In den letzten Wochen war der EU AI Act in fast jedem meiner Erstgespräche das erste Thema. Nicht, weil die Mitglieder der Geschäftsleitung die Verordnung im Detail kennen würden. Sondern weil sie einen Anruf vom Datenschutzbeauftragten, einen Newsletter des Steuerberaters oder eine LinkedIn-Warnung ihres IT-Dienstleisters bekommen haben. Der Grundtenor: „Ab August wird es ernst.“

Die schlechte Nachricht: Der Grundtenor stimmt. Ab dem 2. August 2026 ist die KI-Verordnung in ihrem Governance-, Transparenz- und Sanktions-Teil voll anwendbar. Verstöße können bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes kosten.

Die gute Nachricht: Die aufwendigsten Pflichten — die Konformitätsbewertungen für Hochrisiko-KI-Systeme — sind durch den im Juli 2026 im Amtsblatt veröffentlichten „Digital Omnibus“ auf Dezember 2027 verschoben worden. Für den österreichischen Mittelstand bleibt trotzdem ein sehr konkreter To-Do-Katalog. Diese fünf Punkte gehören in den nächsten 90 Tagen abgearbeitet.

Was ab 2. August 2026 wirklich gilt — und was verschoben wurde

Die KI-Verordnung tritt nicht auf einen Schlag in Kraft, sondern in Etappen. Wer alle Etappen kennt, kann sich ohne Panik vorbereiten:

Bereits in Kraft seit 2. Februar 2025

• Verbot verbotener KI-Praktiken (Artikel 5): Social Scoring, unterschwellige Manipulation, biometrische Kategorisierung nach sensiblen Merkmalen.
• Allgemeine KI-Kompetenzpflicht (Artikel 4): Jedes Unternehmen, das KI einsetzt, muss sicherstellen, dass die eingesetzten Personen die Systeme verstehen.

Neu ab 2. August 2026

• Transparenz- und Kennzeichnungspflichten (Artikel 50): Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte müssen markiert werden, Deepfakes brauchen technische Kennzeichnung.
• Governance-Framework: Nationale Aufsichtsbehörden werden voll operativ — in Österreich ist das die KI-Servicestelle bei der RTR (KI-Servicestelle der RTR | RTR).
• Sanktionsregime (Artikel 99): Bußgelder werden durchsetzbar.
• Pflichten für Anbieter allgemeiner KI-Modelle (GPAI) — betrifft primär Modellhersteller, nicht Anwenderunternehmen.

Neu verschoben durch den Digital Omnibus

• Konformitätspflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III (u. a. HR-Systeme, Kreditscoring, Bildungsbewertung): jetzt ab 2. Dezember 2027.
• Hochrisiko-KI in Produkten nach Anhang I: ab 2. August 2028.

Der Digital Omnibus ist kein Freibrief. Er ist eine Verschnaufpause für die Umsetzung technisch komplexer Prüfungen. Die Governance-Basis muss trotzdem 2026 stehen.

Die 5 Kernpflichten für KMU auf einen Blick

Wenn Sie den Rest dieses Artikels nicht lesen: Das sind die fünf Punkte, die jede österreichische Geschäftsführung bis Ende Q3 2026 abgearbeitet haben sollte.

1. KI-Kompetenz aufbauen und nachweisen — für alle Mitarbeitenden, die KI-Systeme aktiv einsetzen.
2. KI-Inventar führen — eine schriftliche Liste aller KI-Systeme im Einsatz, inklusive externer Dienste wie ChatGPT und Copilot.
3. Kennzeichnungspflichten umsetzen — Chatbots, KI-generierte Marketinginhalte, öffentlichkeitswirksame KI-Texte.
4. KI-Richtlinie beschließen — verbindliche Regeln, was Mitarbeitende dürfen und was nicht.
5. Verantwortlichkeit klären — mindestens eine benannte Person, die intern für KI-Compliance zuständig ist („KI-Beauftragte:r“).

KI-Kompetenz nach Artikel 4: Wer muss geschult werden — und wie?

Artikel 4 der KI-Verordnung ist die Pflicht, die die meisten Unternehmen unterschätzen. Er verlangt, dass „Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um sicherzustellen, dass ihr Personal, das KI-Systeme betreibt oder nutzt, über ausreichende KI-Kompetenz verfügt“. Das klingt allgemein — und ist es auch. Aber die Aufsichtsbehörden werden im Streitfall nach Nachweisen fragen.

Wer ist betroffen?

Alle Mitarbeitenden, die im dienstlichen Kontext ein KI-System bedienen. Das schließt ausdrücklich auch die Nutzung generativer KI wie ChatGPT, Copilot oder Claude ein — auch wenn diese Werkzeuge nicht vom eigenen Unternehmen entwickelt werden. Ein Marketing-Mitarbeiter, der Texte mit ChatGPT erstellt, fällt genauso unter Artikel 4 wie eine Recruiterin, die einen KI-gestützten Bewerber:innen-Filter nutzt.

