Was ist der EU AI Act überhaupt?

Der EU AI Act (offiziell: Verordnung (EU) 2024/1689) ist die weltweit erste umfassende Regulierung künstlicher Intelligenz. Die EU hat ihn am 1. August 2024 in Kraft gesetzt — mit gestaffelten Anwendungsterminen über mehrere Jahre. Während die DSGVO 2018 den Datenschutz zur Pflicht machte, regelt der AI Act jetzt, welche KI-Anwendungen wie eingesetzt werden dürfen.

Der zentrale Ansatz: Die KI-Verordnung folgt einem risikobasierten Modell. Je höher das Risiko einer Anwendung für Grundrechte und Sicherheit, desto strenger die Pflichten — bis hin zum vollständigen Verbot. Damit ist der AI Act direkt auf jedes Unternehmen anwendbar, das KI in Europa anbietet oder einsetzt — auch dann, wenn der Anbieter selbst außerhalb der EU sitzt.

Wann gelten welche Pflichten?

Die Anwendung des EU AI Act ist in vier Phasen unterteilt. Stand Mai 2026:

Wichtig: Die EU verhandelt aktuell den „Digital Omnibus on AI", der die Hochrisiko-Deadline auf 2.12.2027 verschieben würde. Bis das beschlossen ist, gilt der ursprüngliche Termin 2.8.2026. Wir empfehlen, entsprechend zu planen — wer auf den Aufschub spekuliert und falsch liegt, hat keine drei Monate Pufferzeit.

Die 4 Risikoklassen — mit konkreten KMU-Beispielen

Der AI Act unterscheidet vier Klassen, denen je nach Einsatzbereich unterschiedliche Pflichten folgen. So ordnen sich typische Anwendungen ein, die wir im KMU-Alltag sehen:

1. Verbotene KI (Unannehmbares Risiko)

Diese Anwendungen sind seit 2.2.2025 EU-weit komplett untersagt. Strafe: bis €35 Mio. oder 7% Umsatz.

• Social Scoring nach chinesischem Vorbild — Bürger:innen-Bewertung durch Behörden
• Manipulative KI, die Verhalten unbewusst beeinflusst und Schaden anrichtet
• Emotionserkennung am Arbeitsplatz oder in Schulen — Vorsicht: Das gilt auch für Recruiting-Tools, die in Bewerbungsgesprächen Stimmen analysieren!
• Echtzeit-Biometrie im öffentlichen Raum (mit engen Ausnahmen für Strafverfolgung)
• Prädiktive Polizeiarbeit auf Profiling-Basis

2. Hochrisiko-KI (Annex III)

Erlaubt, aber mit den strengsten Pflichten. Hier liegt das größte KMU-Risiko, weil viele Unternehmen unwissentlich Hochrisiko-KI einsetzen — vor allem im HR-Bereich. Pflichten ab 2.8.2026: Risikomanagement-System, Datengovernance, technische Dokumentation, menschliche Aufsicht, EU-Datenbank-Eintrag.

• HR und Recruiting: KI-Tools, die Bewerbungen filtern oder Beförderungen empfehlen
• Kreditscoring: KI-basierte Bonitätsbewertung von Privatpersonen
• Bildung: Automatische Notenvergabe, Prüfungsbewertung, Zulassungsentscheidungen
• Biometrie: Gesichts- oder Stimmerkennung als Identifikationsverfahren
• Kritische Infrastruktur: Energie-, Wasser- oder Verkehrssteuerung
• Migration, Justiz, Strafverfolgung — überwiegend behördlich relevant

3. Begrenztes Risiko (Transparenzpflichten)

Erlaubt mit Informationspflicht: Nutzer:innen müssen wissen, dass sie es mit KI zu tun haben. Pflichten ab 2.8.2026.

• Chatbots und Telefonbots im Kundenkontakt — Hinweis „Sie sprechen mit einer KI"
• Deepfakes / KI-generierte Bilder von Personen — Kennzeichnungspflicht
• KI-Texte zu öffentlichem Interesse — z. B. News-Artikel

4. Minimales Risiko

Keine spezifischen AI-Act-Pflichten — aber Achtung: AI Literacy gilt trotzdem. Beispiele: Spam-Filter, Empfehlungs-Algorithmen ohne Personenbezug, KI in Buchhaltungs-OCR, Übersetzungs-Tools, Logistik-Forecasting.

