EU AI Act für KMU: Diese Pflichten treffen österreichische Unternehmen (Zeitplan 2025–2028)

Der EU AI Act ist die weltweit erste umfassende KI-Verordnung — und ja, er gilt auch für KMU. Die gute Nachricht für österreichische Klein- und Mittelbetriebe: Die strengsten Pflichten treffen vor allem Anbieter von Hochrisiko-Systemen, und genau diese Fristen hat die EU im Juni 2026 offiziell auf Ende 2027 bzw. 2028 verschoben. Andere Regeln gelten aber längst — etwa die Pflicht zur KI-Kompetenz — und ab 2. August 2026 kommen Transparenzpflichten und die aktive Aufsicht dazu. Dieser Beitrag ordnet den aktuellen Zeitplan ein und zeigt, was Sie jetzt konkret tun sollten. Dies ist eine Information, keine Rechtsberatung.

Wen der AI Act überhaupt betrifft

Die KI-Verordnung (Verordnung (EU) 2024/1689) reguliert nicht „KI an sich", sondern konkrete Anwendungen — abgestuft nach Risiko:

• Verbotene Praktiken: etwa Social Scoring oder manipulative Systeme — seit Februar 2025 untersagt.
• Hochrisiko-Systeme: KI in sensiblen Bereichen wie Personalauswahl, Kreditvergabe oder kritischer Infrastruktur — hier greifen die strengsten Pflichten.
• Begrenztes Risiko: Systeme mit Transparenzpflichten, etwa Chatbots oder KI-generierte Inhalte.
• Minimales Risiko: der Großteil der Alltags-KI — hier bleibt es im Wesentlichen bei der KI-Kompetenz-Pflicht.

Genauso wichtig ist Ihre Rolle: Anbieter entwickeln KI-Systeme und bringen sie auf den Markt, Betreiber (in der Verordnung: „Deployer") setzen sie nur ein. Die meisten österreichischen KMU sind reine Betreiber. Typische Fälle:

• Chatbot im Kundenservice: begrenztes Risiko — der Bot muss als KI erkennbar sein.
• ChatGPT, Microsoft Copilot & Co. im Büroalltag: minimales Risiko — im Kern gilt die KI-Kompetenz-Pflicht.
• KI-gestützte Vorauswahl von Bewerbungen: Hochrisiko (Anhang III, Bereich Beschäftigung) — auch als bloßer Nutzer treffen Sie hier erweiterte Pflichten.
• KI zur Kreditwürdigkeitsprüfung: Hochrisiko — betrifft vor allem Finanzdienstleister.

Wenn Sie unsicher sind, in welche Kategorie Ihre Anwendungsfälle fallen: Genau diese Einordnung — vom KI-Inventar bis zur Roadmap — ist Teil der KI-Beratung von Trango Labs.

EU AI Act Fristen: der aktuelle Zeitplan (Stand: Juli 2026)

Die Verordnung ist am 1. August 2024 in Kraft getreten und wird schrittweise anwendbar. Nach der im Juni 2026 beschlossenen Änderung (mehr dazu unten) gilt folgender Zeitplan:

• Seit 2. Februar 2025: Verbotene KI-Praktiken sind untersagt; die Pflicht zur KI-Kompetenz (Art. 4) gilt für Anbieter und Betreiber.
• Seit 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck (GPAI, z. B. große Sprachmodelle) und die Governance-Strukturen der EU.
• Ab 2. August 2026: Die Transparenzpflichten (Art. 50) werden anwendbar — Chatbots kennzeichnen, KI-generierte Inhalte ausweisen. Die nationalen Aufsichtsbehörden nehmen ihre Arbeit auf, Verstöße können sanktioniert werden.
• Ab 2. Dezember 2027 (neu — ursprünglich 2. August 2026): Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III (z. B. KI im Recruiting oder bei der Kreditvergabe).
• Ab 2. August 2028 (neu — ursprünglich 2. August 2027): Pflichten für Hochrisiko-KI, die in regulierte Produkte eingebettet ist (Anhang I, z. B. Maschinen oder Medizinprodukte).

