AI Act: Was du seit 2026 für ChatGPT & Co. wissen musst

Der AI Act ist da. Und jetzt?

Seit dem 2. August 2026 ist der EU AI Act vollständig in Kraft. Vielleicht hast du in den letzten Jahren immer wieder davon gehört, das Thema aber als „Zukunftsmusik“ für große Tech-Konzerne abgetan. Diese Zeit ist vorbei. Das Gesetz ist jetzt Realität und betrifft praktisch jedes Unternehmen in Österreich, das KI-Werkzeuge wie ChatGPT, Microsoft Copilot, Midjourney oder auch nur intelligente Software-Features nutzt.

Die entscheidende Frage ist nicht mehr, ob du KI einsetzt, sondern wie. Ein planloser Umgang mit diesen mächtigen Werkzeugen ist keine Option mehr. Er ist ein handfestes Geschäftsrisiko, das dich teuer zu stehen kommen kann – durch Strafen, aber auch durch den Verlust von Kundenvertrauen. Dieser Beitrag ist kein juristisches Gutachten, sondern ein unternehmerischer Leitfaden. Wir zeigen dir klar und direkt, was der AI Act für dein KMU bedeutet und wie du die neuen Regeln pragmatisch umsetzt.

Das Problem: Unwissenheit schützt vor Strafe nicht

Das Kernproblem für viele KMU ist die falsche Annahme, der AI Act betreffe nur die Entwickler von KI-Systemen wie OpenAI oder Google. Das ist ein gefährlicher Irrtum. Das Gesetz unterscheidet klar zwischen Anbietern (Provider) und Anwendern (Deployer) – und als Unternehmen, das ein KI-Tool für geschäftliche Zwecke nutzt, fällst du in die zweite Kategorie.

Der AI Act teilt KI-Anwendungen in Risikoklassen ein:

• Verbotene Praktiken: Diese sind komplett untersagt (z.B. Social Scoring durch Staaten).
• Hochrisiko-Anwendungen (High-Risk): Hier gelten die strengsten Regeln. Das betrifft Systeme in kritischen Bereichen wie Personalwesen (CV-Screening-Tools), Kreditwürdigkeitsprüfung oder medizinische Diagnostik.
• Anwendungen mit begrenztem Risiko (Limited-Risk): Hier geht es vor allem um Transparenz. Chatbots oder mit KI erzeugte Bilder und Texte müssen als solche gekennzeichnet werden.
• Anwendungen mit minimalem Risiko: Der Großteil der heute gängigen KI-Anwendungen (z.B. Spamfilter, KI in Videospielen). Hier gibt es kaum neue Pflichten.

Der Denkfehler vieler Unternehmer: Sie sehen nur das Tool (z.B. ChatGPT), aber nicht den Anwendungsfall. Wenn du ein Allzweck-KI-Tool wie ChatGPT für einen Hochrisiko-Zweck einsetzt – zum Beispiel, um Bewerbungen automatisch zu bewerten und eine Vorauswahl zu treffen – dann wirst DU als Anwender für die Einhaltung der Hochrisiko-Vorschriften verantwortlich. Plötzlich musst du Dinge wie menschliche Aufsicht, technische Dokumentation und Risikomanagement nachweisen.

Die wirtschaftlichen Auswirkungen: Mehr als nur eine Strafe

Die Strafen für Verstöße gegen den AI Act sind drastisch und bewusst abschreckend gestaltet. Sie können bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes betragen. Für ein KMU kann das existenzbedrohend sein.

Doch die direkten Geldstrafen sind nur ein Teil des Risikos. Die wirtschaftlichen Folgen gehen viel weiter:

• Reputationsschaden: Wenn bekannt wird, dass dein Unternehmen KI unverantwortlich einsetzt – zum Beispiel Bewerber diskriminiert oder Kundendaten falsch verarbeitet –, ist der Vertrauensverlust enorm. In der regionalen Wirtschaft, wo der gute Ruf alles ist, wiegt das oft schwerer als die Strafe selbst.
• Haftungsrisiken: Kunden oder Bewerber, die sich durch deine KI-Systeme benachteiligt fühlen, können auf Schadenersatz klagen. Der AI Act gibt ihnen dafür neue rechtliche Grundlagen.
• Verlorene Aufträge: Immer mehr Geschäftskunden und öffentliche Auftraggeber werden von ihren Lieferanten den Nachweis der AI-Act-Konformität verlangen. Wer das nicht liefern kann, verliert Aufträge.
• Innovationsbremse durch Angst: Die größte Gefahr ist vielleicht, aus Angst vor den Regeln komplett auf den Einsatz von KI zu verzichten. Damit überlässt du das Feld dem Wettbewerb, der lernt, diese Werkzeuge sicher und effizient zu nutzen. Das ist der sichere Weg in die technologische Bedeutungslosigkeit.

Typische Denkfehler, die dich teuer zu stehen kommen

In Gesprächen mit Unternehmern hören wir immer wieder dieselben Missverständnisse. Prüfe ehrlich, ob du dich hier wiedererkennst:

1. „Das betrifft nur die Großen in Amerika.“ Falsch. Der AI Act gilt nach dem Marktortprinzip. Sobald ein KI-System in der EU eingesetzt wird, greift das Gesetz – egal, wo der Anbieter sitzt. Und wie gesagt: Die Pflichten treffen dich als Anwender direkt in Niederösterreich.

