# EU AI Act: Was österreichische KMU ab 2026 wirklich tun müssen

> Der EU AI Act für österreichische KMU, Stand Oktober 2026: Fristen inklusive Digital Omnibus, Pflichten für Chatbots und KI-Texte, Hochrisiko und Checkliste.

Quelle: https://partner.pipeline-solutions.at/wissen/eu-ai-act-kmu/  
Stand: 2026-11-09  
Anbieter: Pipeline AI Solutions, Kleinzell im Mühlkreis (Oberösterreich), office@pipeline-solutions.at

Recht · Für Betriebe

Von [Paul Hölzl](https://partner.pipeline-solutions.at/ueber-pipeline/) · Veröffentlicht 21. Oktober 2026 · Aktualisiert 9. November 2026 · 8 Minuten Lesezeit

**Die kurze Antwort:**

Für die meisten österreichischen KMU bringt der EU AI Act (Verordnung (EU) 2024/1689) überschaubare Pflichten: Mitarbeiter:innen sollen KI kompetent nutzen können, Chatbots müssen seit 2. August 2026 als KI erkennbar sein, und Deepfakes müssen offengelegt werden. Strenge Hochrisiko-Pflichten betreffen nur bestimmte Einsätze wie die Bewerberauswahl und gelten nach dem Digital Omnibus erst ab 2. Dezember 2027. Dieser Artikel ist allgemeine Information, keine Rechtsberatung.

## Was regelt der EU AI Act?

Der EU AI Act (Verordnung (EU) 2024/1689) regelt Entwicklung und Einsatz von künstlicher Intelligenz in der EU nach Risiko: Je größer das Risiko einer Anwendung, desto strenger die Pflichten. Als EU-Verordnung gilt der AI Act in Österreich unmittelbar. Er unterscheidet zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen auf den Markt bringen, und Betreibern, die ein KI-System in eigener Verantwortung beruflich nutzen. Die meisten KMU sind Betreiber.

Unsicherheit ist verbreitet: Laut Statistik Austria nennen 11 % der österreichischen Unternehmen ohne KI-Nutzung rechtliche Unklarheiten als Grund, KI nicht einzusetzen. Für typische KMU-Anwendungen sind die Pflichten aber überschaubar, wie die Übersicht zeigt.

| Risikostufe | Beispiele | Folge für KMU |
| --- | --- | --- |
| Verboten | Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz | Darf nicht eingesetzt werden |
| Hochrisiko | KI bei Bewerberauswahl, Kreditwürdigkeit, Bildung, kritischer Infrastruktur | Strenge Pflichten ab 2.12.2027 |
| Transparenz | Chatbots, Telefonassistenten, Deepfakes | Kennzeichnung seit 2.8.2026 |
| Minimales Risiko | Textentwürfe, Übersetzungen, Spamfilter, Dokumente auslesen | Keine besonderen Pflichten außer KI-Kompetenz |

## Welche Fristen gelten beim AI Act?

Der AI Act ist am 1. August 2024 in Kraft getreten und wird schrittweise anwendbar. Der Digital Omnibus on AI hat 2026 mehrere Fristen verschoben: Laut Europäischer Kommission wurde der Vorschlag am 19. November 2025 vorgelegt, die politische Einigung folgte am 7. Mai 2026, in Kraft ist die Änderung seit 27. Juli 2026. Die wichtigsten Termine im Überblick:

| Datum | Was gilt | Relevant für typische KMU? |
| --- | --- | --- |
| 2. Februar 2025 | Verbote bestimmter KI-Praktiken, KI-Kompetenz (Art. 4) | Ja |
| 2. August 2025 | Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Governance | Kaum, betrifft Modellanbieter |
| 27. Juli 2026 | Digital Omnibus on AI in Kraft | Indirekt, verschiebt Fristen |
| 2. August 2026 | Allgemeine Anwendung, Transparenzpflichten nach Art. 50 (u. a. Chatbots) | Ja |
| 2. Dezember 2026 | Ende der Übergangsfrist für die maschinenlesbare Kennzeichnung KI-erzeugter Inhalte bei Systemen, die schon vorher am Markt waren | Kaum, betrifft Anbieter |
| 2. Dezember 2027 | Hochrisiko-Pflichten für Einsatzbereiche nach Anhang III | Nur bei Hochrisiko-Einsatz |
| 2. August 2028 | Hochrisiko-Pflichten für KI in Produkten wie Aufzügen oder Spielzeug | Nur für Hersteller |

## KI-Kompetenz: Was müssen Betriebe seit 2025 tun?

Betriebe, die KI einsetzen, sollen seit 2. Februar 2025 für ausreichende KI-Kompetenz ihrer Mitarbeiter:innen sorgen. Gemeint ist, dass alle, die mit KI arbeiten, deren Möglichkeiten, Grenzen und Risiken kennen – passend zu ihrer Aufgabe. Die Pflicht nach Art. 4 wurde 2026 per Digital Omnibus abgeschwächt; der Kern bleibt: Wer KI im Betrieb nutzt, sollte das Team darauf vorbereiten. Eine Begriffserklärung steht im Glossar unter [KI-Kompetenz](https://partner.pipeline-solutions.at/wissen/glossar/ki-kompetenz/).

