TL;DR

• Der EU AI Act ist seit Mitte 2024 in Kraft. Die meisten KMU-Anwendungen (Chatbots, Textgenerierung, Dokumentenverarbeitung) fallen unter minimales oder begrenztes Risiko — keine Konformitätsbewertung nötig.
• Transparenzpflicht gilt für alle KI-Systeme im Kundenkontakt: Nutzer müssen erkennen, dass sie mit einer KI interagieren.
• Hochrisiko-Systeme (z. B. automatisierte Bewerberauswahl, Kreditscoring) lösen deutlich mehr Pflichten aus — hier lohnt eine juristische Prüfung.
• Nächster harter Termin: 02. August 2026 — siehe unseren Termin-fokussierten Folgeartikel.
• Strafen: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes bei schweren Verstößen.

---

Was ist der EU AI Act? (Kurzantwort)

Stand: April 2026 — Der EU AI Act (Verordnung 2024/1689) ist die weltweit erste umfassende KI-Regulierung. Er ist seit 02. August 2024 in Kraft und gilt unmittelbar in allen EU-Mitgliedsstaaten — also auch in Österreich. Betroffen sind Anbieter und Betreiber von KI-Systemen, unabhängig von der Unternehmensgröße. Pflichten richten sich nach dem Risiko des Systems. Offizieller Volltext: EUR-Lex 2024/1689. Detaillierter Termin-Folgeartikel: August 2026 Pflichten.

---

Compliance-Timeline auf einen Blick

---

Wer ist vom EU AI Act betroffen?

Die Betroffenheit hängt von der Risikoklasse Ihrer KI-Anwendung ab — nicht von Ihrer Unternehmensgröße:

• Verbotene Praktiken: ALLE (auch KMU, auch private Nutzer) — Social Scoring, manipulative Systeme, ungezielte Gesichtserkennung sind komplett untersagt.
• Hochrisiko-Systeme (Anhang III): KMU mit KI in HR, Bildung, Justiz, Kreditwesen, Versicherungen, kritischer Infrastruktur — Konformitätsbewertung, Logging, menschliche Aufsicht.
• Begrenztes Risiko (Transparenzpflicht): Chatbot-Anbieter, Deepfake-Ersteller, biometrische Kategorisierung — Kennzeichnungspflicht reicht in der Regel.
• Minimales Risiko: Spamfilter, KI in Videospielen, einfache Empfehlungssysteme — keine spezifischen Pflichten.

Wichtig für die meisten KMU: Die meisten Anwendungen fallen unter "minimales Risiko" und lösen keine spezifischen Pflichten aus. Wer Chatbots oder generative KI im Kundenkontakt einsetzt, sollte sich primär um die Transparenzkennzeichnung kümmern.

Auch bei der Compliance hilfreich: das Barrierefreiheitsgesetz (BaFG), das seit Juni 2025 gilt und österreichische KMU bei digitalen Produkten ebenfalls betrifft.

---

Seit Mitte 2024 ist der EU AI Act in Kraft — die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Für viele österreichische KMU klingt das erst einmal bedrohlich: Noch eine Verordnung, noch mehr Bürokratie, noch mehr Compliance-Aufwand.

Aber Panik ist fehl am Platz. In diesem Artikel erklären wir Ihnen verständlich und praxisnah, was der EU AI Act für Ihr Unternehmen bedeutet, welche Pflichten tatsächlich auf Sie zukommen und wie Sie sich mit wenig Aufwand rechtskonform aufstellen.

---

EU AI Act — Was ist das und ab wann gilt es?

Der EU AI Act (offiziell: Verordnung über Künstliche Intelligenz, EU 2024/1689) wurde im Juni 2024 vom Europäischen Parlament verabschiedet und ist im August 2024 in Kraft getreten. Die Verordnung gilt unmittelbar in allen EU-Mitgliedsstaaten — also auch in Österreich — ohne dass ein nationales Umsetzungsgesetz nötig ist.

