AI Omnibus 2026: Neue KI-Fristen für KMU

Der AI Omnibus 2026 ist am 27. Juli 2026 in der Europäischen Union in Kraft getreten. Für viele österreichische Unternehmen klingt die Nachricht zunächst nach Aufschub: Bestimmte Regeln für Hochrisiko-KI gelten später, einige Verfahren werden vereinfacht und Unterstützungsangebote ausgebaut. Daraus folgt aber nicht, dass KMU ihre laufenden KI-Projekte bis 2027 oder 2028 unangetastet lassen können. Transparenzregeln, bereits geltende Verbote, Anforderungen an Anbieter allgemeiner KI-Modelle und praktische Aufgaben rund um Datenschutz, Qualität und Verantwortlichkeiten bleiben relevant.

Dieser Praxischeck ordnet die wichtigsten Änderungen für kleine und mittlere Unternehmen in Österreich ein. Er hilft dabei, KI-Anwendungen nach Rolle, Risiko und Frist zu sortieren. Die Einordnung ist allgemeiner Natur und ersetzt keine rechtliche Prüfung eines konkreten Systems oder Einsatzfalls.

Was mit dem AI Omnibus 2026 geändert wurde

Die Verordnung (EU) 2026/1744 ändert den ursprünglichen EU AI Act und weitere Rechtsakte. Das Ziel ist eine einfachere, besser planbare Umsetzung. Die Europäische Kommission hebt vor allem spätere Anwendungstermine für Hochrisiko-Systeme, vereinfachte Verfahren für kleinere Unternehmen, breitere Testmöglichkeiten und klarere Zuständigkeiten hervor.

Für die betriebliche Praxis sind vier Änderungen besonders wichtig:

Regeln für bestimmte Hochrisiko-KI-Systeme nach Anhang III gelten grundsätzlich ab 2. Dezember 2027.
Regeln für Hochrisiko-KI, die in regulierte Produkte nach Anhang I eingebettet ist, gelten ab 2. August 2028.
Vereinfachungen, die bisher vor allem KMU zugutekamen, werden teilweise auf kleine Mid-Cap-Unternehmen erweitert.
Die allgemeine Förderung von KI-Kompetenz wird stärker bei Kommission und Mitgliedstaaten verankert; spezielle Schulungs- und Organisationsaufgaben bei Hochrisiko-Anwendungen bleiben dennoch ein eigenes Thema.

Diese Punkte schaffen Zeit und reduzieren einzelne Nachweispflichten. Sie ändern aber nicht die grundlegende Aufgabe: Ein Unternehmen muss wissen, welche KI es einsetzt, welche Rolle es dabei hat und welche Folgen die Anwendung für Menschen haben kann.

Die wichtigste Botschaft: Nicht jede KI-Pflicht wurde verschoben

In einer knappen Schlagzeile geht leicht verloren, dass der AI Act stufenweise gilt. Einige Vorschriften sind bereits anwendbar, andere starten am 2. August 2026 und nur bestimmte Hochrisiko-Regeln wurden auf spätere Termine verschoben. Ein pauschaler Vermerk „AI Act erst 2027“ wäre daher als interne Planungsgrundlage falsch.

Für KMU ist eine Trennung in drei Zeitachsen hilfreicher:

Bereits relevant: verbotene KI-Praktiken, Teile der Regeln für allgemeine KI-Modelle und bestehende Anforderungen aus Datenschutz, Arbeitsrecht oder Verbraucherschutz.
Ab 2. August 2026 relevant: insbesondere Transparenzregeln nach Artikel 50 sowie die Durchsetzung der zu diesem Zeitpunkt anwendbaren Bestimmungen.
Später relevant: die verschobenen Vorgaben für Hochrisiko-KI nach Anhang III und für KI in regulierten Produkten nach Anhang I.

Ein Betrieb sollte deshalb nicht mit einer einzigen Frist arbeiten. Sinnvoller ist eine Liste der konkreten Anwendungen, in der für jeden Einsatz der passende Stichtag dokumentiert wird.