Ein Zertifikat oder eine bestimmte Schulungsdauer schreibt der AI Act nicht vor. Beispiel (erfunden): Ein Steuerberatungsbüro in Linz legt fest, dass Mandantendaten nur im Geschäftskonto eines KI-Werkzeugs mit Auftragsverarbeitungsvertrag verarbeitet werden, und übt mit dem Team an echten Aufgaben. Für ein KMU reichen in der Regel einfache, dokumentierte Maßnahmen:

- Eine kurze interne Regel: welche KI-Werkzeuge erlaubt sind und wofür.
- Keine vertraulichen oder personenbezogenen Daten in frei zugängliche KI-Tools ohne Vertrag.
- KI-Ergebnisse werden vor der Verwendung von einem Menschen geprüft.
- Eine Schulung für alle, die regelmäßig mit KI arbeiten, mit Beispielen aus dem eigenen Betrieb.
- Eine Notiz, wer wann geschult wurde und welche Regeln gelten.

## Müssen Chatbots und Telefonassistenten gekennzeichnet werden?

Ja, Chatbots und KI-Telefonassistenten müssen seit 2. August 2026 erkennbar machen, dass Menschen mit einer KI interagieren, sofern das nicht ohnehin offensichtlich ist. Das regelt Art. 50 Abs. 1 AI Act. Die Information muss laut Art. 50 Abs. 5 „spätestens zum Zeitpunkt der ersten Interaktion“ und in klarer und eindeutiger Weise erfolgen. Die Pflicht trifft in erster Linie den Anbieter des Systems; für den Betrieb, der den Chatbot auf seiner Website einsetzt, heißt das praktisch: Der Hinweis muss sichtbar sein, bevor die erste Nachricht geschrieben wird.

Ein Beispiel für einen Hinweis im Chatfenster: „Hier antwortet ein KI-Assistent auf Basis unserer Website. Für eine persönliche Beratung erreicht ihr uns telefonisch.“ Beim Telefonassistenten genügt ein Satz zu Beginn des Gesprächs. Wie ein Website-Chatbot sonst aufgebaut sein sollte, erklärt der Ratgeber [KI-Chatbot für die Website](https://partner.pipeline-solutions.at/wissen/ki-chatbot-website/); das Glossar beschreibt die [Transparenzpflicht für Chatbots](https://partner.pipeline-solutions.at/wissen/glossar/transparenzpflicht-fuer-chatbots/).

## Müssen KI-generierte Texte und Bilder gekennzeichnet werden?

KI-generierte Texte von KMU müssen in den meisten Fällen nicht gekennzeichnet werden, Deepfakes dagegen schon. Art. 50 Abs. 4 AI Act verpflichtet Betreiber offenzulegen, wenn Bild-, Ton- oder Videoinhalte ein Deepfake sind, also echten Personen, Orten oder Ereignissen täuschend ähnlich sehen. Für Texte gilt die Offenlegungspflicht nur, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren – und auch dann nicht, wenn ein Mensch den Text inhaltlich geprüft hat und jemand die redaktionelle Verantwortung trägt.

Für Produktbeschreibungen, Social-Media-Beiträge oder Newsletter, die eine Person im Betrieb prüft und freigibt, besteht nach Art. 50 deshalb in der Regel keine Kennzeichnungspflicht. Freiwillig kennzeichnen ist trotzdem möglich, etwa mit „mit KI-Unterstützung erstellt und von uns geprüft“. Getrennt davon müssen Anbieter generativer KI ihre Ergebnisse maschinenlesbar markieren (Art. 50 Abs. 2); für Systeme, die bereits vor August 2026 am Markt waren, gilt dafür nach dem Digital Omnibus eine Übergangsfrist bis 2. Dezember 2026. Das betrifft die Hersteller der Werkzeuge, nicht den Betrieb, der sie nutzt.

## Wann ist eine KI-Anwendung im Betrieb hochriskant?

Hochriskant ist eine KI-Anwendung nur in bestimmten, im Anhang III des AI Act aufgezählten Bereichen. Für KMU am relevantesten ist der Bereich Beschäftigung: KI, die Bewerbungen filtert oder bewertet, über Beförderungen oder Kündigungen mitentscheidet oder Leistung und Verhalten von Mitarbeiter:innen überwacht. Weitere Bereiche sind unter anderem die Prüfung der Kreditwürdigkeit, Bildung und Prüfungen, kritische Infrastruktur und biometrische Identifizierung.

