Artificial Intelligence Act („AI Act”) - EU-Verordnung über künstliche Intelligenz („KI-VO“)
Ein Überblick
Mitte Juli 2024 wurde die EU-Verordnung 2024/1689 über künstliche Intelligenz veröffentlicht.
Die KI-VO ist das weltweit erste Gesetz zur Regulierung von künstlicher Intelligenz. Er tritt gestaffelt in Kraft und verfolgt einen risikobasierten Ansatz:
Zeitplan für Inkrafttreten
01.08.2024: formelles Inkrafttreten des AI Acts = KI-VO
ab 02.02.2025: Verbot inakzeptabler KI-Systeme (= KI-Systeme, die menschliches Verhalten manipulieren oder Schwächen ausnutzen können, wie zB. „KI zur sozialen Bewertung“, welche Menschen aufgrund ihres sozialen Verhaltens bewerten und klassifizieren kann) und Schulungspflicht für Mitarbeiter:innen über im Unternehmen eingesetzte KI.
ab 02.08.2026: alle weiteren Pflichten, wie zB. Transparenzpflichten
bis 02.8.2027 besteht eine Übergangsfrist für die Anwendung der Sonderregeln für bestimmte „Hochrisiko-KI-Systeme“ (= KI-Systeme in bestimmten Produkten und Bereichen laut Anhang I und III der VO, wzB. Spielzeug, Zivilluftfahrt, Biometrik, kritische Infrastruktur)
Bei all den folgenden Themen können Ziviltechniker:innen aus dem Fachbereich der Informationstechnologie mit ihrer technischen, rechtlichen und organisatorischen Fachkenntnis maßgeblich unterstützen – von der Risikobewertung über die Dokumentation bis hin zur Implementierung sicherer und regelkonformer KI-Systeme.
Bitte beachten Sie, dass sich die im Folgenden aufbereitenden Themen sowohl rechtlich als auch technisch sehr rasch weiterentwickeln und sich die Prämissen daher stetig ändern können. In diesem Sinne ist die Bundeskammer um eine laufende Aktualisierung der folgenden Informationen bemüht.
l. Anwendungsbereich
I.1. Persönlicher Anwendungsbereich:
Die KI-VO weist einen weiten persönlichen Anwendungsbereich auf und gilt für alle, die Produkte oder Dienstleistungen auf der Grundlage von künstlicher Intelligenz anbieten (vgl. „Anbieter:innen“ iSd Art 3 Z 3 KI VO) und sieht auch Regelungen für jene vor, die KI-Systeme in ihrem Unternehmen nutzen (vgl. „Betreiber“ iSd Art 3 Z 4 KI VO).
Gemäß Art 3 Z 3 KI-VO gelten natürliche oder juristische Personen, Behörden, Einrichtungen oder sonstige Stellen als Anbieter:innen, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickeln oder entwickeln lassen und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringen oder das KI-System unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb nehmen, sei es entgeltlich oder unentgeltlich.
Als Betreiber:innen gelten gemäß Art 3 Z 4 KI-VO natürliche oder juristische Personen, Behörden, Einrichtungen oder sonstige Stellen, die ein KI-System in eigener Verantwortung verwenden, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet (Beispiel für eine Verwendung im privaten Bereich – Erstellung eines persönlichen Fitnessplans zur Eigengewichtsreduktion).
I.2. Sachlicher Anwendungsbereich
Der sachliche Anwendungsbereich umfasst alle Anwendungen, die Inhalte, Vorhersagen und Empfehlungen bereitstellen oder die Entscheidungsfindung der Nutzer:innen beeinflussen. Er schließt dabei neben kommerziellen Angeboten auch die Nutzung von KI im öffentlichen Sektor wie z.B. bei der Strafverfolgung mit ein. Dabei soll die KI-VO bestehende Rechtsakte, wie insbesondere die EU-Datenschutz-Grundverordnung (DSGVO) nicht ersetzen, sondern vielmehr ergänzen.