Neue Fristen für Hochrisiko-KI richtig einordnen

Anhang III: 2. Dezember 2027

Anhang III betrifft sensible Einsatzfelder, in denen KI Entscheidungen oder Zugänge wesentlich beeinflussen kann. Dazu können je nach genauer Funktion Systeme in Beschäftigung und Personalmanagement, Bildung, Kreditwürdigkeitsprüfung oder bei bestimmten wesentlichen Dienstleistungen gehören. Nicht jede Software in diesen Bereichen ist automatisch Hochrisiko-KI. Entscheidend sind Zweck, Funktionsweise, Rolle des Systems und die gesetzlichen Ausnahmen.

Für ein österreichisches KMU kann das etwa relevant werden, wenn Bewerbungen automatisch bewertet, Kandidatinnen und Kandidaten gereiht oder Entscheidungen über den Zugang zu einer Leistung vorbereitet werden. Ein Textassistent, der lediglich eine Stellenanzeige sprachlich überarbeitet, ist davon deutlich zu unterscheiden. Die neue Frist ist daher kein Freibrief, sondern zusätzliche Zeit für eine belastbare Klassifizierung und Vorbereitung.

Anhang I: 2. August 2028

Der spätere Termin betrifft Hochrisiko-KI, die als Sicherheitskomponente in bestimmten regulierten Produkten eingesetzt wird. Typische Berührungspunkte können Maschinen, Medizinprodukte, Aufzüge oder andere Produktgruppen mit eigener EU-Harmonisierungsregelung sein. Für einen gewöhnlichen Website-Chatbot oder ein internes Schreibwerkzeug ist diese Kategorie normalerweise nicht die naheliegende Ausgangsfrage.

Hersteller, Importeure, Produktentwickler und technische Zulieferer sollten die längere Vorlaufzeit nutzen, um Zuständigkeiten mit Produktkonformität, Qualitätsmanagement und Cybersecurity zusammenzuführen. Gerade bei eingebetteten Systemen reicht eine reine Marketing- oder IT-Betrachtung nicht aus.

Was ab 2. August 2026 trotzdem auf der Agenda steht

Die Europäische Kommission bestätigt in ihrer aktuellen Umsetzungszeitleiste, dass die Transparenzregeln des Artikels 50 ab 2. August 2026 gelten. Dazu gehören je nach Rolle und System unter anderem Hinweise bei direkter Interaktion mit KI sowie Anforderungen rund um die Erkennbarkeit synthetischer Inhalte. Betreiber können außerdem Informationspflichten treffen, wenn sie Deepfakes, bestimmte KI-generierte Inhalte von öffentlichem Interesse oder Systeme zur Emotions- beziehungsweise biometrischen Kategorisierung einsetzen.

Für Anbieter bereits vor dem 2. August 2026 in Verkehr gebrachter Systeme, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, enthält die neue Regelung eine Übergangsfrist bis 2. Dezember 2026 für bestimmte technische Lösungen nach Artikel 50 Absatz 2. Das ist eine eng umrissene Übergangsbestimmung und kein allgemeiner Aufschub für alle Nutzer generativer KI.

Wer KI auf Website, Social Media oder im Kundenservice einsetzt, sollte deshalb den vorhandenen Praxischeck zur Kennzeichnung von KI-Inhalten getrennt vom Hochrisiko-Fahrplan bearbeiten. Für interaktive Assistenten hilft zusätzlich der Transparenz-Check für Website-Chatbots.

KI-Kompetenz bleibt eine betriebliche Aufgabe

Der AI Omnibus vereinfacht die bisherige allgemeine Regelung zur KI-Kompetenz und weist Kommission und Mitgliedstaaten eine stärkere Rolle bei Förderung und Unterstützung zu. Das bedeutet nicht, dass Unternehmen ihre Mitarbeitenden ohne Regeln mit KI arbeiten lassen sollten. Bei Hochrisiko-Einsätzen bleiben besondere Schulungsanforderungen relevant; unabhängig davon verlangen verlässliche Prozesse ohnehin passende Kenntnisse.

Für den Alltag eines KMU genügt kein einmaliges Webinar für alle. Benötigt werden rollenbezogene Fähigkeiten:

Marketing muss wissen, wann Inhalte geprüft oder gekennzeichnet werden.
Personalverantwortliche müssen automatisierte Bewertungen und Auswahlhilfen erkennen.
Kundenservice braucht klare Übergaben von KI zu Menschen.
IT und Einkauf müssen Anbieterinformationen, Datenflüsse und Änderungsmeldungen einfordern.
Die Geschäftsführung muss festlegen, wer Anwendungen freigibt und Vorfälle bewertet.

Die rechtliche Formulierung wurde schlanker, der praktische Bedarf an Kompetenz aber nicht. Eine kompakte Rollenmatrix ist meist wirksamer als ein allgemeines Zertifikat ohne Bezug zu den eingesetzten Werkzeugen.

Welche Rolle hat das Unternehmen?

Vor jeder Frist kommt die Rollenfrage. Viele KMU sind Betreiber, weil sie ein fertiges KI-System im eigenen Betrieb einsetzen. Wer ein System unter eigenem Namen anbietet, wesentlich verändert oder für einen anderen als den vorgesehenen Zweck nutzt, kann jedoch zusätzliche Verantwortung übernehmen. Hersteller und Anbieter eigener KI-Produkte müssen wiederum andere Pflichten betrachten als ein Betrieb, der einen Standardassistenten für Textentwürfe verwendet.

Vier Fragen bringen schnell Struktur:

Wurde das System selbst entwickelt, unter eigenem Namen angeboten oder nur eingekauft?
Entscheidet die KI über Menschen oder unterstützt sie lediglich eine klar verantwortliche Person?
Wird die Anwendung in einem sensiblen Bereich wie Personal, Bildung, Gesundheit, Kredit oder kritischer Infrastruktur eingesetzt?
Erzeugt das System Inhalte oder kommuniziert es direkt mit Kundinnen und Kunden?

Die Antworten sollten nicht nur in Köpfen bleiben. Eine kurze Dokumentation mit Zweck, Datenarten, Anbieter, Verantwortlichen und menschlicher Kontrolle bildet die Grundlage für jede weitere Prüfung.

Sieben Schritte für einen belastbaren KI-Fahrplan

1. Anwendungen vollständig erfassen

Erstellen Sie ein KI-Verzeichnis, das auch Funktionen in bereits vorhandener Software erfasst. Dazu zählen automatische Zusammenfassungen im CRM, Bewerberfilter, Textgeneratoren, Bildwerkzeuge, Chatbots und Prognosefunktionen. Schatten-IT ist wahrscheinlicher als eine vollständig zentrale Beschaffung.

2. Zweck und tatsächliche Nutzung beschreiben

Der Produktname reicht nicht. Dokumentieren Sie, welche Aufgabe das System im konkreten Ablauf übernimmt, welche Eingaben es erhält und wie das Ergebnis verwendet wird. Dieselbe technische Funktion kann je nach Einsatz eine völlig andere Risikobewertung auslösen.

3. Rolle und Risikokategorie vorläufig zuordnen

Markieren Sie pro Anwendung, ob das Unternehmen eher Betreiber, Anbieter, Importeur oder Händler ist. Halten Sie außerdem fest, ob ein Hochrisiko-Bezug geprüft werden muss. Unsichere Fälle gehören auf eine Klärungsliste statt vorschnell in die Kategorie „unproblematisch“.

4. Transparenz separat prüfen

Für jede kundennahe oder veröffentlichende Anwendung braucht es eine eigene Artikel-50-Prüfung. Ein späterer Hochrisiko-Stichtag ändert nichts daran, dass ein Chatbot ab der ersten Interaktion als KI erkennbar sein sollte oder dass bestimmte synthetische Inhalte besondere Hinweise benötigen können.

5. Anbieterunterlagen anfordern

Fragen Sie nach vorgesehenem Zweck, Versionsänderungen, Datenverarbeitung, Protokollierung, menschlicher Aufsicht und Exportmöglichkeiten. Bei sensiblen Anwendungen sollte vertraglich klar sein, wie der Anbieter über wesentliche Änderungen informiert und welche Nachweise verfügbar sind.

6. Menschliche Kontrolle konkret festlegen

„Human in the loop“ ist erst dann nützlich, wenn eine Person genügend Zeit, Information und Befugnis hat, ein Ergebnis zu hinterfragen. Definieren Sie, wann geprüft wird, wann eine Entscheidung gestoppt werden muss und wie Betroffene einen menschlichen Kontakt erreichen.

