Viele österreichische Klein- und Mittelbetriebe nutzen bereits KI: ein Chatbot beantwortet erste Fragen, ein Schreibassistent erstellt Entwürfe, eine Software fasst Gesprächsnotizen zusammen oder ein Dienstleister liefert KI-gestützte Funktionen mit. Der 2. August 2026 ist im EU AI Act ein wichtiger Stichtag. Für KMU ist das kein Anlass, jede digitale Lösung über Nacht auszutauschen. Es ist aber ein guter Zeitpunkt, den eigenen KI-Einsatz sichtbar zu machen und Zuständigkeiten festzulegen.
Dieser Beitrag übersetzt die Regelung in einen handhabbaren Betriebsprozess. Er ersetzt keine Rechtsberatung und kann die Prüfung des einzelnen Systems nicht vorwegnehmen. Sein Nutzen liegt woanders: Wer weiß, welche KI im Unternehmen eingesetzt wird, wer sie betreut und wo Kundinnen, Kunden oder Mitarbeitende damit in Berührung kommen, kann Fragen schneller beantworten, Entscheidungen besser dokumentieren und spätere Anpassungen geordnet umsetzen.
Den Stichtag richtig einordnen
Der AI Act ist eine EU-Verordnung mit gestaffelter Anwendung. Nach Artikel 113 gelten zentrale Teile ab 2. August 2026; für bestimmte Hochrisiko-Systeme sieht der Zeitplan weitere Anwendungstermine vor. Die Europäische Kommission weist zugleich darauf hin, dass die Regeln für Hochrisiko-KI je nach Kategorie später greifen. Aus einem Kalenderdatum folgt daher nicht automatisch dieselbe Pflicht für jedes österreichische Unternehmen.
Für die tägliche Praxis ist vor allem die Rolle wichtig. Entwickelt oder bringt ein Unternehmen ein KI-System unter eigenem Namen in Verkehr, können andere Anforderungen gelten als bei einem Betrieb, der eine Standardsoftware einkauft und verwendet. Auch zwischen einem internen Entwurfswerkzeug, einem Kundenchat und einer Anwendung, die Menschen bewertet oder über sie entscheidet, liegen wesentliche Unterschiede. Wer diese Rollen vermischt, macht die Bestandsaufnahme unnötig schwer.
Der sinnvolle erste Schritt lautet deshalb nicht: „Sind wir compliant?" Sondern: „Welche KI-Funktionen nutzen wir tatsächlich und wofür?" Die FAQ der Europäischen Kommission hilft bei der Einordnung des Anwendungsrahmens. Für die rechtliche Detailfrage, ob ein konkreter Einsatz eine Transparenz- oder andere Pflicht auslöst, braucht es abhängig vom Risiko und der Rolle eine fachliche Prüfung.
Im österreichischen Unternehmensalltag lässt sich diese Einordnung gut an drei Beispielen sehen. Ein Tischlereibetrieb, der Produktbeschreibungen entwerfen lässt, nutzt KI anders als eine Ordination, die Gesprächsinhalte verarbeitet. Ein Handelsbetrieb mit einem automatischen Kundenchat hat wieder andere Berührungspunkte als ein Personalberater, dessen Software Bewerbungen vorsortiert. Diese Unterschiede gehören als Kontext in die Übersicht. Sie helfen auch externen Beratern, nicht bei null zu beginnen.
Was KMU jetzt schon gewinnen
Ein geordneter Überblick verringert operative Risiken unabhängig von der jeweiligen Rechtsfolge. Er verhindert, dass ein neuer Chatbot ohne Ansprechpartner auf der Website bleibt, dass vertrauliche Inhalte in einem ungeprüften Tool landen oder dass ein gekündigter Dienstvertrag den Zugang zu wichtigen Prompts und Daten mitnimmt. Zudem erleichtert er die Kommunikation mit Kundschaft, Mitarbeitenden, Förderstellen und Dienstleistern. Für viele Betriebe ist das Inventar damit zugleich ein Baustein der allgemeinen Digitalisierungsdokumentation.
Ein schlankes KI-Inventar anlegen
Ein KI-Inventar muss keine komplizierte Datenbank sein. Für den Anfang reicht eine Tabelle, die von Geschäftsführung und den tatsächlich arbeitenden Teams gepflegt wird. Entscheidend ist, nicht nur den Namen eines Tools festzuhalten. Dokumentiert werden sollte die konkrete Funktion: „Terminnotizen zusammenfassen" ist aussagekräftiger als bloß „Office-Software"; „Chat beantwortet häufige Fragen auf der Website" ist klarer als „KI-Assistent".
Erfassen Sie pro Einsatz mindestens Zweck, verantwortliche Person, Nutzerkreis, betroffene Personengruppen, Datenarten, Anbieter, Zugangsinhaber und die Stelle im Arbeitsablauf. Ergänzen Sie eine Spalte für die Entscheidung: Darf die KI nur Entwürfe liefern, darf sie automatisiert antworten oder entscheidet am Ende immer ein Mensch? Gerade diese Grenze schützt davor, aus einer Assistenzfunktion unbemerkt einen automatisierten Entscheidungsprozess zu machen.