Die zentrale Idee: KI-Systeme werden nach ihrem Risikopotenzial eingestuft. Je höher das Risiko, desto strenger die Anforderungen. Die Umsetzung erfolgt stufenweise:

• Februar 2025: Verbote für unannehmbares Risiko gelten
• August 2025: Pflichten für General Purpose AI (wie GPT-Modelle) und Governance-Strukturen
• August 2026: Hauptteil der Verordnung — Pflichten für Hochrisiko-KI-Systeme
• August 2027: Erweiterte Pflichten für bestimmte Hochrisiko-Systeme in regulierten Produkten

Für die meisten KMU relevant ist August 2026 — bis dahin sollten Sie wissen, wo Ihre KI-Anwendungen einzuordnen sind.

In Österreich wird die RTR (Rundfunk und Telekom Regulierungs-GmbH) voraussichtlich die nationale Aufsichtsbehörde für den AI Act. Die WKO bietet bereits erste Informationsangebote für Unternehmen.

---

Die 4 Risikostufen — Wo steht Ihr KI-Projekt?

Der EU AI Act teilt KI-Systeme in vier Risikokategorien ein. Diese Einstufung bestimmt, welche Pflichten für Sie als Anbieter oder Nutzer gelten.

Die Kernfrage für Sie: In welche Risikostufe fällt Ihre KI-Anwendung? In den meisten Fällen werden KMU-typische Anwendungen unter begrenztes oder minimales Risiko fallen.

---

Was bedeutet das konkret für österreichische KMU?

Lassen Sie uns vier typische KI-Anwendungsszenarien durchgehen, die wir bei unseren KMU-Kunden sehen:

KI-Chatbots — Transparenzpflicht ja, Konformitätsbewertung nein

Sie setzen einen KI-Chatbot auf Ihrer Website ein, um Kundenanfragen zu beantworten? Das fällt unter begrenztes Risiko. Die Pflicht ist klar und einfach umzusetzen:

• Kennzeichnungspflicht: Nutzer müssen wissen, dass sie mit einer KI interagieren — ein Hinweis wie „Dieser Chat wird von einer KI unterstützt" reicht aus
• Keine Konformitätsbewertung erforderlich
• Keine Registrierung in der EU-Datenbank nötig

Praxis-Tipp: Integrieren Sie den KI-Hinweis direkt in die Chat-Oberfläche. Bei unseren KI-Chatbot-Lösungen bauen wir diese Transparenz standardmäßig ein.

Dokumentenverarbeitung — in der Regel minimales Risiko

Sie nutzen KI, um Rechnungen zu erfassen, E-Mails zu kategorisieren oder Verträge zusammenzufassen? In den meisten Fällen ist das minimales Risiko:

• Keine spezifischen Pflichten aus dem AI Act
• Die DSGVO bleibt natürlich relevant (personenbezogene Daten in Dokumenten)
• Freiwillige Dokumentation Ihrer KI-Nutzung ist empfehlenswert

Wichtig: Wenn die Dokumentenverarbeitung in einem regulierten Kontext eingesetzt wird — etwa zur automatisierten Kreditentscheidung bei einer Bank — kann sie in die Hochrisiko-Kategorie rutschen. Der Kontext entscheidet.

KI-gestützte Personalauswahl — Achtung, hohes Risiko!

Hier wird es strenger. Wenn Sie KI einsetzen, um Bewerbungen vorzufiltern, Lebensläufe zu bewerten oder Kandidaten zu ranken, fällt das explizit unter hohes Risiko. Die Pflichten sind umfangreich:

• Konformitätsbewertung vor Inbetriebnahme
• Risikomanagement-System einrichten
• Datenqualität sicherstellen (keine diskriminierenden Trainingsdaten)
• Menschliche Aufsicht — ein Mensch muss die KI-Entscheidung überprüfen können
• Logging und Dokumentation der KI-Entscheidungen
• Registrierung in der EU-Datenbank für Hochrisiko-KI

KI in der Medizin — branchenspezifisch

Für Arztpraxen und Gesundheitseinrichtungen gilt besondere Vorsicht. KI-Systeme, die als Medizinprodukt eingestuft werden (z. B. KI-gestützte Diagnoseunterstützung), fallen unter hohes Risiko und müssen zusätzlich die Medizinprodukteverordnung (MDR) erfüllen.

