AI Act Österreich: Checkliste für Unternehmen

AI Act Österreich: Welche Fristen gelten aktuell?

Die KI-Verordnung gilt schrittweise, der Digital Omnibus hat die Hochrisiko-Fristen rechtswirksam verschoben.

• Seit 2. Februar 2025: Verbote nach Art. 5 und Maßnahmen zur KI-Kompetenz nach Art. 4 sind anwendbar. Artikel 4 wurde im Juli 2026 angepasst.
• Seit 2. August 2025: GPAI-Pflichten gelten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck. Für Modelle, die bereits vor diesem Datum am Markt waren, läuft die Übergangsfrist bis 2. August 2027.
• Seit 2. August 2026: Transparenzpflichten nach Art. 50 gelten grundsätzlich, etwa Hinweise bei direkter KI-Interaktion und die Offenlegung von Deepfakes.
• Ab 2. Dezember 2026: Anbieter generativer KI-Systeme, die vor 2. August 2026 am Markt waren, müssen Art. 50 Abs. 2 zur maschinenlesbaren Kennzeichnung erfüllen. Auch das neue Verbot bestimmter sexualisierter Deepfakes wird anwendbar.
• Ab 2. Dezember 2027: Die verschobenen Hochrisiko-Regeln für Systeme nach Art. 6 Abs. 2 und Anhang III gelten, etwa für bestimmte Anwendungen in der Bildung oder bei der Kreditwürdigkeitsprüfung.
• Ab 2. August 2028: Die verschobenen Hochrisiko-Regeln nach Art. 6 Abs. 1 und Anhang I gelten für entsprechend eingestufte produktbezogene Systeme.

Der Digital Omnibus auf EUR-Lex ist seit 27. Juli 2026 in Kraft. Die Verschiebung ist kein Freibrief, bestehende Pflichten aufzuschieben. Prüfe zusätzlich Übergangsregeln für bereits eingesetzte Systeme.

Quellen: RTR-Zeitplan, EU-Kommission zum Inkrafttreten des Omnibus und GPAI-Pflichten samt Übergangsfrist. Die GPAI-Anbieterpflichten treffen dich nicht allein deshalb, weil dein Team ein fremdes Sprachmodell nutzt.

Praktische Checkliste: Welche AI Act Pflichten Unternehmen betreffen

Du klärst deine Pflichten pro KI-System anhand von Verwendungszweck, Unternehmensrolle und Risikoeinstufung.

Kopiere die Liste in dein Projektboard. Ergänze bei jedem Punkt eine zuständige Person, einen Termin und den Ablageort des Nachweises. Allgemeine Betriebsempfehlungen und besondere Hochrisiko-Pflichten sind zu unterscheiden: Nicht jeder Punkt ist für jedes System gesetzlich vorgeschrieben.

• [ ] 1. KI-Inventar erstellen. Erfasse Chatbots, Assistenten, Agenten und KI-Funktionen in bestehender Software. Notiere Anbieter, Version, Zweck, Nutzergruppen, Datenarten und Schnittstellen. Beziehe auch selbst beschaffte Tools aus den Fachbereichen ein.
• [ ] 2. Rolle bestimmen. Kläre Anbieter (Provider) und Betreiber (Deployer). Bei Nutzung fremder Systeme bist du typischerweise Betreiber. Eigene Entwicklung, eigener Markenauftritt oder wesentliche Änderungen können Anbieterpflichten auslösen. Halte die Begründung fest.
• [ ] 3. Risiko klassifizieren. Prüfe Art. 6 sowie Anhang I und III anhand des konkreten Einsatzes. Eine automatisierte Kreditwürdigkeitsprüfung kann hochriskant sein. Ein Sprachmodell ist nicht automatisch ein Hochrisiko-System. Begründe auch beanspruchte Ausnahmen.
• [ ] 4. Verbotene Praktiken ausschließen. Prüfe Art. 5 vor der Freigabe. Dazu gehört grundsätzlich Emotionserkennung am Arbeitsplatz, mit Ausnahmen für medizinische oder Sicherheitszwecke. Prüfe ebenso Social Scoring und manipulative Anwendungen anhand der gesetzlichen Voraussetzungen.
• [ ] 5. KI-Kompetenzmaßnahmen umsetzen. Plane Maßnahmen nach Art. 4 passend zu Aufgaben, Vorkenntnissen und eingesetzten Systemen. Beziehe relevante externe Mitwirkende ein. Dokumentiere Inhalte, Teilnahme und praktische Übungen mit der Vorlage unten.
• [ ] 6. Transparenzpflichten prüfen. Kläre nach Art. 50, wer welche Hinweise oder technischen Kennzeichnungen schuldet. Informiere bei direkter KI-Interaktion, soweit erforderlich. Prüfe Deepfakes und KI-Texte zu Angelegenheiten von öffentlichem Interesse samt Ausnahmen.
• [ ] 7. Datenschutz klären. Prüfe Rechtsgrundlage, Datenminimierung, Informationspflichten, Auftragsverarbeitung und Drittlandtransfers nach DSGVO. Kläre, ob eine Datenschutz-Folgenabschätzung nötig ist und ob Art. 22 automatisierte Entscheidungen betrifft. Beziehe Datenschutzverantwortliche ein.
• [ ] 8. Lieferantenverträge prüfen. Vereinbare zulässige Datennutzung, Unterauftragnehmer, Sicherheitsanforderungen, Änderungsinformationen und Unterstützung bei Vorfällen. Fordere die für deine Rolle erforderlichen Systeminformationen an. Vertragsklauseln ersetzen keine eigenen gesetzlichen Pflichten.
• [ ] 9. Menschliche Aufsicht festlegen. Bestimme, wer Ergebnisse prüft, Entscheidungen freigibt und das System stoppen darf. Sorge für Kompetenz und tatsächliche Eingriffsmöglichkeiten. Prüfe bei Hochrisiko-Systemen insbesondere die Anforderungen an die menschliche Aufsicht.
• [ ] 10. Protokollierung organisieren. Kläre, welche Vorgänge nachvollziehbar sein müssen, wer Logs einsehen darf und wann sie gelöscht werden. Prüfe bei Hochrisiko-Systemen die besonderen Aufbewahrungspflichten. Vermeide unnötige personenbezogene Daten in Protokollen.
• [ ] 11. Vorfallsprozess einrichten. Definiere Meldeweg, Abschaltung und Beweissicherung. Unterscheide fehlerhafte Ergebnisse, schwerwiegende Vorfälle und Datenschutzverletzungen. Kläre je nach Rolle, wer Anbieter oder zuständige Stellen innerhalb der einschlägigen Fristen informiert.
• [ ] 12. Verantwortliche Person benennen. Ordne jedem System einen internen Owner und eine Vertretung zu. Geschäftsführung, IT, Fachbereich und Datenschutz brauchen klare Aufgaben. Art. 4 verlangt keine eigene Position als KI-Beauftragter.
• [ ] 13. Erneute Prüfung einplanen. Überprüfe Einstufung und Maßnahmen bei neuen Modellen, Funktionen, Datenquellen oder Verwendungszwecken. Halte offene Aufgaben und Freigaben aktuell. Plane die Vorbereitung auf deine Hochrisiko-Frist mit ausreichendem Vorlauf.

Zur rechtlichen Einordnung: konsolidierte KI-Verordnung auf EUR-Lex, RTR-Risikostufen und verbotene Praktiken, RTR-Betreiberpflichten und RTR-Anbieterpflichten.

Für Punkt 6 helfen die RTR-Transparenzpflichten. Punkt 7 ergänzt die Prüfung nach AI Act: Die österreichische Datenschutzbehörde zu KI und DSGVO erklärt die parallel geltenden Datenschutzanforderungen.

Art. 4: Vorlage für deine Dokumentation

Diese Vorlage hilft dir, Maßnahmen zur Entwicklung der KI-Kompetenz nachvollziehbar festzuhalten.

Seit der Omnibus-Anpassung verlangt Art. 4 weiterhin Maßnahmen von Anbietern und Betreibern, aber keine Garantie eines bestimmten Kompetenzniveaus. Berücksichtige Vorkenntnisse, Aufgaben, Einsatzkontext und betroffene Personengruppen. Ein bestimmtes Zertifikat oder eine feste Zahl an Schulungsstunden ist nicht vorgeschrieben. Das erläutert die EU-Kommission zu Artikel 4.

Kopiervorlage: KI-Kompetenzmaßnahmen

• Unternehmen und Dokumentversion: Name, Datum, verantwortliche Person
• Zielgruppe: Namen oder Team, Aufgaben, relevante externe Mitwirkende
• Ausgangslage: Vorkenntnisse, Erfahrung, bisherige Schulungen
• Eingesetzte Systeme: Tool, Version, Zweck, betroffene Personengruppen
• Lernziele: Was Teilnehmende im konkreten Arbeitsprozess verstehen und anwenden sollen
• Inhalte: Systemgrenzen, Fehler, Verzerrungen, Datenschutz, Nutzungsregeln, Eskalation
• Durchführung: Datum, Dauer, Format, interne Trainer oder externer Veranstalter
• Teilnahme und Unterlagen: Teilnahmeliste, Materialien, Version der KI-Richtlinie
• Praxisübung und Rückmeldung: Aufgabe, beobachtete Schwierigkeiten, offene Fragen
• Nächste Maßnahmen: Vertiefung, neue Mitarbeitende, Änderungen am System, nächster Prüftermin

Die Dokumentation ist eine praktische Empfehlung, kein gesetzlich vorgeschriebenes Formular und keine Garantie vollständiger Compliance. Auch die RTR empfiehlt Dokumentation zu KI-Kompetenz. Bewahre personenbezogene Schulungsnachweise mit passenden Zugriffsrechten und Löschfristen auf.

Welche Stelle hilft dir in Österreich?

Die KI-Servicestelle bei der RTR bietet Orientierung zur KI-Verordnung und unterstützt beim Wissensaufbau.

Die RTR KI-Servicestelle ist eine Informationsstelle. Sie ist nicht allein durch diese Funktion deine zuständige Marktüberwachungsbehörde. Laut den aktuell abrufbaren RTR-FAQ zur Behördenzuständigkeit ist die nationale Umsetzung der AI-Act-Zuständigkeiten in Österreich noch nicht erfolgt.

Prüfe deshalb die aktuelle Zuständigkeit für deinen Sektor vor einer behördlichen Meldung. Für Fragen zur DSGVO bleibt die Datenschutzbehörde relevant. Die unmittelbare Anwendbarkeit der EU-Verordnung hängt nicht von der nationalen Behördenbenennung ab.

Wie startest du mit der Umsetzung?

Beginne mit dem KI-Inventar und kläre anschließend die offenen Fragen zu Rollen, Risiken und Kompetenzmaßnahmen.

Unsere KI-Beratung unterstützt dich bei der organisatorischen und technischen Umsetzung. Mit einer KI-Schulung für Unternehmen übersetzt du Nutzungsregeln in den Arbeitsalltag. Beziehe für rechtliche Einstufungen deine Rechtsberatung ein. Weitere Anwendungen und unsere Erfahrung im Betrieb findest du im KI-Hub von Ahoi Kapptn!.