KI-Gesetz Österreich: was der EU AI Act für dein Unternehmen heißt

Update 24. September 2026: Der Digital Omnibus (VO (EU) 2026/1744) hat die Fristen des AI Act verschoben. Hochrisiko-Regeln nach Anhang III gelten ab 2. Dezember 2027, nach Anhang I ab 2. August 2028. Den aktuellen Zeitplan findest du unter KI-Gesetz Österreich.

Du nutzt KI in deinem Unternehmen? Oder planst, damit anzufangen? Dann solltest du zwei Termine kennen: Seit 2. August 2026 gelten die Transparenzpflichten des EU AI Act, ab 2. Dezember 2027 die Regeln für sogenannte Hochrisiko-KI-Systeme. Die betreffen mehr Unternehmen, als man denkt.

Kein Grund zur Panik. Aber ein guter Grund, sich jetzt damit zu beschäftigen.

Was ist der EU AI Act überhaupt?

Der AI Act ist die weltweit erste umfassende KI-Verordnung. Die EU hat sie verabschiedet, um klare Spielregeln für den Einsatz von Künstlicher Intelligenz zu schaffen. Die Verordnung teilt KI-Systeme in Risikokategorien ein:

• Verbotene KI (seit Februar 2025): Social Scoring, manipulative Systeme, bestimmte biometrische Überwachung
• Hochrisiko-KI (ab Dezember 2027, Anhang III): Systeme in sensiblen Bereichen wie Personalwesen, Kreditvergabe, Bildung, kritische Infrastruktur
• Generative KI / Allzweck-KI: Transparenzpflichten, z.B. Kennzeichnung von KI-generierten Inhalten
• Minimales Risiko: Keine besonderen Pflichten — betrifft die meisten KI-Anwendungen

Was gilt für Hochrisiko-KI?

Ab dem 2. Dezember 2027 müssen Unternehmen, die Hochrisiko-KI-Systeme entwickeln oder einsetzen, folgende Pflichten erfüllen:

Für Anbieter (Entwickler) von Hochrisiko-KI:

• Risikomanagement-System einrichten
• Technische Dokumentation erstellen
• Konformitätsbewertung durchführen
• CE-Kennzeichnung anbringen
• System in der EU-Datenbank registrieren
• Menschliche Aufsicht gewährleisten

Für Betreiber (Nutzer) von Hochrisiko-KI:

• System bestimmungsgemäß verwenden
• Menschliche Aufsicht sicherstellen
• Eingabedaten überwachen
• Protokolle aufbewahren
• Betroffene Personen informieren

Bin ich betroffen? — Die ehrliche Antwort

Wenn du ChatGPT für E-Mails nutzt: wahrscheinlich nicht.

Wenn du KI einsetzt für:

• Bewerbungsscreening oder Personalentscheidungen — ja, Hochrisiko
• Kreditwürdigkeitsprüfungen — ja, Hochrisiko
• Zugangskontrolle zu Bildungseinrichtungen — ja, Hochrisiko
• Medizinische Diagnosen — ja, Hochrisiko
• Sicherheitskomponenten in Maschinen — ja, Hochrisiko

Die meisten KMU in Österreich nutzen KI aktuell eher für Texterstellung, Datenanalyse oder Kundensupport. Das fällt typischerweise unter minimales Risiko. Aber: sobald KI Entscheidungen über Menschen trifft, wird es relevant.

Was bedeutet das für österreichische Unternehmen?

Österreich hat noch kein nationales Gesetz, das die Aufsicht regelt. Anlaufstelle ist die KI-Servicestelle der RTR. Außerdem wird es mindestens eine KI-Sandbox geben — eine Testumgebung, in der Unternehmen ihre KI-Systeme unter Aufsicht testen können.

Gute Nachricht für KMU: Der Zugang zu diesen Sandboxes ist für kleine und mittlere Unternehmen kostenlos und bevorzugt. Dazu kommen vereinfachte Dokumentationsvorlagen und reduzierte Zertifizierungsgebühren.

Anlaufstellen:

• WKO: Informationen zum AI Act unter wko.at
• Unternehmensserviceportal (USP): usp.gv.at hat eine eigene AI-Act-Seite
• Austrian Standards: Arbeitet an technischen Normen für die Umsetzung

Die Strafen — kurz und deutlich

• Verstoß gegen verbotene KI-Praktiken: bis zu 35 Mio. Euro oder 7% des Jahresumsatzes
• Verstoß gegen Hochrisiko-Pflichten: bis zu 15 Mio. Euro oder 3% des Jahresumsatzes
• Falsche Angaben: bis zu 7,5 Mio. Euro oder 1,5% des Jahresumsatzes

Für KMU gelten jeweils die niedrigeren Beträge. Trotzdem: keine Summen, die man ignorieren sollte.

Was du jetzt tun solltest — 4 konkrete Schritte

1. Inventur machen: Welche KI-Systeme nutzt du? Liste sie auf — auch die, die in anderen Tools eingebettet sind (z.B. KI-Funktionen in deinem CRM oder HR-Tool).

2. Risikokategorie prüfen: Für jedes System: Fällt es unter Hochrisiko? Die WKO bietet dazu einen Selbstcheck an.

3. Anbieter kontaktieren: Wenn du KI-Software von Drittanbietern nutzt, frag nach deren AI-Act-Konformität. Das ist deren Pflicht als Anbieter — aber du musst als Betreiber sicherstellen, dass du konforme Systeme einsetzt.

4. Dokumentation starten: Auch wenn du nicht unter Hochrisiko fällst — eine einfache Dokumentation deiner KI-Nutzung schadet nie und zeigt Kunden und Partnern, dass du verantwortungsvoll damit umgehst.

Kein Grund zur Panik, aber zum Handeln

Der EU AI Act ist kein Bürokratiemonster, das KI verbieten will. Er ist ein Rahmenwerk, das Vertrauen schaffen soll. Für die meisten KMU ändert sich wenig — aber wer KI in sensiblen Bereichen einsetzt, muss bis Dezember 2027 vorbereitet sein. Das klingt weit weg, ist es aber nicht.