Muss ich ChatGPT im Unternehmen verbieten?

Nein. Die Nutzung von ChatGPT und ähnlichen Diensten für Textentwürfe ist nach dem AI Act nicht verboten und in der Regel nicht hochriskant. Sinnvoll sind Maßnahmen zur KI-Kompetenz nach Art. 4, eine interne Richtlinie, welche Daten nicht eingegeben werden dürfen, und die Prüfung der Ergebnisse durch einen Menschen. Datenschutz und Berufsgeheimnisse gelten unabhängig davon.

Gilt der AI Act auch für mein Ein-Personen-Unternehmen?

Ja. Die Verordnung kennt keine Ausnahme nach Unternehmensgröße. Für Kleinst-, kleine und mittlere Unternehmen sowie seit dem Digital Omnibus auch für kleine Mid-Caps gelten aber niedrigere Bußgeldobergrenzen und einige Erleichterungen bei der Dokumentation.

Müssen KI-generierte Marketingtexte gekennzeichnet werden?

In der Regel nicht. Art. 50 Abs. 4 verlangt eine Kennzeichnung von KI-generierten Texten nur, wenn sie veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und auch dann nicht, wenn ein Mensch sie mit redaktioneller Verantwortung geprüft hat. Laut den Leitlinien der Kommission fallen Werbetexte und Produktbeschreibungen grundsätzlich nicht darunter; Ausnahmen können etwa Aussagen zu Gesundheit oder Nachhaltigkeit betreffen.

Reicht ein kurzer Online-Kurs als KI-Kompetenz-Maßnahme?

Für Mitarbeitende, die KI für allgemeine Textarbeit nutzen, kann eine kurze Einführung eine passende Maßnahme sein. Seit der Neufassung von Art. 4 verlangt der AI Act Maßnahmen zur Förderung der KI-Kompetenz, kein bestimmtes Niveau. Wer Hochrisiko-Systeme betreibt, muss zusätzlich nach Art. 26 kompetente Aufsichtspersonen einsetzen. Eine Dokumentation ist nicht ausdrücklich vorgeschrieben, wird aber empfohlen.

Ist eine ISO-42001-Zertifizierung Pflicht?

Nein. ISO/IEC 42001 ist ein Managementsystem-Standard für KI, aber keine Pflicht nach dem AI Act und derzeit keine harmonisierte Norm, die eine Konformitätsvermutung auslöst. Die harmonisierten Normen werden auf europäischer Ebene noch erarbeitet.

Was gilt für n8n-, Make- oder Zapier-Automatisierungen mit KI?

Wer über solche Werkzeuge KI-Dienste im eigenen Betrieb nutzt, ist in der Regel Betreiber. Wer daraus ein KI-System baut und unter eigenem Namen an andere vertreibt, kann Anbieter werden; hochriskant wird das erst, wenn der Einsatzzweck unter Anhang III fällt, etwa Bewerberauswahl.

AI Act für österreichische KMU

Stand und Einordnung

Über den AI Act kursieren in österreichischen Betrieben zwei Erzählungen. Die eine klingt nach Untergang: Millionenstrafen, Bürokratie, Stillstand. Die andere nach Entwarnung: Die EU hat verschoben, das Thema kommt erst 2028. Beide greifen zu kurz.

Seit Ende Juli 2026 ist die Lage klarer als zuvor. Der Digital Omnibus on AI, die Verordnung (EU) 2026/1744, ist in Kraft. Er verschiebt die Hochrisiko-Pflichten, entschärft die Pflicht zur KI-Kompetenz und bringt Erleichterungen für größere Mittelständler. Andere Pflichten gelten dagegen bereits, allen voran die Transparenzpflichten nach Art. 50 seit 2. August 2026.

Dieser Ratgeber beschreibt den Stand Ende September 2026 aus technischer und praktischer Sicht. Er ist keine Rechtsberatung. Für die rechtliche Beurteilung eines konkreten Einsatzes ist eine Anwältin oder ein Anwalt die richtige Ansprechperson.

