EU AI Act für österreichische KMU: Der komplette Leitfaden 2026

Kurzfassung

• Der EU AI Act (Verordnung (EU) 2024/1689) gilt auch für kleine Unternehmen, sobald sie KI im Betrieb einsetzen, nicht nur für Entwickler.
• Die meisten KMU nutzen KI mit minimalem oder begrenztem Risiko. Dafür gibt es überschaubare Pflichten.
• Seit 2. Februar 2025 gelten die Verbote und die Pflicht, die KI-Kompetenz der Beschäftigten zu fördern.
• Seit 2. August 2026 gelten die Transparenzpflichten, zum Beispiel die Kennzeichnung von Chatbots.
• Hochrisiko-Pflichten wurden durch den Digital Omnibus auf 2. Dezember 2027 (Anhang III) und 2. August 2028 (Anhang I) verschoben.
• Fangen Sie jetzt mit einer Liste Ihrer KI-Tools an. Das ist der wichtigste und zugleich einfachste Schritt.

Dieser Leitfaden ist eine praxisnahe Orientierung, keine Rechtsberatung. Bei Hochrisiko-Anwendungen und Grenzfällen sollten Sie fachkundige Beratung einholen.

Was ist der EU AI Act und für wen gilt er?

Der EU AI Act (auf Deutsch KI-Verordnung) ist das erste umfassende Gesetz zur Regulierung von Künstlicher Intelligenz. Er folgt einem risikobasierten Ansatz: Je größer das mögliche Risiko für Menschen, desto strenger die Regeln.

Wichtig ist die Unterscheidung der Rollen:

• Anbieter entwickeln ein KI-System oder lassen es entwickeln und bringen es unter eigenem Namen in Verkehr.
• Betreiber setzen ein KI-System in ihrem Betrieb ein.

Die meisten KMU sind Betreiber. Wer ChatGPT, Claude, Copilot oder eine KI-Funktion in der Buchhaltungssoftware nutzt, ist Betreiber. Die größten Pflichten treffen die Anbieter, aber auch Betreiber haben eigene Aufgaben. Eine generelle Ausnahme für kleine Unternehmen gibt es nicht.

Zeitplan: Wann gilt was?

Durch den „Digital Omnibus" (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) haben sich einige Fristen verschoben.

Weil Fristen sich weiter ändern können, lohnt sich ein Blick pro Quartal.

Die vier Risikoklassen

Entscheidend ist der Einsatzzweck, nicht die Leistung des Modells. Wie Sie Ihre Tools Schritt für Schritt einordnen, zeigt der Beitrag EU AI Act Risikoklassen in der Praxis mit Entscheidungsbaum und Beispielen.

Verbotene KI-Praktiken (seit 2. Februar 2025)

Artikel 5 untersagt unter anderem:

• Social Scoring: Bewertung von Personen nach Sozialverhalten mit unverhältnismäßigen Nachteilen
• Manipulative Techniken, die Verhalten unterschwellig beeinflussen und Menschen schädigen
• Ausnutzen von Schwächen wegen Alter, Behinderung oder sozialer Lage
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen
• Ungezieltes Auslesen von Gesichtsbildern aus Internet oder Überwachungsaufnahmen für Gesichtsdatenbanken

Für die meisten KMU spielt das in der Praxis keine Rolle. Ein Beispiel für einen Grenzfall wäre ein Tool, das die Stimmung von Beschäftigten im Callcenter per Stimmanalyse bewertet: Das wäre ein Fall für die Emotionserkennung am Arbeitsplatz.

KI-Kompetenz: Pflicht zu Maßnahmen für Ihre Beschäftigten

Seit dem 2. Februar 2025 verlangt Artikel 4, dass Unternehmen, die KI einsetzen, Maßnahmen zur Förderung der KI-Kompetenz ihrer Beschäftigten treffen. Der Digital Omnibus hat die Formulierung abgeschwächt: Gefordert sind Maßnahmen, kein bestimmtes Kompetenzniveau. Praktisch heißt das:

• Beschäftigte wissen, was ihre Tools können und wo die Grenzen liegen.
• Es gibt klare Regeln, welche Daten eingegeben werden dürfen.
• Es gibt kurze, dokumentierte Schulungen oder Einweisungen.

