KI-Verordnung: Diese Pflichten kommen jetzt auf Unternehmen zu

Die EU-Verordnung über Künstliche Intelligenz – kurz KI-Verordnung oder EU AI Act – betrifft nicht nur große Tech-Konzerne. Auch der Handwerksbetrieb, die Arztpraxis und das Einzelhandelsgeschäft in Österreich fallen darunter, sobald sie KI einsetzen. Die gute Nachricht: Für die meisten kleinen Betriebe sind die Pflichten überschaubar. Man muss nur wissen, in welche Risikoklasse man fällt und welche Grundregeln ab sofort gelten.

Was ist die KI-Verordnung – und ab wann gilt sie?

Die KI-Verordnung ist das erste umfassende KI-Gesetz weltweit. Sie ist 2024 in Kraft getreten und wird gestaffelt bis 2027 vollständig wirksam. Anders als eine Richtlinie muss sie nicht erst in österreichisches Recht umgesetzt werden – sie gilt unmittelbar in allen EU-Mitgliedstaaten, also auch in Österreich.

Wichtig ist der gestaffelte Zeitplan: Die Verbote für besonders riskante Praktiken und die KI-Kompetenz-Pflicht sind bereits seit Anfang 2025 anwendbar. Die umfangreicheren Pflichten für Hochrisiko-Systeme greifen später. Für die konkreten Stichtage lohnt ein Blick auf die Übersichten der WKO – die Fristen wurden im Gesetzgebungsprozess mehrfach präzisiert.

Die vier Risikoklassen – und wo Ihr Betrieb steht

Das Herzstück der Verordnung ist der risikobasierte Ansatz. Nicht jede KI wird gleich behandelt. Entscheidend ist, welchen Schaden ein System für Menschen anrichten könnte. Aus dieser Logik ergeben sich vier Stufen.

Die meisten Anwendungen im typischen KMU-Alltag – ein Chatbot für Terminanfragen, ein Sprachmodell für E-Mail-Entwürfe, eine automatische Rechnungserfassung – fallen in die Kategorien begrenzt oder minimal. Damit sind die Pflichten sehr überschaubar. Kritisch wird es erst, wenn KI über Menschen entscheidet: bei Bewerbungen, Kreditwürdigkeit oder im Gesundheitsbereich.

Der erste und wichtigste Schritt ist deshalb, für jedes eingesetzte System ehrlich einzuordnen, in welche Klasse es fällt. Diese Einordnung entscheidet über alles Weitere. Ein Werkzeug, das Kundenanfragen vorsortiert, ist harmlos – ein System, das eigenständig entscheidet, welche Bewerbung aussortiert wird, ist es nicht. Im Zweifel gilt: Sobald die KI eine Rolle bei Entscheidungen über Personen spielt, sollten Sie die Anforderungen an Hochrisiko-Systeme genauer prüfen und den Einsatz gegebenenfalls anpassen.

Was ist ab sofort verboten?

Am oberen Ende der Skala stehen KI-Praktiken, die die Verordnung als grundrechtsgefährdend einstuft und komplett untersagt. Diese Verbote gelten bereits. Für normale Betriebe sind sie selten relevant, man sollte sie aber kennen:

• KI, die Menschen durch unterschwellige oder manipulative Techniken zu schädlichem Verhalten bewegt.
• Systeme, die die Schutzbedürftigkeit bestimmter Gruppen ausnutzen – etwa aufgrund von Alter oder Behinderung.
• Social Scoring, also die Bewertung von Personen anhand ihres Sozialverhaltens.
• Ungezieltes Auslesen von Gesichtsbildern aus dem Internet zum Aufbau von Gesichtserkennungs-Datenbanken.
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (mit engen Ausnahmen etwa aus Sicherheitsgründen).
• Biometrische Kategorisierung nach sensiblen Merkmalen wie ethnischer Herkunft, politischer Meinung oder sexueller Orientierung.

Die neue KI-Kompetenz-Pflicht nach Artikel 4

Die für kleine Betriebe wichtigste – und oft übersehene – Neuerung steht in Artikel 4: die KI-Kompetenz. Sinngemäß verlangt die Verordnung, dass alle, die im Namen eines Unternehmens KI-Systeme betreiben oder nutzen, über ein ausreichendes Maß an KI-Kompetenz verfügen. Diese Pflicht gilt seit Februar 2025 und für jedes Unternehmen, das KI einsetzt – unabhängig von der Risikoklasse.

