Was der AI Act ist und wie er funktioniert
Der AI Act ist eine Verordnung der Europäischen Union. Anders als eine Richtlinie muss er nicht erst in nationales Recht übertragen werden, sondern gilt direkt in allen Mitgliedstaaten, also auch in Österreich. Er regelt KI nicht nach Technik, sondern nach dem Risiko einer Anwendung:
- Verbotene Praktiken: etwa Systeme zur Manipulation von Menschen oder zur Emotionserkennung am Arbeitsplatz, von eng begrenzten Ausnahmen abgesehen
- Hochrisiko-Systeme: zum Beispiel KI bei der Auswahl von Bewerbern oder bei Entscheidungen über den Zugang zu wichtigen Leistungen
- Transparenzpflichten: etwa für Chatbots und künstlich erzeugte Inhalte, die echt wirken
- Minimales Risiko: die große Mehrheit der Alltagsanwendungen, etwa Textentwürfe oder Spamfilter
Anbieter oder Betreiber: welche Rolle Ihr Betrieb hat
Die Pflichten hängen stark davon ab, welche Rolle Sie haben. Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen auf den Markt. Betreiber setzen ein KI-System in eigener Verantwortung im Betrieb ein.
Ein Steuerberater, der einen KI-Assistenten für Entwürfe nutzt, ein Gasthaus mit einem Chatbot auf der Website oder ein Handwerksbetrieb mit KI-Protokollen sind typischerweise Betreiber. Wer dagegen selbst eine KI-Anwendung programmiert und an Kunden verkauft, wird zum Anbieter und hat deutlich mehr Pflichten. Diese Unterscheidung ist der erste Schritt jeder Einschätzung.
Sehen Sie, wie ein KI-Chatbot mit den Inhalten Ihrer Website antwortet. Danach 30 Tage gratis.
Der Zeitplan: was wann gilt
Die Verordnung trat am 1. August 2024 in Kraft und wird in Etappen anwendbar. Nach dem ursprünglichen Zeitplan:
- Februar 2025: Verbote bestimmter Praktiken und die Pflicht zur KI-Kompetenz
- August 2025: Regeln für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, also großen Sprachmodellen
- August 2026: der Großteil der übrigen Regeln, darunter die Transparenzpflichten und viele Hochrisiko-Vorgaben
- August 2027: Hochrisiko-Regeln für KI in bestimmten regulierten Produkten
Auf EU-Ebene wurde über Anpassungen und Verschiebungen einzelner Fristen beraten, vor allem bei Hochrisiko-Systemen. Den aktuellen Stand sollten Sie deshalb bei der RTR, die in Österreich eine KI-Servicestelle betreibt, oder bei der WKO nachlesen.
KI-Kompetenz im Team: was das praktisch heißt
Betreiber müssen Maßnahmen treffen, damit die Personen, die mit KI arbeiten, über ausreichende KI-Kompetenz verfügen. Das klingt groß, ist für kleine Betriebe aber gut umsetzbar:
- Listen Sie auf, welche KI-Werkzeuge im Betrieb genutzt werden, auch die privat installierten Apps am Diensthandy.
- Erklären Sie dem Team, was diese Werkzeuge können, wo sie Fehler machen und welche Daten nicht hinein gehören.
- Halten Sie in einer kurzen internen Richtlinie fest, wofür KI genutzt werden darf und wer Ergebnisse prüft.
- Dokumentieren Sie, wer wann eingeschult wurde.
Wie eine solche Einschulung aussehen kann, beschreibt der Ratgeber KI-Schulung für Mitarbeitende.
Transparenz: Chatbots, KI-Bilder und Deepfakes
Für den Alltag kleiner Betriebe sind die Transparenzpflichten am greifbarsten. Menschen, die mit einem KI-System interagieren, sollen das wissen, sofern es nicht ohnehin offensichtlich ist. Ein Chatbot auf der Website stellt sich deshalb am besten klar als KI-Assistent vor. Bei einem KI-Chatbot lässt sich das schon im Begrüßungstext lösen.
Täuschend echte, künstlich erzeugte oder veränderte Bilder, Videos oder Tonaufnahmen von realen Personen, Orten oder Ereignissen, sogenannte Deepfakes, müssen als solche gekennzeichnet werden. Für viele Pflichten zur technischen Kennzeichnung sind in erster Linie die Anbieter der Werkzeuge zuständig. Als Betrieb sollten Sie dennoch bewusst entscheiden, wann Sie KI-Inhalte offenlegen.