7. Fristen und Verantwortliche verbinden

Tragen Sie nicht nur Daten in einen Kalender ein. Hinterlegen Sie pro Stichtag eine verantwortliche Person, ein prüfbares Ergebnis und einen Eskalationsweg. So wird aus regulatorischer Beobachtung ein steuerbarer Arbeitsplan.

Ein Beispiel aus dem Recruiting

Ein Handwerksbetrieb nutzt KI zunächst, um Stellenanzeigen verständlicher zu formulieren. Das Ergebnis wird von der Personalverantwortlichen geprüft und erst danach veröffentlicht. Später aktiviert der Betrieb im Bewerbermanagement eine Funktion, die Lebensläufe bewertet und eine Rangliste erstellt. Obwohl beide Funktionen im Recruiting vorkommen, sind sie nicht gleich einzuordnen.

Für die Textunterstützung stehen redaktionelle Kontrolle, Datenschutz und verlässliche Inhalte im Vordergrund. Bei der automatisierten Reihung muss zusätzlich geklärt werden, ob ein Hochrisiko-System nach Anhang III vorliegt, welche Daten und Kriterien verwendet werden und wie diskriminierende Ergebnisse erkannt werden. Der neue Termin im Dezember 2027 gibt Zeit für diese Arbeit, ersetzt sie aber nicht.

30-Tage-Checkliste für österreichische KMU

Ein pragmatischer erster Zyklus kann ohne großes Compliance-Projekt starten:

Woche 1: KI-Werkzeuge aus Einkauf, IT, Marketing, Personal und Kundenservice sammeln.
Woche 2: Zweck, Daten, Rolle, menschliche Kontrolle und externe Betroffenheit pro Anwendung festhalten.
Woche 3: Artikel-50-Fälle priorisieren und Hinweise, Freigaben sowie Übergaben auf Website und Kanälen prüfen.
Woche 4: mögliche Hochrisiko-Fälle an Fachverantwortliche übergeben, Anbieterunterlagen anfordern und Fristen im Maßnahmenplan verankern.

Der Plan sollte anschließend regelmäßig aktualisiert werden. Anbieter schalten neue KI-Funktionen oft innerhalb bestehender Produkte frei. Auch ein veränderter Einsatzzweck kann die Bewertung verschieben.

Typische Fehlentscheidungen nach dem Omnibus

Alles auf 2027 verschieben: Transparenzregeln und bereits geltende Bestimmungen werden dabei übersehen.
Jedes KI-Werkzeug als Hochrisiko einstufen: Das bindet Ressourcen und verwischt die wirklich sensiblen Fälle.
Nur den Anbieter verantwortlich machen: Auch die konkrete Nutzung im Betrieb kann eigene Aufgaben auslösen.
Nur rechtliche Texte sammeln: Ohne Prozess, Verantwortliche und Kontrolle bleibt die Dokumentation wirkungslos.
KI-Kompetenz streichen: Weniger formale Vorgaben bedeuten nicht weniger Qualitäts-, Datenschutz- oder Reputationsrisiko.

Fazit: Gewonnene Zeit gezielt nutzen

Der AI Omnibus 2026 verschafft Unternehmen bei Hochrisiko-KI mehr Vorlauf und vereinfacht einzelne Teile des Regelwerks. Für österreichische KMU ist das vor allem eine Chance, die eigene KI-Nutzung sauber zu ordnen. Wer Transparenzfälle bis August bearbeitet, sensible Anwendungen gesondert prüft und Verantwortlichkeiten dokumentiert, vermeidet sowohl hektische Überreaktionen als auch gefährlichen Stillstand.

Starten Sie mit einem einfachen KI-Verzeichnis und drei Spalten: Zweck, verantwortliche Person und nächster Stichtag. Daraus lässt sich ein realistischer Maßnahmenplan entwickeln. Bei unklaren Rollen oder sensiblen Entscheidungen sollte eine fachkundige rechtliche und technische Einzelfallprüfung folgen.

AI Omnibus 2026: Welche KI-Fristen für KMU jetzt gelten