EU AI Act einfach erklärt: Was KMU in Österreich jetzt tun müssen

Was der AI Act ist und für wen er gilt

Der AI Act ist die KI-Verordnung der EU, offiziell Verordnung (EU) 2024/1689. Er ist am 1. August 2024 in Kraft getreten und gilt als Verordnung unmittelbar in Österreich, ein eigenes österreichisches Gesetz braucht es dafür nicht. Die Pflichten werden aber schrittweise anwendbar.

Der AI Act unterscheidet vor allem zwischen Anbietern und Betreibern. Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen auf den Markt, etwa OpenAI mit ChatGPT. Betreiber setzen ein KI-System beruflich ein. Laut WKO steht für die meisten kleinen Gewerbe- und Handwerksbetriebe genau das im Vordergrund: die Nutzung bereits vorhandener KI-Werkzeuge.

Rein private Nutzung ist ausgenommen. Laut Art. 2 Abs. 10 gilt die Verordnung nicht für Menschen, die KI ausschließlich für persönliche, nicht berufliche Zwecke verwenden. Sobald du KI im Betrieb einsetzt, bist du drin, auch als Ein-Personen-Unternehmen.

Die vier Risikoklassen im Überblick

Der AI Act ordnet KI-Systeme nach ihrem Risiko ein. Je höher das Risiko für Gesundheit, Sicherheit und Grundrechte, desto mehr Pflichten. Die RTR beschreibt vier Stufen:

• Inakzeptables Risiko (verboten seit 2. Februar 2025): etwa Social Scoring, manipulative KI, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit Ausnahmen für medizinische und Sicherheitszwecke)
• Hohes Risiko (Anhang I und III): etwa KI als Sicherheitsbauteil in Aufzügen, Spielzeug oder Medizinprodukten, KI für Auswahl und Bewertung von Bewerbern, Kreditwürdigkeitsprüfung von Privatpersonen
• Begrenztes Risiko (Transparenzpflichten nach Art. 50): Chatbots, KI-erzeugte Inhalte, Deepfakes, bestimmte KI-Texte
• Minimales oder kein Risiko: keine eigenen Zusatzpflichten, die KI-Kompetenz nach Art. 4 gilt laut RTR aber unabhängig von der Risikostufe

ChatGPT, Chatbot, Bewerber-Screening: was für typische Fälle gilt

ChatGPT, Copilot und Co. für Texte, Zusammenfassungen oder Angebote: Du bist Betreiber. Aus dem AI Act folgt für dich in der Regel vor allem die Pflicht, die KI-Kompetenz deines Teams zu fördern. Die DSGVO gilt daneben voll, sobald personenbezogene Daten im Spiel sind.

Chatbot auf der Website: Seit 2. August 2026 müssen Menschen erkennen können, dass sie mit einer KI schreiben, sofern das nicht ohnehin offensichtlich ist. Die Gestaltungspflicht trifft laut RTR den Anbieter des Chatbots. Als Betreiber achtest du darauf, dass der Hinweis im Einsatz auch wirklich sichtbar bleibt, etwa zu Beginn des Chats oder beim Eingabefeld.

KI für Bewerbungen: Systeme, die Bewerbungen sichten, filtern oder Bewerber bewerten sollen, zählen laut Anhang III Nr. 4 zu den Hochrisiko-Systemen. Als Betreiber musst du dann unter anderem das System nach Betriebsanleitung verwenden, eine kompetente Person mit der menschlichen Aufsicht betrauen, Protokolle aufbewahren und Arbeitnehmer sowie deren Vertretung vorab informieren (Art. 26). Diese Pflichten gelten nach dem Digital Omnibus ab 2. Dezember 2027.

Der Zeitplan nach dem Digital Omnibus

Mit dem „Digital Omnibus zur KI“, Verordnung (EU) 2026/1744, hat die EU den AI Act im Sommer 2026 geändert. Sie wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Die wichtigsten Termine laut Verordnungstext und RTR, Stand Oktober 2026:

• 2. Februar 2025: Verbote nach Art. 5 und KI-Kompetenz nach Art. 4
• 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck (betrifft Anbieter wie OpenAI)
• 27. Juli 2026: Digital Omnibus in Kraft, Art. 4 neu gefasst
• 2. August 2026: Transparenzpflichten nach Art. 50 (Chatbots, Deepfakes, KI-Texte)
• 2. Dezember 2026: neues Verbot von KI für sexualisierte Deepfakes ohne Einwilligung; Anbieter bestehender KI-Generatoren müssen bis dahin die maschinenlesbare Markierung nachrüsten
• 2. Dezember 2027: Pflichten für Hochrisiko-KI nach Anhang III, z. B. Bewerberauswahl
• 2. August 2028: Pflichten für Hochrisiko-KI in Produkten nach Anhang I

KI-Inventur: so verschaffst du dir in einem Nachmittag den Überblick

Sowohl die RTR als auch die WKO empfehlen als ersten Schritt eine Bestandsaufnahme. Für einen kleinen Betrieb reicht eine einfache Tabelle.

1. 1

   Tools sammeln

   Frag im Team nach: Wer nutzt welches KI-Tool, mit welchem Account? Ergänze KI-Funktionen in bestehender Software. Eine vorhandene Softwareliste oder das Verarbeitungsverzeichnis ist ein guter Startpunkt.

2. 2

   Zweck und Daten notieren

   Wofür wird das Tool genutzt, und gehen Kunden- oder Mitarbeiterdaten hinein? Das brauchst du auch für den Datenschutz.

3. 3

   Rolle bestimmen

   Nutzt du ein fertiges Tool, bist du Betreiber. Bietest du selbst eine KI-Anwendung unter deinem Namen an oder veränderst ein System wesentlich, kannst du Anbieter sein, mit deutlich mehr Pflichten.

4. 4

   Risiko markieren

   Hat das Tool Kundenkontakt (Chatbot), erzeugt es realistische Bilder oder Stimmen, oder beeinflusst es Entscheidungen über Menschen (Personal, Kredit)? Diese Zeilen schaust du dir genauer an.

5. 5

   Regeln und Schulung festhalten

   Kurze interne KI-Regeln, eine Einweisung fürs Team, Datum und Teilnehmer notieren. Die Liste regelmäßig aktualisieren, wenn neue Tools dazukommen.

Strafen, Aufsicht, Anlaufstellen und Förderung

Die Geldbußen stehen in Art. 99: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. Euro oder 3 % unter anderem bei Verstößen gegen Betreiberpflichten und die Transparenzpflichten nach Art. 50. Für KMU gilt laut Art. 99 Abs. 6 jeweils der niedrigere der beiden Beträge. Das sind Obergrenzen, keine Regelstrafen.

Eine österreichische Marktüberwachungsbehörde für den AI Act gibt es laut RTR noch nicht, Stand Oktober 2026. Das Bundeskanzleramt betonte laut ORF, dass Unternehmen die Anforderungen trotzdem erfüllen müssen. Erste Anlaufstelle für Fragen ist die KI-Servicestelle der RTR (rtr.at/ki-servicestelle), dazu die WKO mit KI-Guidelines und einem Online-Tool für eigene Richtlinien.

Zur Förderung: Das Budget von KMU.DIGITAL 4.0 ist laut kmudigital.at vollständig ausgeschöpft, Anträge sind nicht mehr möglich, und das Programm wird ab 2027 nicht fortgeführt. Ob aktuell andere Programme, etwa der aws oder FFG, zu deinem KI-Projekt passen, klärst du am besten bei der Förderberatung deiner Wirtschaftskammer. Bedingungen können sich ändern.

Häufige Fragen