EU AI Act für Unternehmen: Pflichten, Fristen, Schritte.

Vier Risikostufen statt einer Regel für alles.

Die Verordnung (EU) 2024/1689, kurz AI Act, ordnet KI nach dem Risiko ihres Einsatzes. Daraus folgen vier Stufen mit sehr unterschiedlichen Pflichten – für die meisten Anwendungen in kleinen und mittleren Betrieben sind sie überschaubar.

• Verbotene Praktiken: Anwendungen, die Grundrechte unannehmbar gefährden, etwa Social Scoring. Sie sind seit Februar 2025 untersagt.
• Hochrisiko-Systeme: KI in sensiblen Bereichen wie Personalauswahl, Kreditvergabe oder kritischer Infrastruktur. Hier gelten ab Ende 2027 strenge Pflichten zu Risikomanagement, Dokumentation und menschlicher Aufsicht.
• Transparenzpflichten: Chatbots, KI-generierte Inhalte und Deepfakes müssen in den vorgesehenen Fällen erkennbar sein.
• Alle übrigen Anwendungen: etwa Textentwürfe, Übersetzungen oder Zusammenfassungen. Für sie gilt vor allem die Pflicht, die KI-Kompetenz der Nutzenden zu fördern.

Welche Regeln wann gelten.

Der AI Act gilt stufenweise. Die Digital-Omnibus-Verordnung (EU) 2026/1744 ist seit 27. Juli 2026 in Kraft und hat vor allem die Hochrisiko-Termine verschoben. Seit 2. August 2026 ist der Großteil der Verordnung anwendbar. Für Betriebe, die KI nur nutzen, sind vor allem die Termine aus 2025 und 2026 entscheidend.

Was gilt für Sie?

Der AI Act verteilt die Pflichten nach Rollen. Für die meisten Betriebe ist die erste Frage deshalb nicht „Welche KI?“, sondern „Was machen wir mit ihr?“. Ein Betrieb kann mehrere Rollen zugleich haben – etwa Betreiber von Copilot und Anbieter des eigenen Website-Assistenten.

Was für ChatGPT und andere große Modelle gilt.

Für KI-Modelle mit allgemeinem Verwendungszweck, sogenannte GPAI-Modelle, gelten seit 2. August 2025 eigene Pflichten – für ihre Anbieter, etwa OpenAI, Google oder Mistral. Wer diese Modelle nur nutzt, übernimmt deren Pflichten nicht.

Verantwortlich bleibt der Betrieb aber für den eigenen Einsatz: welche Daten er eingibt, wie er Ergebnisse prüft und ob er sie kennzeichnen muss. Genau dort setzen die vier Aufgaben im Alltag an.

Vier Aufgaben im Alltag – zwei davon gesetzlich.

Für alle tabu: verbotene Praktiken nach Art. 5, etwa die Bewertung von Menschen nach ihrem Sozialverhalten, manipulative Techniken oder Emotionserkennung am Arbeitsplatz.

Was der AI Act nicht verlangt.

• Kein Zertifikat für Mitarbeitende. Für die KI-Kompetenz genügen passende, dokumentierte Maßnahmen.
• Keinen KI-Beauftragten. Eine Benennungspflicht gibt es nicht.
• Kein Verbot von ChatGPT und Co. Allgemeine KI-Werkzeuge dürfen genutzt werden – mit Regeln für Daten und Kennzeichnung.
• Keine Hochrisiko-Einstufung jeder KI. Entscheidend ist der Einsatzzweck, nicht die Technik.
• Keine Meldung jeder KI bei einer Behörde. Eine Registrierung in der EU-Datenbank ist nur für Systeme in den Hochrisiko-Bereichen vorgesehen.

Wo genauer hingeschaut werden muss.

Ob ein System als hochriskant gilt, hängt von Funktion und Zweck ab. Die Pflichten für die Bereiche nach Annex III gelten ab 2. Dezember 2027, für KI in regulierten Produkten ab 2. August 2028. Für kleinere Betriebe ist vor allem der Bereich Beschäftigung relevant: Software, die Bewerbungen vorsortiert oder Leistung bewertet, kann darunter fallen.

Der Stand in Österreich.

Österreich hat die für den AI Act zuständigen Behörden noch nicht benannt, obwohl die Frist dafür am 2. August 2025 ablief. Ein KI-Durchführungsgesetz (KIDG) ist in Vorbereitung; bekannt ist es bislang nur aus einer Präsentation des Bundeskanzleramts vom 21. September 2026. Geplant ist eine verteilte Zuständigkeit, unter anderem bei der Datenschutzbehörde und der Finanzmarktaufsicht.

Bis dahin ist die KI-Servicestelle der RTR die erste Anlaufstelle für Fragen. Sie informiert, verhängt aber keine Strafen. Wer künftig KI-Kompetenz und Kennzeichnung kontrolliert, ist noch offen. Für die Praxis empfiehlt die RTR Betrieben eine schriftliche KI-Strategie, eine interne KI-Richtlinie und ein Schulungskonzept.

Wichtig: Das ändert nichts an den Pflichten selbst. Der AI Act ist eine EU-Verordnung und gilt unmittelbar.

Was bei Verstößen droht.

• Verbotene Praktiken: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes.
• Verstöße gegen andere Pflichten, etwa die Kennzeichnung nach Art. 50: bis 15 Mio. € oder 3 %.
• Falsche oder unvollständige Angaben gegenüber Behörden: bis 7,5 Mio. € oder 1 %.

Grundsätzlich gilt der höhere Betrag. Für KMU und Start-ups gilt der niedrigere – seit dem Digital Omnibus auch für kleine Mid-Caps mit bis zu 750 Beschäftigten und 150 Mio. € Umsatz. Für die KI-Kompetenz nach Art. 4 sieht der AI Act laut RTR keine eigene Verwaltungsstrafe vor. In der Praxis wiegen andere Folgen oft schwerer: Haftung für Schäden, verärgerte Kundinnen und Kunden oder der Abfluss vertraulicher Daten.

Fünf Schritte für die nächsten 30 Tage.

Häufige Fragen zum EU AI Act.

Aus Pflichten werden klare nächste Schritte.