EU AI Act ab August 2026: Was österreichische KMU jetzt tun müssen

In weniger als zwei Monaten wird es für viele Unternehmen in Österreich ernst. Am 2. August 2026 treten die zentralen Bestimmungen der europäischen KI-Verordnung, besser bekannt als EU AI Act, voll in Kraft. Das bedeutet für dich als Unternehmer: Die Zeit des Experimentierens ohne Regeln ist vorbei. Wer jetzt nicht handelt, riskiert nicht nur rechtliche Probleme, sondern auch empfindliche Bußgelder.

Aber keine Sorge. Du musst kein Jurist sein, um dein Unternehmen rechtssicher aufzustellen. Wir begleiten dich durch diesen Prozess und zeigen dir, wie du die neuen Anforderungen pragmatisch umsetzt. In diesem Guide erfährst du alles Wichtige über Fristen, Pflichten und wie du den EU AI Act für dein KMU meisterst.

1. Einleitung: Der Countdown für den EU AI Act läuft

Der 2. August 2026 markiert einen Wendepunkt für die digitale Wirtschaft in Europa. An diesem Tag werden die meisten Vorschriften der Verordnung (EU) 2024/1689 unmittelbar anwendbar. Das Gesetz ist keine Richtlinie, die erst in nationales Recht umgewandelt werden muss. Es gilt direkt in jedem Büro in Wien, Linz oder Salzburg.

Viele kleine und mittlere Unternehmen (KMU) in Österreich wiegen sich noch in Sicherheit. Sie glauben, dass nur die Tech-Riesen aus dem Silicon Valley betroffen sind. Doch das ist ein Irrtum. Sobald dein Team ChatGPT für Kundenmails nutzt oder ein KI-Tool zur Analyse von Verkaufszahlen einsetzt, bist du ein „Betreiber“ im Sinne des Gesetzes.

Warum musst du jetzt handeln? Ganz einfach: Die ersten Pflichten, wie die KI-Kompetenzpflicht, gelten bereits seit Februar 2025. Viele Unternehmen haben diesen Stichtag schlicht verschlafen. Ab August 2026 wird die Überwachung durch die Behörden schärfer. Wir helfen dir dabei, den Überblick zu behalten und deine KI-Lösungen gesetzeskonform zu gestalten. Wenn du Fragen zur technischen Umsetzung hast, kannst du jederzeit direkt mit Florian sprechen.

2. Was ist der EU AI Act? Die Risikoklassen verständlich erklärt

Der EU AI Act folgt einem logischen Prinzip: Je höher das Risiko einer KI-Anwendung für die Grundrechte und die Sicherheit der Menschen, desto strenger sind die Regeln. Die EU teilt KI-Systeme in vier Kategorien ein.

Inakzeptables Risiko

Hier versteht die EU keinen Spaß. Systeme in dieser Kategorie sind schlicht verboten. Dazu gehören zum Beispiel Social Scoring (die Bewertung von Bürgern durch den Staat) oder manipulative Techniken, die das Verhalten von Menschen unbewusst beeinflussen. Auch die Emotionserkennung am Arbeitsplatz oder in Schulen ist seit Februar 2025 untersagt. Für die meisten KMU spielt diese Klasse im Alltag zum Glück keine Rolle.

Hohes Risiko

Das ist der Bereich, in dem es für KMU kompliziert werden kann. Hochrisiko-KI-Systeme sind solche, die in kritischen Bereichen eingesetzt werden. Denke an die automatisierte Vorsortierung von Bewerbungen im Personalwesen oder KI-gestützte Kreditwürdigkeitsprüfungen. Hier gelten extrem strenge Anforderungen an das Risikomanagement, die Datenqualität und die menschliche Aufsicht. Wer solche Systeme nutzt, muss umfangreiche Dokumentationen vorweisen können.