Aber: Ein einfacher Chatbot für Terminbuchungen in einer Ordination? Das ist begrenztes Risiko — gleiche Regeln wie bei jedem anderen Chatbot.

Die Abgrenzung ist entscheidend: Nicht jede KI-Anwendung im Gesundheitsbereich ist automatisch Hochrisiko. Es kommt darauf an, ob das System Entscheidungen trifft oder beeinflusst, die sich direkt auf die Gesundheit von Patienten auswirken.

---

Die 5-Schritte-Checkliste: So werden Sie AI-Act-konform

Sie wollen nicht nur wissen, was der AI Act ist, sondern was Sie jetzt konkret tun müssen? Diese fünf Schritte bringen Sie von "keine Ahnung" zu "compliant" — und die meisten KMU schaffen das an einem Nachmittag.

Schritt 1: KI-Inventur erstellen — Welche Tools nutzen Sie?

Listen Sie alle KI-Systeme auf, die in Ihrem Unternehmen im Einsatz sind. Denken Sie dabei nicht nur an ChatGPT — KI steckt mittlerweile in vielen Tools, ohne dass es offensichtlich ist.

So gehen Sie vor:

• Fragen Sie jede Abteilung: "Welche Software nutzt ihr, die Texte generiert, Daten analysiert oder Entscheidungen vorschlägt?"
• Prüfen Sie Ihre SaaS-Abonnements: CRM (HubSpot, Salesforce), Buchhaltung (BMD, sevDesk), E-Mail-Marketing (Mailchimp, ActiveCampaign) — viele haben KI-Features im Hintergrund
• Vergessen Sie nicht: Microsoft Copilot, Google Workspace AI, Canva Magic, Grammarly, DeepL

Ergebnis: Eine einfache Tabelle mit Spalten: Tool-Name | Einsatzbereich | Anbieter | Verarbeitet Kundendaten? (Ja/Nein)

Schritt 2: Risikostufe bestimmen — Schnelltest mit 3 Fragen

Für jedes Tool aus Ihrer Inventur beantworten Sie drei Fragen:

1. Trifft das System automatisierte Entscheidungen über Menschen? (z. B. Bewerberauswahl, Kreditvergabe, Leistungsbeurteilung) — Wenn ja: Hochrisiko
2. Interagiert das System direkt mit Kunden oder generiert es veröffentlichte Inhalte? (z. B. Chatbot, KI-generierte Texte, automatische E-Mails) — Wenn ja: Begrenztes Risiko (Transparenzpflicht)
3. Wird das System nur intern genutzt, ohne dass es Entscheidungen über Menschen trifft? (z. B. interne Recherche, Zusammenfassungen, Übersetzungen) — Minimales Risiko (keine Pflichten)

Im Zweifelsfall lieber eine Stufe höher einordnen. Die EU-Leitlinien zur Klassifizierung helfen bei Grenzfällen.

Schritt 3: Transparenz-Hinweise umsetzen — Chatbot, generierte Inhalte

Für alle Anwendungen ab begrenztem Risiko müssen Nutzer erkennen, dass KI im Spiel ist. Das klingt aufwendig, ist es aber nicht:

Chatbot auf der Website: Fügen Sie einen sichtbaren Hinweis ein, z. B.: "Dieser Chat wird von einer KI unterstützt. Ein Mitarbeiter prüft die Antworten."

