Fachliche Einordnung, Stand Ende Mai 2026. Keine Rechtsberatung.
Zwischen Schlagzeile und Wirklichkeit liegt ein halbes Jahr Arbeit, das Sie sich sparen können
Suchen Sie heute nach dem AI Act, finden Sie zwei Sorten Texte. Die einen warnen vor Strafen in Millionenhöhe und einer Bürokratielawine. Die anderen verkaufen Ihnen ein Compliance-Paket gegen die Angst, die der erste Text gerade erzeugt hat. Beide haben ein Interesse daran, dass die Sache kompliziert wirkt.
Sie ist es nicht. Jedenfalls nicht für ein normales KMU.
Der AI Act ist eine EU-Verordnung, die KI nach Risiko sortiert. Je höher das Risiko für Menschen, desto strenger die Pflichten. Ein Unternehmen, das ein Chatfenster auf der Website hat und ab und zu einen Text mit ChatGPT vorschreiben lässt, sitzt am untersten Ende dieser Skala. Genau dort wird ab August ein wenig nachgebessert, mehr nicht.
Was am 2. August wirklich in Kraft tritt
Ab diesem Stichtag greift Artikel 50, der Transparenz-Artikel. Er verlangt von Unternehmen, offenzulegen, wenn Menschen es mit KI zu tun haben. Für ein typisches KMU mit Website laufen daraus drei Dinge zusammen, und nur das erste betrifft fast jeden.
- Der Chatbot muss sich zu erkennen geben. Wenn auf Ihrer Seite ein KI-Chat antwortet, muss der Besucher das wissen, bevor er die erste Nachricht tippt. Ein sichtbarer Hinweis am Chatfenster genügt. Eine versteckte Fußnote nicht.
- Echte Deepfakes und Nachrichtentexte müssen gekennzeichnet werden. Wer künstlich erzeugte Bilder, Tonaufnahmen oder Videos mit täuschend echtem Charakter veröffentlicht oder KI-Texte zu Themen von öffentlichem Interesse, muss die künstliche Herkunft offenlegen. Marketingtexte und Produktbeschreibungen fallen ausdrücklich nicht darunter.
- Die maschinenlesbare Markierung ist Sache der Anbieter. Dass ein KI-Text technisch als solcher erkennbar bleibt, müssen OpenAI, Google und Co. in ihrer Software lösen. Die Pflicht trifft den Modellhersteller. Beim Einsatz im Unternehmen greift sie nicht.
Das ist die ganze Liste für die untere Risikostufe. Kein Audit, keine externe Zertifizierung, keine laufende Meldepflicht. Der Aufwand für den Chatbot-Hinweis liegt bei ein bis zwei Stunden. Alles Weitere hängt davon ab, ob Sie überhaupt zu den Themen publizieren, die der Artikel meint.
Warum die strengen Regeln gerade nach hinten gerückt sind
Anfang Mai 2026 haben sich Rat und Parlament auf ein Reformpaket geeinigt, den Digital Omnibus. Es verschiebt die wirklich aufwendigen Pflichten für Hochrisiko-KI deutlich nach hinten: Systeme wie automatisierte Bewerberauswahl oder Kreditbewertung müssen ihre Vorgaben erst ab Dezember 2027 erfüllen, in regulierte Produkte eingebettete KI sogar erst ab August 2028.
Der Grund ist unspektakulär. Die technischen Standards und Leitlinien, an denen sich die Unternehmen orientieren sollten, waren schlicht nicht rechtzeitig fertig. Wichtig für Sie: Die Transparenzpflichten aus Artikel 50, die drei Punkte von oben, bleiben davon unberührt und gelten ab August wie geplant.
Eine Einschränkung gehört dazu. Diese Einigung ist Ende Mai noch nicht im Amtsblatt veröffentlicht und damit formal noch nicht in Kraft. Dass sie kommt, gilt als sicher. Bis dahin sollten Sie auf die neuen Fristen planen, sie aber noch nicht als abgeschlossenes Recht behandeln.