Begrenztes Risiko

Hier landen die meisten KI-Anwendungen, die KMU heute nutzen. Dazu zählen Chatbots, Generative KI für Texte oder Bilder und Deepfakes. Die Hauptpflicht in dieser Kategorie ist die Transparenz. Nutzer müssen wissen, dass sie mit einer Maschine kommunizieren. Ab dem 2. August 2026 müssen solche Inhalte klar gekennzeichnet sein.

Minimales Risiko

Das ist die gute Nachricht: Die Mehrheit der KI-Systeme fällt in diese Kategorie. Spamfilter, KI in Videospielen oder einfache interne Analysetools ohne Einfluss auf Menschenrechte haben kaum zusätzliche Auflagen. Die allgemeine KI-Kompetenzpflicht gilt allerdings auch hier.

Es ist wichtig zu verstehen, dass nicht das Tool selbst über die Risikoklasse entscheidet, sondern der konkrete Anwendungsfall (Use Case). Ein und dasselbe Sprachmodell kann für interne Notizen (minimales Risiko) oder für die Auswahl von neuen Mitarbeitern (hohes Risiko) eingesetzt werden.

3. Die 3 Säulen der Compliance für KMU bis August 2026

Wie fängst du nun konkret an? Wir haben die Umsetzung in drei einfache Säulen unterteilt, die du bis zum Sommer 2026 angehen solltest.

Säule 1: Die KI-Inventur

Du kannst nichts regulieren, von dem du nicht weißt, dass es existiert. Der erste Schritt ist daher eine vollständige Bestandsaufnahme aller im Unternehmen genutzten KI-Tools. Dazu gehören nicht nur die offiziell von der IT freigegebenen Programme, sondern auch die sogenannte Schatten-KI.

Frage dich:

• Welche Abteilungen nutzen KI (Marketing, Sales, HR, Buchhaltung)?
• Welche Tools werden eingesetzt (ChatGPT, Microsoft Copilot, DeepL, Canva)?
• Werden dabei Kundendaten oder interne Firmengeheimnisse verarbeitet?
• Nutzen Mitarbeiter private Accounts für geschäftliche Zwecke?

Das Ergebnis sollte eine einfache Tabelle sein, die als Grundlage für deine Risikobewertung dient.

Säule 2: Die KI-Kompetenzpflicht (Art. 4)

Diese Pflicht wird oft unterschätzt, dabei ist sie bereits seit Februar 2025 in Kraft. Laut Artikel 4 des AI Acts müssen Unternehmen sicherstellen, dass ihr Personal über ein angemessenes Maß an KI-Kompetenz verfügt. Das bedeutet, deine Mitarbeiter müssen verstehen, wie die Tools funktionieren, wo die Grenzen liegen (z. B. Halluzinationen von Sprachmodellen) und welche Risiken für den Datenschutz bestehen.

Wir empfehlen dringend, diese Schulungen zu dokumentieren. Eine Teilnahmebescheinigung oder ein Protokoll eines Workshops ist dein Nachweis gegenüber der Aufsichtsbehörde, dass du deiner Sorgfaltspflicht nachgekommen bist.

Säule 3: Transparenz und Kennzeichnung

Ab dem 2. August 2026 müssen Chatbots auf deiner Website klar als solche erkennbar sein. Ein einfacher Hinweis wie „Du sprichst gerade mit unserem KI-Assistenten“ reicht meistens aus. Auch KI-generierte Bilder oder Texte für den Blog oder Social Media müssen ab diesem Zeitpunkt gekennzeichnet werden, wenn sie täuschend echt wirken könnten.

4. Hochrisiko-KI vs. Minimalrisiko: Wo dein Unternehmen wirklich steht

Die Grenze zwischen „harmlos“ und „hochriskant“ ist manchmal schmaler, als man denkt. Viele österreichische KMU nutzen moderne HR-Software, um den Recruiting-Prozess effizienter zu gestalten. Wenn diese Software aber eine Vorauswahl der Bewerber trifft (z. B. durch ein Ranking von Lebensläufen), befindest du dich sofort im Bereich hohes Risiko.

