KI-Werkzeuge sind schnell im Einsatz, oft schneller, als Regeln dafür entstehen: Mitarbeitende fassen Dokumente mit Chat-Assistenten zusammen, Fachbereiche testen Agenten, die E-Mails beantworten oder Tickets einordnen. Sicher wird das erst, wenn vier Fragen beantwortet sind. Welche rechtlichen Pflichten gelten? Welche Daten dürfen wohin? Wie schützen wir uns vor Manipulation? Und wer gibt was frei?
Der AI Act: Was seit wann gilt
Die KI-Verordnung (EU) 2024/1689, kurz AI Act, gilt unmittelbar in allen Mitgliedstaaten, also auch in Österreich. Im Juli 2026 hat die EU sie mit der Digital-Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744, geändert. Die Änderung ist seit 27. Juli 2026 in Kraft. Der Zeitplan danach:
- Seit 2. Februar 2025: Verbote bestimmter Praktiken (Art. 5), etwa Social Scoring oder Emotionserkennung am Arbeitsplatz, und die Pflicht zur KI-Kompetenz (Art. 4).
- Seit 2. August 2025: Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck.
- Seit 2. August 2026: der allgemeine Geltungsbeginn, darunter die Transparenzpflichten nach Art. 50. Menschen müssen erkennen können, dass sie mit einem KI-System interagieren, und Deepfakes sind offenzulegen.
- Ab 2. Dezember 2026: neue Verbote für KI-Systeme, die nicht einvernehmliche intime Darstellungen realer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen. Bis dahin müssen auch Anbieter generativer Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, deren Ausgaben maschinenlesbar kennzeichnen (Art. 50 Abs. 2).
- Ab 2. Dezember 2027: Pflichten für Hochrisiko-Systeme nach Anhang III, etwa in Personalauswahl und Beschäftigung, Bildung oder Kreditwürdigkeitsprüfung. Ursprünglich war dafür der 2. August 2026 vorgesehen.
- Ab 2. August 2028: Pflichten für Hochrisiko-KI in Produkten nach Anhang I, zum Beispiel in Maschinen oder Medizinprodukten.
Auch die Pflicht zur KI-Kompetenz hat die Änderung neu gefasst: Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen, und berücksichtigen dabei Kenntnisse, Erfahrung, Ausbildung und Einsatzkontext. Ein bestimmtes Kompetenzniveau müssen sie nicht garantieren (Art. 4 in der Fassung der Verordnung 2026/1744). In der Praxis bleibt es dabei: Wer KI einsetzt, schult seine Leute passend zur Rolle und dokumentiert das.
Wer fertige KI-Systeme in eigener Verantwortung einsetzt, ist Betreiber, nicht Anbieter. Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt. Von der Rolle hängen die Pflichten ab, halten Sie sie deshalb je Anwendungsfall fest. Orientierung für Österreich bietet die KI-Servicestelle der RTR.
Datenschutz: Die DSGVO gilt daneben
Der AI Act ersetzt die Datenschutz-Grundverordnung nicht. Sobald personenbezogene Daten in ein KI-Werkzeug fließen, gelten beide nebeneinander. Fünf Punkte entscheiden in der Praxis:
- Zweck und Rechtsgrundlage: Jede Verarbeitung braucht einen festgelegten Zweck (Art. 5 DSGVO) und eine Rechtsgrundlage (Art. 6).
- Auftragsverarbeitung: Verarbeitet ein Cloud-Anbieter Daten in Ihrem Auftrag, ist ein Vertrag nach Art. 28 nötig. Klären Sie, ob Eingaben für das Training verwendet werden und wo die Daten verarbeitet werden; für Übermittlungen außerhalb des EWR gilt Kapitel V. Mehr dazu unter Auftragsverarbeitung.
- Datenschutz-Folgenabschätzung: Bei voraussichtlich hohem Risiko, etwa bei systematischer Bewertung von Personen, ist sie Pflicht (Art. 35).
- Automatisierte Entscheidungen: Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, etwa über Bewerbungen, dürfen nicht ausschließlich automatisiert fallen, außer unter den Voraussetzungen und Garantien des Art. 22.
- Transparenz: Betroffene sind über die Verarbeitung zu informieren (Art. 13 und 14).
Der Europäische Datenschutzausschuss hat in seiner Stellungnahme 28/2024 eingeordnet, wann KI-Modelle als anonym gelten können und wie berechtigte Interessen als Rechtsgrundlage zu prüfen sind. Einen Überblick über die Grundverordnung gibt das Lexikon unter DSGVO.
Prompt Injection: das Risiko, das bleibt
Sprachmodelle können Anweisungen und Daten nicht zuverlässig auseinanderhalten. Das nutzt Prompt Injection: Angreifer schmuggeln Anweisungen in Eingaben oder in Inhalte, die das Modell verarbeitet, etwa in eine E-Mail, ein PDF oder eine Webseite. Die OWASP-Liste der wichtigsten Risiken für Anwendungen mit großen Sprachmodellen führt Prompt Injection in der Ausgabe 2025 an erster Stelle (LLM01). Auch das deutsche BSI beschreibt direkte und indirekte Prompt Injections als Risiken generativer KI-Modelle.
