Der große Stichtag des EU AI Act ist verschoben: Die Pflichten für Hochrisiko-KI, etwa im Bewerber-Screening, gelten nicht mehr ab August 2026, sondern erst ab 2. Dezember 2027. Das hat die EU im Juli 2026 mit dem Digital-Omnibus zur KI beschlossen. Seit 2. August 2026 gelten aber die Transparenzpflichten, etwa für Chatbots und Deepfakes. Eine österreichische Aufsichtsbehörde für den AI Act gab es bis Ende Juli 2026 noch nicht.
- Rechtsgrundlage: Verordnung (EU) 2024/1689, geändert durch die Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI). Sie gilt unmittelbar.
- Seit 2. Februar 2025: Verbote bestimmter KI-Praktiken. Seit 2. August 2026: Transparenzpflichten nach Artikel 50.
- Hochrisiko-KI nach Anhang III ab 2. Dezember 2027, nach Anhang I ab 2. August 2028.
- KI-Kompetenz: Unternehmen müssen Maßnahmen setzen, um die KI-Kompetenz ihres Personals zu unterstützen, ein bestimmtes Niveau müssen sie seit der Änderung nicht garantieren.
- Bußgelder: bis 35 Mio. € oder 7 % für verbotene Praktiken, bis 15 Mio. € oder 3 % für andere Pflichten, bis 7,5 Mio. € oder 1 % für falsche Angaben. Für KMU gilt jeweils der niedrigere Betrag.
Wer betroffen ist
Der AI Act unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen auf den Markt bringen, und Betreibern, die ein KI-System beruflich verwenden. Die meisten KMU sind Betreiber: Sie nutzen fertige Werkzeuge wie Chatbots, Textgeneratoren oder Analyseprogramme. Die umfangreichsten Pflichten treffen die Anbieter. Wer ein KI-System ausschließlich privat nutzt, ist als Betreiber nicht erfasst.
Zeitplan nach dem Digital-Omnibus
Ab |
Was gilt |
|---|---|
2. Februar 2025 |
Verbotene Praktiken, etwa Social Scoring oder manipulative Systeme; Pflicht zur KI-Kompetenz |
2. August 2025 |
Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck |
2. August 2026 |
Transparenzpflichten nach Artikel 50 |
2. Dezember 2026 |
Verbot sexualisierter Deepfakes ohne Einwilligung; maschinenlesbare Kennzeichnung auch für KI-Systeme, die vor August 2026 auf den Markt kamen |
2. August 2027 |
KI-Reallabore der Mitgliedstaaten müssen einsatzbereit sein |
2. Dezember 2027 |
Hochrisiko-KI nach Anhang III, etwa in Personalauswahl, Kreditwürdigkeitsprüfung oder Bildung |
2. August 2028 |
Hochrisiko-KI in Produkten nach Anhang I, etwa Medizinprodukte und Maschinen |
Quelle: RTR KI-Servicestelle, Zeitplan; Verordnung (EU) 2026/1744.
Transparenzpflichten seit August 2026
Artikel 50 trennt die Pflichten nach Anbieter und Betreiber:
- Chatbots und KI-Agenten (Anbieter): Das System muss so gestaltet sein, dass Nutzer spätestens bei der ersten Interaktion erkennen, dass sie mit einer KI sprechen. Wer einen fertigen Chatbot auf der eigenen Website einbindet, sollte prüfen, ob dieser Hinweis vorhanden ist.
- Synthetische Inhalte (Anbieter): KI-erzeugte Bilder, Videos, Audio und Texte müssen maschinenlesbar gekennzeichnet sein. Diese Pflicht trifft den Anbieter des Werkzeugs, nicht das Unternehmen, das es nutzt.
- Deepfakes (Betreiber): Wer künstlich erzeugte oder veränderte Bilder, Videos oder Tonaufnahmen veröffentlicht, die echte Personen, Orte oder Ereignisse täuschend echt darstellen, muss das offenlegen. Bei offenkundig künstlerischen oder satirischen Werken genügt ein Hinweis, der den Genuss des Werks nicht stört.
- Texte zu Themen von öffentlichem Interesse (Betreiber): KI-erzeugte Texte, die die Öffentlichkeit über solche Themen informieren, sind zu kennzeichnen. Das entfällt, wenn ein Mensch den Text inhaltlich samt Fakten und Quellen prüft und eine Person die redaktionelle Verantwortung übernimmt.
- Emotionserkennung und biometrische Kategorisierung (Betreiber): Betroffene müssen informiert werden.
Für gewöhnliche Werbe- und Website-Texte, die mit KI-Hilfe entstehen, gibt es damit keine allgemeine Kennzeichnungspflicht. Anders ist es bei Deepfakes und bei Texten, die über Themen von öffentlichem Interesse informieren und ohne redaktionelle Kontrolle veröffentlicht werden.
Hochrisiko-KI ab Dezember 2027
Als Hochrisiko gelten unter anderem KI-Systeme, die Bewerbungen filtern oder Bewerber bewerten, über Beförderungen oder Kündigungen mitentscheiden oder die Kreditwürdigkeit von Privatpersonen prüfen. Für sie gelten ab 2. Dezember 2027 strenge Anforderungen.