Anbieter, Betreiber, Importeur — wer sind Sie?

Der AI Act richtet sich an verschiedene Akteure entlang der KI-Wertschöpfungskette. Für KMU sind besonders zwei Rollen relevant:

• Anbieter (Provider): Wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt. Beispiel: Wer eine HR-Software mit eingebauter Bewerber-Bewertung verkauft.
• Betreiber (Deployer): Wer ein KI-System unter eigener Verantwortung im Geschäftsbetrieb einsetzt. Das gilt für nahezu jedes Unternehmen, das ChatGPT, Microsoft Copilot, Midjourney oder ähnliche Tools nutzt.

Beide haben Pflichten — Anbieter mehr (Konformitätsbewertung, technische Doku, Datenbank-Eintrag), Betreiber weniger (Nutzung gemäß Anbieter-Vorgaben, Logging, menschliche Aufsicht). Eine Sache verbindet aber beide: AI Literacy.

Die unterschätzte Pflicht: Artikel 4 (AI Literacy)

Seit 2.2.2025 müssen alle Unternehmen, die KI einsetzen, sicherstellen, dass ihre Mitarbeiter ein ausreichendes Maß an KI-Kompetenz haben. Das ist keine Option — das ist Pflicht. Und die meisten Unternehmen wissen es nicht.

„Ausreichendes Maß" ist im Gesetz nicht numerisch festgelegt — der Maßstab ist kontextabhängig: Wer KI in HR einsetzt, braucht tieferes Wissen als jemand, der nur einen Übersetzungs-Bot nutzt. Wichtig ist Dokumentation: Welche Schulungen haben stattgefunden, wer hat teilgenommen, welche Inhalte wurden vermittelt? Bei einer Behörden-Anfrage ist das der erste Punkt, der geprüft wird.

Was sind die Strafen?

Der AI Act sieht gestaffelte Bußgelder vor:

Für KMU gelten reduzierte Maximalbeträge — das Gesetz nimmt explizit Rücksicht auf kleine und mittlere Unternehmen. Die Aufsichtsbehörde in Österreich ist die KI-Servicestelle bei der RTR; die Datenschutzbehörde ist für Schnittmengen zur DSGVO zuständig.

Was Sie bis 2.8.2026 erledigt haben sollten

Wenn Sie diesen Beitrag im Mai 2026 lesen, haben Sie noch knapp drei Monate. Das ist machbar, wenn Sie strukturiert vorgehen:

1. KI-Inventar erstellen. Welche KI-Systeme nutzen Sie? Welche entwickeln/verkaufen Sie? Inkl. „Schatten-IT" — Tools, die einzelne Mitarbeiter ohne offiziellen Beschluss verwenden.
2. Risikoklassifizierung. Pro System: Verboten? Hochrisiko? Begrenzt? Minimal? Hier hilft eine erste Selbsteinschätzung — bei Unsicherheit Detail-Prüfung.
3. AI Literacy für Ihr Team. Pflichtschulung mit nachweisbarer Dokumentation. Auch für Sales, HR, Buchhaltung — nicht nur IT.
4. Transparenz-Hinweise einbauen. Bei Chatbots: „Sie sprechen mit einer KI". Bei KI-generierten Bildern: Kennzeichnung.
5. Hochrisiko-Pflichten klären. Falls Sie betroffen sind: Risikomanagement aufsetzen, Doku führen, EU-Datenbank-Eintrag vorbereiten.
6. DSGVO-Schnittstelle aktualisieren. KI-Einsatz im Verarbeitungsverzeichnis ergänzen.
7. Verträge prüfen. Setzen Sie ChatGPT-API, Anthropic, Google ein? Klären Sie Datentransfer, AVV (Art. 28 DSGVO) und SCC (Art. 46 DSGVO).

Praxisbeispiel: Marcel, ein Gastronom in Graz

Stellen Sie sich vor, Marcel betreibt zwei Restaurants. Er setzt KI ein für: Forecasting des Wareneinkaufs (Marcel Gastro-Suite), einen WhatsApp-Chatbot für Reservierungen, ChatGPT für Speisekarten-Beschreibungen, einen automatischen Telefonbot für Anrufe außerhalb der Öffnungszeiten.