Eine praxistaugliche Mindeststruktur
- Einsatz: Was macht die Funktion konkret und in welchem Prozess wird sie genutzt?
- Kontaktpunkt: Arbeiten nur interne Teams damit oder sehen Kundinnen, Kunden, Bewerbende oder andere Personen die Ausgabe?
- Daten: Welche Informationen werden eingegeben, gespeichert oder an einen Anbieter übermittelt?
- Verantwortung: Wer darf Einstellungen ändern, wer prüft Ergebnisse und wer entscheidet bei Fehlern?
- Status: Freigegeben, nur getestet, pausiert oder abzulösen; inklusive Datum der letzten Überprüfung.
Planen Sie eine kurze Inventarrunde mit Vertrieb, Service, Personal und IT beziehungsweise dem externen Betreuer. Dort tauchen meist Schattenlösungen auf: private Konten, einzelne Browser-Erweiterungen oder KI-Funktionen, die in einer bestehenden SaaS-Lösung aktiviert wurden. Das Ziel ist nicht Kontrolle um der Kontrolle willen. Es geht darum, dass der Betrieb bewusst entscheidet, welche Nutzung gewollt ist und welche nicht.
Bewährt hat sich ein einfacher Freigabestatus in Ampellogik. Grün steht für einen bekannten, dokumentierten Einsatz mit klarer Verantwortung. Gelb bedeutet: Nutzen ist plausibel, doch Daten, Einstellung oder Kennzeichnung müssen noch geklärt werden. Rot heißt: Bis zur Prüfung nicht einsetzen. Diese Kennzeichnung ist keine rechtliche Bewertung; sie sorgt aber dafür, dass das Team eine offene Frage nicht mit einer stillschweigenden Freigabe verwechselt. Bei neuen Funktionen wird der Eintrag aktualisiert, bevor sie in den Regelbetrieb gehen.
Für Website- und Prozessfragen kann der Beitrag Website als Prozesswerkzeug für KMU beim Übertragen in konkrete Abläufe helfen. Die Website ist häufig der sichtbarste Ort, an dem eine KI-Funktion erstmals mit Interessierten kommuniziert.
Transparenz im Kundenkontakt gestalten
Transparenz ist am wirksamsten, wenn sie genau dort erscheint, wo Menschen mit einer KI interagieren oder eine KI-generierte Information einordnen müssen. Ein allgemeiner Satz im Footer löst selten ein konkretes Verständnisproblem. Ein Website-Chat kann dagegen am Gesprächsbeginn klar und ruhig erklären, dass die erste Antwort automatisiert erstellt wird, welchen Zweck der Chat erfüllt und wie eine menschliche Ansprechperson erreichbar ist.
Die Europäische Kommission hat zu Transparenzpflichten für bestimmte Anbieter und Betreiber Leitlinien veröffentlicht. Sie betonen unter anderem die klare Information bei bestimmten interaktiven KI-Systemen sowie die Einordnung künstlich erzeugter oder veränderter Inhalte. Für ein KMU bedeutet das praktisch: Prüfen Sie jeden externen Kontaktpunkt getrennt. Das können Chatbots, KI-Telefonassistenten, automatisch erzeugte Bild- oder Videoinhalte, Bewerbungsformulare oder Antwortmails sein.
Drei Fragen für jeden sichtbaren Einsatz
- Erkennt die Person den automatisierten Charakter? Eine kurze, verständliche Kennzeichnung am Kontaktpunkt ist hilfreicher als ein langer Hinweis an anderer Stelle.
- Ist der nächste Schritt klar? Geben Sie eine Möglichkeit an, zu einem Menschen zu wechseln, bei Unklarheiten nachzufragen oder sensible Anliegen anders zu übermitteln.
- Ist die Aussage angemessen abgesichert? Bei Preisen, Verfügbarkeit, technischen Auskünften oder Fristen sollte die KI nicht den Anschein einer verbindlichen Zusage erwecken, wenn sie nur vorläufige Informationen liefert.
Im Team lohnt sich ein einfacher Test: Eine Person stellt typische Kundenfragen, eine zweite prüft Antwort, Kennzeichnung und Eskalationsweg. So werden falsche Annahmen sichtbar, bevor sie in einer echten Anfrage zu Ärger führen. Die in den EU-Leitlinien zur Transparenz beschriebenen Grundsätze werden damit in einen wiederholbaren Website- und Servicecheck übersetzt.
Dokumentieren Sie bei diesem Test nicht nur Fehler, sondern auch die korrigierte Antwort und das Datum. Dadurch entsteht eine kleine Wissensbasis für Service und Vertrieb. Ein Beispiel: Fragt jemand nach einer verbindlichen Lieferzeit, kann der Chat eine unverbindliche Orientierung geben und gleichzeitig auf das persönliche Angebot verweisen. Der Fachbereich legt dann fest, welche Formulierung passt und wann eine Anfrage automatisch an einen Menschen weitergeleitet werden muss.