Was der Digital Omnibus geändert hat

Die Kommission legte das Paket im November 2025 vor. Nach der politischen Einigung im Mai 2026 stimmte das Europäische Parlament am 16. Juni 2026 zu, der Rat am 29. Juni 2026. Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Die wichtigsten Änderungen für KMU:

Hochrisiko-Pflichten verschoben. Für Hochrisiko-Systeme nach Anhang III, etwa in Personalwesen, Bildung oder bei der Kreditwürdigkeitsprüfung, gelten die Pflichten ab 2. Dezember 2027. Für Hochrisiko-Systeme nach Anhang I, also KI in regulierten Produkten wie Medizinprodukten oder Maschinen, ab 2. August 2028. Anhang-III-Systeme, die schon vorher in Verkehr gebracht wurden, fallen nur bei einer wesentlichen Änderung darunter.

KI-Kompetenz neu gefasst. Art. 4 verlangt nicht mehr, ein „ausreichendes Maß” an KI-Kompetenz sicherzustellen. Anbieter und Betreiber müssen jetzt Maßnahmen treffen, die die Entwicklung der KI-Kompetenz ihres Personals fördern. Ein bestimmtes Niveau einzelner Personen muss nicht garantiert werden. Die Pflicht als solche gilt weiter, und zwar seit 2. Februar 2025.

Erleichterungen für kleine Mid-Caps. Neben KMU profitieren nun auch kleine Mid-Caps, also Unternehmen mit weniger als 750 Beschäftigten und bis zu 150 Mio. € Umsatz oder 129 Mio. € Bilanzsumme, von vereinfachter Dokumentation und niedrigeren Bußgeldobergrenzen.

Neue Verbote. Verboten werden KI-Systeme, die ohne Zustimmung intime Darstellungen realer Personen erzeugen („Nudifier”), sowie Systeme zur Erzeugung von Darstellungen sexuellen Kindesmissbrauchs. Diese Verbote gelten ab 2. Dezember 2026.

Was bereits gilt

Verbotene Praktiken nach Art. 5, seit 2. Februar 2025. Dazu gehören Social Scoring, Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (außer aus medizinischen oder Sicherheitsgründen), manipulative Techniken, die Menschen schaden, und die biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken. Für die meisten KMU ist das kein Thema, außer bei eingekauften Werkzeugen: Ein „Mitarbeiter-Wellbeing-Tool”, das Chatnachrichten auf Stimmungen analysiert, kann unter das Verbot der Emotionserkennung am Arbeitsplatz fallen.

KI-Kompetenz nach Art. 4, seit 2. Februar 2025, in der neuen Fassung seit 27. Juli 2026. Ein eigenes Bußgeld für Verstöße gegen Art. 4 sieht der AI Act nicht vor, und Österreich hat keines eingeführt. Die KI-Servicestelle der RTR weist aber darauf hin, dass Fehler ungeschulter Mitarbeitender dem Unternehmen zivilrechtlich in der Regel zugerechnet werden (§ 1313a ABGB). Maßnahmen zur KI-Kompetenz sind damit vor allem ein Schutz vor Haftung.

Transparenzpflichten nach Art. 50, seit 2. August 2026:

Chatbots und Sprachassistenten: Menschen müssen erkennen können, dass sie mit einer KI interagieren, sofern das nicht offensichtlich ist. Rechtlich ist das eine Pflicht des Anbieters. Wer einen Chatbot unter eigenem Namen auf der Website betreibt, sollte den Hinweis aber jedenfalls zu Beginn des Gesprächs anzeigen. Ein Verweis in den AGB genügt laut Leitlinien der Kommission nicht.
Deepfakes: Wer KI-erzeugte oder -manipulierte Bilder, Audio- oder Videoinhalte veröffentlicht, die realen Personen, Orten oder Ereignissen täuschend ähnlich sehen, muss offenlegen, dass sie künstlich erzeugt sind. Das betrifft auch Werbung, die Produkte oder Personen realistisch, aber nicht wahrheitsgetreu zeigt.
Texte: Eine Kennzeichnung ist nur nötig, wenn KI-generierte Texte veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und auch dann nicht, wenn ein Mensch sie mit redaktioneller Verantwortung geprüft hat. Gewöhnliche Werbetexte und Produktbeschreibungen fallen laut Kommissions-Leitlinien grundsätzlich nicht darunter.
Maschinenlesbare Markierung: Anbieter generativer KI-Systeme müssen erzeugte Inhalte maschinenlesbar kennzeichnen. Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt das ab 2. Dezember 2026. Das ist Sache der Anbieter wie OpenAI oder Midjourney, nicht der Betriebe, die diese Dienste nutzen.

