Der EU AI Act in Österreich
Die Pflichten sind dieselben wie in Deutschland: der AI Act ist eine Verordnung und gilt unmittelbar, ohne nationales Umsetzungsgesetz. Österreichisch ist nicht das Was, sondern das Wer — welche Stelle zuständig ist und wen Sie fragen. Und dieser Teil ist weniger geklärt, als viele Darstellungen vermuten lassen.
Warum braucht es kein österreichisches KI-Gesetz?
Eine EU-Verordnung wirkt unmittelbar. Anders als bei einer Richtlinie muss der Gesetzgeber sie nicht in nationales Recht übertragen, damit sie Unternehmen bindet. Für Sie heißt das: die Pflicht zur KI-Kompetenz, die Transparenzpflichten und die Anforderungen an Hochrisiko-Systeme gelten in Wien wie in Stuttgart, im selben Wortlaut und zu denselben Terminen.
National zu regeln bleiben Zuständigkeiten, Verfahren und Strafrahmen — also wer überwacht, wie ein Verfahren abläuft und in welcher Höhe Strafen verhängt werden. Das ist für die Frage „was müssen wir tun“ zweitrangig und für die Frage „was passiert, wenn wir es nicht tun“ entscheidend.
Die praktische Folge wird oft falsch gezogen: aus einer offenen Zuständigkeitsfrage wird geschlossen, es sei noch nichts zu tun. Das Gegenteil trifft zu — die Pflichten laufen bereits, nur die Adresse für Beschwerden ist unklar.
Wer ist in Österreich wofür zuständig?
Hier lohnt sich Genauigkeit, weil viele Beiträge Zuständigkeiten behaupten, die die Stellen selbst nicht für sich in Anspruch nehmen.
KI-Servicestelle in der RTR
Beschreibt sich selbst als „Ansprechpartner und Informationshub“ zum Thema KI. Rechtsgrundlage sind § 20c KOG und § 194a TKG. Eine Zuständigkeit für Beschwerden oder Sanktionen nach dem AI Act nennt sie nicht.
Datenschutzbehörde
Zuständig für die Verarbeitung personenbezogener Daten. Dieser Teil ist unabhängig vom AI Act geregelt und war es schon vorher — für die meisten KI-Vorhaben im Unternehmen die praktisch nähere Behörde.
Sektorale Aufsicht
Finanz-, Medizinprodukte- und Produktsicherheitsaufsicht bleiben in ihren Bereichen zuständig. Wo KI in einem regulierten Produkt steckt, greift die dortige Aufsicht unabhängig davon, wie die AI-Act-Zuständigkeit geregelt wird.
EU-Ebene
Das AI Office der Kommission ist für Modelle mit allgemeinem Verwendungszweck zuständig. Diese Zuständigkeit hängt nicht an nationalen Benennungen.
Für Unternehmen mit Standort außerhalb der Union gilt die Verordnung über den Markt statt über den Sitz — dieser Fall ist unterAI Act und die Schweiz beschrieben. Maßgeblich ist die Selbstauskunft der Stellen. Den aktuellen Stand führt dieKI-Servicestelle der RTR, deren Rechtsgrundlage § 20c KOG und § 194a TKG sind.
Was sollte ein Unternehmen in Österreich jetzt tun?
Zuerst eine Aufstellung: welche KI-Systeme werden eingesetzt, zu welchem Zweck, in welcher Rolle — Anbieter oder Betreiber — und mit welcher Risikoeinstufung. Diese Liste ist die Grundlage für alles Weitere und in den meisten Häusern nicht vorhanden, weil KI über Fachabteilungen eingesickert ist statt über die IT eingeführt zu werden.
Zweitens die KI-Kompetenz nach Artikel 4. Sie gilt seit Februar 2025 und verlangt Maßnahmen, die den Menschen, die mit den Systemen arbeiten, helfen, deren Funktionsweise und Grenzen einzuschätzen. Seit der Neufassung im Juli 2026 heißt das «unterstützen», nicht «sicherstellen». Nachweisbar wird das über Inhalte, Teilnehmer und Zeitpunkt — eine einmalige Rundmail genügt dafür nicht.
Drittens die laufende Dokumentation. Verlangt ist der Nachweis über den Betrieb hinweg, nicht eine Momentaufnahme zum Prüfungstag. Wer erst beginnt, wenn gefragt wird, kann den zurückliegenden Zeitraum nicht mehr belegen.
