Worum es geht — und der große Irrtum
Der EU AI Act (offiziell die Verordnung (EU) 2024/1689 über künstliche Intelligenz) ist der erste umfassende Rechtsrahmen der Welt für KI. Er verfolgt einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems für Sicherheit, Gesundheit oder Grundrechte, desto strenger die Anforderungen. Vier Risikoklassen gibt es — von „minimales Risiko“ (die meisten Anwendungen) über „begrenztes Risiko“ (Chatbots, KI-Inhalte) und „Hochrisiko“ (z. B. Bewerber-Screening) bis „verboten“ (etwa Social Scoring).
Und hier beginnt der Irrtum, der gerade durch LinkedIn und Zeitungen geistert: Artikel 50 der KI-Verordnung enthält keine allgemeine Pflicht, „alles, was mit KI entstand“, zu kennzeichnen. Stattdessen definiert er vier klar abgegrenzte Tatbestände mit unterschiedlichen Adressaten und mehreren Ausnahmen. Wer den Unterschied kennt, spart sich unnötige Hinweise — und erkennt zugleich die Stellen, an denen wirklich Handlungsbedarf besteht.
Der AI Act ist eine EU-Verordnung, kein Richtlinien-Vorschlag. Das heißt: Er gilt unmittelbar in allen Mitgliedstaaten, ein nationales Umsetzungsgesetz ist dafür nicht erforderlich. Die Pflichten treffen österreichische Unternehmen also direkt — unabhängig davon, ob das nationale Begleitgesetz schon final ist.
Der Zeitplan: was gilt, was kommt, was verschoben ist
Der AI Act greift stufenweise. Das ist der Stand für 2026:
- Seit Februar 2025: Verbotene KI-Praktiken (z. B. Social Scoring, manipulative Systeme) und die AI-Literacy-Pflicht (KI-Kompetenz der Mitarbeitenden).
- Seit August 2025: Pflichten für Anbieter von KI-Basismodellen (GPAI, z. B. OpenAI, Google, Anthropic) sowie Governance-Strukturen und der Strafrahmen.
- Seit 2. August 2026: Die Transparenzpflichten aus Artikel 50 — der für die meisten Unternehmen wichtigste Stichtag.
- Verschoben auf voraussichtlich Dezember 2027: Die Hochrisiko-Pflichten nach Anhang III (durch den „Digital Omnibus“).
Seit Mai 2026 hört man in fast jedem KI-Gespräch: „Das wurde doch alles verschoben.“ Das stimmt nur zur Hälfte. Verschoben wurden die Hochrisiko-Pflichten — also Bewerber-Screening, Kredit-Scoring und Ähnliches, was ein typisches österreichisches KMU selten betreibt. Die Transparenzpflichten nach Artikel 50 wurden NICHT verschoben. Anders gesagt: Verschoben wurde der Teil, den du vermutlich nicht hast. Was fast jedes Unternehmen mit Chatbot oder KI-Content betrifft, kam pünktlich.
Bist du betroffen? Die ehrliche Antwort
Ja — zumindest potenziell. Der AI Act unterscheidet nicht nach Unternehmensgröße. Auch Einzelunternehmer und KMU sind betroffen, sobald sie KI sichtbar einsetzen. Der springende Punkt ist nicht, ob du KI nutzt, sondern wie sichtbar nach außen.
Die gute Nachricht, und sie ist wichtig:
- Interne Nutzung (KI zum Recherchieren, Texten, Zusammenfassen) löst meist keine Transparenzpflicht aus — solange die Ergebnisse nicht ungeprüft veröffentlicht werden oder Kunden direkt mit dem System konfrontiert sind.
- Nach außen sichtbarer Einsatz (Website-Chatbot, KI-Kampagnenbilder, veröffentlichte KI-Texte) kann unter Artikel 50 fallen.
- Die meisten KMU-Anwendungen fallen unter minimales oder begrenztes Risiko — die echten Pflichten sind überschaubar, die Dokumentation aber nicht verhandelbar.
