KI-Tools in der EU: was gilt, wenn Ihre Mitarbeitenden sie nutzen
Diese Seite richtet sich an Unternehmen in der EU und in Österreich, deren Mitarbeitende ChatGPT, Claude, Gemini, Copilot, Notion AI oder Coding-Assistenten nutzen. Sie zeigt, welche Teile des AI Act und der DSGVO für Sie als Nutzer gelten, Stand September 2026.
Zwei EU-Gesetze gelten nebeneinander. Der AI Act regelt KI-Systeme und KI-Modelle nach Rolle: Der Anbieter entwickelt das Tool, der Betreiber setzt es ein. Die DSGVO gilt, sobald Prompts, Dateien oder Antworten personenbezogene Daten enthalten. Wer eines der beiden Gesetze erfüllt, hat das andere damit nicht erfüllt.
Ein Unternehmen, das seinen Mitarbeitenden ein KI-Tool unverändert zur Verfügung stellt, ist in der Regel Betreiber. Die meisten Pflichten liegen bei den Anbietern wie OpenAI, Anthropic, Google oder Microsoft. Ihre eigenen Pflichten hängen davon ab, wofür Sie das Tool einsetzen: KI-Kompetenz immer, Kennzeichnung in bestimmten Fällen und Hochrisiko-Pflichten nur bei Einsätzen wie der Vorauswahl von Bewerbungen.
Diese Seite bietet allgemeine Informationen, Stand September 2026, und ist keine Rechtsberatung. Für Ihren konkreten Fall wenden Sie sich an Ihre Rechtsberatung oder an Ihre Datenschutzbeauftragte bzw. Ihren Datenschutzbeauftragten.
Die Termine
| Datum | Was gilt | |
|---|---|---|
| 1. August 2024 | Der AI Act tritt in Kraft.[1] | |
| 2. Februar 2025 | Die verbotenen Praktiken und die Pflicht zur KI-Kompetenz (Art. 4) gelten.[2] | |
| 2. August 2025 | Die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) gelten, ebenso die Governance-Regeln und das Kapitel über Sanktionen.[2] | |
| 27. Juli 2026 | Der Digital-Omnibus zu KI (Verordnung (EU) 2026/1744) tritt in Kraft. Er verschiebt die Hochrisiko-Regeln und formuliert die Pflicht zur KI-Kompetenz neu.[3] | |
| 2. August 2026 | Der AI Act gilt allgemein. Die Transparenzpflichten (Art. 50) gelten, und die Kommission kann die GPAI-Regeln durchsetzen und Anbieter mit Geldbußen belegen.[4] | |
| 2. Dezember 2026 | Neue Verbote für KI gelten, die nicht einvernehmliche intime Bilder oder Darstellungen sexuellen Kindesmissbrauchs erzeugt. Generative KI-Tools, die schon vorher am Markt waren, müssen ihre Ausgaben als KI-generiert markieren.[3] | |
| 2. August 2027 | GPAI-Modelle, die vor dem 2. August 2025 auf den Markt kamen, müssen die Regeln erfüllen.[2] | |
| 2. Dezember 2027 | Die Hochrisiko-Regeln für Einsätze nach Anhang III gelten, etwa bei Personalauswahl und Entscheidungen über Mitarbeitende. Vor dem Omnibus war dafür der 2. August 2026 vorgesehen.[3] | |
| 2. August 2028 | Die Hochrisiko-Regeln für KI in regulierten Produkten gelten.[3] | |
Anbieter oder Betreiber
Anbieter[2]Ein Anbieter entwickelt ein KI-System oder -Modell, oder lässt es entwickeln, und bietet es unter eigenem Namen an. OpenAI, Anthropic, Google und Microsoft sind Anbieter ihrer Modelle und Tools.
Betreiber[5]Ein Betreiber setzt ein KI-System in eigener Verantwortung beruflich ein, nicht privat. Laut RTR ist ein Unternehmen, das KI-Systeme Dritter unverändert einsetzt, „in der Regel als Betreiber einzustufen“.
Wann Sie zum Anbieter werden[6]Sie werden zum Anbieter, wenn Sie selbst einen Chatbot entwickeln und unter Ihrem Namen betreiben. Dasselbe gilt, wenn Sie ein Hochrisiko-System unter Ihrem Namen anbieten oder ein allgemeines Tool für einen Hochrisiko-Zweck einsetzen, etwa einen Chatbot für die Vorauswahl von Lebensläufen.