Häufige Fragen
Gilt der EU AI Act in Österreich unverändert?+
Ja. Der AI Act ist eine Verordnung, keine Richtlinie: er gilt unmittelbar in jedem Mitgliedstaat, ohne dass ein nationales Gesetz ihn erst umsetzen müsste. Die Pflichten für ein österreichisches Unternehmen sind deshalb dieselben wie für ein deutsches. Was national geregelt wird, sind Zuständigkeiten, Verfahren und Strafrahmen — nicht die Pflichten selbst.
Welche Behörde überwacht den AI Act in Österreich?+
Das ist der Punkt, an dem viele Darstellungen weiter gehen, als die Quellen hergeben. Die KI-Servicestelle in der RTR bezeichnet sich als Informations- und Beratungsstelle, nicht als Marktüberwachungsbehörde, und nennt keine eigene Zuständigkeit für Beschwerden oder Strafen. Verlassen Sie sich für den aktuellen Stand auf die Angaben der RTR selbst und nicht auf Sekundärquellen — die Benennung nationaler Behörden ist ein laufender Vorgang.
Können wir warten, bis die Zuständigkeiten geklärt sind?+
Nein, und diese Erwartung ist der teuerste Irrtum in diesem Zusammenhang. Die Pflichten treffen Unternehmen aus der Verordnung heraus, nicht aus einem Behördenbescheid. Wer die Dokumentation erst beginnt, wenn eine Behörde fragt, hat den Nachweiszeitraum bereits verloren: verlangt wird der Nachweis über den Betrieb, nicht eine Momentaufnahme.
Was gilt seit dem 2. August 2026?+
Seit diesem Tag gelten die Transparenzpflichten nach Artikel 50. Die Anforderungen an Hochrisiko-Systeme nach Anhang III standen ursprünglich ebenfalls auf diesem Datum, wurden durch die Verordnung (EU) 2026/1744 aber auf den 2. Dezember 2027 verschoben. Die Pflicht zur KI-Kompetenz nach Artikel 4 gilt bereits seit Februar 2025, die Verbote ebenfalls. Für Hochrisiko-KI in regulierten Produkten läuft die Frist bis August 2027.
Gilt der AI Act auch für uns, wenn wir nur in Österreich tätig sind?+
Ja. Österreich ist Mitgliedstaat, die Verordnung gilt im gesamten Binnenmarkt. Umgekehrt gilt sie auch für Anbieter außerhalb der EU, sobald ihr System in der Union in Verkehr gebracht wird oder das Ergebnis dort verwendet wird — deshalb sind Schweizer Unternehmen mit Kunden in Österreich oder Deutschland regelmäßig betroffen. Der Fall Schweiz ist unter /de/eu-ai-act/schweiz gesondert beschrieben.
Was ist mit Datenschutz — DSGVO oder AI Act?+
Beides, nebeneinander. Der AI Act regelt das System, die DSGVO die Verarbeitung personenbezogener Daten darin. Ein System kann nach dem AI Act zulässig und nach der DSGVO unzulässig sein. In der Praxis ist der Datenschutzteil bei betrieblichen KI-Vorhaben der öfter berührte, weil dort Beschäftigtendaten und Kundendaten auftauchen.
Brauchen wir eine eigene Dokumentation für Österreich?+
Nein, eine zusätzliche Länderdokumentation entsteht nicht. Sinnvoll ist eine einzige Aufstellung der eingesetzten Systeme mit Zweck, Rolle und Risikoeinstufung, die für alle Standorte im Binnenmarkt trägt. Erst wenn ein Standort außerhalb der EU dazukommt — etwa in der Schweiz — kommt eine Frage hinzu, nämlich ob dort erzeugte Ergebnisse in der Union verwendet werden.
Die Aufstellung ist der Anfang
Im Discovery entsteht die Liste der eingesetzten Systeme mit Rolle und Einstufung — und daraus die Frage, welche davon überhaupt weiterbetrieben werden sollten. Erfahrungsgemäß ist der unangenehmste Befund nicht ein hochriskantes System, sondern ein Dutzend kleiner Anwendungen, die einzeln harmlos wirken und zusammen niemandem zugeordnet sind. Diese Aufstellung ist zugleich die Grundlage für den Kompetenznachweis nach Artikel 4, weil sie beantwortet, wer mit welchem System arbeitet.
Discovery anfragenZuletzt aktualisiert: