AI Act in Österreich: Diese Pflichten gelten für Unternehmen ab August 2026

17. Juli 20269 min Lesezeit

Ab 2. August 2026 wird der AI Act durchgesetzt: KI-Kompetenz-Pflicht, Kennzeichnung, Strafen — was österreichische Unternehmen jetzt tun müssen, inkl. Checkliste und Förderung.

Am 2. August 2026 beginnt die Durchsetzung des AI Act — und betroffen ist nicht, wer KI entwickelt, sondern jedes Unternehmen, das KI nutzt. Auch eures, wenn im Team ChatGPT, Copilot oder ein Chatbot auf der Website läuft.

Dieser Artikel fasst zusammen, welche Pflichten ab wann gelten, was die EU im Juni 2026 noch einmal geändert hat (Achtung: viele ältere Ratgeber sind dadurch überholt), welche Strafen drohen und was ihr jetzt konkret tun solltet. Rechtsstand: Juli 2026. Dieser Artikel ist eine redaktionelle Zusammenfassung öffentlicher Quellen und ersetzt keine Rechtsberatung.

Das Wichtigste in 30 Sekunden

Seit 2. Februar 2025: Verbotene KI-Praktiken (z. B. Emotionserkennung am Arbeitsplatz) sind untersagt. Artikel 4 verpflichtet Unternehmen, die KI-Kompetenz ihrer Mitarbeiter sicherzustellen.
Ab 2. August 2026: Die Transparenzpflichten (Artikel 50) gelten: Chatbots müssen als KI erkennbar sein, Deepfakes und bestimmte KI-generierte Texte müssen offengelegt werden. Zugleich startet die Marktüberwachung.
Ab 2. Dezember 2027: Pflichten für Hochrisiko-KI — etwa Bewerber-Screening im Recruiting. Ursprünglich für August 2026 geplant, im Juni 2026 verschoben.
Kein Zertifikat nötig — die EU-Kommission empfiehlt aber, Schulungen zu dokumentieren: wer, wann, welche Inhalte.
Strafen: je nach Verstoß bis 35 Mio. Euro oder 7 % des Weltumsatzes. Für KMU gilt der jeweils niedrigere Betrag.

Der AI Act gilt auch für euch — nicht nur für Tech-Konzerne

Der AI Act (Verordnung (EU) 2024/1689) ist eine EU-Verordnung und gilt damit direkt in Österreich, ohne eigenes österreichisches Umsetzungsgesetz. Er unterscheidet zwei Rollen: Anbieter, die KI-Systeme entwickeln oder vertreiben — und Betreiber, die KI-Systeme beruflich nutzen.

Die zweite Rolle ist die, die fast jedes österreichische Unternehmen betrifft. Betreiber ist nach der Verordnung, wer KI-Systeme beruflich einsetzt. Typische Beispiele:

Mitarbeiter mit ChatGPT, Copilot oder Gemini Texte, Mails oder Angebote entwerfen,
auf eurer Website ein KI-Chatbot Kundenfragen beantwortet,
ihr KI-generierte Bilder oder Texte veröffentlicht,
ein Tool im Recruiting Bewerbungen vorsortiert.

Eine Untergrenze bei der Mitarbeiterzahl gibt es nicht. Der Zwei-Personen-Betrieb fällt genauso darunter wie der Konzern — nur die Pflichten skalieren mit dem Risiko dessen, was ihr einsetzt.

Juni 2026: Die EU hat den Zeitplan geändert — viele Ratgeber sind veraltet

Im Juni 2026 hat die EU mit dem sogenannten Digital Omnibus den AI Act nachjustiert (finale Zustimmung des Rats am 29. Juni 2026). Die wichtigste Änderung: Die Pflichten für Hochrisiko-KI, die ursprünglich am 2. August 2026 starten sollten, wurden auf den 2. Dezember 2027 verschoben.