Risikoklassifizierung:

• Forecasting: minimales Risiko. Keine speziellen Pflichten — aber AI Literacy gilt.
• WhatsApp-Chatbot: begrenztes Risiko. Hinweis nötig: „Sie chatten mit einer KI".
• ChatGPT für Texte: minimales Risiko, aber bei Bildern oder Personenbezug: Transparenzpflicht.
• Telefonbot: begrenztes Risiko. Hinweis im Begrüßungstext nötig.

Was muss Marcel tun? 1. Sein Team (4 Mitarbeiter:innen plus Aushilfen) zu AI Literacy schulen — eine 2-Stunden-Awareness-Schulung reicht. 2. Die Telefonbot-Begrüßung anpassen. 3. Den Chatbot mit „Hallo, ich bin Marcels KI-Assistent" einleiten lassen. 4. Ein einfaches KI-Inventar pflegen — eine Excel-Liste reicht.

Aufwand: vielleicht ein halber Tag plus die Schulung. Risiko bei Nicht-Handeln: theoretische Bußgelder, real eher unwahrscheinlich für einen einzelnen Gastronomen — aber bei einem Behörden-Verfahren ist die Doku Gold wert.

Was Sie nicht selbst tun sollten

Der EU AI Act ist juristisch komplex, und Auslegung ist im Fluss. Was Sie an Spezialisten abgeben sollten:

• Konkrete rechtliche Auslegung in Grenzfällen — gehört zu einer auf KI-Recht spezialisierten Anwaltskanzlei (z. B. EE-Law, Brandauer, KPMG Law in Österreich)
• Konformitätsbewertung bei echten Hochrisiko-Systemen — formelle Zertifizierung, oft mit Notified Body
• Vertragsgestaltung mit AI-API-Providern — gerade die internationale Datenübertragung ist juristisch anspruchsvoll

Was Sie mit einer guten KI-Beratung selbst stemmen können: Inventar, Risikoklassifizierung als Selbsteinschätzung, Schulungen, Dokumentation, Transparenz-Hinweise einbauen, Prozesse für menschliche Aufsicht aufsetzen. Genau dafür gibt es uns.

Genau hier beginnt unser Projekt: der SDA (Secure Desktop Agent). Ein digitaler Mitarbeiter, entwickelt hier in der Steiermark, der den Computer genauso bedient wie ein Mensch — nur schneller, präziser und rund um die Uhr.

Was macht den SDA so besonders?

Während die meisten KI-Systeme in der Cloud leben und nur Worte austauschen, lebt der SDA auf Ihrem PC. Er sieht den Bildschirm, versteht Programme, klickt, tippt, navigiert — wie ein echter Mensch vor dem Monitor.

So arbeitet der SDA

1. Bildschirm-Verstehen (Vision)

Er erkennt Fenster, Buttons, Texte, Tabellen. Egal, ob Excel, Word, SAP oder eine alte Branchensoftware.

2. Maus- und Tastatur-Steuerung

Der Agent kann klicken, scrollen, tippen, Fenster verschieben, Programme öffnen — wie ein digitaler Assistent mit eigenen Händen.

3. Shell-Integration

Er führt Befehle aus wie ein IT-Profi: ping, git, pip install, Dateiverarbeitung, Netzwerkdiagnosen.

4. Office-Automation

Der SDA arbeitet in Word und Excel mit der Genauigkeit eines erfahrenen Mitarbeiters: Formulare, Tabellen, Reports, Auswertungen — vollautomatisch.

5. Sicherheits-Schleuse

Jeder gefährliche Befehl wird abgefangen. Der User bleibt jederzeit in der Kontrolle. Made in Austria bedeutet: lokal, datensicher, DSGVO-konform.

Konkrete Einsatzbeispiele

• Buchhaltung: Rechnungen sortieren, Excel-Reports erstellen
• IT: Netzwerk prüfen, Logfiles analysieren, Backups
• E-Commerce: Produkte vergleichen, Massenuploads
• Marketing: Leads recherchieren, Kampagnen vorbereiten

Warum der SDA die europäische Antwort auf KI ist

Europa braucht eine eigene Lösung. Eine lokale, sichere, transparente und unabhängige Technologie. Der SDA ist genau das: lokal, transparent, unternehmenssicher, unabhängig von US-Clouds.