EU AI Act Österreich — Fristen, Pflichten und Risikoklassen für KMU verständlich erklärt

Die KI-Verordnung gilt direkt — auch für kleine und mittlere Unternehmen. Hier ist, was du wissen musst.

Der EU AI Act (deutsch: KI-Verordnung, offiziell EU-Verordnung 2024/1689) gilt in Österreich direkt und unmittelbar — ohne nationales Umsetzungsgesetz. Betroffen ist jedes Unternehmen, das KI einsetzt, unabhängig von der Größe. Die Pflichten greifen gestaffelt: KI-Kompetenz seit Februar 2025, Kennzeichnungspflicht nach Art. 50 ab 02.08.2026, Hochrisiko-Regeln ab 02.12.2027. Diese Seite erklärt Geltung, Fristen, die vier Risikoklassen und die konkreten Schritte für KMU.

Was ist der EU AI Act?

Der EU AI Act ist das weltweit erste umfassende Gesetz zur Regulierung künstlicher Intelligenz. Als EU-Verordnung (2024/1689 vom 13. Juni 2024) gilt er unmittelbar in allen Mitgliedstaaten — er muss nicht erst in nationales Recht übertragen werden.

Der Ansatz ist risikobasiert: Je höher das Risiko eines KI-Einsatzes für Grundrechte und Sicherheit, desto strenger die Pflichten. Vier Risikoklassen reichen von „minimal“ (keine Sonderpflichten) bis „inakzeptabel“ (verboten).

Gilt der EU AI Act in Österreich?

Ja — direkt und unmittelbar. Weil der AI Act eine Verordnung (nicht eine Richtlinie) ist, gilt er ab den jeweiligen Stichtagen automatisch für österreichische Unternehmen. Der im Deutschen gebräuchliche Begriff „KI-Verordnung“ meint genau diesen Rechtsakt.

Aufsicht in Österreich: Die KI-Servicestelle der RTR bietet Informationen und Orientierung. Die zuständige Aufsicht ist je nach System und Sektor zu prüfen. Auf EU-Ebene hat das AI Office eigene Aufgaben.

Fristen: Ab wann gilt was?

Die Pflichten treten gestaffelt in Kraft. Für KMU am wichtigsten: Die KI-Kompetenz-Pflicht gilt bereits.

2. Februar 2025

KI-Kompetenz (Art. 4) + verbotene Praktiken (Art. 5)

Alle Betreiber von KI-Systemen müssen ausreichende KI-Kompetenz ihrer Mitarbeitenden sicherstellen. Verbotene Praktiken (Social-Scoring, manipulative KI) sind ab sofort untersagt.

2. August 2025

GPAI-Modelle + Governance-Struktur

Pflichten für Anbieter von General-Purpose-AI-Modellen treten in Kraft. Nationale Aufsichtsstrukturen und das EU-AI-Office nehmen die Arbeit auf.

2. August 2026

Transparenz-Pflichten (Art. 50)

Kennzeichnungspflicht wird wirksam: Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte müssen markiert werden, Deepfakes offengelegt. Vor diesem Datum erzeugte Inhalte müssen nicht nachträglich markiert werden — wer sie ab jetzt veröffentlicht, unterliegt der Kennzeichnung.

2. Dezember 2026

Schonfrist für Bestandssysteme endet (Art. 50 Abs. 2)

Die maschinenlesbare Markierung synthetischer Inhalte (Wasserzeichen, Metadaten) wird auch für Systeme verpflichtend, die vor dem 02.08.2026 in Verkehr gebracht wurden.

2. Dezember 2027

Hochrisiko-Systeme (Anhang III)

Die strengen Pflichten für Hochrisiko-KI (Recruiting, Kreditvergabe, Gesundheit, kritische Infrastruktur) werden wirksam: Risikomanagement, Daten-Governance, Dokumentation, menschliche Aufsicht, Konformitätsbewertung. Ursprünglich für August 2026 vorgesehen, durch den Digital Omnibus on AI verschoben.