Was nicht verschoben wurde: die Durchsetzung der KI-Kompetenz-Pflicht (Artikel 4) und die Transparenzpflichten (Artikel 50). Beides startet wie geplant am 2. August 2026.

Das heißt konkret: Wer euch heute erzählt, ab August 2026 müsstet ihr Hochrisiko-Pflichten für euer Recruiting-Tool erfüllen, arbeitet mit veralteten Informationen. Und wer meint, das Thema sei komplett auf 2027 verschoben, übersieht die zwei Pflichten, die in wenigen Wochen kontrollierbar werden.

Die Fristen im Überblick

Datum	Was gilt	Wen es trifft
2. Feb 2025	Verbotene Praktiken + KI-Kompetenz-Pflicht (Art. 4)	Alle Unternehmen, die KI einsetzen
2. Aug 2025	Pflichten für KI-Modell-Anbieter, Strafrahmen	OpenAI, Google & Co — nicht KMU
2. Aug 2026	Durchsetzung: KI-Kompetenz + Kennzeichnung (Art. 50)	Alle Unternehmen, die KI einsetzen
2. Dez 2026	Übergangsfrist für Wasserzeichen in KI-Tools endet	Tool-Anbieter; prüft eure Tools
2. Dez 2027	Hochrisiko-Pflichten (z. B. KI im HR)	Betreiber von Hochrisiko-Systemen

Pflicht 1: KI-Kompetenz im Team (Artikel 4)

Artikel 4 verlangt, dass alle Personen, die im Auftrag des Unternehmens mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen — abgestimmt auf ihre Rolle und den Einsatzzweck. Laut den FAQ der EU-Kommission zählen dazu ausdrücklich auch externe Dienstleister und Auftragnehmer.

Was „ausreichend" heißt, hängt vom Einsatz ab. Als Minimum nennt die Kommission: verstehen, was KI ist, wie das Unternehmen sie einsetzt, welche Risiken bestehen (etwa Halluzinationen) — und wie man damit umgeht. Ein Tool-Handbuch auszuteilen reicht nach Ansicht der Kommission nicht.

Zwei Punkte werden dabei ständig missverstanden:

1. Es gibt keine Zertifikatspflicht. Weder eine Prüfung noch ein bestimmtes Kursformat ist vorgeschrieben. Auch die österreichische KI-Servicestelle bei der RTR stellt klar: kein verpflichtendes Zertifikat, kein „KI-Beauftragter" nötig.

2. Ohne Dokumentation nützt die beste Schulung wenig. Die Kommission empfiehlt interne Aufzeichnungen über die Schulungsmaßnahmen, die im Fall einer Prüfung als Nachweis dienen können. Praktisch heißt das: ein Schulungsverzeichnis mit Namen, Datum und Inhalten.

Jenseits der Verordnung gibt es einen handfesten Grund für Schulungen: Geschulte Mitarbeiter erkennen Fehler wie halluzinierte Angaben, bevor sie in einem Angebot oder auf der Website landen.

Pflicht 2: Kennzeichnung (Artikel 50) — Chatbots und KI-Inhalte

Ab 2. August 2026 gelten die Transparenzpflichten. Das steht in der Verordnung:

Chatbots: KI-Systeme, die direkt mit Menschen interagieren, müssen laut Art. 50 Abs. 1 so gestaltet sein, dass Nutzer erkennen, dass sie mit einer KI sprechen — außer es ist aus dem Kontext offensichtlich. Die Design-Pflicht trifft den Anbieter des Systems; prüft mit eurem Chatbot-Anbieter, ob euer Chat-Fenster einen klaren KI-Hinweis zeigt.
Deepfakes: Betreiber müssen laut Art. 50 Abs. 4 offenlegen, wenn KI-erzeugte oder -manipulierte Bilder, Videos oder Audioinhalte reale Personen, Orte oder Ereignisse täuschend echt darstellen.
KI-generierte Texte: Die Offenlegungspflicht gilt laut Verordnung für Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Sie entfällt laut Verordnung, wenn der Inhalt menschlich geprüft wurde und eine natürliche oder juristische Person die redaktionelle Verantwortung trägt.