Die 4 Transparenzpflichten aus Artikel 50
Der Kern für dich. Diese vier Pflichten gelten seit 2. August 2026 — jede für einen anderen Fall:
-
KI-Interaktion offenlegenKI-Systeme, die direkt mit Menschen interagieren (Chatbots, KI-Telefonassistenten, automatisierte WhatsApp-Antworten), müssen sich als KI zu erkennen geben. Nutzer müssen wissen, dass sie nicht mit einem Menschen sprechen.Betrifft: fast jedes KMU mit Chatbot
-
Synthetische Inhalte maschinenlesbar markierenAnbieter generativer KI müssen ihre Ausgaben technisch, maschinenlesbar als künstlich erzeugt kennzeichnen. Diese Pflicht trifft primär die großen KI-Anbieter (OpenAI, Google, Anthropic) — nicht den normalen KMU-Anwender.Betrifft: KI-Anbieter, selten KMU
-
Emotionserkennung & Biometrie offenlegenWer KI zur Erkennung von Emotionen oder zur biometrischen Kategorisierung einsetzt, muss die betroffenen Personen darüber informieren. Für die meisten KMU nicht relevant — außer bei speziellen Anwendungen.Betrifft: Spezialfälle
-
Deepfakes & bestimmte KI-Texte kennzeichnenWer Deepfakes (täuschend echte KI-Bilder/-Videos/-Audios realer Personen oder Ereignisse) veröffentlicht, muss offenlegen, dass sie künstlich sind. Ebenso KI-generierte Texte zu Themen von öffentlichem Interesse, die ohne menschliche Prüfung publiziert werden.Betrifft: Marketing & Medien
Diese vier Pflichten können gleichzeitig auf dasselbe System zutreffen. Und alle Informationen müssen laut Art. 50 Abs. 5 klar, eindeutig und spätestens bei der ersten Interaktion bereitgestellt werden — und dabei die Barrierefreiheitsanforderungen erfüllen. Ein versteckter Hinweis im Impressum reicht also nicht.
Der häufigste Fall: dein Website-Chatbot
Für die allermeisten KMU ist Pflicht Nummer 1 die relevante: der Chatbot auf der Website. Wenn Besucher mit einem KI-Assistenten schreiben, müssen sie das wissen. Die Umsetzung ist erfreulich einfach:
Ein klarer Hinweis bei der ersten Interaktion genügt — etwa: „Sie chatten mit unserem KI-Assistenten.“ Kein juristisches Kleingedrucktes, keine Zusatzsoftware. Nur eine ehrliche, sichtbare Ansage.
Der AI Act sagt: Die Pflicht entfällt, wenn der KI-Charakter „offensichtlich“ ist. Klingt praktisch — ist aber eine Falle. Was für dich als Betreiber offensichtlich ist, ist es für den 60-jährigen Erstbesucher deiner Website nicht. Im Zweifel immer kennzeichnen. Ein kurzer Hinweis kostet nichts und schützt dich vor einer vermeidbaren Diskussion mit der Behörde. Die Beweislast liegt bei dir als Betreiber.
KI-Bilder & Deepfakes im Marketing
Hier wird es für Werbung und Content-Marketing konkret — und hier ist die häufigste Fehlannahme zu Hause. Nicht jedes KI-generierte Bild ist ein „Deepfake“ im Sinne des Gesetzes. Ein Deepfake ist laut AI Act ein KI-Inhalt, der wirklichen Personen, Orten oder Ereignissen ähnelt und fälschlicherweise als echt erscheinen würde.
Was das praktisch heißt:
- Ein abstraktes oder erkennbar künstliches KI-Bild (etwa eine stilisierte Illustration) ist in der Regel kein Deepfake.
- Ein fotorealistisches KI-Bild, das eine reale Situation oder Person vortäuscht, fällt unter die Deepfake-Kennzeichnungspflicht.
- Für künstlerische, kreative oder satirische Werke gibt es eine Erleichterung: Die Offenlegung darf so erfolgen, dass sie den Genuss des Werks nicht beeinträchtigt.
- Wichtig: Die Ausnahme für redaktionell geprüfte KI-Texte gilt nicht für Bilder. Ein fotorealistisches KI-Beitragsbild ist eigenständig nach den Deepfake-Regeln zu beurteilen.
Führe eine einfache, dokumentierte Redaktionsrichtlinie ein: Wer gibt KI-Inhalte frei, und wie wird gekennzeichnet? Für KI-Texte zu Sachthemen genügt oft die menschliche redaktionelle Prüfung mit klarer Verantwortlichkeit. Für fotorealistische KI-Bilder mit realem Bezug: kennzeichnen. Die EU stellt dafür sogar einheitliche Icons zur Kennzeichnung KI-generierter Inhalte bereit.
Strafen & die österreichische Aufsicht
Die oft zitierten 35 Millionen Euro bzw. 7 % Umsatz gelten nur für die schwersten Fälle — die verbotenen Praktiken. Für Verstöße gegen die Transparenzpflichten aus Artikel 50 liegt der Rahmen niedriger, aber ernst: bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes (für KMU gilt der jeweils niedrigere Betrag).