Konkret heißt das: Ihre Mitarbeitenden müssen verstehen, was ein KI-System kann, wo seine Grenzen liegen und welche Risiken es mit sich bringt. Wer ein Sprachmodell für Kundenkorrespondenz nutzt, sollte etwa wissen, dass solche Systeme Fakten erfinden können und keine vertraulichen Kundendaten in beliebige Tools eingegeben werden dürfen.

Der Hintergrund ist einleuchtend: Nur wer die Grenzen eines Werkzeugs kennt, kann es verantwortungsvoll einsetzen. Gerade weil KI überzeugend formuliert, verleitet sie dazu, Ergebnisse ungeprüft zu übernehmen. Eine gute Grundschulung schafft genau dieses Bewusstsein – und verhindert im Alltag mehr Fehler, als jedes Kontrollformular es könnte. Für die rechtlichen Grundlagen des KI-Einsatzes im Unternehmen ist Artikel 4 damit auch der praktischste Ansatzpunkt.

Wie setzt man die Schulungspflicht praktisch um?

In der Praxis lässt sich die KI-Kompetenz-Pflicht mit überschaubarem Aufwand erfüllen. Bewährt hat sich diese Reihenfolge:

1. 1
   Einsatz erfassen

   Listen Sie auf, welche KI-Werkzeuge im Betrieb genutzt werden – vom Chatbot bis zur KI-Funktion in der Buchhaltungssoftware. Oft ist es mehr, als man denkt.
2. 2
   Rollen zuordnen

   Wer nutzt was? Eine Person, die nur einen Textassistenten verwendet, braucht andere Kenntnisse als jemand, der KI-Ergebnisse für Kundenentscheidungen heranzieht.
3. 3
   Grundlagen vermitteln

   Vermitteln Sie kompakt: Wie funktioniert das System grob, wo täuscht es sich, welche Daten dürfen hinein, wer prüft die Ergebnisse? Eine gute Schulung dauert oft nur wenige Stunden.
4. 4
   Dokumentieren

   Halten Sie fest, wer wann geschult wurde und mit welchem Inhalt. Eine einfache Teilnahmeliste reicht meist – Hauptsache, es ist im Ernstfall nachweisbar.
5. 5
   Aktuell halten

   Neue Tools, neue Mitarbeitende, neue Funktionen: Planen Sie eine Auffrischung ein, etwa einmal jährlich oder bei wesentlichen Änderungen.

Betreiber oder Anbieter? Der Unterschied entscheidet über Ihre Pflichten

Die Verordnung unterscheidet mehrere Rollen. Für Sie am wichtigsten: Anbieter (wer ein KI-System entwickelt oder unter eigenem Namen auf den Markt bringt) und Betreiber (wer ein KI-System für die eigene Tätigkeit nutzt). Die allermeisten KMU sind reine Betreiber.

Als Betreiber haben Sie deutlich weniger Pflichten: KI-Kompetenz sicherstellen, das System bestimmungsgemäß nutzen, Transparenz gegenüber Kunden wahren und – bei Hochrisiko-Systemen – die menschliche Aufsicht gewährleisten. Zum Anbieter mit den strengeren Pflichten werden Sie erst, wenn Sie ein KI-System wesentlich verändern oder unter Ihrem eigenen Namen anbieten.

Diese Unterscheidung ist beruhigend, denn sie hält den Aufwand für den Normalfall klein. Wenn Sie sich eine KI-Automatisierung einrichten lassen, die im Hintergrund Standardaufgaben übernimmt, bleiben Sie in aller Regel Betreiber. Achten sollten Sie nur darauf, das System so einzusetzen, wie es vorgesehen ist – zweckentfremdete Nutzung kann die Einordnung und damit die Pflichten verschieben.

Transparenzpflichten: Kunden müssen die KI erkennen

Für die Risikoklasse "begrenzt" – in die viele KMU-Anwendungen fallen – gilt vor allem die Transparenzpflicht. Die Grundidee: Menschen sollen wissen, wann sie es mit einer Maschine zu tun haben. Konkret bedeutet das:

• Ein Chatbot muss klar als KI erkennbar sein. Nutzer dürfen nicht im Glauben gelassen werden, mit einem Menschen zu schreiben.
• Ein KI-Telefonassistent sollte transparent machen, dass die Stimme von einer KI stammt.
• KI-generierte Bilder, Audios oder Videos (Deepfakes) müssen als künstlich erzeugt gekennzeichnet werden.
• KI-erzeugte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, sind ebenfalls kennzeichnungspflichtig.