Konformitätsbewertung, technische Dokumentation und Risikomanagement sind Aufgabe des Anbieters. Ein KMU, das ein solches System nur einsetzt, hat als Betreiber eigene Pflichten (Artikel 26): das System nach der Gebrauchsanweisung verwenden, eine menschliche Aufsicht durch geschulte Personen sicherstellen, die Eingabedaten im eigenen Einflussbereich prüfen, den Betrieb überwachen und Protokolle aufbewahren. Wer ein KI-Tool im Recruiting plant, sollte schon bei der Auswahl darauf achten, ob der Anbieter die Anforderungen bis Ende 2027 erfüllt.
KI-Kompetenz
Seit Februar 2025 verlangt Artikel 4 von Anbietern und Betreibern, sich um die KI-Kompetenz ihres Personals zu kümmern. Mit dem Digital-Omnibus wurde die Pflicht abgeschwächt: Unternehmen müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihrer Mitarbeiter zu unterstützen. Ein bestimmtes Niveau müssen sie ausdrücklich nicht garantieren. In der Praxis reichen etwa interne Richtlinien zur Nutzung von KI-Werkzeugen und Schulungen für Mitarbeiter, die damit arbeiten. Für Verstöße gegen Artikel 4 sieht der Bußgeldkatalog des Artikels 99 keinen eigenen Tatbestand vor.
Bußgelder
Verstoß |
Höchstbetrag |
|---|---|
Verbotene KI-Praktiken |
35 Mio. € oder 7 % des weltweiten Jahresumsatzes |
Andere Pflichten, etwa für Hochrisiko-KI und Transparenz |
15 Mio. € oder 3 % |
Falsche, unvollständige oder irreführende Angaben an Behörden |
7,5 Mio. € oder 1 % |
Quelle: Artikel 99 Verordnung (EU) 2024/1689; RTR, Sanktionen.
Bei großen Unternehmen gilt der höhere der beiden Werte. Für KMU einschließlich Start-ups gilt umgekehrt jeweils der niedrigere Betrag (Artikel 99 Absatz 6). Seit dem Digital-Omnibus gilt das für die beiden unteren Stufen auch für kleine Unternehmen mit mittlerer Kapitalisierung.
Die Lage in Österreich
Der AI Act gilt in Österreich unmittelbar, ein eigenes Umsetzungsgesetz ist dafür nicht nötig. Die Mitgliedstaaten hätten aber bis August 2025 Aufsichtsbehörden benennen müssen. Ende Juli 2026 gab es laut ORF noch keine österreichische KI-Aufsicht und keine Regierungsvorlage dazu. Das Bundeskanzleramt wies darauf hin, dass Unternehmen die Vorgaben trotzdem einhalten müssen.
Bei der Rundfunk und Telekom Regulierungs-GmbH (RTR) besteht seit 2024 die KI-Servicestelle. Sie ist keine Aufsichtsbehörde, sondern informiert über den AI Act, stellt Leitfäden und Zeitpläne bereit und beantwortet Fragen unter ki@rtr.at. Ein österreichisches KI-Reallabor, in dem Unternehmen ihre Systeme unter Aufsicht testen können, gibt es noch nicht. Die Mitgliedstaaten müssen solche Reallabore bis 2. August 2027 einrichten.
Für die Cybersicherheit gelten daneben eigene Regeln, siehe den Beitrag zur NIS-2-Richtlinie. Und wer mit KI personenbezogene Daten verarbeitet, muss weiterhin die DSGVO beachten.
1. Alle KI-Werkzeuge im Betrieb auflisten und notieren, wofür sie eingesetzt werden.
2. Prüfen, ob darunter Chatbots mit Kundenkontakt, Deepfakes, öffentlich verbreitete Informationstexte oder Anwendungen im Personalbereich sind.
3. Für die eigenen Mitarbeiter eine kurze Nutzungsrichtlinie festlegen: welche Werkzeuge erlaubt sind, welche Daten nicht hineingehören und wer KI-Ergebnisse vor der Veröffentlichung prüft.
Diese Informationen ersetzen keine individuelle Rechtsberatung. Ob ein KI-System als Hochrisiko-System gilt, hängt vom konkreten Einsatz ab. Stand der Informationen: Oktober 2026.
Häufige Fragen
Ab wann gelten die Regeln für Hochrisiko-KI?
Für Systeme nach Anhang III, etwa im Personalbereich, ab 2. Dezember 2027. Für KI in Produkten nach Anhang I ab 2. August 2028. Der ursprüngliche Termin August 2026 wurde durch die Verordnung (EU) 2026/1744 verschoben.
Muss ich mit KI geschriebene Texte auf meiner Website kennzeichnen?
In der Regel nicht. Eine Kennzeichnung ist bei Deepfakes nötig und bei Texten, die die Öffentlichkeit über Themen von öffentlichem Interesse informieren, außer ein Mensch prüft sie inhaltlich und trägt die redaktionelle Verantwortung.
Muss ich meine Mitarbeiter schulen?
Sie müssen Maßnahmen setzen, um die KI-Kompetenz der Mitarbeiter zu unterstützen, die mit KI arbeiten. Ein bestimmtes Niveau müssen Sie seit der Änderung durch den Digital-Omnibus nicht garantieren.
Wie hoch sind die Strafen für KMU?
Die Höchstbeträge sind 35 Mio. € oder 7 %, 15 Mio. € oder 3 % und 7,5 Mio. € oder 1 % des Umsatzes. Für KMU gilt jeweils der niedrigere der beiden Werte.
Wer kontrolliert den AI Act in Österreich?
Bis Ende Juli 2026 war keine österreichische Aufsichtsbehörde benannt. Die KI-Servicestelle der RTR informiert und berät, ist aber keine Behörde mit Kontrollbefugnissen.