Digital Omnibus: Die Verschiebung ist beschlossen

Was im Juni noch offen war, ist inzwischen fix: Das EU-Parlament hat dem sogenannten Digital Omnibus on AI am 16. Juni 2026 zugestimmt, der Rat gab am 29. Juni 2026 die finale Zustimmung. Die Änderungsverordnung wurde Anfang Juli 2026 unterzeichnet und tritt kurz nach ihrer Veröffentlichung im EU-Amtsblatt in Kraft — Mitte Juli 2026 stand diese Veröffentlichung unmittelbar bevor.

Wichtig ist, was sich nicht ändert: Die Verbote, die KI-Kompetenz-Pflicht, die GPAI-Regeln und die Transparenzpflichten ab August 2026 bleiben bestehen. Bei der Kennzeichnungspflicht gibt es lediglich eine mehrmonatige Übergangsfrist für die technische, maschinenlesbare Markierung (Watermarking) bei Systemen, die schon am Markt sind. Neu hinzugekommen ist außerdem ein Verbot von KI-Systemen, die nicht einvernehmliche intime Darstellungen oder Missbrauchsmaterial erzeugen. Vereinfachte Dokumentationspflichten, die bisher KMU vorbehalten waren, gelten künftig auch für kleinere Midcap-Unternehmen.

Praktisch heißt das für Sie: Der Druck bei den Hochrisiko-Pflichten ist raus — der 2. August 2026 bleibt aber der Stichtag für Transparenz und den Start der Aufsicht.

Was gilt, wenn Sie KI-Tools nur einsetzen?

Für die große Mehrheit der KMU — reine Betreiber ohne Hochrisiko-Anwendung — läuft der AI Act auf drei Kernpflichten hinaus:

• KI-Kompetenz (Art. 4, seit Februar 2025): Wer mit KI-Systemen arbeitet, braucht ein dem Einsatzzweck angemessenes Grundverständnis — Chancen, Grenzen, Risiken. Der Digital Omnibus hat die Formulierung leicht entschärft (Unternehmen müssen die KI-Kompetenz ihres Personals „fördern"), an der Grundpflicht ändert das nichts. Sinnvoll ist eine kurze, dokumentierte Schulung oder Einweisung je Tool.
• Transparenz (Art. 50, ab 2. August 2026): Kunden müssen erkennen können, wenn sie mit einer KI kommunizieren — spätestens bei der ersten Interaktion. KI-generierte oder -manipulierte Inhalte (etwa Deepfakes) sind zu kennzeichnen.
• Keine verbotenen Praktiken: Manipulative Systeme, Emotionserkennung am Arbeitsplatz oder Social Scoring sind tabu — das betrifft auch zugekaufte Tools.

Setzen Sie dagegen eine Hochrisiko-Anwendung ein — etwa ein Tool, das Bewerbungen automatisch reiht —, kommen ab Dezember 2027 erweiterte Betreiberpflichten dazu: Nutzung nach Betriebsanleitung, menschliche Aufsicht, Überwachung des Systems, Aufbewahrung der Protokolle (mindestens sechs Monate) und Information der Betroffenen. Details listet die KI-Servicestelle der RTR auf.

Übrigens: Der AI Act ersetzt nicht die DSGVO — beide gelten parallel. Wie KI-Einsatz und Datenschutz zusammenspielen, lesen Sie in unserem Beitrag DSGVO und KI im Unternehmen. Und damit Compliance nicht zum Bremsklotz wird: Bei Trango Labs gehören saubere Tool-Einführung und Team-Schulung zu jedem Projekt dazu — von der Prozessautomatisierung bis zu KI-Agenten.

Welche Strafen drohen KMU?

Die Bußgelder sind nach Schwere gestaffelt: bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken, bis zu 15 Mio. EUR oder 3 % bei Verstößen gegen zentrale Pflichten (etwa Hochrisiko- oder Transparenzpflichten) und bis zu 7,5 Mio. EUR oder 1 % bei falschen Angaben gegenüber Behörden — jeweils der höhere Wert. Für KMU und Start-ups gilt eine wichtige Erleichterung: Bei ihnen kommt jeweils der niedrigere der beiden Beträge zur Anwendung. Realistisch ist für einen typischen Betrieb ohnehin nicht die Maximalstrafe das Risiko, sondern vermeidbarer Aufwand durch späte, hektische Umsetzung.

