe oben; Fehler gefunden? Schreib an office@pipeline-solutions.at.