AI Act für KMU: Welche Pflichten gelten ab wann?

Was ist der AI Act?

Der AI Act ist die Verordnung (EU) 2024/1689 über künstliche Intelligenz. Er gilt in Österreich unmittelbar, ohne eigenes Umsetzungsgesetz, und ist am 1. August 2024 in Kraft getreten. Die Pflichten richten sich nach dem Risiko: Manche Anwendungen sind verboten, Hochrisiko-Systeme müssen strenge Anforderungen erfüllen, für bestimmte Systeme gelten Transparenzpflichten, und für alle, die KI anbieten oder betreiben, gilt die Pflicht zur KI-Kompetenz.

Mit der Verordnung (EU) 2026/1744, dem sogenannten Digital-Omnibus zu KI, hat die EU den AI Act geändert. Sie wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Die wichtigsten Änderungen für KMU: eine neue Fassung von Art. 4 und spätere Fristen für Hochrisiko-Systeme.

Sind Sie Anbieter oder Betreiber?

Der AI Act unterscheidet vor allem zwei Rollen. Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, außer im Rahmen einer persönlichen und nicht beruflichen Tätigkeit (Art. 3 Z 4). Wer also im Betrieb ChatGPT, eine Übersetzungs-KI oder einen Bildgenerator nutzt, ist Betreiber. Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt.

Die KI-Servicestelle der RTR hält fest: Wer KI-Systeme Dritter ohne Änderung einsetzt, ist in der Regel Betreiber. Ein Unternehmen, das sein eigenes KI-System entwickelt und selbst in Betrieb nimmt, ist dagegen Anbieter und Betreiber zugleich. Lassen Sie sich also etwa einen Chatbot unter Ihrem Namen bauen, sollten Sie die Anbieterpflichten mitdenken und mit Ihrem Dienstleister klären, wer welche übernimmt.

Zeitplan: was seit wann gilt

KI-Kompetenz nach Art. 4: was jetzt verlangt ist

Seit dem Digital-Omnibus lautet Art. 4 Abs. 1: Anbieter und Betreiber von KI-Systemen ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind. Zu berücksichtigen sind Vorkenntnisse, Erfahrung, Ausbildung und der Einsatzkontext. Neu ist der Satz, dass diese Pflicht nicht verlangt, für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren.

Die RTR leitet daraus ab: Zertifikate oder externe Schulungen sind weder gesetzlich vorgeschrieben, noch stellen sie für sich allein die Einhaltung sicher. Einen „KI-Beauftragten“ müssen Sie nicht benennen. Welche Maßnahmen passen, hängt davon ab, wer welche KI wofür nutzt. Bekommt die ganze Belegschaft Zugang zu ChatGPT, sind laut RTR wiederkehrende Schulungen für alle vorzusehen, auch für Neueintritte. Nutzt nur das Sekretariat ein Werkzeug, reichen Maßnahmen für wenige Personen.

1. Bestandsaufnahme: Welche KI-Systeme sind im Einsatz, auch versteckt in bestehender Software? Wer nutzt sie wofür?
2. Interne KI-Richtlinie: Was ist erlaubt, welche Daten dürfen eingegeben werden, wer entscheidet über neue Werkzeuge? Die RTR verweist auf eine Mustervorlage der WKO.
3. Schulung nach Rolle: Grundlagen wie Halluzinationen und Verzerrungen für alle, Bedienung und Grenzen des konkreten Werkzeugs für die Nutzer, Datenschutz und Urheberrecht dazu.
4. Dokumentation: Die RTR empfiehlt, je Person Art der Schulung, Veranstalter, Inhalt und Ziel, Zeitpunkt und Wiederholungen festzuhalten.
5. Regelmäßig nachziehen: Neue Werkzeuge, neue Beschäftigte und neue Funktionen in bestehender Software lösen eine neue Runde aus.

Zur Sanktion schreibt die RTR: Der AI Act selbst sieht für Art. 4 keine Verwaltungsstrafe vor. Fehlende Schulungen können aber zivilrechtlich Folgen haben, etwa wenn ein Schaden entsteht, weil Beschäftigte ein KI-System falsch eingesetzt haben; Art. 4 präzisiert dann die Sorgfaltspflicht des Unternehmens. Wie Sie mit Kundendaten in KI-Werkzeugen umgehen, gehört in jede Schulung; Hintergrund dazu im Ratgeber Kundendaten in ChatGPT & Co..

