Stand dieses Artikels

Dieser Beitrag bildet den Stand vom 28. Juli 2026 ab. Der AI Act wird stufenweise anwendbar und wurde durch den europäischen Digital-Omnibus angepasst. Für konkrete Hochrisiko- oder Sonderfälle ist aktuelle Rechtsberatung notwendig.

Die EU-Kommission führt einen laufend aktualisierten Überblick zu Rollen, Pflichten und Fristen. 1 Der ursprüngliche Verordnungstext ist über EUR-Lex verfügbar. 3

Der erste Schritt: Die eigene Rolle verstehen

Die Pflichten hängen davon ab, welche Rolle ein Unternehmen hat.

Betreiber („Deployer“)

Die meisten KMU sind Betreiber, wenn sie ein KI-System eines Anbieters für eigene geschäftliche Zwecke einsetzen – etwa zur Bearbeitung von Anfragen oder internen Wissenssuche.

Anbieter („Provider“)

Ein Unternehmen kann Anbieter sein, wenn es ein KI-System unter eigenem Namen in Verkehr bringt oder wesentlich verändert. Eine individuell konfigurierte Lösung macht einen Betrieb nicht automatisch zum Anbieter eines allgemeinen KI-Modells; die konkrete Einordnung hängt vom Fall ab.

Importeur oder Händler

Diese Rollen betreffen Unternehmen, die KI-Systeme in der EU bereitstellen oder vertreiben.

Rollen sollten pro System dokumentiert und bei wesentlichen Änderungen neu geprüft werden.

Was bereits gilt

Verbotene Praktiken

Bestimmte Praktiken sind seit 2. Februar 2025 verboten. Dazu zählen je nach Ausgestaltung unter anderem bestimmte manipulative, ausbeuterische, biometrische oder Social-Scoring-Anwendungen. Ein gewöhnlicher Textassistent ist dadurch nicht automatisch problematisch.

KI-Kompetenz

Maßnahmen zur AI Literacy gelten ebenfalls seit 2. Februar 2025. Die EU-Kommission beschreibt die Verpflichtung für Anbieter und Betreiber, die KI-Kompetenz ihrer Mitarbeiter und anderer beteiligter Personen angemessen zu fördern. 2

Praktisch sollten Mitarbeiter nicht nur Prompting lernen, sondern:

  • Zweck und Grenzen des Systems,
  • typische Fehler,
  • Datenregeln,
  • menschliche Verantwortung,
  • Eskalation bei Problemen.

Regeln für General-Purpose-AI-Anbieter

Pflichten für Anbieter allgemeiner KI-Modelle gelten seit August 2025. Ein KMU, das solche Modelle über einen Dienst nutzt, ist normalerweise nicht selbst der Modellanbieter, muss aber seinen Anbieter sorgfältig auswählen.

Was ab 2. August 2026 wichtig wird

Nach dem aktuellen Kommissionsüberblick wird ein großer Teil der übrigen Regeln ab 2. August 2026 anwendbar. 1

Für viele Unternehmen sind insbesondere Transparenzpflichten relevant:

  • Menschen müssen unter bestimmten Voraussetzungen erkennen können, dass sie mit einem KI-System interagieren.
  • Bestimmte künstlich erzeugte oder manipulierte Inhalte müssen gekennzeichnet werden.
  • Für Deepfakes gelten spezifische Offenlegungspflichten.
  • KI-generierte Texte zu Themen öffentlichen Interesses können je nach Fall kennzeichnungspflichtig sein.

Es gibt Ausnahmen und Detailregeln. Eine pauschale Aussage „Jeder KI-Text braucht ein Label“ wäre falsch.

Der aktualisierte Zeitplan für Hochrisiko-Systeme

Die EU-Kommission erklärt im aktuellen FAQ, dass der Digital-Omnibus die Anwendung von Hochrisiko-Regeln angepasst hat. Genannt werden derzeit:

  • 2. Dezember 2027 für Hochrisiko-KI-Systeme,
  • 2. August 2028 für KI, die in bestimmte regulierte Produkte eingebettet ist. 1

Diese Bereiche betreffen etwa bestimmte Anwendungen in Beschäftigung, Bildung, wesentlichen Dienstleistungen oder regulierten Produkten. Die konkrete Einstufung hängt von Zweck und Einsatz ab, nicht allein von der verwendeten Modellmarke.

Was ein gewöhnliches KMU jetzt tun sollte

1. KI-Inventar erstellen

Für jedes System:

  • Name und Anbieter,
  • Zweck,
  • Nutzer,
  • Rolle des Unternehmens,
  • verarbeitete Daten,
  • betroffene Personen,
  • Entscheidungen oder Aktionen,
  • verantwortliche Person.