In den sachlichen Anwendungsbereich fällt demnach ein KI-System im Sinne des Art 3 Z 1 KI VO, welches sich durch folgende Merkmale auszeichnen soll:
ein maschinengestütztes System
das für einen in unterschiedlichem Grad autonomen Betrieb ausgelegt ist und
das nach seiner Betriebsaufnahme anpassungsfähig sein kann und
die aus den erhaltenen Eingaben für explizite oder implizite Ziele
ableitet,
wie Ausgaben, wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen, erstellt werden,
und die physischen oder virtuellen Umgebungen beeinflussen können.
II. Risikobasierter Regelungsansatz
KI-Systeme werden grundsätzlich unterschiedlichen Risiko-Kategorien zugeordnet – von "minimal" über "hoch" bis "inakzeptabel". Je nach Einstufung, welche die Anbieter:innen und Betreiber:innen von KI-Systemen nach Vorgaben der KI-VO selbst vorzunehmen haben, haben diese bestimmte Sicherheits- und Transparenz-Anforderungen einzuhalten.
Um feststellen zu können, welche Verpflichtungen sich aus der Anwendung eines KI-Systems ergeben, empfiehlt es sich, jede Anwendung im eigenen Unternehmen zu dokumentieren und einer Risikokategorie zuordnen. In einem so genannten „KI-Register“ dokumentiert werden sollten zentrale Informationen wie beispielsweise:
der Zweck des verwendeten KI-Systems (Wo wird es eingesetzt? Wofür wird es verwendet?): zB. automatische Vorauswahl von Bewerber:innen; Terminkoordination; Textgenerierung
die Funktionsweise (Was kann es? Wie funktioniert es?):
die verwendeten Daten (Welche Daten werden verarbeitet?): zB. Kund:innen-, Bewerber:innen-, Mitarbeiter:innendaten (vgl. auch Verarbeitungsverzeichnis DSGVO)
die Risikokategorie der KI-Systeme (Welcher Risikoklasse muss das KI-System zugeordnet werden?): vgl. unten Tabelle 1
Die folgende Tabelle soll diese Einteilung veranschaulichen:
Tabelle 1: Risikoklassen von KI-Systemen
III. Die wichtigsten Pflichten für Ziviltechniker:innen ab 2025:
Neben dem Verbot der Anwendung inakzeptabler KI-Systeme (siehe Tabelle 1: Risikoklassen von KI-Systemen) ist seit Februar 2025 für viele Unternehmen die wichtigste rechtliche Vorgabe, KI-Kompetenz aufzubauen, also Mitarbeiter:innen entsprechende Kompetenz im Umgang mit den eingesetzten KI-Systemen vermitteln zu müssen. Art 4 KI VO verpflichtet Anbieter:innen und Betreiber:innen „nach besten Kräften“ sicherzustellen, dass ihr Personal und ihre Auftragnehmer:innen, die mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Maß an KI-Kompetenz verfügen. Die Sicherstellung zum kompetenten Umgang mit KI-Systemen betrifft damit nicht nur das eigene Personal, sondern grundsätzlich auch Vertragspartner:innen/Subunternehmer:innen, sodass KI-Kompetenz auch Einzug in die Verträge mit externen Dienstleister:innen finden sollte.
Auch wenn die KI-VO hinsichtlich der Verpflichtung zur Vermittlung von KI-Kompetenz keine Sanktionen vorsieht und es bisher auch keine Strafbestimmungen auf nationaler Ebene gibt, so empfiehlt sich, nicht zuletzt aus Gründen der Wettbewerbsfähigkeit, eine zielgerichtete Auseinandersetzung mit dem Thema KI. Die bei der RTR eingerichtete, österreichische Servicestelle für künstliche Intelligenz, welche für die Unterstützung bei der Umsetzung der KI-VO zuständig ist, führt zur KI-Kompetenz auf ihrer Homepage näher aus:
https://www.rtr.at/rtr/service/ki-servicestelle/ai-act/ki-kompetenz.de.html
IV. Zusammengefasst ist daher derzeit Folgendes zu empfehlen:
1. Schulung von mit KI-Systemen befassten Mitarbeiter:innen und entsprechende Dokumentation durchgeführter Schulungen (vgl. oben Punkt III.):
Informieren Sie sich dazu auch bei Ihren Länderkammern über die Fortbildungsmöglichkeiten, welche in den jeweiligen Fortbildungsstätten angeboten werden.
2. Aufnahme von KI-Kompetenz-Schulungs-/Fortbildungsverpflichtungen in Verträgen mit Vertragspartner:innen, die KI-Systeme im Rahmen ihrer Dienstleistungen für das Ziviltechniker:innenbüro nutzen. (vgl. oben Punkt III.)
Sprechen Sie im Zuge der Erteilung eines Auftrags mit Ihren Subunternehmer:innen/Dienstleister:innen über die Anwendung von KI-Systemen in deren Unternehmen und berücksichtigen Sie diesen Punkt gegebenenfalls im jeweiligen Auftragsvertrag.
3. Vornahme einer Risikoeinschätzung zu in Ihrem Unternehmen angewendeten KI-Systemen und Dokumentation der Ergebnisse in einem „KI-Register“ (vgl. oben Punkt II.)
4. Einführung allgemeiner Regelungen zum Umgang mit KI-Systemen im Ziviltechniker:innenbüro – Erstellung einer „KI-Richtlinie“
Nutzen Sie unseren KI-Leitfaden für Ziviltechniker:innen, welcher eine mögliche Hilfestellung im Umgang mit künstlicher Intelligenz und zur Erstellung einer KI-Richtlinie für Ihr Unternehmen bieten kann:
KI-Leitfaden
V. Sanktionen
Die Strafen für Regelverstöße, beispielweise im Zusammenhang mit der Transparenzpflicht bei bestimmten KI-Systemen, richten sich gemäß Art 99ff KI-VO nach der Schwere des Regelverstoßes und der Größe des betroffenen Unternehmens. Sie beginnen bei 7,5 Mio. EUR oder 1,5 Prozent des weltweiten Jahresumsatzes eines Unternehmens und können bis zu 35 Mio. EUR oder 7 Prozent des weltweiten Jahresumsatzes erreichen. Da national die Behördenkompetenzen und begleitenden Straf- und Verfahrensbestimmungen noch nicht gesetzlich festgelegt worden sind, können derzeit in Österreich keine Strafen wegen Verletzung der KI-VO, verhängt werden. Allerdings ist das kein Freifahrtschein: Die standesrechtliche Verpflichtung zur Einhaltung von Gesetzen, Verordnungen und Richtlinien sowie die Gefahr zivilrechtlicher Haftung bei Verletzung von gesetzlichen Verpflichtungen bleibt unberührt.
VII. Nationale Umsetzung der KI-VO Vorgaben
Jeder Mitgliedstaat soll eine oder mehrere zuständige nationale Behörden ernennen, die das Land im Europäischen Ausschuss für künstliche Intelligenz vertritt bzw. vertreten. Auf Ebene der EU-Kommission wurde das Europäische Amt für künstliche Intelligenz („KI-Büro“) eingerichtet, das KI-Modelle mit allgemeinem Verwendungszweck überwacht.
Die nationalen Behördenkompetenzen, insbesondere die Strafbestimmungen, wurden in Österreich bisher noch nicht gesetzlich geregelt. Anfang 2024 wurde aber bereits die KI-Servicestelle bei der Regulierungsbehörde RTR GmbH eingerichtet. Sie stellt auf ihrer Website ein umfassendes Informationsangebot zur Verfügung: www.ki.rtr.at
Stand, November 2025
Transparenzverpflichtungen nach der KI-Verordnung
Die differenzierten Geltungsbestimmungen der „KI-VO“ legen fest, dass die Transparenzpflichten für Anbieter:innen und Betreiber:innen bestimmter KI-Systeme (Art. 50 KI-VO) erst am 2. August 2026 in Kraft treten. Aber was bedeutet das genau und für wen wird was gelten?
Im Folgenden findet sich eine kurze Zusammenfassung zu den zukünftig geltenden Transparenzverpflichtungen:
Die Grafik wurde von der RUNDFUNK UND TELEKOM REGULIERUNGS-GMBH erstellt und unverändert übernommen.
© RTR (CC BY 4.0)
Nähere Informationen zu den Begriffen in der Grafik finden sich im Folgenden:
Anbieter:in oder Betreiber:in?
Als Anbieter:innen gelten natürliche oder juristische Personen, Behörden, Einrichtungen oder sonstige Stellen, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck entwickeln oder entwickeln lassen und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringen oder das KI-System unter ihrem eigenen Namen oder ihrer Handelsmarke in Betrieb nehmen, sei es entgeltlich oder unentgeltlich (Art 3 Z 3 KI-VO).
Als Betreiber:innen gelten gemäß Art 3 Z 4 KI-VO natürliche oder juristische Personen, Behörden, Einrichtungen oder sonstige Stellen, die ein KI-System in eigener Verantwortung verwenden, es sei denn, das KI-System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet.
Was sind KI-Systeme zur direkten Interaktion und was gilt diesbezüglich?
Anbieter:innen von KI-Systemen, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, haben diese so zu konzipieren und zu entwickeln, dass die betreffenden natürlichen Personen informiert werden, dass sie mit einem KI-System interagieren (Art. 50 Abs. 1 KI-VO). So müssen Anbieter:innen von Chatbots diese so gestalten, dass die Nutzer:innen sofort merken, dass sie mit keinem echten Menschen schreiben/sprechen.
Ein Hinweis kann nur dann entfallen, wenn ohnehin völlig eindeutig ist, dass mit einem KI-System kommuniziert wird. Davon kann z. B. bei den derzeit bekannten Sprachassistenten wie Siri oder Alexa ausgegangen werden.
Was sind Synthetische Audio-, Bild- oder Videoinhalte?
Das sind all jene Inhalte, die nicht vom Menschen erzeugt wurden (vgl. Erwägungsgrund 133 der KI-VO), wobei dieser Begriff weiter reicht als ein Deepfake. Ein KI-generierter Cartoon ist beispielsweise ein synthetischer Bildinhalt, aber kein Deepfake, weil er nicht realistisch ist. Ein KI-generiertes Video, in dem beispielsweise ein:e tatsächliche:r Politiker:in vor dem Parlament in einer Interviewsituation simuliert wird und dieser über politische Agenden spricht, ist ein synthetischer Videoinhalt, der zugleich ein Deepfake ist. Solche Situationen finden tagtäglich statt und können daher von Nutzer:innen fälschlicherweise für echt gehalten werden.
Zusammengefasst gilt: Jeder Deepfake ist ein synthetischer Bild-, Video- oder Audioinhalt, aber nicht jeder synthetische Bild-, Video- oder Audioinhalt ist auch ein Deepfake. Daher muss jeder Fall einzeln geprüft werden.
Was sind eigentlich „Deepfakes“?
Deepfakes (zusammengesetzt aus den Begriffen „Deep Learning“ und „Fake“) sind realistisch wirkende Medieninhalte (Foto, Audio, Video usw.), die durch Techniken der künstlichen Intelligenz abgeändert, erzeugt bzw. verfälscht worden sind. Zusammengefasst sind darunter realistisch wirkende Medieninhalte gemeint, die aber so nicht stattgefunden haben.
Was gilt für KI-Systeme zur Generierung synthetischer Inhalte (z. B. KI-generierte Videos oder Deepfakes)?
Anbieter:innen von KI-Systemen, einschließlich KI-Systemen mit allgemeinem Verwendungszweck, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, haben sicherzustellen, dass die Ausgaben des KI-Systems in einem maschinenlesbaren Format gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind (Art. 50 Abs. 2 KI-VO). Demnach müssen Anbieter von KI-Programmen für Texte, Bilder oder Videos (wie ChatGPT, Midjourney oder DALL-E) ihre Inhalte unsichtbar kennzeichnen. Diese digitale Markierung muss von Computern ausgelesen werden können. Ein sichtbarer Hinweis für Menschen ist nicht vorgeschrieben. Die Kennzeichnung erfolgt im Hintergrund durch rein technische Methoden, etwa durch digitale Wasserzeichen oder digitale Fingerabdrücke der Datei.