Eine Zahl kursiert, die Sie ignorieren sollten
In mehreren Beiträgen geistert ein angeblicher Strafbescheid einer österreichischen Behörde herum, sechsstellig, wegen einer KI-gestützten Bewerberauswahl. Die Zahl klingt drastisch, und genau deshalb wird sie gern weitergereicht.
Ich nenne sie hier nicht. Bei der Recherche für diesen Beitrag ließ sich für diesen Bescheid keine belastbare Quelle finden, weder bei der Behörde noch in einer Rechtsdatenbank noch in einem seriösen Bericht. Eine Zahl, die niemand belegen kann, hat in einer Einordnung nichts verloren, so gut sie sich als Aufhänger auch macht.
Drei Fälle aus dem Alltag, drei klare Antworten
Sie haben einen Chatbot auf der Website. Ein Besucher tippt seine Frage ins Chatfenster, eine KI antwortet. Ab August muss er vorher erkennen können, dass kein Mensch am anderen Ende sitzt. Ein kurzer, sichtbarer Hinweis löst das. Solange der Chat nicht zugleich über Bewerbungen oder Kredite entscheidet, bleibt er in der harmlosen Risikostufe.
Sie lassen Texte von KI schreiben oder übersetzen. Für Ihre Leistungsseiten, Produkttexte und SEO-Artikel ändert sich nichts. Die Kennzeichnungspflicht zielt auf Beiträge, die die Öffentlichkeit zu gesellschaftlich relevanten Fragen informieren sollen, nicht auf Werbung. Wer doch zu solchen Themen publiziert, hat eine einfache Alternative: ein Mensch prüft den Text inhaltlich und übernimmt die Verantwortung dafür. Dann entfällt die Pflicht.
Sie denken über ein KI-Tool für die Bewerberauswahl nach. Hier wird es ernst, denn das ist Hochrisiko. Die spezifischen AI-Act-Pflichten dafür starten zwar erst Ende 2027. Das Datenschutzrecht greift aber schon heute: Eine solche Software ohne vorherige Datenschutz-Folgenabschätzung und ohne das Recht der Bewerber auf eine menschliche Prüfung einzuführen, ist unabhängig vom AI Act ein Problem.
Und wer kontrolliert das alles in Österreich?
Ehrliche Antwort: Das ist Ende Mai 2026 noch nicht abschließend geklärt. Eine formale Aufsichtsbehörde für den AI Act hat Österreich offiziell noch nicht benannt. Die KI-Servicestelle bei der Rundfunk und Telekom Regulierungs-GmbH ist seit 2024 die faktische Anlaufstelle, informiert und berät, hält aber nicht die volle Aufsichtsrolle in der Hand.
Daneben bleiben die bestehenden Behörden nach Sachgebiet zuständig, die Datenschutzbehörde für alles mit Personenbezug, die Finanzmarktaufsicht für KI im Finanzbereich, und so weiter. Für Sie heißt das praktisch: Bei Personendaten führt der Weg im Zweifel weiter über die Datenschutzbehörde, und die Beratung der KI-Servicestelle kostet nichts.
Was bis August konkret zu tun ist
Wenn Sie eine Website mit den üblichen Bausteinen betreiben, reicht eine kurze, ehrliche Bestandsaufnahme. Vier Schritte, der erste dauert eine Viertelstunde.
- Aufschreiben, wo überhaupt KI im Einsatz ist. Chatbot, Textwerkzeuge, Übersetzung, vielleicht ein Bewerber-Tool. Erst diese Liste zeigt, was Sie betrifft und was nicht.
- Den Chatbot-Hinweis setzen. Sichtbar, verständlich, vor dem ersten Austausch. Das ist die eine Pflicht, die fast jeden mit Chatfenster trifft.
- Den Umgang mit KI-Texten festhalten. Wer prüft, wer verantwortet. Ein knapper interner Vermerk genügt und nimmt Ihnen im Ernstfall die Beweislast ab.
