EU AI Act für KMU in Österreich: Was ab 2. August 2026 wirklich gilt

Am 2. August 2026 — in gut zwei Wochen — wird die nächste Stufe der EU-KI-Verordnung scharf. Wer dazu recherchiert, findet vor allem zwei Sorten Artikel: Panikmache („bis zu 35 Millionen Euro Strafe!“) und veraltete Ratgeber, die den Digital Omnibus noch als Gerücht behandeln. Beides hilft Ihnen nicht weiter.

Dieser Beitrag fasst zusammen, was nach dem im Juni 2026 endgültig beschlossenen Digital Omnibus tatsächlich gilt — speziell für kleine und mittlere Unternehmen in Österreich, die KI nutzen, aber nicht selbst entwickeln.

Der Digital Omnibus: Was sich im Juni 2026 geändert hat

Der Digital Omnibus ist ein EU-Änderungspaket, das mehrere Digitalgesetze entschlackt — darunter die KI-Verordnung (EU) 2024/1689. Nach der politischen Einigung im Mai haben Parlament und Rat im Juni 2026 formal zugestimmt. Damit ist verbindlich: Die aufwendigen Pflichten für Hochrisiko-KI kommen deutlich später, die Grundpflichten für alle bleiben auf dem ursprünglichen Zeitplan.

Die Kurzfassung: Wer Hochrisiko-KI einsetzt (dazu gleich mehr), hat bis Dezember 2027 Luft bekommen. Alle anderen Pflichten — und das sind die, die praktisch jedes KMU betreffen — gelten bereits oder starten am 2. August.

Betreiber oder Anbieter? Der 2-Minuten-Selbstcheck

Der AI Act kennt keine KMU-Ausnahme: Er gilt für jedes Unternehmen, das KI beruflich einsetzt — vom EPU bis zum Konzern. Entscheidend ist aber nicht die Größe, sondern die Rolle:

• ▸Sie nutzen ChatGPT, Claude, Copilot oder KI-Funktionen in Standardsoftware (CRM, Buchhaltung, Design-Tools)? → Sie sind Betreiber („Deployer“) — die mit Abstand häufigste und am wenigsten belastete Rolle.
• ▸Sie lassen sich eine KI-Lösung entwickeln und nutzen sie intern? → In der Regel ebenfalls Betreiber.
• ▸Sie verkaufen ein KI-System unter eigenem Namen oder bauen ein bestehendes so stark um, dass sich sein Zweck ändert? → Dann können Sie zum Anbieter („Provider“) werden — mit deutlich umfangreicheren Pflichten.

Für die große Mehrheit der österreichischen KMU gilt: Sie sind Betreiber. Ihre Pflichtenliste ist kurz — sie besteht im Kern aus den folgenden drei Punkten.

Die drei Pflichten, auf die es jetzt ankommt

1. KI-Kompetenz (Art. 4) — gilt seit Februar 2025

Wer KI im Unternehmen einsetzt, muss sicherstellen, dass die Mitarbeitenden, die damit arbeiten, über ausreichende KI-Kompetenz verfügen — abgestimmt auf Vorwissen und Einsatzkontext. Ein bestimmtes Zertifikat schreibt das Gesetz nicht vor; gefordert sind nachweisbare, dokumentierte Maßnahmen. In der Praxis reicht für die meisten KMU:

• ▸Eine dokumentierte Grundschulung: Was können die eingesetzten Tools, wo liegen ihre Grenzen (Halluzinationen, Datenschutz), was darf hinein und was nicht.
• ▸Eine kurze interne KI-Richtlinie: Welche Tools sind freigegeben, für welche Daten, wer ist Ansprechperson.
• ▸Auffrischung, wenn neue Tools oder Einsatzzwecke dazukommen — mit Teilnahmenachweis.