Typische KMU-Anwendungen im Überblick
- Textassistent für Angebote und E-Mails: minimales Risiko. Wichtig sind KI-Kompetenz und eine menschliche Endkontrolle.
- Chatbot auf der Website: Transparenzpflicht. Klar als KI erkennbar machen und eine Verbindung zu Menschen anbieten.
- KI-Gesprächsprotokolle: meist minimales Risiko nach dem AI Act, aber datenschutzrechtlich sorgfältig zu behandeln.
- KI zur Vorauswahl von Bewerbungen: fällt in den Hochrisiko-Bereich. Hier ist besondere Vorsicht geboten, bevor Sie so etwas einsetzen.
- Stimmungsanalyse von Mitarbeitenden: Emotionserkennung am Arbeitsplatz ist grundsätzlich verboten.
Der AI Act ersetzt nicht den Datenschutz. Beide Regelwerke gelten nebeneinander, mehr dazu unter KI im Betrieb und Datenschutz.
Checkliste und nächster Schritt
- Alle KI-Werkzeuge im Betrieb erfassen
- Rolle klären: Betreiber oder Anbieter
- Risikostufe je Anwendung grob einordnen
- Team einschulen und das dokumentieren
- Chatbots und KI-Inhalte transparent kennzeichnen
- Datenschutz parallel prüfen
Wenn Sie KI im Betrieb einführen möchten, besprechen wir in der Digitalisierungsberatung, welche Anwendungen sinnvoll sind und wie sie sauber eingebunden werden. Die Umsetzung übernimmt Pipeline AI Solutions. Dieser Ratgeber ist eine allgemeine Orientierung und keine Rechtsberatung. Im Einzelfall wenden Sie sich an die KI-Servicestelle der RTR, die WKO oder eine Anwältin bzw. einen Anwalt.
Häufige Fragen
Gilt der EU AI Act auch für kleine Betriebe?
Ja, die Verordnung gilt unabhängig von der Betriebsgröße. Für kleine Betriebe, die KI nur nutzen, sind die Pflichten aber meist überschaubar: ausreichende KI-Kompetenz im Team und Transparenz, wo Menschen mit KI interagieren oder täuschend echte KI-Inhalte sehen. Für KMU und Start-ups sieht die Verordnung zudem gewisse Erleichterungen vor. Aufwendig wird es vor allem bei Hochrisiko-Anwendungen oder wenn Sie selbst KI-Systeme anbieten.
Muss ich kennzeichnen, dass ein Text mit KI geschrieben wurde?
Für gewöhnliche Werbetexte, Angebote oder E-Mails, die Sie mit KI entwerfen und selbst prüfen, gibt es nach dem AI Act in der Regel keine allgemeine Kennzeichnungspflicht. Strenger sind die Regeln für KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen und nicht redaktionell geprüft werden, sowie für Deepfakes. Im Einzelfall, etwa bei Gemeinde- oder Vereinsmedien, lohnt eine Nachfrage bei der RTR.
Muss ich meine Mitarbeitenden zum Thema KI schulen?
Betreiber von KI-Systemen müssen Maßnahmen treffen, damit ihr Personal über ausreichende KI-Kompetenz verfügt. Eine bestimmte Form wie ein Zertifikat ist dafür nicht vorgeschrieben. Für einen kleinen Betrieb kann das eine Einschulung zu den genutzten Werkzeugen, eine kurze schriftliche Richtlinie und eine Dokumentation sein, wer teilgenommen hat. Wichtig ist, dass das Team Grenzen und Fehlerquellen der Werkzeuge kennt.
Wo bekomme ich in Österreich Auskunft zum AI Act?
Erste Anlaufstelle ist die KI-Servicestelle der Rundfunk und Telekom Regulierungs-GmbH (RTR), die Informationen für Unternehmen und Bürger bereitstellt. Auch die Wirtschaftskammer informiert ihre Mitglieder zu den Pflichten aus der KI-Verordnung. Für konkrete rechtliche Fragen, etwa ob eine Anwendung als hochriskant gilt, ist eine Anwältin oder ein Anwalt mit Schwerpunkt IT-Recht die richtige Adresse.