Zur Umsetzung von Art. 50 hat die Kommission im Juli 2026 Leitlinien veröffentlicht und einen Verhaltenskodex zur Kennzeichnung KI-generierter Inhalte als angemessen bestätigt.

Der Zeitstrahl im Überblick

1. August 2024: Verordnung (EU) 2024/1689 in Kraft
2. Februar 2025: KI-Kompetenz (Art. 4) und verbotene Praktiken (Art. 5)
2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (etwa GPT, Claude, Gemini); Frist zur Benennung nationaler Behörden
27. Juli 2026: Digital Omnibus, VO (EU) 2026/1744, in Kraft; neue Fassung von Art. 4
2. August 2026: Transparenzpflichten (Art. 50)
2. Dezember 2026: maschinenlesbare Kennzeichnung für generative Bestandssysteme; neue Verbote nach Art. 5
2. August 2027: mindestens ein KI-Reallabor je Mitgliedstaat
2. Dezember 2027: Hochrisiko-Pflichten nach Anhang III
2. August 2028: Hochrisiko-Pflichten nach Anhang I

Risikoklassen in der Praxis

Der AI Act reguliert nicht die Technik, sondern den Einsatzzweck. Dasselbe Bilderkennungsmodell ist in der Qualitätskontrolle einer Tischlerei unkritisch, zur biometrischen Identifizierung von Personen dagegen streng reguliert.

Verboten (Art. 5). Siehe oben. Prüfen Sie vor allem eingekaufte Werkzeuge auf Funktionen wie Emotionserkennung.

Hochrisiko (Anhang III). Acht Bereiche, von denen für KMU vor allem zwei relevant sind:

Beschäftigung und Personalmanagement: KI, die Bewerbungen analysiert, filtert oder Bewerberinnen und Bewerber bewertet, ist Hochrisiko. Für rein vorbereitende Aufgaben sieht Art. 6 Abs. 3 eine Ausnahme vor, die beim Profiling natürlicher Personen jedoch ausdrücklich nicht gilt. Wie ein konkreter Einsatz einzuordnen ist, beurteilt eine rechtliche Prüfung.
Zugang zu wesentlichen Leistungen: unter anderem die Bewertung der Kreditwürdigkeit natürlicher Personen und die Risiko- und Preisbildung bei Lebens- und Krankenversicherungen. KI-Scoring von Mietinteressenten ist dann erfasst, wenn es eine Bonitätsbewertung ist.

Transparenzpflichten (Art. 50). Chatbots, Sprachassistenten, Deepfakes und bestimmte veröffentlichte Texte, siehe oben.

Übrige Anwendungen. Textentwürfe, Übersetzungen, Suche in Dokumenten, Belegerkennung oder vorausschauende Wartung ohne Sicherheitsbezug unterliegen keinen besonderen AI-Act-Pflichten. Die KI-Kompetenz nach Art. 4 gilt trotzdem.

Wann aus dem Betreiber ein Anbieter wird

Die meisten KMU sind Betreiber: Sie nutzen KI-Systeme, die andere entwickelt haben. Nach Art. 25 kann ein Betreiber aber zum Anbieter werden, wenn er

ein Hochrisiko-System unter eigenem Namen oder eigener Marke in Verkehr bringt,
ein Hochrisiko-System wesentlich verändert, oder
den Zweck eines Systems so ändert, dass es zum Hochrisiko-System wird.

Wer auf Basis eines Sprachmodells eine eigene Anwendung baut und unter eigenem Namen vertreibt, ist Anbieter dieses KI-Systems. Hochriskant wird das aber nur, wenn der Einsatzzweck unter Anhang III fällt. Für einen Website-Chatbot sind vor allem die Transparenzpflichten nach Art. 50 relevant.