Anbieter von KI-Tools müssen Inhalte maschinenlesbar markieren (Wasserzeichen) — diese Pflicht trifft die Tool-Anbieter. Für Tools, die vor August 2026 auf dem Markt waren, endet die Übergangsfrist laut Digital Omnibus am 2. Dezember 2026. Prüft, ob eure Tools das unterstützen.

Ob und wie eure konkreten Inhalte unter diese Pflichten fallen, ist eine Frage des Einzelfalls. Die Entwurfs-Leitlinien der EU-Kommission zu Art. 50 geben Orientierung — verbindlich beantworten kann das nur eine spezialisierte Kanzlei.

Die Risikoklassen — kurz erklärt

Der AI Act sortiert KI-Systeme nach Risiko. Für die Einordnung eures Unternehmens reicht meist dieser Überblick:

Verboten (seit Feb 2025): Social Scoring, manipulative Techniken, Emotionserkennung am Arbeitsplatz, biometrische Kategorisierung sensibler Merkmale. Finger weg — hier greift der höchste Strafrahmen.
Hochrisiko (Pflichten ab Dez 2027): KI mit Einfluss auf existenzielle Entscheidungen — Bewerber-Screening und Kündigungsentscheidungen, Kreditvergabe, Bildungszugang. Als Betreiber treffen euch dann Pflichten wie menschliche Aufsicht, Protokollierung und geschultes Personal.
Begrenztes Risiko (Kennzeichnung ab Aug 2026): Chatbots, KI-generierte Inhalte — siehe oben.
Minimales Risiko: Spamfilter, Rechtschreibkorrektur, die meisten internen Produktivitäts-Tools. Keine eigenen Pflichten — die KI-Kompetenz-Pflicht aus Artikel 4 gilt aber für jede KI-Nutzung.

Strafen: hohe Rahmen, aber eine KMU-Regel

Die Strafrahmen des AI Act (Artikel 99) sind bewusst abschreckend angesetzt:

Verbotene Praktiken: bis 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes — der höhere Betrag zählt.
Die meisten anderen Verstöße, inklusive der Kennzeichnungspflichten: bis 15 Mio. Euro oder 3 %.
Falsche Angaben gegenüber Behörden: bis 7,5 Mio. Euro oder 1 %.

Für KMU und Start-ups gilt der jeweils niedrigere der beiden Beträge — eine echte Entlastung, die in vielen Schlagzeilen untergeht. Zur Einordnung: Die EU-Kommission stellt in ihren FAQ klar, dass Artikel 99 für Verstöße gegen die KI-Kompetenz-Pflicht (Artikel 4) keinen eigenen Bußgeldtatbestand vorsieht — die Aufsicht darüber läuft über die allgemeine Marktüberwachung. Und: Soweit öffentlich bekannt, gibt es Stand Juli 2026 noch keine rechtskräftig verhängte AI-Act-Strafe. Die Behörden starten im August — wer jetzt handelt, ist vor der ersten Welle fertig.

Wer kontrolliert das in Österreich?

Erste Anlaufstelle ist die KI-Servicestelle bei der RTR (seit September 2024, auf Basis des KI-Servicestelle-Gesetzes). Sie informiert, beantwortet Anfragen von Unternehmen und bereitet die Marktüberwachung vor — sie ist aber Service-, nicht Strafbehörde.

Die formale Zuständigkeit für die Marktüberwachung wurde in Österreich Mitte 2026 noch final geregelt (ein Begleitgesetz war im Frühjahr 2026 in der letzten Phase). Erwartet wird eine Aufteilung auf bestehende Behörden — etwa die Datenschutzbehörde für personenbezogene Bereiche wie HR. Für eure To-dos ändert die Behördenfrage nichts: Die Pflichten stehen fest, nur der Absender der Kontrolle wurde noch sortiert.