Typische KMU-Anwendungen wie ein Website-Chatbot, Textentwürfe, Übersetzungen, das Auslesen von Rechnungen oder eine Online-Terminbuchung sind keine Hochrisiko-Systeme. Wer KI im Personalbereich nutzt, sollte sich bis 2. Dezember 2027 vorbereiten: Betreiber müssen das System dann gemäß Gebrauchsanweisung verwenden, menschliche Aufsicht sicherstellen, Protokolle aufbewahren und betroffene Mitarbeiter:innen informieren. Schon seit 2. Februar 2025 verboten ist etwa Emotionserkennung am Arbeitsplatz. Wer unsicher ist, ob eine Anwendung in einen Bereich nach Anhang III fällt, sollte das vor dem Einsatz klären lassen, nicht danach.

## Checkliste: AI Act für KMU

Mit dieser Checkliste lässt sich rasch klären, wo ein Betrieb steht. Sie ersetzt keine Rechtsberatung, deckt aber die Pflichten ab, die typische KMU betreffen. Am besten wird sie einmal im Jahr wiederholt, weil neue KI-Funktionen oft über Software-Updates in bestehende Programme kommen. Für den Datenschutz beim Chatbot siehe den Ratgeber [Chatbot DSGVO-konform betreiben](https://partner.pipeline-solutions.at/wissen/chatbot-dsgvo/).

| Schritt | Was zu tun ist | Frist |
| --- | --- | --- |
| KI-Inventar | Alle KI-Werkzeuge im Betrieb auflisten, auch kostenlose Tools und KI-Funktionen in bestehender Software | Jetzt |
| Rolle klären | Für jedes Werkzeug: Ist der Betrieb Anbieter oder Betreiber? | Jetzt |
| Verbote ausschließen | Keine Emotionserkennung bei Mitarbeiter:innen, keine manipulativen Techniken | Seit 2.2.2025 |
| KI-Kompetenz | Interne Regeln, Schulung, kurze Dokumentation | Seit 2.2.2025 |
| Chatbot kennzeichnen | Hinweis im Chatfenster und am Telefon | Seit 2.8.2026 |
| Deepfakes offenlegen | Realistische KI-Bilder, -Videos und -Stimmen kennzeichnen | Seit 2.8.2026 |
| Hochrisiko prüfen | KI im Personalbereich oder bei Kreditentscheidungen identifizieren | Vor 2.12.2027 |
| DSGVO mitdenken | Auftragsverarbeitungsvertrag, Datenschutzerklärung, Speicherdauer | Laufend |

## Wo bekommen KMU in Österreich Unterstützung?

Erste Anlaufstelle für Fragen zum AI Act in Österreich ist die [KI-Servicestelle der RTR](https://www.rtr.at/rtr/service/ki-servicestelle/). Die KI-Servicestelle bei der Rundfunk und Telekom Regulierungs-GmbH informiert über Pflichten von Anbietern und Betreibern, Risikostufen, Transparenzpflichten und Fristen und bietet häufige Fragen und Leitfäden. Sie stellt außerdem einen quelloffenen AI-Act-Chatbot samt technischer und rechtlicher Dokumentation bereit und ist per E-Mail unter ki@rtr.at erreichbar. Für die rechtliche Einschätzung eines konkreten Falls sind Rechtsanwält:innen oder das Rechtsservice der WKO die richtigen Ansprechpartner.

Pipeline hilft bei der praktischen Umsetzung: Bestandsaufnahme der KI-Werkzeuge im Betrieb, Einordnung nach Risikoklasse, Kennzeichnung von Chatbots und KI-Schulungen für das Team. Auch hier gilt der Grundsatz „Erst das Problem, dann das Werkzeug.“: zuerst klären, welche KI tatsächlich im Einsatz ist, dann die Pflichten ableiten. Eine Rechtsberatung ersetzt das nicht.

## Häufige Fragen

### Gilt der AI Act auch, wenn ein Betrieb nur ChatGPT nutzt?

Ja. Wer ChatGPT oder ein ähnliches Werkzeug beruflich nutzt, ist im Sinne des AI Act Betreiber. Daraus folgen vor allem zwei Dinge: Das Team soll ausreichend KI-Kompetenz haben, und Deepfakes müssen bei Veröffentlichung offengelegt werden. Die umfangreichen Pflichten für Anbieter, etwa die technische Dokumentation des Modells, liegen beim Hersteller des Werkzeugs, nicht beim Betrieb.