2. August 2028

Hochrisiko in regulierten Produkten (Anhang I)

Übergangsfrist für KI als Sicherheitskomponente in bereits regulierten Produkten (z. B. Medizinprodukte, Maschinen) endet. Ebenfalls durch den Digital Omnibus verschoben.

Die vier Risikoklassen

Nicht die Branche entscheidet, sondern der konkrete Use-Case. Dieselbe Technologie kann je nach Einsatz in unterschiedliche Klassen fallen.

Minimales Risiko

Keine Sonderpflichten (DSGVO bleibt)

Spam-Filter, Übersetzung, interne Effizienz-KI ohne kritische Entscheidungen.

Begrenztes Risiko

Transparenz-Pflicht (Art. 50)

Chatbots, Content-Generatoren, Deepfakes — Kunden müssen KI als KI erkennen, Medien brauchen maschinenlesbares Wasserzeichen.

Hohes Risiko

Strenge Compliance (Anhang III)

Recruiting, Kreditvergabe, Biometrie, Gesundheit, Bildung, kritische Infrastruktur — Risikomanagement, Doku, menschliche Aufsicht, Konformitätsbewertung vor Markteintritt.

Inakzeptables Risiko

Verboten (Art. 5)

Social-Scoring, gezielte Manipulation, Ausnutzung vulnerabler Gruppen, biometrische Echtzeit-Überwachung im öffentlichen Raum.

Was müssen KMU jetzt tun?

Vier Schritte zur EU-AI-Act-Konformität — vom Überblick bis zur dokumentierten Pflicht-Erfüllung.

Schritt 1

KI-Inventur erstellen

Erfasse jedes eingesetzte KI-System — eigene Modelle, SaaS-Tools (ChatGPT, Copilot, Claude, Gemini) und eingebettete KI in CRM/ERP.

Schritt 2

Risikoklassen einordnen

Ordne jeden Use-Case in eine der vier Risikoklassen ein. Erstindikation liefert der kostenlose Risk-Check.

Schritt 3

KI-Kompetenz schulen (Art. 4)

Artikel 4 verlangt von Anbietern und Betreibern Maßnahmen zur Förderung der KI-Kompetenz, passend zu Vorkenntnissen und Einsatzkontext. Seit der Änderung durch Verordnung (EU) 2026/1744 muss kein bestimmtes Kompetenzniveau jeder einzelnen Person garantiert werden. Ein bestimmter Kurs, eine feste Stundenzahl oder ein Zertifikat sind nicht vorgeschrieben.

Schritt 4

Pflichten dokumentieren

AI-Policy, Teilnahme-Nachweise und — bei Hohem Risiko — technische Dokumentation, Risikomanagement und menschliche Aufsicht aufsetzen.

Risikoklasse jetzt prüfen (12 Fragen) →Zur EU-AI-Act-Pflichtschulung →

Wer hilft bei der Umsetzung in Österreich?

OptimusFlow Consulting begleitet DACH-KMU durch den gesamten EU-AI-Act-Prozess: von der Risikoklassen-Einordnung über die KI-Schulung zu Art. 4 bis zur praktischen Umsetzung von KI-Workflows, die Compliance von Anfang an mitdenken.

Der Einstieg ist niederschwellig: Starte mit dem kostenlosen Risk-Check oder einem Erstgespräch. Bei Hohem Risiko (Anhang III) benennen wir ausdrücklich die anwaltliche Schnittstelle.

Quelle und Zuständigkeit

Rechtsgrundlage: EU-Verordnung 2024/1689 vom 13. Juni 2024 (AI Act / KI-Verordnung). Art. 4 (KI-Kompetenz) und Art. 5 (verbotene Praktiken) seit 2. Februar 2025 in Kraft. Transparenz-Pflichten (Art. 50) ab 02.08.2026, Hochrisiko-Pflichten (Anhang III) ab 02.12.2027. Rechtsstand: Verordnung (EU) 2024/1689 i.d.F. des Digital Omnibus on AI (unterzeichnet 08.07.2026).