Ein Detail, das in vielen Ratgebern fehlt: Für Verstöße gegen Art. 4 sieht der Sanktionskatalog des AI Act kein eigenes Bußgeld vor. Ignorieren sollten Sie die Pflicht trotzdem nicht — sie gilt uneingeschränkt und wird spätestens dann relevant, wenn durch einen KI-Fehler ein Schaden entsteht und die Frage nach der Sorgfalt Ihres Unternehmens im Raum steht.

2. Verbotene Praktiken (Art. 5) — gilt seit Februar 2025

Eine kurze Liste von KI-Anwendungen ist komplett verboten — hier drohen tatsächlich die berühmten Maximalstrafen. Für KMU praktisch relevant:

• ▸Emotionserkennung am Arbeitsplatz — etwa Tools, die die Stimmung von Mitarbeitenden in Meetings oder Calls auswerten.
• ▸Social Scoring — Bewertung von Personen anhand von Verhalten oder Eigenschaften mit sachfremden Folgen.
• ▸Manipulative Techniken, die Schwächen bestimmter Personengruppen gezielt ausnutzen.
• ▸Ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungskameras für Gesichtserkennungs-Datenbanken.

Prüfen Sie insbesondere HR- und Sales-Tools aus Nicht-EU-Märkten: Funktionen wie „Sentiment-Analyse im Bewerbungsgespräch“ werden dort als Feature beworben, sind in der EU aber schlicht illegal.

3. Transparenz & Kennzeichnung (Art. 50) — ab 2. August 2026

Das ist die Neuerung, die jetzt ansteht — und sie wurde vom Digital Omnibus ausdrücklich nicht verschoben. Ab 2. August gilt:

• ▸Chatbots & Voice-Agents: Wer mit einer KI interagiert, muss das erkennen können. Ihr Website-Chatbot und Ihr KI-Telefonassistent müssen sich als KI zu erkennen geben — außer es ist aus dem Kontext ohnehin offensichtlich.
• ▸Deepfakes: KI-generierte oder -manipulierte Bilder, Audio- und Videoinhalte, die echt wirken, müssen als künstlich erzeugt gekennzeichnet werden.
• ▸KI-Texte: Kennzeichnungspflichtig nur, wenn sie die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren und ohne menschliche redaktionelle Kontrolle veröffentlicht werden. Der KI-unterstützte Blogartikel oder Newsletter, den ein Mensch prüft und verantwortet, fällt nicht darunter.
• ▸Emotionserkennung und biometrische Kategorisierung (wo überhaupt erlaubt): Betroffene müssen aktiv informiert werden.

Die maschinenlesbare Markierung von KI-Inhalten (Art. 50 Abs. 2) betrifft die Anbieter der Systeme, nicht Sie als Nutzer — hier gibt es für bereits am Markt befindliche Systeme eine Übergangsfrist bis 2. Dezember 2026.

Risikoklassen: Wo Ihre Anwendungen wirklich landen

Der AI Act sortiert KI-Systeme in vier Stufen: verboten, hochriskant, begrenzt riskant (Transparenzpflichten) und minimal. Die allermeisten Anwendungen im KMU-Alltag — Texterstellung, Übersetzung, Recherche, Automatisierung interner Abläufe, Code-Generierung — sind minimal oder begrenzt riskant. Damit bleibt es bei den drei oben genannten Pflichten.

Hochriskant wird es typischerweise dort, wo KI über Menschen entscheidet oder mitentscheidet: Bewerber-Screening, Kreditwürdigkeitsprüfung, Versicherungstarifierung, Prüfungsbewertung. Wer solche Systeme einsetzt, hat durch den Omnibus nun bis 2. Dezember 2027 Zeit — sollte die betroffenen Tools aber jetzt identifizieren, denn die Anforderungen (Risikomanagement, menschliche Aufsicht, Dokumentation) sind substanziell.