In solchen Fällen reicht ein einfacher Transparenzhinweis nicht mehr aus. Du musst:

1. Ein Risikomanagementsystem einrichten.
2. Die Qualität deiner Daten sicherstellen (um Diskriminierung zu vermeiden).
3. Eine technische Dokumentation führen.
4. Sicherstellen, dass ein Mensch jederzeit die Kontrolle über das System hat.

Für viele KMU ist das ohne externe Hilfe kaum zu stemmen. Deshalb setzen wir bei unseren Projekten auf Sicherheit und Implementation von Anfang an. Wir entwickeln Lösungen, die compliant by design sind.

Was passiert, wenn du die Regeln ignorierst? Die Bußgelder sind empfindlich. Zwar werden die maximalen Sätze von bis zu 35 Millionen Euro bei KMU verhältnismäßig angewandt, aber auch 1 % des weltweiten Jahresumsatzes kann für ein kleines Unternehmen schmerzhaft sein. Die gute Nachricht: Die RTR-Servicestelle hat bereits klargestellt, dass Unternehmen, die proaktiv handeln und eine ordentliche Dokumentation vorweisen können, bei Kontrollen deutlich wohlwollender behandelt werden.

4. Hochrisiko-KI vs. Minimalrisiko: Wo dein Unternehmen wirklich steht

Du musst den Weg zur KI-Compliance nicht alleine gehen. Österreich bietet ein starkes Netzwerk an Unterstützung.

Die KI-Servicestelle der RTR

Die Rundfunk und Telekom Regulierungs-GmbH hat unter ki.rtr.at einen zentralen Info-Hub eingerichtet. Dort findest du aktuelle Leitfäden, FAQ und sogar einen AI Act Chatbot, der dir bei Detailfragen zur Verordnung hilft. Das Angebot ist kostenlos und speziell auf KMU zugeschnitten.

Finanzielle Förderungen

Die Kosten für Beratung und technische Umstellung lassen sich oft durch Förderungen abfedern. Hier sind zwei wichtige Programme:

• KMU.DIGITAL: Dieses Programm der WKO und des Ministeriums für Wirtschaft unterstützt dich bei Beratungsleistungen zur digitalen Transformation, inklusive KI-Strategien. Oft werden bis zu 50 % der Beratungskosten übernommen.
• aws KI-Umsetzungsförderung: Die Austria Wirtschaftsservice GmbH bietet gezielte Zuschüsse für die Implementierung von KI-Projekten. Der Fokus liegt hierbei auf vertrauenswürdiger KI, was perfekt zum AI Act passt.

Wir unterstützen dich gerne dabei, die passenden Förderungen zu finden und den Antrag technisch fundiert vorzubereiten. Es lohnt sich, diese Mittel zu nutzen, um deine KI-Infrastruktur professionell aufzubauen.

4. Hochrisiko-KI vs. Minimalrisiko: Wo dein Unternehmen wirklich steht

Zusammenfassend lässt sich sagen: Der EU AI Act ist kein Grund zur Panik, aber ein klarer Aufruf zum strukturierten Handeln. Wenn du dein Inventar erstellt, dein Team geschult und die Transparenzregeln im Blick hast, bist du für den 2. August 2026 gut gerüstet.

Wir bei FloKI Consult glauben daran, dass Technologie dem Unternehmen dienen muss und nicht umgekehrt. Deshalb entwickeln wir KI-Lösungen für KMU, die nicht nur effizient sind, sondern auch alle regulatorischen Anforderungen von Anfang an erfüllen. Bei uns sprichst du direkt mit Florian, der dein Projekt auch umsetzt. Kein Agentur-Overhead, keine komplizierten Kommunikationswege, sondern echte Ergebnisse.

Bist du bereit, dein Unternehmen fit für die Zukunft zu machen? Wir helfen dir bei der KI-Inventur und dem Aufbau einer sicheren Governance. Lass uns in einem persönlichen Gespräch klären, welche Schritte für dich jetzt am wichtigsten sind.

Häufige Fragen