EU AI Act
Der EU AI Act ist kein Spezialgesetz für IT-Abteilungen, sondern ein Führungs- und Geschäftsrisikothema.
Auch wer KI (wie ChatGPT, Copilot, Gemini usw.) „nur nutzt“, kann unmittelbar Pflichten auslösen.
Für viele Unternehmen ist der AI Act bereits heute relevant. Seit 2. Februar 2025 gelten die Verbote bestimmter KI-Praktiken sowie die Pflicht zur AI Literacy. Anbieter und Betreiber müssen sicherstellen, dass Mitarbeitende und andere Personen, die in ihrem Auftrag mit KI arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen. Für Geschäftsleitungen bedeutet das: Schulung, interne Regeln, Zuständigkeiten und dokumentierte Awareness sind keine Kür mehr, sondern Teil der Sorgfaltspflicht.
Der EU AI Act schafft einen einheitlichen Rechtsrahmen dafür, unter welchen Bedingungen KI-Systeme und General-Purpose-AI-Modelle in der EU entwickelt, auf den Markt gebracht, in Betrieb genommen und verwendet werden dürfen. Er gilt nicht nur für Anbieter, sondern auch für Unternehmen, die KI in der EU einsetzen.
Entscheidend ist: Der AI Act verbietet nicht „KI an sich“, sondern ordnet KI nach Risiko. Es gibt verbotene Praktiken, Hochrisiko-KI, KI mit Transparenzpflichten sowie Anwendungen mit minimalem oder keinem Risiko. Gerade deshalb ist Compliance Chefsache: Die Unternehmensleitung muss wissen, welche KI-Systeme im Unternehmen eingesetzt werden, wofür sie verwendet werden und in welche Risikokategorie sie fallen. Ohne diese Einordnung ist rechtskonformer Einsatz faktisch nicht steuerbar.
Besonders relevant ist der Act bei Hochrisiko-KI. Dazu zählen unter anderem Systeme in Beschäftigung und Recruiting, beim Zugang zu wesentlichen privaten oder öffentlichen Dienstleistungen, in biometrischen Anwendungen, in Bildung, bei sicherheitsrelevanten Produktkomponenten oder in kritischer Infrastruktur. Für diese Systeme gelten strenge Anforderungen, etwa an Risikomanagement, Datenqualität, Protokollierung, technische Dokumentation, menschliche Aufsicht sowie Robustheit, Cybersicherheit und Genauigkeit. Diese Vorgaben gelten grundsätzlich ab 2. August 2026, für bestimmte regulierte Produkte ab 2. August 2027.
Auch außerhalb des Hochrisiko-Bereichs bestehen Pflichten. Bestimmte KI-Systeme unterliegen Transparenzanforderungen, etwa wenn Menschen mit einem KI-System interagieren oder KI-generierte Inhalte gekennzeichnet werden müssen. Diese Anforderungen werden ab 2. August 2026 relevant. Für Anbieter von General-Purpose-AI-Modellen gelten bereits seit 2. August 2025 zusätzliche Vorgaben wie technische Dokumentation, Copyright-Policy und eine öffentliche Zusammenfassung der Trainingsinhalte; bei Modellen mit systemischem Risiko kommen weitere Pflichten wie Risikominderung und Incident Reporting hinzu.
Wer KI ohne Inventar, Klassifizierung, Schulung, Freigaberegeln und dokumentierte Verantwortlichkeiten einsetzt, baut gleichzeitig Rechts-, Audit-, Beschaffungs- und Reputationsrisiken auf. Der AI Act macht KI damit zu einem Thema für Geschäftsführung, Compliance, HR, Einkauf, Vertrieb und Kommunikation zugleich. Das ist gerade für kleinere Unternehmen relevant, weil dieselben regulatorischen Grundfragen mit weniger Ressourcen gelöst werden müssen. Diese Schlussfolgerung ergibt sich direkt aus dem risikobasierten Aufbau des Gesetzes und den Pflichten für Anbieter und Betreiber.
Hinzu kommen erhebliche Sanktionsrisiken. Je nach Verstoß sieht die Verordnung Geldbußen von bis zu 35 Mio. EUR oder 7%, 15 Mio. EUR oder 3% sowie 7,5 Mio. EUR oder 1,5% des weltweiten Jahresumsatzes vor. Für KMU und Start-ups gilt dabei kein Freibrief.
Der EU AI Act verlangt nicht, dass Unternehmen auf KI verzichten. Er verlangt, dass KI bewusst, klassifiziert, geschult, dokumentiert und kontrolliert eingesetzt wird. Wer das ignoriert, riskiert nicht nur Rechtsverstöße, sondern schwächt auch die eigene Vertrauenswürdigkeit, Beschaffungsfähigkeit und Skalierbarkeit.
Wir unterstützen Sie dabei rasch zu klären, ob Ihr Unternehmen direkt oder indirekt betroffen ist, welche Maßnahmen jetzt wirklich notwendig sind und wie Sie die Anforderungen pragmatisch und nachvollziehbar umsetzen - bevor Kunden, Behörden oder ein Sicherheitsvorfall Sie dazu zwingen.
Sichern Sie sich ab: lassen Sie uns klären, ob Sie vom EU AI Act betroffen sind
Vom EU AI Act ist man schneller betroffen als man glaubt. Künstliche Intelligenz ist mittlerweile schon oft in Systemen integriert und damit immer häufiger in Gebrauch.
Unabhängig von der gesetzlichen Vorgabe der Schulung ist die Aufklärung über die Risiken und Gefahren beim KI-Gebrauch, auch hinsichtlich Datenschutzverletzung, eine Schulung mit Mehrwert.
Für gewöhnlich können ganze Teams und Mitarbeitergruppen auf einmal geschult werden. Dabei setze ich auf praxisnahe und reale Szenarien und Beispiele.
Kontaktieren Sie mich für ein unverbindliches Erstgespräch.
Wobei SUDO Sie auch unterstützen kann
Präzision in der Beratung für IT-Recht, KI-Compliance und strategische Cyber-Sicherheit, maßgeschneidert für den österreichischen Mittelstand.
Neue und aktuelle Gesetzte & Normen
Mehrere Cybersecurity-Vorgaben in Österreich verpflichten Unternehmen zum eigenständigen Handeln. Eine behördliche Verständigung bleibt aus – Verantwortung und Haftung liegen bei der Geschäftsführung. Wer die Anforderungen nicht rechtzeitig umsetzt, riskiert Strafen in Millionenhöhe.
Die größte Gefahr ist nicht Feuer oder Einbruch
Die größte Gefahr für österreichische Unternehmen, weit vor Feuer- oder Einbruchsschäden, sind Cyberangriffe. Dabei geht es nicht um die Frage, ob ein Cyber-Vorfall eintritt, sondern wann dieser passiert.
Was Künstliche Intelligenz (AI) schon jetzt kann
Die Fähigkeiten von LLM-Chatbots wie ChatGPT sind beeindruckend – und zugleich nur die Spitze des Eisbergs: Bereits heute ermöglichen frei verfügbare KI-Tools deutlich weitreichendere Anwendungen.