EU AI Act: Was KMU und Selbstständige jetzt wissen müssen

Was ist der EU AI Act und wen betrifft das Gesetz?

Das europäische KI-Gesetz klassifiziert künstliche Intelligenz nach einem risikobasierten Ansatz. Je höher das potenzielle Risiko für die Grundrechte und die Sicherheit der Menschen, desto strenger sind die Auflagen. Den rechtlichen Rahmen bildet die Verordnung (EU) 2024/1689 (EUR-Lex). Unterschieden werden hauptsächlich vier Stufen: unannehmbares Risiko, hohes Risiko, begrenztes Risiko und minimales Risiko.

Systeme mit unannehmbarem Risiko, wie etwa Social Scoring durch Staaten, sind komplett verboten. Für KMU und Selbstständige sind meist Systeme mit begrenztem oder minimalem Risiko relevant, wie Chatbots oder Übersetzungssoftware. Hier gelten vor allem Transparenzpflichten. Nutzerinnen und Nutzer müssen darüber informiert werden, dass sie mit einer Maschine interagieren oder dass ein Inhalt künstlich erzeugt wurde. Hochrisikosysteme, beispielsweise KI im Personalwesen zur Bewerberauswahl, unterliegen strengen Zertifizierungs- und Dokumentationspflichten.

Auch wenn kleine Betriebe solche Systeme meist nicht selbst entwickeln, sondern als fertige Software einkaufen, müssen sie als Betreiber sicherstellen, dass sie die Anwendung bestimmungsgemäß nutzen. Dies erfordert eine genaue Prüfung der Anbieter und der Vertragsbedingungen. Der Gesetzgeber fordert eine aktive Auseinandersetzung mit der genutzten Technologie, unabhängig von der Betriebsgröße.

Die KI-Kompetenz-Pflicht: Was Unternehmen nachweisen müssen

Ein wesentlicher Bestandteil der neuen Regulierung ist die sogenannte ki kompetenz pflicht. Diese Bestimmung verlangt von Anbietern und Betreibern von KI-Systemen, dass ihr Personal über ein ausreichendes Maß an KI-Kompetenz verfügt. Für ein KMU bedeutet dies, dass Mitarbeiterinnen und Mitarbeiter, die mit diesen Werkzeugen arbeiten, entsprechend geschult sein müssen.

Es reicht nicht, Lizenzen für Text- oder Bildgeneratoren zu erwerben und das Team damit allein zu lassen. Die Beschäftigten müssen verstehen, wie die Systeme grundlegend funktionieren, welche Eingaben erlaubt sind und wie die Ausgaben kritisch zu bewerten sind. Auch ein EPU muss diese Kompetenz für sich selbst aufbauen und nachweisen können. Wer sich nicht sicher ist, wo er ansetzen soll, findet erste Antworten im Beitrag KI, Recht und Ethik: Grundwissen für Unternehmen.

Die Unternehmensleitung steht in der Verantwortung, ein Bewusstsein für ethische und rechtliche Fragestellungen zu schaffen. Diese Fortbildungen sollten dokumentiert werden, um im Fall einer Prüfung durch die Behörden einen Nachweis über die erfüllte Sorgfaltspflicht erbringen zu können. Die Vermittlung von digitaler Alphabetisierung wird somit von einer reinen Empfehlung zu einer regulatorischen Anforderung, der sich Betriebe nicht entziehen können.

Praxisbeispiel: Der KI-Einsatz im Alltag eines KMU

Der Arbeitsalltag in einem kleinen österreichischen Dienstleistungsunternehmen zeigt, wie die neuen Vorgaben konkret angewendet werden. Eine Kommunikationsagentur nutzt Sprachmodelle, um erste Entwürfe für Kundenpräsentationen zu erstellen, und Bildgeneratoren, um visuelle Konzepte zu entwerfen. Vor dem Inkrafttreten der neuen Regeln wurden diese Werkzeuge oft ad hoc und ohne feste Vorgaben durch das Personal verwendet.

Mit den Vorgaben des eu ai act ändert sich das Vorgehen. Die Geschäftsführung prüft zunächst, in welche Risikoklasse die genutzten Tools fallen. Da es sich um Systeme zur reinen Generierung von Inhalten handelt, fallen sie unter das begrenzte Risiko. Das bedeutet, dass Transparenzpflichten greifen. Die Agentur muss ihre Kunden nun darüber informieren, wenn bestimmte Konzepte oder Bilder maschinell erstellt wurden.

Zudem richtet die Agentur ein internes Register ein, in dem alle genutzten KI-Anwendungen verzeichnet sind. Jeder Einsatzbereich wird genau dokumentiert. Um die ki kompetenz pflicht zu erfüllen, organisiert die Agentur regelmäßige Weiterbildungen für das gesamte Team. Dort lernen die Angestellten, wie sie Eingabebefehle so formulieren, dass keine vertraulichen Kundendaten verarbeitet werden. Durch diese strukturierte Herangehensweise minimiert das Unternehmen rechtliche Risiken.

