AI Act: Was die KI-Ver­ord­nung für kleine Betriebe bedeutet

Der AI Act ist eine Ver­ord­nung der Eu­ro­päi­schen Union, die den Einsatz künst­li­cher In­tel­li­genz nach dem Risiko regelt, das eine Anwendung mit sich bringt. Die KI-Ver­ord­nung ist seit 1. August 2024 in Kraft und gilt un­mit­tel­bar in allen Mit­glied­staa­ten, also auch in Ös­ter­reich, ohne dass ein na­tio­na­les Um­set­zungs­ge­setz nötig wäre.

Zu­sam­men­fas­sung ⓘ

• Die KI-Ver­ord­nung gilt seit 1. August 2024 un­mit­tel­bar in ganz Ös­ter­reich
• Vier Ri­si­ko­stu­fen ent­schei­den über den Umfang der Pflichten
• Die große Mehrheit der all­täg­li­chen KI-Nutzung fällt unter minimales Risiko
• Für kleine Betriebe sind meist nur die Trans­pa­renz­pflich­ten relevant
• Ein Chatbot auf der Website muss als Maschine erkennbar sein
• Die KI-Ser­vice­stel­le bei der RTR ist in Ös­ter­reich die erste An­lauf­stel­le
• Der Großteil der Vor­schrif­ten greift ab 2. August 2026

Betrifft dich das überhaupt?

Die kurze Antwort für die meisten Ein­zel­un­ter­neh­men, kleinen Betriebe und Vereine lautet: ja, aber deutlich weniger, als die Schlag­zei­len vermuten lassen. Die Ver­ord­nung un­ter­schei­det danach, welche Rolle du einnimmst und wie riskant die Anwendung ist, die du einsetzt.

Ent­schei­dend ist zunächst die Rolle. Wer ein KI-System ent­wi­ckelt und auf den Markt bringt, gilt als Anbieter und trägt den weitaus größeren Teil der Pflichten. Wer ein fertiges Werkzeug beruflich einsetzt, ist in aller Regel Betreiber, also jemand, der die Anwendung nutzt, ohne sie selbst zu bauen. Der Un­ter­schied ist erheblich, und für die meisten Betriebe fällt er günstig aus.

Typische Fälle in dieser Gruppe sehen so aus:

• Texte und Entwürfe entstehen mit Hilfe eines Sprach­mo­dells
• Ein Chatbot be­ant­wor­tet auf der Website die häu­figs­ten Fragen
• Bilder für Social Media kommen aus einem Bild­ge­ne­ra­tor
• Ein Spam-Filter im Postfach arbeitet mit ma­schi­nel­lem Lernen
• Eine Buch­hal­tungs­soft­ware schlägt Ka­te­go­rien für Belege vor

In diesen Fällen bist du Betreiber eines fertigen Systems. Die um­fang­rei­chen Auflagen der Ver­ord­nung richten sich an andere. Was bleibt, sind über­schau­ba­re Trans­pa­renz­pflich­ten, dazu gleich mehr.

Zur Rolle kommt die zweite Frage: Wie riskant ist der Einsatz? Die Ver­ord­nung bewertet nicht die Technik an sich, sondern das, wofür sie verwendet wird. Dasselbe Sprach­mo­dell kann in der einen Anwendung völlig un­kri­tisch sein und in einer anderen in eine strengere Stufe fallen, etwa wenn es über den Zugang zu Bildung oder über eine Bewerbung mit­ent­schei­det. Nicht das Werkzeug ent­schei­det also über die Stufe, sondern der Zweck.

Die vier Stufen, kurz erklärt

Der AI Act folgt einem ri­si­ko­ba­sier­ten Ansatz. Je größer das Risiko für Si­cher­heit und Grund­rech­te, desto strenger die Pflichten. Daraus ergeben sich vier Stufen.

Diese Tabelle be­schreibt die Ka­te­go­rien, sie nimmt keine Ein­stu­fung vor. Ob eine bestimmte Anwendung in deinem Betrieb unter „begrenzt“ oder „hoch“ fällt, hängt vom konkreten Ein­satz­zweck ab. Im Zweifel klärt das eine fach­kun­di­ge Auskunft, nicht ein Rat­ge­ber­ar­ti­kel.