2. Verbotene und sensible Anwendungen prüfen

Besonders aufmerksam bei:

  • Personal und Bewerbungen,
  • Bewertung von Personen,
  • biometrischen Funktionen,
  • Kredit, Versicherung oder wesentlichen Leistungen,
  • Emotionserkennung,
  • Überwachung.

3. KI-Kompetenz nachweisbar organisieren

Dokumentieren Sie Zielgruppe, Inhalte, Datum und Teilnahme. Die Schulung muss zum tatsächlichen Einsatz passen.

4. Transparenz planen

Prüfen Sie Chatbots, veröffentlichte KI-Inhalte sowie Bild-, Audio- und Videoerzeugung. Technische Kennzeichnung und sichtbare Hinweise sollten konsistent sein.

5. Anbieterunterlagen sammeln

Verträge, Datenschutzinformationen, technische Beschreibung, Sicherheitsfunktionen, Modell- und Versionsangaben sowie Supportwege sollten auffindbar sein.

6. Menschliche Kontrolle definieren

Wer prüft Ergebnisse? Welche Entscheidungen dürfen nie vollständig automatisiert werden? Was passiert bei Unsicherheit?

AI Act und DSGVO gelten parallel

Die österreichische Datenschutzbehörde betont, dass der AI Act die Pflichten nach der DSGVO unberührt lässt. Wenn personenbezogene Daten verarbeitet werden, braucht es weiterhin eine Rechtsgrundlage und die übrigen Datenschutzanforderungen. 4

Ein System kann daher nach AI Act zulässig sein und trotzdem datenschutzrechtlich falsch eingesetzt werden – oder umgekehrt zusätzliche AI-Act-Pflichten auslösen.

Drei häufige Missverständnisse

„Wir nutzen nur ChatGPT, der AI Act betrifft uns nicht.“

Auch Betreiber eingekaufter Systeme können Pflichten haben, insbesondere bei Kompetenz, Transparenz oder einem sensiblen Einsatzbereich.

„Jede KI im Unternehmen ist Hochrisiko.“

Nein. Die Einstufung hängt von Zweck und Kontext ab. Viele Büroassistenzen sind keine Hochrisiko-Systeme.

„Der Anbieter garantiert Compliance, damit sind wir fertig.“

Anbieterunterlagen sind wichtig. Das Unternehmen bleibt für seinen konkreten Einsatz, Daten und organisatorische Kontrolle verantwortlich.

Eine sinnvolle Dokumentationsseite pro System

Eine kompakte Systemkarte kann enthalten:

  • Zweck und Nicht-Zweck,
  • rechtliche Rolle,
  • Risikoeinschätzung,
  • Datenquellen,
  • Nutzergruppen,
  • Freigaben,
  • bekannte Grenzen,
  • Schulung,
  • Vorfallsweg,
  • letztes Review.

Sie erleichtert auch technische Wartung und Übergabe an eine betreuende Agentur.

Der pragmatische Weg ist nicht, jedes KI-Experiment wie ein Hochrisikosystem zu behandeln. Er ist, alle Systeme sichtbar zu machen und Kontrollen nach tatsächlichem Risiko zu staffeln.

Fazit

Für österreichische KMU sind 2026 vor allem vier Aufgaben relevant: Nutzung erfassen, Mitarbeiter kompetent machen, sensible Anwendungsfälle erkennen und Transparenz beziehungsweise menschliche Kontrolle planen.

Der AI Act ist kein einmaliger Stichtag. Zeitplan und Leitlinien entwickeln sich. Ein regelmäßiger Review mit technischer und bei Bedarf rechtlicher Expertise ist deshalb Teil guter KI-Governance.

Nachvollziehbar belegt

Quellen und weiterführende Dokumente

Geprüft am 28. Juli 2026
  1. 1
    Europäische KommissionNavigating the AI ActVeröffentlicht/aktualisiert: 2026
  2. 2
    Europäische KommissionAI talent, skills and literacyVeröffentlicht/aktualisiert: 2026
  3. 3
    EUR-LexVerordnung (EU) 2024/1689 über künstliche IntelligenzVeröffentlicht/aktualisiert: 2024
  4. 4
    Österreichische DatenschutzbehördeKünstliche Intelligenz & DatenschutzVeröffentlicht/aktualisiert: 2026

Bei Rechts- und Datenschutzthemen dient der Artikel der Orientierung und ersetzt keine individuelle rechtliche Beratung.