Was Sie als Unternehmen tun müssen, das KI-Tools nutzt
KI-Kompetenz[7]Immer, seit 2. Februar 2025. Neue Fassung seit 27. Juli 2026.Sie ergreifen Maßnahmen, um die KI-Kompetenz der Mitarbeitenden zu fördern, die in Ihrem Auftrag KI nutzen. Ein bestimmtes Niveau schreibt das Gesetz nicht vor. Laut Kommission sollen Mitarbeitende, die Tools wie ChatGPT nutzen, Risiken wie Halluzinationen kennen. Ein Zertifikat ist nicht nötig, eine interne Aufzeichnung der Schulungen genügt.
Deepfakes kennzeichnen[8]Ab 2. August 2026, wenn Sie sie veröffentlichen.Sie legen offen, dass veröffentlichte Bilder, Audio- oder Videoinhalte KI-generiert oder manipuliert sind. Bei offensichtlich künstlerischen, satirischen oder fiktionalen Werken genügt ein zurückhaltender Hinweis.
Bestimmte veröffentlichte Texte kennzeichnen[6]Ab 2. August 2026.Kennzeichnen müssen Sie KI-Texte nur, wenn Sie sie veröffentlichen, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und kein Mensch sie geprüft oder redigiert hat. Interne Texte und geschäftliche Korrespondenz gelten in diesem Sinn nicht als „veröffentlicht“.
Chatbot als KI ausweisen[6]Ab 2. August 2026, wenn Sie einen eigenen Chatbot betreiben.Das ist eine Anbieterpflicht. Sie gilt, wenn Sie Kundinnen und Kunden einen eigenen Chatbot unter Ihrem Namen anbieten. Die Leitlinien der Kommission sehen bei einem internen Assistenten für geschulte Mitarbeitende einen offensichtlichen Fall, in dem kein Hinweis nötig ist.
Verbote beachten[2]Seit 2. Februar 2025, neue Verbote ab 2. Dezember 2026.Zu den verbotenen Praktiken zählt Emotionserkennung am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen.
Hochrisiko-Einsätze[3]Ab 2. Dezember 2027.KI zum Filtern von Bewerbungen, zur Bewertung von Kandidatinnen und Kandidaten oder für Entscheidungen über Beförderung oder Kündigung ist Hochrisiko. Als Betreiber halten Sie sich dann an die Gebrauchsanweisung, bestimmen menschliche Aufsicht, bewahren Protokolle mindestens sechs Monate auf und informieren vorher Betriebsrat und betroffene Mitarbeitende.
Der EU-Verhaltenskodex für KI-Modelle
Der Verhaltenskodex für KI mit allgemeinem Verwendungszweck (General-Purpose AI Code of Practice) ist ein freiwilliger Kodex für Modellanbieter, veröffentlicht am 10. Juli 2025. Er hat drei Kapitel: Transparenz, Urheberrecht sowie Sicherheit. Die Kommission bezeichnet ihn als geeignetes freiwilliges Instrument, um die Einhaltung nachzuweisen. Er bindet die Anbieter, nicht die Unternehmen, die deren Tools nutzen. Laut Liste der Kommission, Stand 31. Juli 2026:[9]
Unterzeichnet:
AmazonAnthropicGoogleIBMMicrosoftMistral AIOpenAIAleph AlphaCohereServiceNowWRITERAI Studio DeltaAlmawaveBlack Forest LabsBria AIDomynDweveFastwebLINAGORAOpen HippoPleiasxAI (nur Kapitel Sicherheit)
Nicht auf der Liste:
Meta (nicht auf der Liste der Kommission)
DSGVO, wenn Ihre Mitarbeitenden KI-Tools nutzen
DSGVO gilt parallel[10]Der AI Act ersetzt die DSGVO nicht. Sobald personenbezogene Daten in einem Prompt, einer Datei oder einer Antwort vorkommen, gilt zusätzlich die DSGVO.
Rechtsgrundlage[11]Jede Verarbeitung personenbezogener Daten in einem KI-Tool braucht eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Besondere Kategorien wie Gesundheitsdaten brauchen zusätzlich eine Bedingung nach Art. 9 Abs. 2.