Kritisch wird es, sobald ein Modell nicht nur antwortet, sondern handelt: E-Mails versendet, Dateien liest, Tickets ändert oder Daten abruft. Eine vollständige technische Lösung gibt es nicht. OWASP empfiehlt mehrere Schutzschichten:
- Rechte begrenzen: Ein KI-Agent bekommt nur die Zugriffe, die er für seine Aufgabe braucht (Least Privilege).
- Menschen entscheiden lassen: Folgenreiche Aktionen wie Versand, Zahlung oder Löschung gibt ein Mensch frei (Human in the Loop).
- Fremde Inhalte trennen: Externe Inhalte kennzeichnen und getrennt von Anweisungen verarbeiten.
- Ausgaben prüfen: Antworten gegen ein erwartetes Format prüfen und filtern.
- Angriffe testen: Anwendungen gezielt mit Angriffsbeispielen prüfen, bevor sie in Betrieb gehen.
Dazu kommt die Grundregel für jede Ausgabe: KI kann überzeugend klingen und trotzdem falsch liegen (Halluzination). Wer Ergebnisse weitergibt, prüft sie.
Freigaben: ein schlanker Prozess statt Wildwuchs
Pauschale Verbote bergen das Risiko, dass Mitarbeitende auf private Konten ausweichen, an der IT vorbei. Besser funktioniert ein kurzer, verbindlicher Weg, der festhält, was erlaubt ist:
- Verzeichnis anlegen: Welche KI-Werkzeuge und Anwendungsfälle gibt es, wer verantwortet sie, und in welcher Rolle sind Sie nach dem AI Act?
- Daten einstufen: öffentlich, intern, vertraulich, personenbezogen. Für jede Stufe steht fest, welches Werkzeug sie verarbeiten darf.
- Werkzeuge prüfen und freigeben: Vertrag und Auftragsverarbeitung, Ort der Verarbeitung, Nutzung für das Training, Anmeldung mit Unternehmenskonto und Multi-Faktor-Authentifizierung, Protokollierung.
- Risiko einordnen: verbotene Praktiken ausschließen, Hochrisiko-Bereiche wie Personalentscheidungen erkennen, Transparenzpflichten erfüllen.
- Agenten absichern: minimale Rechte, Freigabe vor folgenreichen Aktionen, Tests gegen Prompt Injection, Protokolle.
- Schulen und dokumentieren: nach Rolle, mit Datum und Inhalt.
- Regelmäßig überprüfen: Werkzeuge, Funktionen und Rechtslage ändern sich schnell.
Den organisatorischen Rahmen dafür beschreibt KI-Governance. Als Gerüst für die Risikobewertung eignet sich das AI Risk Management Framework des US-Standardisierungsinstituts NIST mit seinem Profil für generative KI (NIST AI 600-1).
Mit dem Nutzen beginnen, nicht mit dem Werkzeug
Sicherheit fällt leichter, wenn klar ist, wofür KI eingesetzt wird. Mit Atlas erfasst TOMORIS in einer begleiteten Analyse Bereiche, Prozesse und Systeme, bewertet die einzelnen Schritte nach KI-Potenzial und Machbarkeit und leitet daraus priorisierte Anwendungsfälle und eine Pilot-Roadmap ab. Die Umsetzung begleitet TOMORIS NEXT, Trainings für den sicheren Umgang mit KI bietet UNIVERSITY.
Häufige Fragen
Gilt der AI Act auch, wenn wir nur Chat-Assistenten nutzen?
Ja. Wer ein KI-System beruflich in eigener Verantwortung nutzt, ist Betreiber. Für typische Büroanwendungen folgen daraus in der Regel keine Hochrisiko-Pflichten, wohl aber die KI-Kompetenz nach Art. 4 und, je nach Einsatz, Transparenzpflichten nach Art. 50. Die DSGVO gilt zusätzlich.
Wurden die Hochrisiko-Pflichten verschoben?
Ja. Seit der Verordnung (EU) 2026/1744 gelten sie für Systeme nach Anhang III ab 2. Dezember 2027 und für KI in Produkten nach Anhang I ab 2. August 2028.
Brauchen wir eine eigene KI-Richtlinie?
Eine bestimmte Form schreibt der AI Act nicht vor. Eine kurze Richtlinie ist aber der einfachste Weg, Freigaben, Datenstufen und Verantwortung für alle verständlich festzuhalten.
Dieser Beitrag ist eine allgemeine Einordnung zum Stand 25. Oktober 2026 und ersetzt keine Rechtsberatung.
Quellen
- Verordnung (EU) 2024/1689 (KI-Verordnung), insbesondere Art. 4, 5, 50 und 113
- Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), ABl. L vom 24.7.2026
- Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 5, 6, 13, 14, 22, 28, 35 und Kapitel V
- Europäischer Datenschutzausschuss: Stellungnahme 28/2024 zu Datenschutzaspekten von KI-Modellen
- OWASP Top 10 for LLM Applications 2025: LLM01 Prompt Injection
- BSI: Generative KI-Modelle, Chancen und Risiken für Industrie und Behörden, Version 2.0 vom 17.01.2025
- NIST: AI Risk Management Framework und NIST AI 600-1: Generative Artificial Intelligence Profile
- RTR: KI-Servicestelle