Datenschutz: Wo KI-Verordnung und DSGVO zusammentreffen

Die KI-Verordnung ersetzt nicht die DSGVO – sie kommt zusätzlich. Sobald ein KI-System personenbezogene Daten verarbeitet, gelten beide Regelwerke parallel. Das ist für viele Betriebe der praktisch relevanteste Punkt, denn hier passieren die häufigsten Fehler im Alltag.

Der Klassiker: Ein Mitarbeiter kopiert einen Kundenvertrag oder eine Bewerbung in ein öffentliches KI-Tool, um sich eine Zusammenfassung erstellen zu lassen. Damit gelangen personenbezogene Daten möglicherweise auf Server außerhalb Ihrer Kontrolle – ein DSGVO-Problem, unabhängig von der KI-Verordnung.

Solche Vorfälle passieren selten aus bösem Willen, sondern aus Bequemlichkeit und Unwissen. Genau hier greifen KI-Kompetenz und interne Richtlinie ineinander: Wer geschult ist und klare Regeln kennt, gerät gar nicht erst in Versuchung. Es lohnt sich deshalb, den Datenschutz nicht als separate Baustelle zu behandeln, sondern als festen Teil jeder KI-Einführung mitzudenken.

Wo Vertraulichkeit oberste Priorität hat – etwa in Kanzleien, Praxen oder bei Betrieben mit Betriebsgeheimnissen – ist On-Premise-KI eine saubere Antwort: Die Daten verlassen das eigene Haus nicht, und viele Datenschutzfragen entschärfen sich von selbst.

Warum sich eine interne KI-Richtlinie lohnt

Eine schriftliche interne KI-Richtlinie ist nicht für jeden Betrieb ausdrücklich gesetzlich vorgeschrieben. Sie ist aber der praktischste Weg, gleich mehrere Pflichten auf einmal nachweisbar zu erfüllen: Kompetenz, zulässige Nutzung, Datenschutz und Transparenz. Eine solche Richtlinie muss nicht lang sein. Sinnvolle Inhalte sind:

• Welche KI-Werkzeuge im Betrieb erlaubt sind – und welche ausdrücklich nicht.
• Welche Daten in welche Tools eingegeben werden dürfen und welche tabu sind.
• Dass KI-Ergebnisse vor der Verwendung von einem Menschen geprüft werden (Vier-Augen-Prinzip).
• Wie und wo KI-Einsatz gegenüber Kunden gekennzeichnet wird.
• Wer im Betrieb Ansprechperson für KI-Fragen ist.
• Wie und wann Mitarbeitende geschult und die Regeln aufgefrischt werden.

Ihre Checkliste: In fünf Schritten zur Konformität

Fassen wir zusammen, was ein typischer österreichischer Betrieb konkret tun sollte, um bei der KI-Verordnung auf der sicheren Seite zu sein:

1. Inventur machen: Erfassen Sie alle KI-Systeme im Einsatz – auch versteckte KI-Funktionen in Standardsoftware.
2. Risiko einschätzen: Prüfen Sie je System die Risikoklasse. Entscheidet KI über Menschen (HR, Bonität, Gesundheit)? Dann genauer hinsehen.
3. KI-Kompetenz aufbauen: Schulen Sie die Mitarbeitenden passend zu ihrer Rolle und dokumentieren Sie das.
4. Transparenz sicherstellen: Kennzeichnen Sie Chatbots, KI-Telefonie und KI-generierte Inhalte.
5. Regeln festhalten: Legen Sie eine interne KI-Richtlinie an und klären Sie den Datenschutz für sensible Daten.

Für Betriebe, die KI nur im niedrigen oder begrenzten Risiko nutzen – das ist die große Mehrheit – ist das gut an ein bis zwei Nachmittagen zu schaffen. Wer Hochrisiko-KI einsetzt oder selbst KI-Produkte anbietet, sollte sich individuell beraten lassen und die aktuellen Vorgaben und Fristen bei WKO und den zuständigen Behörden gegenprüfen.