- Die KI-Grundschulung nachholen. Eine oft übersehene Pflicht gilt bereits seit Februar 2025: Wer im Unternehmen mit KI arbeitet, braucht nachweisbare Grundkenntnisse. Ein Zertifikat ist nicht nötig, eine kurze interne Dokumentation reicht.
Den technischen Teil müssen Sie nicht selbst lösen
Der Chatbot-Hinweis, eine sauber gekennzeichnete Seite, der dokumentierte Umgang mit KI-Texten: Das sind Handgriffe an Ihrer Website, kein Fall für die Rechtsabteilung. Genau diesen Teil kann ich übernehmen, während die juristische Feinabwägung dort bleibt, wo sie hingehört. Wenn Sie das vor August sauber geregelt haben wollen, reden wir.
Häufige Fragen
Muss ich jeden mit ChatGPT geschriebenen Text als KI-generiert kennzeichnen?
Nein. Die Kennzeichnungspflicht aus Artikel 50 zielt auf künstlich erzeugte Inhalte, die die Öffentlichkeit zu Themen von öffentlichem Interesse informieren sollen. Marketingtexte, Produktbeschreibungen und gewöhnliche Ratgeberartikel fallen nicht darunter. Erst bei redaktionellen Beiträgen zu gesellschaftlich relevanten Fragen wird eine Kennzeichnung oder eine dokumentierte menschliche Prüfung relevant.
Gilt das auch für KI-übersetzte Website-Seiten?
Für gewöhnliche Unternehmensseiten ändert sich nichts. Eine KI-Übersetzung Ihrer Leistungs- oder Produktseiten löst keine Kennzeichnungspflicht aus, weil diese Inhalte nicht die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren. Relevant wird die Frage nur bei publizistischen Texten zu solchen Themen.
Ich habe einen Chatbot. Was genau muss ich tun?
Ihre Besucher müssen erkennen können, dass sie mit einer KI schreiben, und zwar bevor sie die erste Nachricht senden. In der Praxis genügt ein klar sichtbarer Hinweis direkt am Chatfenster. Der Aufwand dafür liegt meist bei ein bis zwei Stunden und kommt ohne Audit oder Zertifizierung aus.
Wie hoch sind die Strafen wirklich?
Für Verstöße gegen die Transparenzpflichten sieht der AI Act Bußgelder von bis zu 15 Millionen Euro oder 3 Prozent des Jahresumsatzes vor. Diese Obergrenzen zielen auf große Anbieter. Für ein kleines Unternehmen liegt das tatsächliche Risiko weit darunter, ein Reputations- und Abmahnrisiko bleibt aber bestehen.
Ab wann gilt der AI Act für KI-gestützte Bewerberauswahl?
Die spezifischen Hochrisiko-Pflichten dafür wurden durch das Reformpaket vom Mai 2026 auf Dezember 2027 verschoben. Entwarnung ist das keine: Eine solche Software berührt schon heute das Datenschutzrecht und verlangt unter anderem eine Datenschutz-Folgenabschätzung sowie das Recht der Bewerber auf eine menschliche Prüfung.
Wer kontrolliert die Einhaltung in Österreich?
Eine formale Aufsichtsbehörde ist Ende Mai 2026 noch nicht endgültig benannt. Die KI-Servicestelle bei der RTR ist die faktische Anlaufstelle und berät kostenlos. Daneben bleiben die bestehenden Behörden nach Sachgebiet zuständig, etwa die Datenschutzbehörde, sobald personenbezogene Daten im Spiel sind.
Ist das verschobene Inkrafttreten schon geltendes Recht?
Die Einigung auf die Fristverschiebung stammt von Anfang Mai 2026, ist aber noch nicht im EU-Amtsblatt veröffentlicht und damit formal noch nicht in Kraft. Sie sollten auf die neuen Fristen hin planen, sie bis zur Veröffentlichung jedoch nicht als endgültig abgeschlossen behandeln.
Dieser Beitrag ordnet die Rechtslage fachlich ein und ersetzt keine Rechtsberatung im Einzelfall.