Wer ist in Österreich zuständig?

Die KI-Servicestelle der RTR ist die zentrale Informations- und Anlaufstelle für Unternehmen. Sie wurde auf Grundlage von § 20c KommAustria-Gesetz eingerichtet und ist seit 2024 tätig. Sie informiert über Pflichten, etwa in ihren FAQ, ist aber keine Durchsetzungsbehörde.

Die Marktüberwachungsbehörde für den AI Act hat Österreich nach unserem Kenntnisstand (Ende September 2026) noch nicht benannt, obwohl die Frist dafür am 2. August 2025 abgelaufen ist. Ein Durchführungsgesetz ist laut Bundeskanzleramt in Ausarbeitung, ein Zeitplan wurde nicht genannt. Auch ein nationales KI-Reallabor gibt es noch nicht; die Frist dafür wurde auf 2. August 2027 verschoben.

Die Datenschutzbehörde (DSB) ist eine der nach Art. 77 benannten Grundrechtsbehörden. Unabhängig vom AI Act ist sie zuständig, wenn KI personenbezogene Daten verarbeitet, und sie ist in diesem Bereich bereits aktiv: Im September 2025 untersagte sie nach einer Beschwerde von noyb der KSV1870, den Beschwerdeführer ohne Einwilligung vollautomatisiert zu bewerten, und stellte einen Verstoß gegen Art. 22 DSGVO fest. Für viele KI-Einsätze in KMU ist deshalb die DSGVO derzeit die unmittelbarere Rechtsgrundlage als der AI Act.

Für Finanzinstitute sieht der AI Act vor, dass die Finanzaufsicht grundsätzlich auch für KI zuständig ist. Welche Behörden Österreich darüber hinaus benennt, bleibt abzuwarten.

Was Sie als Betreiber jetzt tun sollten

1. KI-Inventar anlegen. Erfassen Sie alle KI-Systeme im Betrieb: eigene Werkzeuge, KI-Funktionen in Standardsoftware wie CRM, Office-Paketen oder Personalsoftware und die Dienste, die Mitarbeitende auf eigene Faust nutzen. Pro System: Name, Anbieter, Zweck, verarbeitete Daten, Nutzerkreis. Ohne Inventar ist keine Einstufung möglich.

2. Einstufen. Ordnen Sie jedem System eine Risikoklasse zu. Auch die Begründung, warum ein System nicht hochriskant ist, sollten Sie festhalten.

3. KI-Kompetenz fördern. Passende Maßnahmen je nach Rolle: eine Einführung für alle, die KI für Textarbeit nutzen, mehr Tiefe für Personen, die KI-Ergebnisse in Entscheidungen einfließen lassen. Die RTR empfiehlt, die Maßnahmen zu dokumentieren, auch wenn der AI Act das nicht ausdrücklich verlangt.

4. Interne Richtlinie. Welche Werkzeuge sind freigegeben? Welche Daten dürfen nicht eingegeben werden, etwa Kundendaten, Gesundheitsdaten oder Geschäftsgeheimnisse? Wie werden KI-Ergebnisse geprüft, bevor sie den Betrieb verlassen? Die Richtlinie ist nicht direkt vorgeschrieben, hilft aber, Sorgfalt nachzuweisen.

5. Transparenz umsetzen. Chatbots mit KI-Hinweis zu Beginn des Gesprächs, Deepfakes kennzeichnen, bei veröffentlichten Texten zu Themen von öffentlichem Interesse entweder kennzeichnen oder eine echte redaktionelle Prüfung sicherstellen.

6. Hochrisiko vorbereiten, falls relevant. Wer bis Dezember 2027 Hochrisiko-Systeme betreibt, braucht unter anderem menschliche Aufsicht durch kompetente Personen, die Aufbewahrung der Protokolle für mindestens sechs Monate, die Information der Betroffenen und die Prüfung, ob eine Grundrechte-Folgenabschätzung nötig ist. Klären Sie früh mit den Anbietern, wann Konformitätserklärung und Dokumentation vorliegen.