Was du tun musst, wenn KI auf deiner Website mit­ar­bei­tet

Für die Ziel­grup­pe dieses Artikels läuft fast alles auf die Trans­pa­renz­pflich­ten hinaus. Sie sind der prak­ti­sche Kern der Ver­ord­nung und lassen sich ohne großen Aufwand erfüllen.

Diese drei Punkte decken den Nor­mal­fall ab:

1. Chatbot kenn­zeich­nen. Wer auf deiner Website schreibt, muss erkennen können, dass eine Maschine antwortet. Üblich ist ein deut­li­cher Hinweis im Chat­fens­ter. Ist ohnehin of­fen­sicht­lich, dass keine Person antwortet, greift die Pflicht nicht.
2. KI-erzeugte Inhalte of­fen­le­gen. Anbieter ge­ne­ra­ti­ver Systeme müssen ihre Ausgaben ma­schi­nen­les­bar als künstlich erzeugt kenn­zeich­nen. Bei Deepfakes und be­stimm­ten KI-Texten kommen Of­fen­le­gungs­pflich­ten für jene hinzu, die solche Inhalte einsetzen.
3. Rolle klären. Prüfe bei jedem Werkzeug, ob du es nur nutzt oder ob du es unter eigenem Namen anbietest. Davon hängt ab, welche Pflichten überhaupt greifen.

Wenn du re­gel­mä­ßig mit Sprach­mo­del­len arbeitest, lohnt sich ein Blick auf die Grund­la­gen der Ge­ne­ra­ti­ve KI und auf Prompt En­gi­nee­ring. Beides hilft dabei, Er­geb­nis­se ein­zu­ord­nen und sauber zu do­ku­men­tie­ren, womit sie ent­stan­den sind. Für Texte aus dem Baukasten lohnt zu­sätz­lich der Überblick über KI-Text-Ge­ne­ra­to­ren.

Praktisch bewährt sich eine kurze interne Liste. Drei Spalten genügen:

• Welches Werkzeug ist im Einsatz
• Wofür wird es genutzt, und landet das Ergebnis öf­fent­lich auf der Website
• Wer im Team ist dafür zuständig

Diese Be­stands­auf­nah­me kostet eine halbe Stunde und be­ant­wor­tet die meisten Rück­fra­gen, bevor sie entstehen. Sie hilft außerdem bei den Vorgaben zur KI-Kompetenz, die seit Februar 2025 gelten: Wer KI einsetzt, soll verstehen, was das System kann und wo seine Grenzen liegen.

Die Ver­ord­nung wirkt übrigens über die EU hinaus. Sie erfasst auch Anbieter aus Dritt­staa­ten, die KI in der EU be­reit­stel­len, und kann greifen, wenn der Output eines Systems in der EU genutzt wird. Für dich heißt das: Ein Werkzeug aus den USA fällt nicht au­to­ma­tisch aus dem An­wen­dungs­be­reich.

Wer in Ös­ter­reich zuständig ist

Ös­ter­reich hat 2024 eine KI-Ser­vice­stel­le bei der RTR ein­ge­rich­tet, der Rundfunk und Telekom Re­gu­lie­rungs-GmbH. Sie versteht sich als An­lauf­stel­le und Vor­läu­fer­mo­dell, nicht als voll­stän­di­ge Auf­sichts­be­hör­de.

Damit war Ös­ter­reich eines der ersten EU-Länder mit einer solchen Stelle, neben Spanien und den Nie­der­lan­den.

Offen blieb lange die Benennung der zu­stän­di­gen Markt­über­wa­chungs­be­hör­de. Diese Ver­zö­ge­rung wurde politisch kri­ti­siert. An deinen Pflichten ändert das nichts: Die Ver­ord­nung gilt un­mit­tel­bar, un­ab­hän­gig davon, welche Stelle am Ende die Aufsicht übernimmt.

Für konkrete Fragen aus dem Be­triebs­all­tag ist die WKO eine geläufige erste An­lauf­stel­le.