Mehr dazu im Beitrag KI-Schulung für Mitarbeiter.

Transparenz und Kennzeichnung (seit 2. August 2026)

Artikel 50 regelt, wann Menschen erfahren müssen, dass KI im Spiel ist:

• Chatbots und Sprachassistenten: Nutzer müssen informiert werden, dass sie mit einer KI interagieren, sofern das nicht offensichtlich ist.
• Deepfakes: Wer KI-erzeugte oder veränderte Bilder, Audio oder Video veröffentlicht, die echt wirken, muss das offenlegen.
• Texte zur Information der Öffentlichkeit: Bei KI-generierten Texten zu Themen von öffentlichem Interesse gilt eine Offenlegungspflicht, außer es gibt eine redaktionelle Kontrolle durch Menschen.
• Anbieter generativer Systeme müssen ihre Ausgaben maschinenlesbar kennzeichnen. Dafür gibt es Techniken wie digitale Wasserzeichen und Herkunftsnachweise in Metadaten (zum Beispiel Googles SynthID oder die Content Credentials der C2PA). Für Systeme, die schon vor dem 2. August 2026 am Markt waren, gilt eine Frist bis 2. Dezember 2026.

Die Europäische Kommission hat am 20. Juli 2026 unverbindliche Leitlinien zu Artikel 50 veröffentlicht. Den freiwilligen Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte gibt es seit 10. Juni 2026. Kommission und KI-Gremium haben ihn als geeignetes Mittel bestätigt, um die Pflichten nachzuweisen.

Was Sie als KMU tun: Chatbot auf der Website mit einem sichtbaren Hinweis versehen, KI-generierte Bilder und Stimmen mit realistischer Wirkung kennzeichnen, im Zweifel lieber einen Hinweis zu viel als zu wenig.

Hochrisiko-Systeme

Welche Anwendungen als Hochrisiko gelten, steht in Anhang III. Für KMU sind vor allem diese Bereiche relevant:

• Beschäftigung: Vorauswahl von Bewerbungen, Bewertung und Überwachung von Beschäftigten
• Wesentliche Leistungen: Bonitätsprüfung von Personen, Risikobewertung bei Lebens- und Krankenversicherung
• Bildung: Zugang zu Ausbildung, Bewertung von Prüfungen
• Biometrie sowie kritische Infrastruktur

Als Betreiber müssen Sie das System gemäß der Anleitung nutzen, menschliche Aufsicht durch geschulte Personen sicherstellen, Protokolle aufbewahren und Beschäftigte sowie Betroffene informieren. Die umfangreichsten Pflichten (Risikomanagement, technische Dokumentation, Konformitätsbewertung) haben die Anbieter. Die Pflichten für Anhang-III-Systeme gelten ab 2. Dezember 2027. Wer ein solches System plant, sollte dennoch jetzt prüfen, ob der Anbieter die Anforderungen erfüllt.

KI-Modelle mit allgemeinem Verwendungszweck

Für die großen Sprachmodelle gelten seit 2. August 2025 eigene Regeln, vor allem Transparenz über Trainingsdaten, Urheberrechtsstrategie und Dokumentation. Diese Pflichten treffen die Anbieter der Modelle. Ein freiwilliger Verhaltenskodex (Code of Practice) unterstützt die Umsetzung. Für Sie als Nutzer heißt das: Wählen Sie Anbieter, die ihre Pflichten dokumentieren, und prüfen Sie Verträge und Datenschutzbedingungen.

Sanktionen

Bei Verstößen sehen die Regeln hohe Bußgelder vor: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken (Artikel 99). Für andere Verstöße gelten niedrigere Obergrenzen, und für KMU sind Erleichterungen vorgesehen. In der Praxis hängt das Ausmaß von Art und Schwere des Verstoßes ab. Das wichtigste Ziel für KMU ist daher, gar nicht erst in den Bereich der Verbote oder unbemerkter Hochrisiko-Anwendungen zu geraten.