Aufsichtsbehörden DACH: Österreich: Orientierung bei der KI-Servicestelle der RTR. Deutschland: Bundesnetzagentur als nationaler Koordinator, daneben sektorale Behörden. Schweizer Unternehmen können bei EU-Bezug in den Anwendungsbereich fallen.

Verbindlichkeit: Diese Seite ist eine fachliche Orientierung, kein Rechtsgutachten. Bei Hohem Risiko (Anhang III) empfehlen wir ausdrücklich anwaltliche Validierung.

Häufige Fragen

Gilt der EU AI Act in Österreich?+

Ja. Der EU AI Act ist eine EU-Verordnung (2024/1689) und gilt damit direkt und unmittelbar in allen Mitgliedstaaten — auch in Österreich, ohne nationales Umsetzungsgesetz. Österreichische Unternehmen jeder Größe sind betroffen, sobald sie KI-Systeme einsetzen.

Ist die KI-Verordnung dasselbe wie der EU AI Act?+

Ja. „KI-Verordnung“ ist die deutsche Bezeichnung für den EU AI Act (englisch: AI Act), offiziell EU-Verordnung 2024/1689 vom 13. Juni 2024. Beide Begriffe meinen denselben Rechtsakt.

Ab wann gilt der EU AI Act?+

Gestaffelt: Seit 2. Februar 2025 gelten die KI-Kompetenz-Pflicht (Art. 4) und das Verbot inakzeptabler Praktiken (Art. 5). Ab 2. August 2025 greifen GPAI-Pflichten. Ab 2. August 2026 gelten die Transparenz- und Kennzeichnungspflichten nach Art. 50 — für die maschinenlesbare Markierung bei Bestandssystemen mit Schonfrist bis 2. Dezember 2026. Die strengen Anforderungen für Hochrisiko-Systeme nach Anhang III greifen ab 2. Dezember 2027, für KI in regulierten Produkten (Anhang I) ab 2. August 2028. Diese beiden Termine wurden durch den Digital Omnibus on AI vom Sommer 2026 nach hinten verschoben.

Welche Pflichten hat ein KMU nach dem EU AI Act?+

Maßnahmen zur KI-Kompetenzförderung (Art. 4) bleiben relevant. Transparenzpflichten (Art. 50) sind nach Rolle, Funktion und Ausnahmen zu prüfen. Bei Hochrisiko-Use-Cases (z. B. Recruiting) kommen Risikomanagement, Daten-Governance, Dokumentation, menschliche Aufsicht und Konformitätsbewertung hinzu. Die konkrete Pflichten-Tiefe hängt von der Risikoklasse ab.

Welche Aufsichtsbehörde ist in Österreich zuständig?+

Die KI-Servicestelle der RTR bietet in Österreich Orientierung. Sie ist nicht pauschal die zuständige Marktaufsicht. Welche Behörde zuständig ist, hängt vom KI-System, Sektor und Sachverhalt ab; auf EU-Ebene hat das AI Office eigene Aufgaben.

Welche Strafen drohen bei Nicht-Einhaltung?+

Der EU AI Act sieht gestaffelte Bußgelder vor: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. € oder 3 % bei Verstößen gegen Hochrisiko-Pflichten. Für KMU sind die Höchstbeträge anteilig gedeckelt.

Wer hilft KMU in Österreich bei der EU-AI-Act-Umsetzung?+

OptimusFlow Consulting begleitet DACH-KMU von der Risikoklassen-Einordnung über die KI-Kompetenzförderung (Art. 4) bis zur praktischen Umsetzung. Einstieg über den kostenlosen Risk-Check oder ein Erstgespräch. Bei Hohem Risiko benennen wir die anwaltliche Schnittstelle.

Zur KI-Kompetenzförderung nach Artikel 4: KI-Pflichtschulung — Kompetenz im Arbeitsalltag oder KI-Kompetenz-Schulung mit Praxis-Transfer.

Unsicher, in welche Risikoklasse deine KI fällt? Mach den 12-Fragen-Risk-Check — 8 Minuten, sofortige Einordnung. Oder direkt Erstgespräch anfragen.