KI-generierte Inhalte: Wenn Sie Blogbeiträge, Produkttexte oder Social-Media-Posts mit KI erstellen und veröffentlichen, kennzeichnen Sie diese entsprechend.

Automatische E-Mails: Bei KI-generierten Antworten im Kundenservice reicht ein Hinweis in der Fußzeile.

Zeitaufwand: 1-2 Stunden für die Umsetzung aller Hinweise.

Schritt 4: Nutzungsrichtlinie erstellen — 1-2 Seiten reichen

Erstellen Sie ein internes Dokument, das regelt, wie Ihr Team KI-Tools verwenden darf. Das muss kein 50-Seiten-Dokument sein — 1-2 Seiten reichen für die meisten KMU.

Mindestinhalt:

• Welche KI-Tools sind freigegeben?
• Welche Daten dürfen nicht in KI-Tools eingegeben werden? (Kundendaten, Passwörter, vertrauliche Verträge)
• Wer prüft KI-generierte Inhalte vor der Veröffentlichung?
• An wen wenden sich Mitarbeiter bei Unsicherheiten?

Dieses Dokument erfüllt gleichzeitig DSGVO-Anforderungen und schützt Sie vor Datenlecks durch unsachgemäße KI-Nutzung.

Schritt 5: Ansprechperson benennen + Schulung durchführen

Bestimmen Sie eine Person im Unternehmen, die für KI-Compliance zuständig ist. Das muss kein Vollzeitjob sein — bei KMU reicht es, wenn jemand aus der Geschäftsführung oder IT die Verantwortung übernimmt.

Aufgaben der Ansprechperson:

• Jährliche Aktualisierung der KI-Inventur
• Prüfung neuer KI-Tools vor der Einführung
• Ansprechpartner für Mitarbeiter-Fragen
• Kontaktperson für die Aufsichtsbehörde (RTR)

Schulung: Ein 30-minütiges Team-Meeting reicht für den Anfang. Inhalt: Was steht in der Nutzungsrichtlinie, was ist verboten, wen frage ich bei Unsicherheiten.

Bei exponent begleiten wir unsere Kunden durch alle fünf Schritte — von der Bestandsaufnahme bis zur fertigen Dokumentation. Als KI-Agentur in Österreich ist AI-Act-Konformität fester Bestandteil unserer Projektplanung. Detaillierte Infos zu den August-2026-Fristen finden Sie in unserem Folgeartikel: AI Act Pflichten ab August 2026.

---

Zeitplan — Wann treten welche Regeln in Kraft?

Das bedeutet: Sie haben bis August 2026 Zeit, sich vorzubereiten. Nutzen Sie diese Zeit, um Ihr KI-Inventar aufzubauen und die notwendigen Prozesse einzurichten. Wer früh beginnt, vermeidet Hektik und kann KI-Projekte von Anfang an compliant aufsetzen.

Strafen bei Verstößen

Der EU AI Act sieht empfindliche Strafen vor:

• Verbotene KI-Praktiken: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes
• Verstöße gegen Hochrisiko-Pflichten: bis zu 15 Mio. Euro oder 3 % des Umsatzes
• Falsche Angaben an Behörden: bis zu 7,5 Mio. Euro oder 1,5 % des Umsatzes

Aber: Für KMU und Start-ups gelten reduzierte Höchstgrenzen. Die Verordnung sieht explizit vor, dass Sanktionen verhältnismäßig sein müssen und die wirtschaftliche Leistungsfähigkeit des Unternehmens berücksichtigen.