Für dich lässt sich die ös­ter­rei­chi­sche Lage in drei Punkten zu­sam­men­fas­sen:

• Die KI-Ser­vice­stel­le bei der RTR in­for­miert und berät, sie ersetzt aber keine voll­stän­di­ge Aufsicht
• Die Ver­ord­nung gilt un­ab­hän­gig von der na­tio­na­len Be­hör­den­fra­ge, weil sie un­mit­tel­bar an­wend­ba­res EU-Recht ist
• Die WKO ist der kürzeste Weg zu einer Ein­schät­zung aus Be­triebs­sicht

Ein na­tio­na­les Um­set­zungs­ge­setz brauchst du nicht ab­zu­war­ten. Eine Ver­ord­nung wirkt direkt, anders als eine Richt­li­nie, die jedes Land erst in eigenes Recht gießen muss.

Welche Frist wann greift

Die Ver­ord­nung tritt ge­staf­felt in Kraft. Ein Än­de­rungs­pa­ket namens AI Omnibus hat einzelne Fristen ver­scho­ben und Er­leich­te­run­gen aus­ge­wei­tet.

Für kleine Betriebe ist vor allem der 2. August 2026 der relevante Termin, weil dann die Trans­pa­renz­pflich­ten greifen. Wer seinen Chatbot schon jetzt kenn­zeich­net, hat diesen Punkt erledigt.

Wenn dein Fall doch in die hohe Kategorie fällt

Manche An­wen­dun­gen fallen in die Hoch­ri­si­ko-Kategorie, etwa im Bereich kri­ti­scher In­fra­struk­tur, in der Bildung oder bei der Per­so­nal­aus­wahl. Dann wird der Pflich­ten­ka­ta­log deutlich um­fang­rei­cher:

• Ri­si­ko­ma­nage­ment über den gesamten Le­bens­zy­klus
• Qua­li­täts­an­for­de­run­gen an Trainings-, Va­li­die­rungs- und Testdaten, dazu Daten-Go­ver­nan­ce gegen Ver­zer­run­gen
• Tech­ni­sche Do­ku­men­ta­ti­on und au­to­ma­ti­sche Pro­to­kol­lie­rung
• Mensch­li­che Aufsicht mit echter Ein­griffs­mög­lich­keit
• Ge­nau­ig­keit, Ro­bust­heit und Cy­ber­si­cher­heit
• Kon­for­mi­täts­be­wer­tung, bevor das System auf den Markt kommt, teils über interne Kontrolle, teils über benannte Stellen

Dem stehen Er­leich­te­run­gen gegenüber. Re­gu­la­to­ri­sche Re­al­la­bo­re dienen als Test­um­ge­bun­gen, der AI Omnibus hat sie erweitert und zu­sätz­lich eines auf EU-Ebene vor­ge­se­hen. Für bestimmte kleinere Un­ter­neh­men gelten ver­ein­fach­te An­for­de­run­gen, die der AI Omnibus auf Small Mid-Cap Companies aus­ge­wei­tet hat.

Wer gegen die Vorgaben verstößt, muss mit emp­find­li­chen Geldbußen rechnen. Wie hoch sie ausfallen, hängt davon ab, worum es geht und wie gra­vie­rend der Fall liegt. Bei Un­ter­neh­men kann sich der Rahmen am welt­wei­ten Jah­res­um­satz ori­en­tie­ren.

Für die al­ler­meis­ten Betriebe bleibt der AI Act damit das, was er sein soll: ein Rahmen, der In­no­va­ti­on er­mög­licht und gleich­zei­tig Si­cher­heit und Grund­rech­te schützt. Wer KI im Alltag nutzt, kommt mit einer kurzen Be­stands­auf­nah­me, einem ge­kenn­zeich­ne­ten Chatbot und einem ehrlichen Hinweis auf ge­ne­rier­te Inhalte sehr weit. Wenn du darüber hinaus Inhalte für Such­sys­te­me auf­be­rei­test, hilft dir der Überblick zur GEO Op­ti­mie­rung bei der nächsten Stufe. Dieser Artikel ordnet ein und ersetzt keine Rechts­be­ra­tung. Der Stand kann sich ändern, besonders bei den na­tio­na­len Zu­stän­dig­kei­ten, deshalb lohnt vor größeren Ent­schei­dun­gen ein Blick auf die aktuelle Lage oder eine fach­kun­di­ge Auskunft.