Checkliste: 6 Schritte bis zum 2. August

KI-Inventar erstellen. Welche Tools nutzt das Team — offiziell und inoffiziell? Auch die Schatten-KI zählt.
Betroffenheit einschätzen. Chatbot? KI-Inhalte? KI im HR? Unser KI-Check gibt euch in zwei Minuten eine erste Orientierung.
Team schulen — rollenbasiert. Anwender brauchen anderes als Führungskräfte oder IT. Eine KI-Schulung mit Workshop deckt beides ab.
Schulung dokumentieren. Wer, wann, welche Inhalte — die EU-Kommission empfiehlt solche Aufzeichnungen als Nachweis.
Kennzeichnung prüfen. KI-Hinweis im Chatbot mit dem Anbieter klären; für KI-Inhalte einen Prüfprozess aufsetzen, der die Fälle aus Artikel 50 abdeckt.
KI-Richtlinie festlegen. Nicht vorgeschrieben, aber von der WKO empfohlen: welche Tools sind erlaubt, welche Daten tabu, wer gibt frei.

Förderung: Der Bund zahlt bis zu 50 % der Schulung

Was viele nicht wissen: KI-Weiterbildung wird 2026 gefördert. Die FFG Skills Schecks 2026 übernehmen 50 % der Kosten externer Weiterbildung — bis zu 5.000 Euro pro Mitarbeiter:in, maximal 5 Schecks pro Unternehmen. KI steht ausdrücklich auf der Liste der geförderten Schlüsseltechnologien.

Zwei Dinge sind zu beachten: Der Antrag muss vor Schulungsbeginn über den FFG eCall gestellt werden, und eingereicht werden kann bis 15. Dezember 2026 — solange Budget vorhanden ist. Für Wiener Betriebe gibt es ergänzend das waff-Bildungskonto, für Beschäftigte die AMS-Qualifizierungsförderung.

Rechenbeispiel: Ein Workshop-Tag plus Online-Kurs für fünf Mitarbeiter — davon zahlt ihr mit Skills Scheck effektiv die Hälfte.

AI-Act-fit mit Blue Monkeys

Wir arbeiten seit 2022 selbst täglich mit KI — von der Automatisierung bis zum Chatbot — und schulen Teams so, wie wir es selbst gelernt haben: an echten Prozessen statt an Folien.

Unser Programm besteht aus drei Bausteinen: Online-Kurs für die Grundlagen im eigenen Tempo, kostenloses Erstgespräch zur Einordnung, wo ihr steht und was ihr zuerst angehen solltet und ein ein- bis zweitägiger Workshop bei euch im Haus — inklusive gemeinsamer KI-Richtlinie und der fertigen Schulungsdokumentation für den Nachweis. Die rechtliche Bewertung eures Einzelfalls ist Sache einer spezialisierten Kanzlei — wir übernehmen Schulung, Prozesse und Dokumentation.

Der erste Schritt kostet nichts: Macht den KI-Check oder bucht direkt ein Erstgespräch. Bis zum 2. August ist noch Zeit — aber nicht mehr viel.

Dieser Beitrag ist eine redaktionelle Zusammenfassung öffentlich zugänglicher Quellen (Verordnung (EU) 2024/1689 inkl. Digital Omnibus, FAQ der EU-Kommission, KI-Servicestelle der RTR, FFG). Er dient der allgemeinen Information und stellt keine Rechtsberatung dar. Blue Monkeys ist eine Marketing-Agentur und erbringt keine Rechtsdienstleistungen. Für die rechtliche Bewertung eures konkreten Falls wendet euch an eine auf IT- und KI-Recht spezialisierte Kanzlei. Stand: Juli 2026.