Transparenzpflichten seit 2. August 2026

• KI im direkten Kontakt: Anbieter müssen Systeme, die direkt mit Menschen interagieren, so gestalten, dass diese wissen, dass sie mit einer KI sprechen, außer es ist offensichtlich (Art. 50 Abs. 1). Wie das bei Kundenanfragen praktisch aussieht, beschreibt Kundenanfragen mit KI vorbereiten.
• Deepfakes: Betreiber eines KI-Systems, das Bild-, Ton- oder Videoinhalte erzeugt oder verändert, die ein Deepfake sind, müssen offenlegen, dass die Inhalte künstlich erzeugt oder verändert wurden (Art. 50 Abs. 4). Bei offensichtlich künstlerischen, satirischen oder fiktionalen Werken genügt ein Hinweis, der das Werk nicht stört.
• Texte zu Themen von öffentlichem Interesse: Wer KI-Texte veröffentlicht, um die Öffentlichkeit über solche Themen zu informieren, muss das offenlegen, außer die Texte wurden von Menschen geprüft und jemand trägt die redaktionelle Verantwortung (Art. 50 Abs. 4).
• Emotionserkennung und biometrische Kategorisierung: Betreiber müssen die betroffenen Personen informieren (Art. 50 Abs. 3).

Für den Alltag heißt das: Ein mit KI formulierter Newsletter über Ihre Angebote fällt nicht unter die Kennzeichnungspflicht für Texte. Ein KI-generiertes Video, in dem eine realistisch wirkende Person spricht, die es so nicht gibt, sollten Sie dagegen prüfen und im Zweifel kennzeichnen.

Hochrisiko: wann ein KMU betroffen sein kann

Als hochriskant gelten nach Anhang III Nr. 4 unter anderem KI-Systeme, die für die Einstellung oder Auswahl von Personen verwendet werden sollen, etwa um Stellenanzeigen gezielt zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten, sowie Systeme für Entscheidungen über Beförderungen, Kündigungen oder die Zuteilung von Aufgaben nach persönlichem Verhalten. Nach Nr. 5 gehört auch die Prüfung der Kreditwürdigkeit natürlicher Personen dazu. Für diese Systeme gelten die Anforderungen nach dem Digital-Omnibus ab 2. Dezember 2027; Betreiber müssen dann unter anderem die Pflichten aus Art. 26 erfüllen.

Zwei Dinge gelten schon heute. Erstens ist seit 2. Februar 2025 verboten, KI zur Ableitung von Emotionen von Menschen am Arbeitsplatz einzusetzen, außer aus medizinischen Gründen oder Sicherheitsgründen (Art. 5 Abs. 1 lit. f). Zweitens gilt bei automatisierten Entscheidungen mit erheblicher Wirkung bereits Art. 22 DSGVO. Die Datenschutzbehörde nennt als Beispiel ein System, das Bewerbungen nach Kriterien automatisch aussortiert.

Welche Strafen drohen?

Grundsätzlich gilt jeweils der höhere Betrag. Für KMU einschließlich Start-ups gilt der niedrigere (Art. 99 Abs. 6); der Digital-Omnibus hat diese Erleichterung auf kleine Unternehmen mittlerer Kapitalisierung ausgeweitet. Welche Behörden in Österreich den AI Act überwachen, war laut RTR zum Stand dieses Artikels noch nicht gesetzlich festgelegt. Für Datenschutzfragen rund um KI ist die Datenschutzbehörde zuständig.

Checkliste für KMU

1. Liste aller KI-Werkzeuge im Betrieb anlegen, mit Zweck, Nutzern und Anbieter.
2. Rolle klären: nur Betreiber oder auch Anbieter eines eigenen Systems?
3. KI-Richtlinie schreiben und für alle leicht auffindbar ablegen.
4. Schulungen nach Rolle planen, durchführen und je Person dokumentieren.
5. Prüfen, ob irgendwo Deepfakes, KI-Chats mit Kunden oder Emotionserkennung im Spiel sind.
6. Personalbereich prüfen: Wird KI für Bewerbungen oder Bewertungen genutzt? Dann bis Dezember 2027 vorbereiten und Art. 22 DSGVO schon jetzt beachten.
7. Datenschutz parallel prüfen: Auftragsverarbeitung, Datenschutzerklärung, Datenminimierung.

Wie Astra IT Solutions unterstützt

Wir sind keine Kanzlei und geben keine Rechtsauskunft. Was wir beitragen: KI-Abläufe, die von Anfang an nachvollziehbar gebaut sind, mit Freigabe durch einen Menschen, Protokoll und einer Beschreibung, welches Modell welche Daten sieht. Das erleichtert Bestandsaufnahme, Schulung und Dokumentation. Mehr dazu auf den Seiten KI & Prozessautomatisierung und Digitalisierungsberatung. Wenn Sie zugleich Zugriffe und Konten absichern wollen, hilft IT-Sicherheit für KMU. Eine Übersicht über die aktuellen OpenAI-Modelle gibt GPT-6 im Unternehmen, den Unterschied zwischen Chatbot und Agent erklärt Chatbot oder KI-Agent?.

Nächster Schritt: Bestandsaufnahme in einer Stunde

Beginnen Sie mit Punkt 1 der Checkliste. Der KI-Potenzial-Check hilft, die Abläufe im Betrieb zu sortieren, in denen KI schon steckt oder sich lohnen würde. Wenn Sie dabei Unterstützung bei der technischen Seite wollen, schreiben Sie uns über das Anfrageformular. Für die rechtliche Bewertung im Einzelfall wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt; erste Informationen bietet die KI-Servicestelle der RTR.