---

Was exponent anders macht — AI-Act-konform by Design

Bei exponent integrieren wir AI-Act-Konformität direkt in die Entwicklung. Das heißt für unsere Kunden:

• Risikobewertung im Projektstart: Bevor wir eine Zeile Code schreiben, klären wir gemeinsam die Risikoeinstufung Ihrer KI-Anwendung
• Transparenz eingebaut: Alle KI-gestützten Features — von Chatbots bis zu Empfehlungssystemen — werden automatisch mit den erforderlichen Hinweisen und Kennzeichnungen versehen
• Dokumentation inklusive: Wir liefern eine verständliche Dokumentation Ihrer KI-Systeme, die Sie sowohl intern als auch gegenüber Behörden verwenden können
• DSGVO + AI Act zusammengedacht: KI-Regulierung und Datenschutz greifen ineinander. Wir behandeln beides nicht als getrennte Compliance-Silos, sondern als ein zusammenhängendes Konzept
• Technologieauswahl mit Bedacht: Wir setzen auf KI-Anbieter, die selbst compliant sind und ihre Modelle transparent dokumentieren

Ob KI-Integration in bestehende Systeme, Chatbot-Entwicklung oder KI-gestützte Automatisierung — bei uns ist Compliance kein Nachgedanke, sondern Designprinzip. Erfahren Sie mehr über unsere Arbeitsweise als KI-Agentur in Österreich.

---

Häufige Fragen zum EU AI Act

Gilt der EU AI Act für mein kleines Unternehmen?

Ja — der EU AI Act gilt unabhängig von der Unternehmensgröße, auch für Ein-Personen-Unternehmen und Start-ups. Was Sie konkret tun müssen, hängt aber von der Risikoklasse Ihrer KI-Anwendung ab. Die meisten KMU nutzen KI in Form von Chatbots, Textgeneratoren oder Empfehlungssystemen — diese fallen unter minimales oder begrenztes Risiko und lösen keine bzw. nur Transparenzpflichten aus. Hochrisiko-Pflichten greifen nur, wenn Sie KI in HR, Kreditvergabe, Bildung, Justiz oder kritischer Infrastruktur einsetzen.

Wann tritt der EU AI Act vollständig in Kraft?

Der AI Act ist seit 02. August 2024 in Kraft, die Pflichten greifen aber stufenweise: Verbotene Praktiken seit Februar 2025, GPAI-Pflichten seit August 2025, Hochrisiko-Pflichten ab 02. August 2026, vollständige Anwendung inkl. aller Übergangsfristen ab 02. August 2027. Der für KMU wichtigste Stichtag ist August 2026.

Was kostet Non-Compliance mit dem EU AI Act?

Die Strafrahmen sind gestaffelt:

• Verbotene KI-Praktiken: bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes
• Verstöße gegen Hochrisiko-Pflichten: bis zu 15 Mio. € oder 3 % des Umsatzes
• Falsche Angaben an Behörden: bis zu 7,5 Mio. € oder 1,5 % des Umsatzes

Für KMU und Start-ups gelten reduzierte Höchstgrenzen — die Sanktionen müssen verhältnismäßig zur wirtschaftlichen Leistungsfähigkeit sein. Erfahrungsgemäß setzen Aufsichtsbehörden zunächst auf Aufklärung und Nachbesserung.

Brauche ich für ChatGPT-Nutzung im Unternehmen besondere Maßnahmen?

Für die rein interne Nutzung (Recherche, Texten, Zusammenfassen) nein — das ist minimales Risiko. Sobald Sie aber KI-generierte Inhalte veröffentlichen oder ChatGPT-basierte Funktionen in Kundenkommunikation einsetzen (z. B. Chatbot, automatische E-Mail-Antworten), greift die Transparenzpflicht: Nutzer müssen erkennen, dass sie mit KI interagieren bzw. dass ein Inhalt KI-generiert ist. Zusätzlich relevant: DSGVO (keine personenbezogenen Daten in Prompts) und interne KI-Policy für Mitarbeiter.

Gilt der EU AI Act auch für Open-Source-KI?