2. „Wir nutzen ja nur die kostenlose Version von ChatGPT für Marketingtexte.“ Falsch. Sobald du ein Tool im unternehmerischen Kontext einsetzt, bist du „Anwender“. Auch für Marketingtexte gilt die Transparenzpflicht: Du musst kenntlich machen, dass der Inhalt KI-generiert ist, wenn die Gefahr besteht, dass Menschen getäuscht werden.

3. „Der Anbieter des Tools ist doch für die Compliance verantwortlich.“ Nur zum Teil. Der Anbieter muss sein System konform gestalten und Informationen bereitstellen. Du als Anwender hast aber eigene Pflichten: Du musst das System gemäß der Anleitung nutzen, die Ergebnisse überwachen (insbesondere bei Hochrisiko-Anwendungen) und deine eigene Risikobewertung für deinen spezifischen Anwendungsfall durchführen.

4. „Wir warten erstmal ab, die Behörden kontrollieren uns kleine Fische eh nicht.“ Eine riskante Wette. Die zuständigen nationalen Behörden werden aufgebaut und werden Kontrollen durchführen. Oft sind es nicht die Behörden, die den Stein ins Rollen bringen, sondern unzufriedene Kunden, abgelehnte Bewerber oder Konkurrenten. Proaktiv handeln ist immer günstiger als reaktiv einen Schaden zu begrenzen.

Die Lösung: Ein systematischer Ansatz für KI-Compliance

Compliance mit dem AI Act ist kein Hexenwerk. Es erfordert keinen Vollzeit-Juristen, sondern einen strukturierten, unternehmerischen Prozess. Betrachte es wie die Einführung eines Qualitätsmanagementsystems.

Schritt 1: Inventarisierung – Was ist überhaupt im Einsatz? Erstelle eine einfache Liste aller KI-Anwendungen, die in deinem Unternehmen genutzt werden. Frage deine Mitarbeiter. Du wirst überrascht sein, was alles im Einsatz ist – von der Texterstellung über die Bildgenerierung bis zu Analyse-Funktionen in deiner CRM-Software.

Schritt 2: Risikobewertung – Wofür wird es genutzt? Gehe die Liste durch und bewerte jeden einzelnen Anwendungsfall. Die entscheidende Frage lautet: Welche Auswirkungen hat eine Fehlfunktion der KI auf Menschen? Das Bewerten von Bewerbungen ist heikel (potenziell Hochrisiko). Das Erstellen eines Social-Media-Posts ist unkritisch (minimales/begrenztes Risiko).

Schritt 3: Maßnahmen umsetzen – Die Regeln anwenden Leite aus der Risikobewertung konkrete Maßnahmen ab:

• Hochrisiko: Prüfe, ob du diesen Anwendungsfall wirklich brauchst. Wenn ja: Hol dir professionelle Beratung. Stelle menschliche Aufsicht sicher und dokumentiere alles lückenlos.
• Begrenztes Risiko: Implementiere Transparenz. Kennzeichne Chatbots und KI-generierte Inhalte klar und unmissverständlich.
• Minimales Risiko: Hier ist meist kein Handlungsbedarf nötig. Definiere aber trotzdem, dass keine sensiblen Firmen- oder Kundendaten in öffentliche Tools eingegeben werden dürfen.

Schritt 4: Dokumentieren und Schulen – Wissen im Unternehmen verankern Halte deine Inventarliste und deine Risikobewertungen schriftlich fest. Erstelle eine einfache KI-Nutzungsrichtlinie für alle Mitarbeiter. Schule dein Team regelmäßig. Compliance ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess.

Praktische Handlungsempfehlungen für dein KMU

Du musst nicht alles auf einmal tun. Fang heute mit diesen konkreten Schritten an:

• KI-Inventar erstellen: Nimm dir eine Stunde Zeit und erstelle eine Excel-Liste: Welche Abteilung nutzt welches Tool für welchen Zweck?
• Verantwortlichen benennen: Bestimme eine Person in deinem Team, die das Thema „KI-Compliance“ federführend betreut. Das muss jemand sein, der die Prozesse im Unternehmen versteht.
• Klare Nutzungsrichtlinie definieren: Formuliere 2-3 einfache Regeln. Zum Beispiel: „Keine Eingabe von personenbezogenen Daten oder Geschäftsgeheimnissen in öffentliche KI-Tools.“ Oder: „Alle von KI erstellten Bilder und Texte für die externe Kommunikation müssen als solche gekennzeichnet werden.“
• Anbieter-Dokumentation prüfen: Wenn du bezahlte Dienste wie Microsoft Copilot nutzt, schau in die bereitgestellten Unterlagen. Seriöse Anbieter geben dort Hinweise zur Konformität mit dem AI Act.
• Hilfe holen, wo nötig: Wenn du unsicher bist, besonders bei der Einstufung von Risiken, investiere in eine externe Beratung. Ein Workshop oder eine kurze Analyse durch einen Experten ist deutlich günstiger als die erste Strafe.

Der AI Act ist kein Hindernis, sondern ein Geländer auf dem Weg zur digitalen Transformation. Er schafft klare Regeln und damit Vertrauen. Unternehmen, die jetzt lernen, sich souverän und sicher in diesem neuen Rahmen zu bewegen, verschaffen sich einen entscheidenden Wettbewerbsvorteil.