KMU-Erleichterungen: was tatsächlich entlastet

Niedrigere Bußgeldobergrenzen. Grundsätzlich gilt der höhere Wert aus Festbetrag und Umsatzanteil. Für KMU und kleine Mid-Caps gilt der niedrigere. Bei Verstößen etwa gegen Art. 50 liegt die Obergrenze bei 15 Mio. € oder 3 % des weltweiten Jahresumsatzes.
Vereinfachte technische Dokumentation. Wer Anbieter eines Hochrisiko-Systems wird, kann die Dokumentation vereinfacht bereitstellen. Die Kommission soll dafür Vorlagen erstellen.
Vorrangiger Zugang zu KI-Reallaboren, sobald es in Österreich eines gibt.

Was nicht entlastet: die Pflichten selbst. Einstufung, Transparenz und KI-Kompetenz gelten auch für den Ein-Personen-Betrieb.

Branchen-Schnellcheck

Anwaltskanzleien. KI für Schriftsatzentwürfe oder Recherche fällt in der Regel unter keine besonderen AI-Act-Pflichten, Art. 4 gilt aber. Die entscheidende Grenze zieht hier das Berufsrecht: Mandatsdaten in Cloud-Dienste einzugeben, ist nach § 9 RAO sorgfältig zu prüfen. Ein Kanzlei-Chatbot auf der Website muss sich als KI zu erkennen geben.

Immobilien und Hausverwaltung. KI-Scoring von Mietinteressenten ist dann Hochrisiko, wenn es die Kreditwürdigkeit bewertet. Automatisierte Mieterkommunikation per Chatbot unterliegt der Transparenzpflicht.

Arztpraxen. KI-Diagnosesoftware ist Hochrisiko nach Anhang I, wenn sie ein Medizinprodukt ist, das eine Konformitätsbewertung durch eine benannte Stelle braucht; das gilt ab August 2028. Ein KI-Telefon- oder Chatassistent muss als KI erkennbar sein. Für Verwaltungs- und Dokumentationsaufgaben gelten keine besonderen AI-Act-Pflichten, sehr wohl aber die strengen Regeln für Gesundheitsdaten nach der DSGVO.

Personal und Recruiting. KI-Vorauswahl von Bewerbungen ist Hochrisiko. FAQ-Chatbots für Bewerberinnen und Bewerber unterliegen der Transparenzpflicht.

Marketing. KI-generierte Werbetexte und Produktbeschreibungen müssen in der Regel nicht gekennzeichnet werden. KI-Bilder oder -Videos, die reale Personen, Orte oder Produkte täuschend echt, aber nicht wahrheitsgetreu zeigen, gelten als Deepfakes und sind offenzulegen. Personalisierte Werbung fällt nicht unter die Hochrisiko-Bereiche, kann aber mit der DSGVO und dem Verbot manipulativer Techniken in Konflikt geraten.

Was bleibt

Ende September 2026 ist der AI Act für KMU überschaubarer, als es die Schlagzeilen nahelegen. Die KI-Kompetenz ist zur Bemühenspflicht geworden, die Hochrisiko-Pflichten kommen erst ab Dezember 2027, und für die meisten Alltagsanwendungen gelten keine besonderen Pflichten. Was bereits gilt, sind die Verbote und die Transparenzpflichten, und die DSGVO bleibt für viele KI-Einsätze der wichtigste Maßstab.

Der pragmatische Rat: Beginnen Sie mit dem KI-Inventar. Es kostet wenig Zeit und ist die Grundlage für jede weitere Entscheidung.

Quellen

Sie möchten KI im Betrieb einsetzen und dabei die technische Seite sauber aufstellen, etwa ein KI-Inventar, Chatbots mit KI-Hinweis oder Abläufe mit menschlicher Freigabe? Goma-IT ist keine Rechtsberatung, setzt aber die technische Umsetzung um. Eine erste Orientierung gibt die 60-Sekunden-Analyse.

Stand: 28. September 2026. Sobald Österreich die Marktüberwachungsbehörde benennt oder ein Durchführungsgesetz beschließt, wird dieser Artikel aktualisiert.

AI Act für österreichische KMU — der praktische Ratgeber 2026