Auftragsverarbeitungsvertrag (Art. 28)[11]Verarbeitet der Anbieter personenbezogene Daten in Ihrem Auftrag, brauchen Sie einen Vertrag mit den Inhalten nach Art. 28 Abs. 3. Anbieter bieten ihn oft nur in Business-Plänen an. Prüfen Sie dazu die jeweilige Tool-Seite.
Übermittlungen außerhalb der EU[12]Über das EU-US Data Privacy Framework dürfen personenbezogene Daten ohne zusätzliche Garantien an zertifizierte US-Unternehmen gehen. Sonst nutzen Sie Standardvertragsklauseln. Das Gericht der EU hat das Framework am 3. September 2025 bestätigt.
Datenschutz-Folgenabschätzung (DSFA)[11]Eine DSFA nach Art. 35 DSGVO ist nötig, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringt.
Herkunft des Modells prüfen[13]Laut EDSA sollen Behörden berücksichtigen, ob ein Unternehmen, das ein Modell einsetzt, angemessen geprüft hat, dass das Modell nicht mit unrechtmäßig verarbeiteten personenbezogenen Daten entwickelt wurde.
Automatisierte Entscheidungen[10]Art. 22 DSGVO begrenzt Entscheidungen, die ausschließlich automatisiert fallen und eine Person rechtlich oder ähnlich erheblich betreffen. Die DSB weist darauf hin, dass der Anwendungsbereich „tendenziell weit ausgelegt“ wird.
DSGVO-Änderungen sind nur Vorschlag[14]Die Kommission hat Änderungen an der DSGVO vorgeschlagen (Digital Omnibus, COM(2025) 837). Stand September 2026 sind sie nicht beschlossen.
Datenresidenz
Die DSGVO regelt die Übermittlung personenbezogener Daten, nicht den Speicherort, und schreibt daher kein Hosting in der EU vor. EU-Hosting verringert Fragen zur Übermittlung, beseitigt sie aber nicht, denn auch ein Fernzugriff von außerhalb der EU gilt als Übermittlung (EDSA-Leitlinien 05/2021).
Österreich
KI-Servicestelle der RTR[15]Die nationale Anlauf- und Informationsstelle für KI bei der Regulierungsbehörde RTR. Sie erklärt den AI Act und unterstützt die Umsetzung, ist aber keine Aufsichtsbehörde.
Noch keine Aufsicht für den AI Act benannt[16]Österreich hat seine Marktüberwachungsbehörde für den AI Act noch nicht benannt. Laut RTR gibt es „derzeit noch keine nationale Umsetzung der Zuständigkeiten des AI Acts in Österreich“. Die Liste der Kommission, Stand 7. September 2026, hat für Österreich keinen Eintrag.
KI-Kompetenz in der Praxis[17]Die RTR empfiehlt, KI-Strategie, interne KI-Richtlinie, Schulungskonzept und die Schulungen jeder Person zu dokumentieren. Sie weist darauf hin, dass fehlende Schulungen dem Unternehmen nach § 1313a ABGB zugerechnet werden können.
Datenschutzbehörde (DSB)[18]Die FAQ der DSB zu KI und Datenschutz halten fest, dass die DSGVO parallel gilt. Sie sollen prüfen, ob personenbezogene Daten an den Hersteller des Systems oder andere Dritte gehen.
DSFA-Liste nennt KI[19]Die österreichische DSFA-Verordnung (DSFA-V) verlangt eine DSFA bei Verarbeitungen mit neuen Technologien, die die Abschätzung der Folgen erschweren, „insbesondere durch den Einsatz von künstlicher Intelligenz“.
Was hilft Ihnen als Nächstes?
Entscheiden lernen
Der Kurs „From Managed to Hybrid“ zeigt, wo KI laufen sollte: was jede Ebene kostet, was Sie betreiben und wo Ihre Daten bleiben müssen. In Vorbereitung, mit einer kostenlosen Live-Session zum Start.
Linda MohamedKI- und Cloud-Beraterin, AWS Community Hero, Wien
Gemeinsam einführen
Erzählen Sie mir, welche Tools Ihre Teams nutzen oder nutzen wollen. In 30 Minuten sehen wir uns Pläne, Einstellungen, Datenregeln an und ob AWS-Förderung einen Teil eines Pilots abdeckt. So funktioniert AWS-Förderung →
Sie wissen schon, was Sie brauchen
Buchen Sie direkt einen Workshop:
- KI-Enablement-Workshop →
Ein Workshop für eine Rolle, bis zu 12 Personen: wie Ihr Team diese Tools gut nutzt und was innerhalb der Regeln bleibt. - KI-Discovery-Workshop →
Ihre Ideen als bewertete Shortlist, damit Sie wissen, welcher Anwendungsfall mehr braucht als eine Tool-Lizenz.