Erste Schritte: Checkliste für KMU

1. KI-Inventur machen: Wo steckt überall KI — auch in Standard-Software wie CRM-, Office- oder Marketing-Tools? Oft ist es mehr, als man denkt.
2. Rolle klären: Sind Sie je Anwendung nur Betreiber, oder entwickeln Sie selbst (dann gelten Anbieterpflichten)?
3. Risiko einordnen: Fällt eine Anwendung unter Anhang III (z. B. Personalauswahl)? Dann den Dezember 2027 fest einplanen.
4. KI-Kompetenz aufbauen: Mitarbeitende je Tool schulen oder einweisen — und das kurz dokumentieren.
5. Transparenz bis 2. August 2026 umsetzen: Chatbots als KI kennzeichnen, KI-generierte Inhalte ausweisen.
6. Verantwortung festlegen: Eine Person oder Rolle, die das Thema AI Act laufend im Blick behält.
7. Entwicklung beobachten: Die KI-Servicestelle der RTR informiert kostenlos und bietet u. a. einen AI-Act-Chatbot.

Förderung: Wie steht es um KMU.DIGITAL?

Beratung zur Digitalisierung — auch zur KI-Einführung — wurde in Österreich zuletzt über KMU.DIGITAL gefördert. Aktuell gilt allerdings: Das Budget von KMU.DIGITAL 4.0 ist vollständig ausgeschöpft; eine Antragstellung für Beratungs- und Umsetzungsförderung ist derzeit nicht möglich (Stand: Juli 2026). Da das Programm in der Vergangenheit mehrfach neu dotiert wurde, lohnt es sich, eine Neuauflage im Blick zu behalten. Einen Überblick über weitere Programme gibt unser Beitrag KI-Förderungen für KMU in Österreich.

Häufige Fragen zum EU AI Act für KMU

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Eine generelle Größenausnahme gibt es nicht — der Umfang der Pflichten hängt aber von Rolle und Risikoklasse ab. Für KMU, die KI-Tools nur einsetzen, beschränken sich die Pflichten meist auf KI-Kompetenz und Transparenz; bei Strafen gilt für KMU zudem der jeweils niedrigere Rahmen.

Was ändert sich am 2. August 2026?

Ab dann gelten die Transparenzpflichten: Chatbots müssen als KI erkennbar sein, KI-generierte Inhalte sind zu kennzeichnen. Außerdem nehmen die nationalen Aufsichtsbehörden ihre Arbeit auf, und Verstöße können sanktioniert werden. Die Hochrisiko-Pflichten starten dagegen erst später.

Wurde der EU AI Act verschoben?

Teilweise. Mit dem im Juni 2026 beschlossenen Digital Omnibus rücken die Pflichten für eigenständige Hochrisiko-Systeme (Anhang III) auf den 2. Dezember 2027 und für in Produkte eingebettete Hochrisiko-KI (Anhang I) auf den 2. August 2028. Verbote, KI-Kompetenz, GPAI-Regeln und Transparenzpflichten bleiben unverändert.

Was verlangt die KI-Kompetenz-Pflicht (Art. 4) konkret?

Seit Februar 2025 müssen Unternehmen dafür sorgen, dass Personal, das mit KI arbeitet, ein ausreichendes, zum Einsatzkontext passendes Verständnis hat. In der Praxis heißt das: kurze Schulungen oder Einweisungen je Tool, abgestimmt auf Vorwissen und Anwendungsfall — am besten dokumentiert.

Muss ich meinen Chatbot kennzeichnen?

Ja. Spätestens ab 2. August 2026 muss für Nutzer erkennbar sein, dass sie mit einer KI kommunizieren — spätestens bei der ersten Interaktion. Auch KI-generierte oder -manipulierte Bilder, Videos und Audioinhalte sind zu kennzeichnen.

Welche Strafen drohen bei Verstößen?

Je nach Verstoß bis zu 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes (verbotene Praktiken), bis zu 15 Mio. EUR oder 3 % (zentrale Pflichten) bzw. bis zu 7,5 Mio. EUR oder 1 % (Falschangaben). Für KMU und Start-ups gilt jeweils der niedrigere der beiden Werte.

Sie wollen Klarheit, was der AI Act für Ihre konkreten KI-Vorhaben bedeutet — und wie Sie KI trotzdem produktiv einsetzen? Trango Labs, das Wiener Applied AI Lab, begleitet KMU von der Einordnung bis zur Umsetzung. Vereinbaren Sie ein Gratis Erstgespräch.

Quellen