Teilweise. Open-Source-Modelle (z. B. Llama, Mistral, Stable Diffusion) sind grundsätzlich von vielen Pflichten ausgenommen — solange sie nicht als Hochrisiko-System eingesetzt werden oder unter die Kategorie "GPAI mit systemischem Risiko" fallen. Sobald Sie ein Open-Source-Modell aber in einem Hochrisiko-Kontext (z. B. HR-Tool, Kreditbewertung) einsetzen oder selbst weitertrainieren und vertreiben, gelten die vollen Anbieter-Pflichten. Die Open-Source-Ausnahme schützt also die Verbreitung, nicht die Anwendung in regulierten Bereichen.

Gilt der EU AI Act auch für kleine Unternehmen mit unter 50 Mitarbeitern?

Ja, der EU AI Act gilt unabhängig von der Unternehmensgröße. Entscheidend ist nicht, wie groß Ihr Unternehmen ist, sondern welche Art von KI-System Sie einsetzen. Allerdings sieht die Verordnung für KMU und Start-ups gewisse Erleichterungen vor: regulatorische Sandboxes zum Testen, reduzierte Gebühren und vereinfachte Dokumentationspflichten. Die nationalen Aufsichtsbehörden sollen zudem spezielle Leitlinien für KMU bereitstellen.

Bin ich als Nutzer von ChatGPT oder Microsoft Copilot betroffen?

Wenn Sie diese Tools rein intern nutzen (z. B. zum Texten, Recherchieren, Zusammenfassen), fallen Sie in den meisten Fällen unter minimales Risiko und haben keine besonderen Pflichten. Wenn Sie allerdings KI-generierte Inhalte veröffentlichen oder KI-gesteuerte Kommunikation mit Kunden einsetzen, greift die Transparenzpflicht: Kennzeichnen Sie KI-generierte Inhalte entsprechend.

Was ist der Unterschied zwischen dem AI Act und der DSGVO?

Die DSGVO regelt den Schutz personenbezogener Daten — sie greift immer, wenn Sie mit Daten von Personen arbeiten. Der AI Act reguliert spezifisch KI-Systeme und deren Risiken, unabhängig davon, ob personenbezogene Daten verarbeitet werden. In der Praxis überschneiden sich beide Verordnungen häufig: Ein KI-System, das personenbezogene Daten verarbeitet, muss sowohl DSGVO- als auch AI-Act-konform sein. Lesen Sie auch unsere Datenschutz-Seite für weitere Informationen.

Muss ich meine KI-Systeme registrieren?

Nur Hochrisiko-KI-Systeme müssen in der EU-Datenbank registriert werden. Für Anwendungen mit begrenztem oder minimalem Risiko gibt es keine Registrierungspflicht. Die meisten KMU-Anwendungen benötigen daher keine Registrierung.

Gibt es Förderungen für AI-Act-Compliance?

Direkte Förderungen speziell für AI-Act-Compliance gibt es aktuell nicht. Allerdings können Sie KI-Compliance-Maßnahmen oft im Rahmen allgemeiner Digitalisierungsförderungen mitfinanzieren — etwa über den KMU.DIGITAL-Beratungsscheck oder die aws Digitalisierungsförderung. Eine Übersicht aller relevanten Programme finden Sie in unserem Artikel KI-Förderungen in Österreich 2026. Die Kosten für eine Compliance-Beratung liegen typischerweise bei 2.000-5.000 Euro für KMU.

Was passiert, wenn ich nichts tue?

Bis August 2026 haben Sie Zeit. Danach riskieren Sie bei Verstößen Strafen — wobei die Aufsichtsbehörden erfahrungsgemäß zunächst auf Aufklärung und Nachbesserung setzen, bevor Bußgelder verhängt werden. Trotzdem empfehlen wir: Fangen Sie jetzt an. Die Bestandsaufnahme dauert oft nur wenige Stunden und gibt Ihnen Sicherheit.

---

---

Sie planen ein KI-Projekt und möchten von Anfang an compliant arbeiten? Wir beraten Sie gerne — unverbindlich und verständlich. Kontaktieren Sie uns oder erfahren Sie mehr über unsere KI-Dienstleistungen.