Schritt-für-Schritt-Anleitung: Den EU AI Act im Betrieb umsetzen

Die Umsetzung der gesetzlichen Anforderungen erfordert ein systematisches Vorgehen im Betrieb. Die folgenden Schritte helfen dabei, den Überblick zu behalten und rechtskonform zu agieren.

• Bestandsaufnahme durchführen: Erfassen Sie alle im Unternehmen eingesetzten KI-Systeme. Dokumentieren Sie, wofür diese Tools verwendet werden und wer darauf Zugriff hat.
• Risikoklassifizierung vornehmen: Ordnen Sie jede Anwendung den Risikoklassen der Verordnung zu. Prüfen Sie kritisch, ob Sie unwissentlich Hochrisikosysteme einsetzen, etwa bei der Auswertung von Lebensläufen.
• Kompetenzen aufbauen: Organisieren Sie gezielte Schulungen für sich und Ihr Personal. Wie Sie dies effizient gestalten, erfahren Sie im Leitfaden KI-Team-Schulung planen: Ein Leitfaden für KMU.
• Regeln verschriftlichen: Erstellen Sie klare Leitplanken für den Umgang mit künstlicher Intelligenz am Arbeitsplatz. Eine Hilfestellung bietet unsere KI-Richtlinie fürs Unternehmen: Vorlage und Tipps.
• Transparenz schaffen: Stellen Sie sicher, dass maschinell erzeugte Inhalte dort als solche gekennzeichnet werden, wo es das Gesetz verlangt. Informieren Sie Kunden und Partner transparent über den KI-Einsatz.
• Laufende Kontrolle etablieren: Benennen Sie eine verantwortliche Person im Betrieb, die Neuerungen im Blick behält und die internen Prozesse regelmäßig auf Aktualität überprüft.

Grenzen, Risiken und Datenschutz bei der KI-Nutzung

Neben den spezifischen Vorgaben des KI-Gesetzes müssen Unternehmen weitere rechtliche Grenzen beachten, insbesondere den Datenschutz. Der eu ai act setzt die Datenschutz-Grundverordnung (DSGVO) nicht außer Kraft, sondern ergänzt sie. Wenn personenbezogene Daten in ein Sprachmodell eingegeben werden, stellt dies eine Datenverarbeitung dar, für die es eine klare Rechtsgrundlage braucht. Werden Kundendaten ohne Einwilligung in ein externes System eingespeist, drohen empfindliche Strafen.

Ein weiteres Risiko stellt das Urheberrecht dar. Die generierten Texte oder Bilder können Rechte Dritter verletzen, wenn das Modell mit geschütztem Material trainiert wurde. Zudem neigen viele Systeme zum sogenannten Halluzinieren. Sie erfinden Fakten, die auf den ersten Blick plausibel klingen. Werden diese Informationen ungeprüft übernommen, kann das zu schwerwiegenden Fehlern in der Kundenberatung oder in veröffentlichten Dokumenten führen.

Betriebe müssen daher eine strenge Qualitätssicherung einführen. Generierte Ergebnisse dürfen niemals ohne menschliche Endkontrolle verwendet werden. Für die Klärung spezifischer rechtlicher Fragen oder zur Einholung von Erstinformationen in Österreich empfiehlt sich ein Blick auf die RTR, KI-Servicestelle. Diese Einrichtung dient als zentrale Anlaufstelle und bietet Orientierung im komplexen regulatorischen Umfeld.

Ausblick und Unterstützung für österreichische Betriebe

Die Implementierung der neuen Verordnung erfolgt phasenweise. Die Verbote für Systeme mit unannehmbarem Risiko gelten bereits wenige Monate nach Inkrafttreten, während die Vorgaben für Hochrisikosysteme längere Übergangsfristen haben. Die EU-Kommission, AI Act bietet weitreichende Informationen zur übergeordneten Digitalstrategie Europas und den exakten Zeitplänen der Umsetzung.

Bitte beachten Sie (Stand Oktober 2026), dass sich Tarifmodelle, Datenschutzbedingungen und konkrete Funktionen der Software-Hersteller laufend ändern können. Es ist davon auszugehen, dass große Anbieter von Basismodellen ihre Nutzungsbedingungen weiterhin an die europäische Gesetzgebung anpassen werden. Viele Tools bieten mittlerweile spezielle, kostenpflichtige Tarife für Unternehmen an, die erweiterte Datenschutzgarantien umfassen. Die aktuellen Preise und genauen Funktionsumfänge finden Sie direkt auf den jeweiligen Herstellerseiten.

KMU und Selbstständige sollten Enterprise- oder Team-Lösungen prüfen, da kostenlose Basisversionen oft weitreichende Nutzungsrechte an den eingegebenen Daten verlangen. Der Aufbau internen Wissens bleibt der wichtigste Schutz vor rechtlichen Stolpersteinen. Investieren Sie in Weiterbildung und strukturierte Prozesse, um wettbewerbsfähig zu bleiben und die Technologie sicher zu nutzen. Wenn Sie Hilfe bei der konkreten Umsetzung und der Schulung Ihres Teams benötigen, besuchen Sie unsere AI Works Academy.

Häufige Fragen