Mehr auf ai-solutions.wiki
Meine offene Wissensbasis, mit längeren Vergleichen und Quellen (auf Englisch).
Quellen
- AI Act, digital-strategy.ec.europa.eu. https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- AI Act, eur-lex.europa.eu. https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- AI Act, eur-lex.europa.eu. https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng
- AI Act, ai-act-service-desk.ec.europa.eu. https://ai-act-service-desk.ec.europa.eu/en/faq
- Betreiber, rtr.at. https://www.rtr.at/rtr/service/ki-servicestelle/faq/FAQ.de.html
- Wann Sie zum Anbieter werden, ai-act-service-desk.ec.europa.eu. https://ai-act-service-desk.ec.europa.eu/sites/default/files/2026-07/guidelines_on_the_implementation_of_the_transparency_obligations_for_certain_ai_systems_under_article_50_of_the_ai_act_bzptwqhk0ikg1dtlddap41psfy_131215.pdf
- KI-Kompetenz, digital-strategy.ec.europa.eu. https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers
- Deepfakes kennzeichnen, digital-strategy.ec.europa.eu. https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act
- European Commission, GPAI Code of Practice signatories. https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai
- DSGVO gilt parallel, dsb.gv.at. https://dsb.gv.at/aktuelles/informationen-der-datenschutzbehoerde-zum-verhaeltnis-zwischen-der-dsgvo-und-der-verordnung-eu-ueber-kuenstliche-intelligenz-ki-vo-fuer-verantwortliche-des-privaten-bereichs
- Rechtsgrundlage, eur-lex.europa.eu. https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Übermittlungen außerhalb der EU, commission.europa.eu. https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_en
- Herkunft des Modells prüfen, edpb.europa.eu. https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-282024-on-certain-data-protection-aspects-related-to_en
- DSGVO-Änderungen sind nur Vorschlag, europarl.europa.eu. https://www.europarl.europa.eu/legislative-train/theme-a-new-plan-for-europe-s-sustainable-prosperity-and-competitiveness/file-digital-package
- KI-Servicestelle der RTR, rtr.at. https://www.rtr.at/rtr/service/ki-servicestelle/ki-servicestelle.de.html
- Noch keine Aufsicht für den AI Act benannt, digital-strategy.ec.europa.eu. https://digital-strategy.ec.europa.eu/en/policies/market-surveillance-authorities-under-ai-act
- KI-Kompetenz in der Praxis, rtr.at. https://www.rtr.at/rtr/service/ki-servicestelle/ai-act/ki-kompetenz.de.html
- Datenschutzbehörde (DSB), dsb.gv.at. https://dsb.gv.at/faqs/faqs-zum-thema-ki-und-datenschutz
- DSFA-Liste nennt KI, ris.bka.gv.at. https://ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20010375
- GDPR vs EU AI Act, ai-solutions.wiki. https://ai-solutions.wiki/comparisons/gdpr-vs-eu-ai-act/
- EU AI Act: August 2026 obligations, ai-solutions.wiki. https://ai-solutions.wiki/news/eu-ai-act-august-2026-obligations/
- Data residency pattern, ai-solutions.wiki. https://ai-solutions.wiki/patterns/data-residency-pattern/
- EU AI Act compliance guide, ai-solutions.wiki. https://ai-solutions.wiki/guides/eu-ai-act-compliance-guide/
- EDPB Guidelines 05/2021 on Art. 3 and Chapter V GDPR (remote access as transfer). https://www.edpb.europa.eu/documents/guideline/guidelines-052021-on-the-interplay-between-the-application-of-article-3-and-the_en
- CJEU press release 106/25, General Court T-553/23 Latombe v Commission (3 Sept 2025). https://curia.europa.eu/site/upload/docs/application/pdf/2025-09/cp250106en.pdf
Geprüft an den Seiten der Anbieter im September 2026. Pläne, Modelle und Funktionen ändern sich oft: Prüfen Sie die verlinkten Seiten, bevor Sie entscheiden.