Österreich konkret: Zuständigkeiten und Strafen

Als EU-Verordnung gilt der AI Act unmittelbar — ein eigenes österreichisches Umsetzungsgesetz braucht es dafür nicht. Erste Anlaufstelle ist die KI-Servicestelle der RTR, die seit September 2024 arbeitet: Sie informiert, beantwortet Anfragen von Unternehmen und betreibt eine regulatorische Sandbox. Die eigentlichen Marktüberwachungsbehörden hat Österreich mit Stand Juli 2026 noch nicht final benannt; erwartet wird eine sektorale Aufteilung — etwa FMA für Finanzdienstleister und Datenschutzbehörde für biometrische Anwendungen.

Zu den Strafen: Die Obergrenzen (35 Mio. Euro bzw. 7 % des Weltumsatzes für verbotene Praktiken, 15 Mio. Euro bzw. 3 % für die meisten anderen Verstöße) sind für Konzerne kalibriert. Für KMU sieht die Verordnung ausdrücklich vor, dass jeweils der niedrigere der beiden Beträge die Obergrenze bildet — und Verhältnismäßigkeit ist Grundprinzip. Realistisch beginnt Aufsicht mit Nachfragen und Auflagen, nicht mit Maximalstrafen. Wer dann ein KI-Inventar, eine dokumentierte Schulung und gekennzeichnete Chatbots vorweisen kann, steht komfortabel da.

Ihr Fahrplan bis zum 2. August: 7 Schritte

• ▸1. KI-Inventar erstellen: Welche Tools mit KI-Funktionen sind im Einsatz — inklusive der KI-Features in Standardsoftware, die oft übersehen werden.
• ▸2. Rolle klären: Sind Sie überall nur Betreiber, oder gibt es Systeme, die Sie unter eigenem Namen anbieten?
• ▸3. Verbots-Check (Art. 5): Emotionserkennung, Scoring- und Manipulations-Features aussortieren — besonders in HR- und Sales-Tools.
• ▸4. Kennzeichnung umsetzen (Art. 50): Chatbot-Hinweis („Sie chatten mit einem KI-Assistenten“), Kennzeichnung realistisch wirkender KI-Bilder/-Videos, Prozess für redaktionelle Kontrolle von KI-Texten.
• ▸5. Schulung dokumentieren (Art. 4): Grundschulung für alle, die mit KI arbeiten — mit Datum, Inhalten und Teilnehmerliste.
• ▸6. Interne KI-Richtlinie verabschieden: freigegebene Tools, erlaubte Datenkategorien, Ansprechperson.
• ▸7. Verantwortliche Person benennen und Wiedervorlage setzen: Dezember 2027 (Hochrisiko-Fristen) und neue Tool-Anschaffungen.

Nebeneffekt: Die Pflicht, die sich fördern lässt

Die Schulungspflicht aus Art. 4 lässt sich mit etwas Planung doppelt nutzen: Statt einer Minimal-Unterweisung bauen viele Betriebe gleich echte KI-Anwendungskompetenz auf — von Prompt-Grundlagen bis zu automatisierten Abläufen im eigenen Unternehmen. Für Beratung und Qualifizierung rund um Digitalisierung gibt es in Österreich je nach Programm und Bundesland Zuschüsse. Einen aktuellen Überblick finden Sie auf unserer Seite zu Förderungen für Digitalisierung & KI.

Häufige Fragen zum AI Act für KMU

Fazit

Für die meisten KMU ist der AI Act kein Compliance-Monster, sondern eine überschaubare Liste: Schulung dokumentieren, verbotene Funktionen aussortieren, Chatbots und synthetische Inhalte kennzeichnen. Wer das bis zum 2. August sauber aufsetzt, hat das Thema für die nächsten eineinhalb Jahre im Griff. Und wer Hochrisiko-Anwendungen plant, weiß jetzt: Die Uhr läuft bis Dezember 2027 — Zeit genug, es richtig zu machen.

Hinweis: Dieser Artikel gibt den Stand vom 16. Juli 2026 wieder und dient der allgemeinen Information. Er ersetzt keine Rechtsberatung im Einzelfall.