Wichtig zur Einordnung: Das sind Obergrenzen, keine Regelbeträge. Art, Schwere und Dauer des Verstoßes sowie die Unternehmensgröße müssen berücksichtigt werden. Für KMU und Kleinstunternehmen sind ausdrücklich reduzierte Bußgelder vorgesehen. Es geht dem Gesetzgeber erkennbar nicht darum, einen Salzburger Handwerksbetrieb für einen fehlenden Chatbot-Hinweis zu ruinieren — aber ignorieren sollte man die Pflicht trotzdem nicht.
Zentrale Informations- und Anlaufstelle ist die KI-Servicestelle bei der RTR (Rundfunk und Telekom Regulierungs-GmbH). Sie bietet einen laufend erweiterten FAQ-Katalog, Webinare und Orientierungshilfen. Die finale behördliche Zuständigkeit für die Aufsicht war zum Stichtag gesetzlich noch nicht vollständig fixiert; ein nationales Begleitgesetz ist in Ausarbeitung. Für datenschutzrelevante Aspekte soll die Datenschutzbehörde zuständig werden.
Dein To-do-Plan in 5 Schritten
So stellst du dich mit überschaubarem Aufwand sauber auf:
-
KI-Inventur machenListe alle KI-Systeme auf, die in deinem Unternehmen sichtbar zum Einsatz kommen: Website-Chatbot, KI-Telefonassistent, KI-Bildgenerator im Marketing, automatisierte Texterstellung. Das ist das Fundament — du kannst nur kennzeichnen, was du kennst.
-
Rollen & Pflichten klärenFür jedes System: Fällt es unter Art. 50? Bist du „Anbieter“ oder „Betreiber“? Achtung: Wer ein KI-System wesentlich anpasst oder für einen eigenen Zweck adaptiert, kann rechtlich zum „Anbieter“ mit mehr Pflichten werden.
-
Sichtbar kennzeichnenSetze die Offenlegung an jedem Berührungspunkt um: Chatbot-Hinweis bei der ersten Interaktion, Kennzeichnung fotorealistischer KI-Bilder mit realem Bezug. Klar, eindeutig, barrierefrei — nicht im Impressum versteckt.
-
Mitarbeitende schulen (AI Literacy)Die AI-Literacy-Pflicht gilt bereits seit Februar 2025: Mitarbeitende, die mit KI arbeiten, brauchen ein Grundverständnis. Eine kurze interne Schulung und klare Nutzungsregeln reichen für den Anfang — und sind Teil deines Nachweises.
-
DokumentierenHalte fest, welche Systeme du nutzt, wie du kennzeichnest und wer verantwortlich ist. Eine schlanke Redaktionsrichtlinie und ein kurzes internes KI-Regelwerk genügen. Die Dokumentation ist dein Nachweis gegenüber der Behörde — nicht verhandelbar, aber mit überschaubarem Aufwand machbar.
FAQ — Häufige Fragen zum EU AI Act
Der EU AI Act ist seit 1. August 2024 in Kraft und greift stufenweise. Verbotene Praktiken gelten seit Februar 2025, die GPAI-Pflichten seit August 2025. Der für die meisten Unternehmen wichtigste Stichtag ist der 2. August 2026: Seit diesem Tag gelten die Transparenzpflichten aus Artikel 50. Die Verordnung gilt unmittelbar in ganz Österreich, ein nationales Umsetzungsgesetz ist dafür nicht nötig.
Ja. Der AI Act unterscheidet nicht nach Unternehmensgröße. Auch Einzelunternehmer und KMU sind betroffen, sobald sie KI sichtbar einsetzen — etwa über einen Website-Chatbot oder veröffentlichte KI-Inhalte. Die gute Nachricht: Die meisten KMU-Anwendungen fallen unter minimales oder begrenztes Risiko und lösen nur Transparenzpflichten aus, nicht die aufwändigen Hochrisiko-Pflichten. Für KMU sind zudem reduzierte Bußgelder vorgesehen.
1) KI-Systeme, die direkt mit Menschen interagieren (z. B. Chatbots), müssen sich als KI zu erkennen geben. 2) Anbieter generativer KI müssen ihre Ausgaben maschinenlesbar als künstlich markieren. 3) Beim Einsatz von Emotionserkennung oder biometrischer Kategorisierung müssen Nutzer informiert werden. 4) Deepfakes und bestimmte KI-Texte zu Themen öffentlichen Interesses müssen offengelegt werden. Es gibt keine pauschale Kennzeichnungspflicht für „alles, was mit KI entstand“.