Was gehört in eine solche Schulung?

• Grundverständnis, wie generative KI arbeitet (und wo sie halluziniert).
• Datenschutz und vertrauliche Informationen — was gehört auf keinen Fall in ein Prompt-Fenster?
• Bias-Risiken und wie man Ergebnisse kritisch prüft.
• Urheberrechtliche Grauzonen bei generierten Inhalten.
• Die internen Regeln des Unternehmens (KI-Richtlinie).

Wie weist man die Kompetenz nach?

Die Verordnung schreibt keine bestimmte Form vor. Best Practice ist eine dokumentierte Schulungsmatrix: welche Rolle wurde wann von wem zu welchen Inhalten geschult, mit Teilnahmenachweis. Zwei Zielgruppen sind dabei besonders wichtig — die Führungsebene (die entscheidet, wo KI eingesetzt wird) und die operativen Anwender:innen (die täglich damit arbeiten).

Kennzeichnungspflicht nach Artikel 50: Der Punkt, der die meisten KMU trifft

Artikel 50 ist der Paragraph, der ab 2. August 2026 die größte Zahl von Unternehmen betrifft. Er verlangt Transparenz in drei Konstellationen:

1. Chatbots und KI-Assistenten auf Ihrer Website

Wenn Ihre Website einen Chatbot einsetzt — egal ob selbst entwickelt, White-Label oder als Widget eingekauft — muss der Chatbot bei Dialogbeginn erkennbar machen, dass die Person mit einer Maschine kommuniziert. Ein Satz genügt: „Sie schreiben hier mit einer KI-Assistenz. Für persönliche Rückfragen erreichen Sie uns unter …“

2. KI-generierte Inhalte in Marketing und Kommunikation

KI-generierte Bilder, Videos und Audio-Inhalte müssen technisch gekennzeichnet werden (idealerweise mit sogenannten Content Credentials oder Wasserzeichen). Für Texte gilt eine Ausnahme, wenn eine echte redaktionelle Prüfung stattfindet — sprich: KI erstellt einen Entwurf, ein Mensch redigiert und verantwortet die Veröffentlichung. Wer ChatGPT-Rohtexte ungeprüft publiziert, unterliegt der Kennzeichnungspflicht.

3. Deepfakes und personenbezogene synthetische Inhalte

Realistische KI-Darstellungen realer Personen — Stimme, Bild, Video — sind grundsätzlich kennzeichnungspflichtig. Eine redaktionelle Ausnahme gibt es hier nicht. Auch harmlose Anwendungen (z. B. eine synthetisch generierte Stimme in einem Erklärvideo) fallen darunter.

Faustregel: Wenn eine dritte Person nach dem Konsum Ihres Inhalts denken könnte, „das war ein Mensch“, muss es gekennzeichnet sein.

KI-Inventar aufbauen: Die Basis für alles andere

Ohne ein aktuelles KI-Inventar ist jede der bisher genannten Pflichten praktisch nicht erfüllbar. Sie können weder Ihre Mitarbeitenden richtig schulen noch Kennzeichnungspflichten sicher zuordnen, wenn Sie nicht wissen, welche KI-Systeme überhaupt im Unternehmen im Einsatz sind.

Ein gutes Inventar enthält pro System diese Angaben:

• Bezeichnung und Anbieter (z. B. „Microsoft 365 Copilot“, „OpenAI ChatGPT Enterprise“, „HubSpot AI-Tools“).
• Konkreter Einsatzzweck im Unternehmen.
• Betroffene Abteilungen und Nutzer:innen.
• Art der verarbeiteten Daten (personenbezogen? vertraulich? öffentlich?).
• Vorläufige Risikoklassifizierung nach EU AI Act (verboten / hochrisikobehaftet / transparenzpflichtig / minimal).
• Verantwortliche Person im Unternehmen.

Praxishinweis aus der Beratung: Fast jedes KMU, mit dem wir starten, unterschätzt die Zahl der eingesetzten KI-Systeme um Faktor drei. Erst wenn man mit Fachbereichen konkret durchgeht, welche Tools tatsächlich genutzt werden, kommen Marketing-Automatisierung, Übersetzungswerkzeuge, Meeting-Transkribierer und diverse Copilot-Varianten zum Vorschein.

Bußgelder und Haftung: Was Verstöße wirklich kosten

Artikel 99 der KI-Verordnung staffelt die Bußgelder nach Schwere des Verstoßes:

• Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes — bei Einsatz verbotener KI-Praktiken (Artikel 5).
• Bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes — bei Verstößen gegen Anbieter- und Betreiberpflichten (z. B. Kennzeichnungspflicht nach Artikel 50).
• Bis zu 7,5 Millionen Euro oder 1 Prozent des weltweiten Jahresumsatzes — bei falschen Auskünften gegenüber Behörden.

