EU AI Act im KMU: Pflichten für Unternehmen in Österreich

Der EU AI Act gilt für jedes Unternehmen, das KI einsetzt – nicht nur für Tech-Firmen. Für die meisten österreichischen KMU sind die Pflichten überschaubar: wissen, welche KI-Tools im Einsatz sind und was sie entscheiden, sicherstellen, dass die Menschen, die damit arbeiten, sie verstehen, und offenlegen, wenn jemand mit einer KI oder bestimmten KI-generierten Inhalten zu tun hat. Laut Zeitplan der Verordnung gelten die Transparenzpflichten ab 2. August 2026 – jetzt ist also der richtige Zeitpunkt, Ordnung zu schaffen.

Gilt der AI Act auch für mein kleines Unternehmen?

Ja, sobald Sie KI im Betrieb nutzen. Die Verordnung unterscheidet zwischen Anbietern, die KI-Systeme entwickeln, und Betreibern, die sie einsetzen. Die meisten KMU sind Betreiber: Sie nutzen Chatbots, KI-Schreibtools, KI-Funktionen im CRM oder automatische E-Mail-Assistenten. Betreiber haben weniger Pflichten als Anbieter, aber nicht keine.

Der AI Act ordnet KI-Anwendungen nach ihrem Risiko:

• Verbotene Praktiken wie manipulative Techniken oder Social Scoring sind untersagt.
• Hochrisiko-Systeme, etwa KI in der Personalauswahl, bei der Kreditwürdigkeitsprüfung oder mit biometrischen Daten, unterliegen strengen Anforderungen.
• Begrenztes Risiko, zum Beispiel Chatbots und generative KI, bringt vor allem Transparenzpflichten.
• Minimales Risiko, etwa Spamfilter oder interne Formulierungshilfen, bringt keine spezifischen neuen Pflichten.

Die meisten Anwendungen im KMU fallen in die Kategorien begrenztes oder minimales Risiko. Das eigentliche Risiko für kleine Unternehmen ist weniger die Regulierung selbst als die Unsicherheit, wo die eigenen Tools einzuordnen sind.

Was gilt seit 2. August 2026?

Laut Zeitplan der Verordnung gelten ab 2. August 2026 die Transparenzpflichten. In der Praxis heißt das:

• Chatbots und KI-Assistenten, die mit Kunden kommunizieren, müssen erkennbar machen, dass man mit einer KI spricht – außer es ist offensichtlich.
• Deepfakes, also realistisch wirkende KI-generierte oder manipulierte Bilder, Audios oder Videos, müssen als solche gekennzeichnet werden.
• KI-generierte Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse sind offenzulegen – außer ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung.
• Anbieter generativer KI müssen synthetische Inhalte maschinenlesbar kennzeichnen. Das ist vor allem Sache des Herstellers, prüfen Sie aber, ob Ihre Tools das tun.

Der ursprüngliche Zeitplan sah für August 2026 auch den Großteil der Hochrisiko-Pflichten vor. Die EU hat seither über Anpassungen dieses Zeitplans beraten. Wenn eine Ihrer Anwendungen in den Hochrisiko-Bereich fallen könnte, prüfen Sie daher den aktuellen Stand.

Brauche ich einen KI-Beauftragten?

Der AI Act schreibt keinen formell bestellten KI-Beauftragten vor. Verpflichtend ist aber KI-Kompetenz: Unternehmen müssen sicherstellen, dass Mitarbeiter, die KI-Systeme bedienen oder nutzen, je nach Rolle ausreichend darüber Bescheid wissen. Diese Pflicht gilt bereits.

Einen KI-Beauftragten zu benennen, ist schlicht der praktischste Weg, das zu organisieren. Eine Person führt die Liste der eingesetzten KI-Tools, schult Kolleginnen und Kollegen, legt interne Regeln fest und ist Ansprechperson für Fragen. In einem kleinen Betrieb kann das die Geschäftsführung oder die Büroleitung mit passender Ausbildung sein. Peter Sigmond, der PPY Solutions führt, ist zertifizierter KI-Beauftragter und unterstützt Unternehmen genau bei diesem Aufbau.

Was sollte ein KMU jetzt tun?

Drei Schritte decken den Großteil der Arbeit ab:

• Bestandsaufnahme: Listen Sie jedes KI-Tool auf und welche Entscheidungen es beeinflusst – auch KI-Funktionen, die in bereits vorhandener Software stecken.
• Dokumentation: Halten Sie KI-Abläufe und Datenflüsse fest. Wer nutzt was, mit welchen Daten, und wer prüft das Ergebnis?
• Einstufung: Prüfen Sie, ob ein Anwendungsfall Hochrisiko-Bereiche wie Personalauswahl, Kreditvergabe oder Biometrie berührt. Falls ja, holen Sie sich gezielte Beratung.

Danach folgen die sichtbaren Maßnahmen: ein Hinweis beim Chatbot auf Ihrer Website, eine Kennzeichnung von KI-generierten Bildern, wo sie nötig ist, und eine kurze interne KI-Richtlinie.

Wie bauen wir Compliance in unsere eigenen Systeme ein?

Für uns ist Compliance gute Haushaltsführung und kein Nachgedanke. Jede Aktion unserer KI-Agenten wird in einem dauerhaften Wissens-Vault protokolliert – wer oder was hat wann was getan. Agenten mit Kundenkontakt sind strikt von internen Verarbeitungs-Agenten getrennt, und folgenreiche Aktionen brauchen einen menschlichen Klick. Ist sich ein Agent nicht sicher genug, übergibt er an einen Menschen, statt zu raten.

Vieles davon ist für Systeme mit geringem Risiko nicht vorgeschrieben. Es macht Systeme aber transparenter und leichter zu warten – und es hilft, wenn Kunden oder Behörden nachfragen.

FAQ

Fällt die Nutzung von ChatGPT im Büro unter den AI Act?

Die interne Nutzung eines allgemeinen KI-Tools ist meist minimales oder begrenztes Risiko. Die wichtigsten Pflichten sind KI-Kompetenz der Mitarbeiter und Datenschutz: Geben Sie keine personenbezogenen oder vertraulichen Daten ohne passenden Vertrag in öffentliche Tools ein.

Muss ich jeden KI-generierten Werbetext kennzeichnen?

Nicht automatisch. Die Offenlegungspflicht zielt auf Chatbots, Deepfakes und KI-Texte, die ohne redaktionelle Prüfung zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlicht werden. Werbetexte, die ein Mensch prüft und veröffentlicht, sind in der Regel nicht erfasst – Transparenz schadet aber selten.

Wo bekommen österreichische Unternehmen offizielle Informationen?

Die RTR betreibt eine KI-Servicestelle mit Informationen für Unternehmen. Für Ihre konkrete Situation klärt ein KI-Audit, welche Tools Sie einsetzen und wo Sie stehen.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.

Kostenloses Erstgespräch buchen