Österreich: Zuständigkeiten und Anlaufstellen

Die nationale Umsetzung, also welche Behörden Aufsicht führen, war nach den uns vorliegenden Informationen zuletzt noch in Diskussion. Wahrscheinlich sind unter anderem die Datenschutzbehörde (etwa bei Personalauswahl und Bonität), die KommAustria (Medien) und sektorale Aufsichten wie die FMA zuständig. Als Informationsstelle gibt es die KI-Servicestelle der RTR (ki.rtr.at). Die Pflichten aus der Verordnung gelten unabhängig davon unmittelbar.

Checkliste in 6 Schritten für KMU

1. Bestandsaufnahme: Alle KI-Tools auflisten, auch KI-Funktionen in bestehender Software.
2. Einstufen: Jedes Tool nach Einsatzzweck einer Risikoklasse zuordnen.
3. Kennzeichnen: Chatbots, KI-Bilder und KI-Stimmen mit Hinweis versehen.
4. Team schulen: Kurze Einweisung, Regeln für erlaubte Tools und Daten, Schulung dokumentieren.
5. Datenschutz prüfen: Auftragsverarbeiter, Serverstandort, Löschfristen (siehe Datenschutz und KI).
6. Hochrisiko prüfen: Bei Personalauswahl, Bonität oder Biometrie fachkundig beraten lassen und Anbieter nach Konformität fragen.

Danach genügt eine kurze Prüfung pro Quartal.

Häufige Fragen

Gilt der AI Act auch für mein Ein-Personen-Unternehmen? Ja, sobald Sie KI im Rahmen Ihrer Tätigkeit einsetzen. Die Pflichten sind bei minimalem Risiko überschaubar.

Muss ich meine ChatGPT-Nutzung melden? Nein. Für minimales Risiko gibt es keine Meldepflicht. Sinnvoll ist trotzdem eine interne Tool-Liste.

Muss ich KI-generierte Texte kennzeichnen? Nicht grundsätzlich. Eine Offenlegungspflicht gilt vor allem für Chatbots, Deepfakes und bestimmte Texte zur Information der Öffentlichkeit. Prüfen Sie Ihren Fall.

Ist die Verschiebung bei Hochrisiko ein Freibrief? Nein. Sie verschafft Zeit zur Vorbereitung, die Pflichten kommen am 2. Dezember 2027.

Unser Fazit

Der EU AI Act ist kein Grund zur Panik, aber ein Grund zum Handeln. Für die meisten KMU bedeuten die Regeln vor allem: Tools kennen, Chatbots kennzeichnen, Beschäftigte einweisen und Hochrisiko-Einsatz bewusst vermeiden oder fachlich absichern. Wer das jetzt in einem halben Tag erledigt, ist gut aufgestellt.

Sie sind unsicher, wo Ihr Unternehmen steht? Im kostenlosen Erstgespräch schauen wir gemeinsam auf Ihre Tools. Im Rahmen der KI-Strategieberatung führen wir auch eine strukturierte Einordnung durch. Eine Rechtsberatung ersetzt das nicht.

Weiterführend

• KI-Strategieberatung: Einordnung Ihrer Anwendungen
• KI für Steuerberater und Kanzleien: Compliance als Beratungsthema
• EU AI Act Risikoklassen in der Praxis: Einstufung mit Entscheidungsbaum
• KI-Schulung für Mitarbeiter: Pflicht, Inhalte, Kosten
• KI und Datenschutz: DSGVO-konformer Einsatz
• Kostenloser KI-Readiness-Check

Quellen

• Zeitplan und Omnibus: Baker Botts, EU AI Act Article 50 transparency obligations go live (September 2026), DPO Centre, EU AI Act updates, blckalpaca, EU AI Act Implementation 2026/2027
• Österreich: Knowlee, EU AI Act in Österreich: Zuständigkeiten (Stand April 2026), WKO, KI-Servicestelle der RTR
• Artikel 50: EU-Kommission, Pressemitteilung IP/26/1653 vom 20. Juli 2026 zu den Leitlinien, EU-Kommission, FAQ zum Verhaltenskodex für KI-generierte Inhalte
• Digital Omnibus (Verordnung (EU) 2026/1744): IHK, Digital-Omnibus-Verordnung zur KI in Kraft getreten
• Zuständigkeit in Österreich: RTR, FAQ der KI-Servicestelle
• Rechtstext: Verordnung (EU) 2024/1689, Artikel 4, 5, 50, 99 und Anhang III. Keine Rechtsberatung.