In zwei Fällen ist diese Kennzeichnung nicht notwendig:
Kleine Änderungen: Die KI hilft nur bei der „normalen“ Bearbeitung. Sie verändert den Sinn eines Bildes oder Textes kaum (z. B. kleine Ausbesserungen in Photoshop).
Strafverfolgung: Die KI wird gesetzlich erlaubt eingesetzt, um Verbrechen aufzuklären oder zu verhindern.
Betreiber:innen von KI-Systemen, die Deepfake-Bild-, Ton- oder Videoinhalte erzeugen oder manipulieren, haben offenzulegen, dass die Inhalte künstlich erzeugt oder manipuliert wurden. Diese Pflicht gilt nur für echte Deepfakes – also täuschend echte, künstliche Bilder, Töne oder Videos. Für unbearbeitete Medien gilt sie nicht (Art. 50 Abs. 4 KI-VO).
Ein Hinweis ist in folgenden zwei Fällen gar nicht oder nur eingeschränkt nötig:
Strafverfolgung: Die Behörden nutzen das KI-Material rechtmäßig, um Verbrechen zu verhindern oder aufzuklären.
Kunst und Satire: Bei Filmen, Witzen oder Kunstwerken (z. B. einer satirischen Darstellung von Politiker:innen) reicht ein unauffälliger Hinweis. Die Information muss so platziert werden, dass sie den Kunstgenuss oder die Unterhaltung nicht stört.
Betreiber:innen eines KI-Systems, das Text erzeugt oder manipuliert, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen offenlegen, dass der Text künstlich erzeugt oder manipuliert wurde (Art. 50 Abs. 4 KI-VO). Werden die KI-Texte hingegen privat genutzt oder behandeln sie keine Themen von öffentlichem Interesse, gibt es keine Kennzeichnungspflicht.
Ein Hinweis ist überdies in folgenden zwei Fällen nicht notwendig:
Menschliche Kontrolle: Ein Mensch hat den Text vor der Veröffentlichung geprüft oder redaktionell kontrolliert (wie bei einem Zeitungsverlag) und übernimmt die rechtliche Verantwortung für den Inhalt. Werden daher innerhalb eines Unternehmens Texte mit Hilfe von KI-Programmen erstellt/zusammengefasst und in der Folge von Mitarbeiter:innen redaktionell überarbeitet, wird es in der Regel zu keinen Transparenzpflichten kommen.
Strafverfolgung: Die KI wird im Rahmen der Gesetze genutzt, um Verbrechen aufzuklären oder zu verhindern.
Was gilt beim Einsatz von KI-Systemen zur Emotionserkennung?
Betreiber:innen von Emotionserkennungssystemen oder eines Systems zur biometrischen Kategorisierung haben die davon betroffenen natürlichen Personen über den Betrieb des Systems zu informieren (Art. 50 Abs. 3 KI-VO). Biometrische Kategorisierung bedeutet, dass ein KI-System Menschen anhand ihrer körperlichen oder verhaltensbezogenen Merkmale in bestimmte Gruppen einteilt. Ein Emotionserkennungssystem analysiert hingegen Mimik, Stimme oder Körpersignale, um Gefühle wie Freude, Ärger, Trauer oder Stress digital zu erfassen.
Eine Ausnahme von der Kennzeichnungspflicht bei der Anwendung dieser KI-Systeme besteht nur, soweit diese Systeme gesetzlich zur Aufdeckung, Verhütung oder Ermittlung von Straftaten zugelassen sind und sofern geeignete Schutzvorkehrungen für die Rechte und Freiheiten Dritter bestehen.
Stand, Mai 2026