Lieferanten, Daten und Zuständigkeiten prüfen
Viele KMU sind bei KI nicht selbst Anbieter, sondern beziehen Funktionen über bestehende Software. Das entbindet nicht von der eigenen Organisationsaufgabe. Im Inventar sollte deshalb neben dem Produkt auch der Vertrags- und Zugangsweg stehen: Welcher Vertrag regelt die Nutzung? Welches Unternehmenskonto besitzt die Administration? Welche Einstellungen betreffen Training, Speicherung, Datenweitergabe oder die Aktivierung neuer KI-Funktionen?
Fragen Sie Anbieter gezielt, statt nur auf Marketingseiten zu vertrauen. Sinnvoll sind Fragen nach der konkreten Funktion, dem vorgesehenen Einsatz, bereitgestellten Informationen für Betreiber, Änderungen am Produkt und einem erreichbaren Supportweg. Antworten und relevante Vertragsunterlagen gehören zum Einsatzdatensatz. Für kritische Prozesse ist zusätzlich festzuhalten, wie Ergebnisse kontrolliert werden und wann eine Nutzung ausgesetzt wird.
Verantwortung nicht bei einem einzelnen Konto bündeln
Jede KI-Anwendung braucht mindestens eine fachliche und eine administrative Zuständigkeit. Die fachliche Person kennt Zweck und Grenzen im Betrieb; die administrative Person verwaltet Rechte, Anbieterkommunikation und Zugriff. Bei sehr kleinen Teams können das dieselben Menschen sein, trotzdem sollten die Aufgaben dokumentiert sein. Hinterlegen Sie außerdem einen Stellvertreter und ein Unternehmenspostfach. So bleibt der Betrieb handlungsfähig, wenn jemand ausfällt oder ein externer Dienstleister wechselt.
Besonders vorsichtig sollten Unternehmen bei personenbezogenen, vertraulichen oder geschäftskritischen Daten sein. Das KI-Inventar ersetzt kein Datenschutzkonzept, kann aber den Anstoß geben, Datenflüsse und Auftragsverarbeitungsunterlagen mit dem zuständigen Fachteam zu prüfen. Dasselbe gilt für KI-Ausgaben: Eine klare interne Regel, welche Ergebnisse geprüft werden müssen und welche nicht verwendet werden dürfen, ist oft wirksamer als ein pauschales Verbot.
Für die Ablage genügt ein klarer Ort, den das zuständige Team auch tatsächlich findet: etwa ein geschützter Projektordner mit Inventar, Freigaben, Anbieterunterlagen und einem kurzen Änderungsprotokoll. Wichtig ist die Aktualität, nicht die Form. Wird ein Anbieter gewechselt oder ein bisher internes Tool im Kundenkontakt eingesetzt, sollte der Eintrag vor der Änderung überprüft werden. So bleibt nachvollziehbar, warum der Betrieb eine Einstellung gewählt oder einen Einsatz pausiert hat.
Mit einem 30-Tage-Plan beginnen
Der beste Start ist klein und terminiert. In Woche eins sammelt ein Betrieb alle bekannten KI-Einsätze und ordnet jeweils eine verantwortliche Person zu. In Woche zwei werden die zwei bis drei wichtigsten Kundenkontaktpunkte getestet: Website-Chat, automatische Mailantwort oder ein KI-gestützter Angebotsprozess. In Woche drei folgen Anbieterunterlagen, Zugänge und Datenarten. In Woche vier entscheidet die Geschäftsführung über offene Maßnahmen, etwa Kennzeichnungen, Schulungen, geänderte Freigaben oder eine externe Fachprüfung.
Danach genügt meist ein fester Rhythmus: quartalsweise für aktive Systeme, zusätzlich bei neuen Anbietern oder wenn eine Software ihre KI-Funktion wesentlich ändert. Halten Sie den Prozess bewusst einfach. Eine gepflegte Übersicht, ein klarer Kontaktweg und nachvollziehbare Zuständigkeiten sind für einen kleinen Betrieb belastbarer als ein umfangreiches Handbuch, das nach der ersten Woche niemand mehr öffnet.
Die entscheidende Managementfrage
Fragen Sie bei jeder Funktion: Würden wir einer Kundin, einem Mitarbeiter oder einem Geschäftspartner verständlich erklären können, dass hier KI eingesetzt wird, wer die Antwort überprüft und wie eine Korrektur möglich ist? Wenn die Antwort nein lautet, liegt oft kein komplexes Technikproblem vor, sondern eine Lücke bei Prozess, Kommunikation oder Verantwortung. Genau dort sollte der nächste Verbesserungsschritt beginnen.
Der AI Act macht KI nicht zu einem Sonderprojekt für Konzerne. Für österreichische KMU wird er vor allem dann handhabbar, wenn KI wie jede andere wichtige Unternehmenssoftware behandelt wird: mit einem klaren Zweck, einem Eigentümer im Betrieb, nachvollziehbaren Daten- und Zugriffswegen sowie einer verständlichen Kommunikation nach außen. Ein kleiner, regelmäßig gepflegter Prozess ist dafür belastbarer als eine einmalige Bestandsaufnahme.