Ja, in der Regel. Wer ein KI-System betreibt, das direkt mit Menschen interagiert — Chatbot, KI-Telefonassistent, automatisierter WhatsApp-Service — muss sicherstellen, dass Nutzer wissen, dass sie mit einer KI sprechen. Ein Hinweis wie „Sie chatten mit unserem KI-Assistenten“ bei der ersten Interaktion genügt. Die Pflicht entfällt zwar, wenn der KI-Charakter offensichtlich ist — darauf sollte man sich aber nicht verlassen, weil die Beweislast beim Betreiber liegt.
Für Verstöße gegen Artikel 50 sieht der AI Act bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes vor (für KMU der jeweils niedrigere Betrag). Das sind Obergrenzen, keine Regelbeträge: Art, Schwere und Dauer des Verstoßes sowie die Unternehmensgröße werden berücksichtigt, für KMU gibt es reduzierte Bußgelder. Die höchsten Strafen (35 Mio. € / 7 %) gelten nur für verbotene Praktiken, nicht für Transparenzverstöße.
Nur teilweise. Der Digital Omnibus hat 2026 die Hochrisiko-Pflichten (z. B. Bewerber-Screening, Kredit-Scoring) voraussichtlich auf Dezember 2027 verschoben — also den Teil, den ein typisches KMU meist gar nicht betreibt. Die Transparenzpflichten aus Artikel 50 wurden NICHT verschoben und gelten seit 2. August 2026. Verschoben wurde der Teil, den die meisten nicht haben; was fast jedes Unternehmen mit Chatbot oder KI-Content betrifft, kam pünktlich.
Zentrale Informations- und Anlaufstelle ist die KI-Servicestelle bei der RTR (Rundfunk und Telekom Regulierungs-GmbH). Sie bietet einen laufend erweiterten FAQ-Katalog, Webinare und Orientierungshilfen. Die finale behördliche Zuständigkeit für die Aufsicht war zum Stichtag noch nicht vollständig gesetzlich fixiert; ein nationales Begleitgesetz ist in Ausarbeitung. Für datenschutzrelevante Aspekte soll künftig die Datenschutzbehörde zuständig sein.
Fazit: Kein Grund zur Panik — aber zum Handeln
Der EU AI Act ist für österreichische KMU deutlich weniger dramatisch, als die Schlagzeilen suggerieren — aber er ist real und gilt bereits. Der Schlüssel ist, den Mythos („alles muss gekennzeichnet werden“) vom Fakt (vier klar abgegrenzte Pflichten) zu trennen. Für die meisten Unternehmen läuft es auf wenige, machbare Schritte hinaus: Chatbot kennzeichnen, KI-Bilder mit realem Bezug offenlegen, Mitarbeitende schulen, das Ganze dokumentieren.
Wer das jetzt sauber aufsetzt, ist rechtlich auf der sicheren Seite — und sendet nebenbei ein gutes Signal: Transparenz im Umgang mit KI schafft Vertrauen bei Kunden. Genau das ist in einer Zeit, in der viele KI misstrauisch beäugen, ein echter Wettbewerbsvorteil. Compliance ist der Anlass, Vertrauen der eigentliche Gewinn.
Öffne deine Website und prüfe: Hast du einen Chatbot? Gibt er sich klar als KI zu erkennen — schon bei der ersten Nachricht? Nutzt du fotorealistische KI-Bilder mit realem Bezug ohne Hinweis? Wenn du hier eine Lücke findest, hast du deinen konkreten Startpunkt. Meist ist die Behebung eine Sache von Minuten, nicht von Wochen.
Hinweis: Dieser Artikel bietet eine allgemeine, sorgfältig recherchierte Orientierung zum Stand 6. August 2026 und ersetzt keine Rechtsberatung. Die Rechtslage — insbesondere der Digital Omnibus, das nationale Begleitgesetz und die behördliche Zuständigkeit — entwickelt sich laufend. Für die verbindliche Beurteilung deines Einzelfalls wende dich an eine spezialisierte Rechtsanwältin bzw. einen Rechtsanwalt oder die KI-Servicestelle der RTR. Maßgeblich sind der Verordnungstext (EU) 2024/1689 und die offiziellen Auskünfte der zuständigen Stellen.