KMU-Sonderregelung

Absatz 6 sieht ein Verhältnismäßigkeitsprinzip für KMU und Start-ups vor: Bei diesen ist stets der jeweils niedrigere Wert aus Prozentsatz oder Höchstbetrag anzuwenden, und das wirtschaftliche Überleben ist zu berücksichtigen. Ein 20-Mitarbeiter-Unternehmen wird also nicht mit 35 Millionen belegt. Die relevantere Frage ist: Was passiert bei 3 Prozent Jahresumsatz einer österreichischen GmbH mit 10 Millionen Euro Umsatz? 300.000 Euro. Für viele Betriebe existenzbedrohend.

Aufsicht in Österreich: Die KI-Servicestelle bei der RTR

In Österreich wurde die KI-Servicestelle bei der RTR (Rundfunk und Telekom Regulierungs-GmbH) eingerichtet. Ihre rechtliche Grundlage bildet das KI-Servicestelle-Gesetz (KISG).

Die KI-Servicestelle koordiniert die Marktüberwachung nach dem EU AI Act, ist zentrale Anlaufstelle für Unternehmensanfragen und wird ab August 2026 die Sanktionsverfahren führen. Das Bundeskanzleramt koordiniert übergeordnet, die Datenschutzbehörde ist bei personenbezogenen KI-Anwendungen mitzuständig.

Für das Management bedeutet das: Es gibt eine österreichische Adresse, an die man sich mit Fragen wenden kann — bevor eine Prüfung stattfindet. Es ist ratsam die kostenfreien Informationsangebote der RTR-KI-Servicestelle proaktiv zu nutzen. Link: https://www.rtr.at/rtr/service/ki-servicestelle/ki-servicestelle.de.html

12-Punkt-Checkliste für österreichische KMU

Diese Liste fasst die operativen Schritte zusammen, mit denen Ihr Unternehmen bis August 2026 EU-AI-Act-fest wird. Die ausführliche Version inklusive Vorlagen finden Sie in unserer PDF-Checkliste (Download am Ende des Artikels).

1. KI-Inventar erstellen — Liste aller eingesetzten KI-Systeme, inklusive Cloud-Dienste und Browser-Erweiterungen.
2. Verbotene Praktiken (Artikel 5) prüfen — betrifft die wenigsten KMU, muss aber ausgeschlossen sein.
3. Risikoklassifizierung pro System — verboten / hochrisikobehaftet / transparenzpflichtig / minimal.
4. KI-Richtlinie verabschieden — verbindliche Regeln für Mitarbeitende, kommuniziert und dokumentiert.
5. KI-Kompetenz (Artikel 4) sicherstellen — Schulungsplan nach Rollen, mit Nachweisdokumentation.
6. Kennzeichnung Chatbot — Erst-Nachricht und AGB-Ergänzung technisch umsetzen.
7. Kennzeichnung KI-Content — Wasserzeichen/Content Credentials für Bilder und Videos, redaktionelle Freigabeprozesse für Texte.
8. Datenschutz-Folgenabschätzung nachziehen — wo KI-Systeme personenbezogene Daten verarbeiten.
9. KI-Beauftragte:n benennen — schriftliche Bestellung, klare Zuständigkeit, Zeitbudget definieren.
10. Dokumentation aufsetzen — jede KI-Compliance-Maßnahme muss im Zweifel nachweisbar sein.
11. Lieferanten- und Vertragsprüfung — AVV, Auftragsverarbeitung, Datenschutzklauseln bei allen KI-Dienstleistern.
12. Regelmäßiges Review verankern — halbjährliches Audit des KI-Inventars und der Compliance-Maßnahmen.

Fazit: Nicht warten, aber auch nicht überstürzen

Der EU AI Act ist kein Schreckgespenst — und keine Nebensache. Er ist die Regulierung, mit der Europa die kommenden fünf Jahre KI-Governance definiert. Wer die Verordnung als reines Compliance-Thema behandelt, verpasst die eigentliche Chance: In dem Moment, in dem Sie ein sauberes KI-Inventar, klare Verantwortungen und ein geschultes Team haben, hat Ihr Unternehmen auch eine bessere Basis für strategischen KI-Einsatz.

Governance ist kein Anhängsel. Sie ist die Voraussetzung dafür, dass KI im Betrieb tatsächlich Ergebnisse liefert — und nicht nur Piloten produziert, die niemand skalieren traut.

Wer jetzt die zwölf Punkte oben systematisch abarbeitet, ist nicht nur compliant, sondern hat auch die Grundlage geschaffen, um KI in den zwölf Monaten danach als strategischen Hebel einzusetzen.