### Ist ein Website-Chatbot ein Hochrisiko-System?

Nein, ein Website-Chatbot, der Fragen zu Leistungen, Öffnungszeiten oder Abläufen beantwortet, ist kein Hochrisiko-System. Er fällt unter die Transparenzpflichten: Nutzer:innen müssen erkennen können, dass sie mit einer KI schreiben. Anders wäre es nur, wenn der Chatbot etwa Bewerbungen bewertet oder über den Zugang zu wichtigen Leistungen wie Krediten entscheidet.

### Muss ein KMU eine KI-beauftragte Person ernennen?

Nein, der AI Act schreibt keine eigene KI-beauftragte Person vor. Praktisch ist es trotzdem sinnvoll, eine zuständige Person festzulegen, die das KI-Inventar pflegt, neue Werkzeuge prüft und Schulungen organisiert. In kleinen Betrieben übernimmt das oft die Geschäftsführung selbst oder die Person, die auch für den Datenschutz zuständig ist.

### Was hat der Digital Omnibus für KMU geändert?

Der Digital Omnibus on AI, in Kraft seit 27. Juli 2026, hat vor allem Fristen verschoben: Hochrisiko-Pflichten gelten erst ab 2. Dezember 2027, in Produkten ab 2. August 2028. Erleichterungen für KMU wurden laut Europäischer Kommission auf kleine Mid-Cap-Unternehmen ausgeweitet, und die Pflicht zur KI-Kompetenz wurde abgeschwächt. Die Kennzeichnung von Chatbots gilt unverändert seit 2. August 2026.

### Quellen

1. [Europäische Kommission: AI Act – Regulatory framework for AI](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai) (Stand 19.10.2026)
2. [EUR-Lex: Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 50](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=OJ:L_202401689) (Stand 12.07.2024)
3. [RTR: KI-Servicestelle](https://www.rtr.at/rtr/service/ki-servicestelle/) (Stand 21.10.2026)
4. [Statistik Austria: IKT-Einsatz in Unternehmen 2025 (Pressemitteilung)](https://www.statistik.at/fileadmin/announcement/2026/06/20260624IKTU2025.pdf) (Stand 24.06.2026)

Dieser Artikel ist eine allgemeine Information und ersetzt keine Rechts-, Steuer- oder Förderberatung. Stand siehe oben; Fehler gefunden? Schreib an office@pipeline-solutions.at.

## Weiterlesen.

Ratgeber und Begriffe zum Thema, ohne Fachchinesisch.

- [Chatbot DSGVO-konform betreiben: Was Betriebe in Österreich beachten müssen](https://partner.pipeline-solutions.at/wissen/chatbot-dsgvo/) – Ratgeber · Recht
- [KI-Chatbot für die Website: Was er kann, was er kostet, was gilt](https://partner.pipeline-solutions.at/wissen/ki-chatbot-website/) – Ratgeber · Ratgeber
- [KI-Automatisierung für KMU: 12 Aufgaben, die sich lohnen – und 3, die nicht](https://partner.pipeline-solutions.at/wissen/ki-automatisierung-kmu/) – Ratgeber · Ratgeber
- [EU AI Act (KI-Verordnung)](https://partner.pipeline-solutions.at/wissen/glossar/eu-ai-act/) – Glossar · Recht & Datenschutz
- [KI-Kompetenz (Art. 4 KI-Verordnung)](https://partner.pipeline-solutions.at/wissen/glossar/ki-kompetenz/) – Glossar · Recht & Datenschutz
- [Transparenzpflicht für Chatbots (Art. 50 KI-Verordnung)](https://partner.pipeline-solutions.at/wissen/glossar/transparenzpflicht-fuer-chatbots/) – Glossar · Recht & Datenschutz
- [DSGVO](https://partner.pipeline-solutions.at/wissen/glossar/dsgvo/) – Glossar · Recht & Datenschutz
- [KI-Chatbot](https://partner.pipeline-solutions.at/wissen/glossar/ki-chatbot/) – Glossar · KI & Automatisierung

## Passende Lösungen.

- [Pipeline für Betriebe](https://partner.pipeline-solutions.at/lp/) – Websites, Chatbots, Automatisierung
- [Kanzleien & Steuerberatung](https://partner.pipeline-solutions.at/lp/kanzleien/) – Weniger Routine. Mehr Mandatsarbeit.
- [Dienstleistung & KMU](https://partner.pipeline-solutions.at/lp/dienstleister/) – Prozesse, die sich selbst erledigen.

## Fragen zu eurem Betrieb?

Im kostenlosen Erstgespräch schauen wir uns eure Abläufe an und sagen ehrlich, was sich lohnt.

Stand: 9. November 2026 · Inhalt: [Paul Hölzl & Ben Braunsperger, Pipeline AI Solutions](https://partner.pipeline-solutions.at/ueber-pipeline/) · [Als Markdown lesen](https://partner.pipeline-solutions.at/wissen/eu-ai-act-kmu/index.html.md)