„EU AI-Act? Ist mir kein Begriff!“

Hinweis des Autors: Bei der Erstellung dieses Artikels wurden verschiedene Quellen herangezogen, um eine umfassende Darstellung zu gewährleisten, aber auf Österreich hin angepasst. Die Quellen sind am Ende in Link-Form angeführt.

Das Thema ist in der Wirtschaft bisher noch nicht vollständig angekommen. Zwei Drittel der Entscheider sind mit dem Inhalt des Gesetzes, dem EU Artificial Intelligence Act (EU AI Act), nicht vertraut, obwohl dieses Gesetz weitreichende Auswirkungen auf den Einsatz von KI-Technologien in allen Unternehmen hat, die in der Europäischen Union tätig sind. Interessanterweise messen die Befragten Generativen KI-Modellen (GenAI) eine sehr hohe Bedeutung bei. 77 Prozent sehen in dieser Technologie eine Chance für ihr eigenes Geschäftsmodell. Allerdings schätzen 20 Prozent ihr Unternehmen nur als „ausreichend“ vorbereitet auf GenAI ein, und 22 Prozent sogar als „unzureichend“*).

EU AI Act: Regulierung von KI in Europa

Der EU AI-Act sorgt dafür, dass der Einsatz von Künstlicher Intelligenz in Europa umfassend geregelt wird. Da es sich um eine EU-Verordnung handelt, ist sie nach ihrem Inkrafttreten im August 2024 in allen Mitgliedsstaaten direkt gültig. Zusätzlich können die einzelnen Länder eigene Regelungen erlassen, um den AI-Act zu ergänzen. Ziel ist es, die Sicherheit und Grundrechte zu schützen sowie Innovationen zu fördern. KI-Systeme werden je nach Risikopotenzial in Kategorien von minimal bis hoch eingeteilt, wobei jede Kategorie spezifische Maßnahmen und Regeln erfordert.

Ein Überblick über den EU-Act

01. August 2024: Das Inkrafttreten der Verordnung 2024/1689 über Künstliche Intelligenz (AI-Act).
Seit 02. Februar 2025: Bestimmte Technologien wie Sozialkreditsysteme, Echtzeit-Gesichtserkennung durch Behörden sowie manipulative oder ausbeuterische KI sind verboten.
Seit 02. August 2025: Es gelten Regeln für allgemein nutzbare KI-Systeme, z.B. für Text- oder Bilderstellung.
Ab 02. August 2026: Alle weiteren Bestimmungen treten in Kraft. Das betrifft Hochrisiko-KI (z.B. in Medizin, Kreditvergabe, Strafverfolgung), KI mit geringem Risiko (z.B. Chatbots, Deepfakes, die erkennbar sind) sowie KI mit minimalem Risiko (z.B. Spamfilter, KI in Videospielen). Unternehmen müssen kontrollierte Testumgebungen (Reallabore) bereitstellen, transparent sein, wenn Nutzer mit KI-Systemen interagieren, und KI-generierte Inhalte entsprechend kennzeichnen.
Ab 02. August 2027: Es gelten spezielle Anforderungen für Hochrisiko-KI in Bereichen wie Biometrie, kritische Infrastruktur, Bildung, Arbeit, Strafverfolgung, Migration und Justiz.

Welche rechtlichen Herausforderungen bringt KI mit sich?

Rechtlich gesehen ist KI vor allem deshalb komplex, weil sie Aufgaben übernehmen kann, die früher nur Menschen erledigen durften. KI verarbeitet riesige Datenmengen in Sekundenschnelle und handelt genau nach ihrer Programmierung. Rechtliche Probleme entstehen oft erst, wenn Menschen die Folgen nicht vorhersehen oder wenn KI Muster reproduziert, die gegen Gesetze oder Werte verstoßen. Da KI kein Rechtssubjekt ist, kann sie selbst keine Rechte oder Pflichten haben und auch nicht haftbar gemacht werden. Hier einige wichtige Punkte:

Geistiges Eigentum
Wer besitzt die Rechte an von KI erstellten Bildern oder Texten? Nach dem Urheberrecht ist das die Person, die das Werk geschaffen hat (Schöpferprinzip). KI oder deren Anbieter können kein Urheberrecht erlangen. Auch der Europäische Gerichtshof verlangt eine freie kreative Entscheidung für die Entstehung eines Urheberrechts. Das bedeutet, Bilder, die von KI generiert wurden, sind in der Regel frei nutzbar (kein Exklusivrecht), solange keine Persönlichkeitsrechte (Recht am Bild) verletzt werden. Vorsicht ist somit geboten, wenn Personen erkennbar sind oder bekannte Marken verwendet werden. Ich empfehle am besten auf KI-Bilder mit Menschen zu verzichten und sich auf Landschaften oder Stimmungsbilder zu beschränken. Die Gefahr, dass die KI-generierten Bilder echten Menschen ähneln, ist zu groß, ebenso, dass eine KI zum Beispiel bereits für Dritte geschützte Marken zur Nutzung vorschlägt oder urheberrechtlich geschützte Werke wie Bilder, Videos oder Texte verwendet oder wiedergibt, liegt auf der Hand. Die Rechtsfolgen können empfindlich ausfallen. Es ist weiters ratsam, die Nutzungsbedingungen der KI-Tools genau zu lesen und auf die Herkunft der Daten zu achten. Diese sollten seit 02. August 2025 ausgiebiger ausfallen (Artikel 53 KI-VO, Schutz von Urheberrechten).
Datenschutz
KI braucht große Datenmengen, was Fragen zum Datenschutz aufwirft. Das lässt Fragen hinsichtlich der Einwilligung der Nutzer, des Datenschutzes und der Privatsphäre offen. Besonders bei personenbezogenen Daten ist damit die Einhaltung der Datenschutz-Grundverordnung (DSGVO) essenziell. Unternehmen müssen sicherstellen, dass sie die Rechte der Nutzer wahren, z.B. durch klare Informationen und Aufklärung (Art 13 DSGVO) sowie das Recht auf Auskunft (Art. 15 DSGVO). Auch hier können gemäß Art. 83 DSGVO (Verhängung von Geldbußen) die Rechtsfolgen empfindlich sein.
Haftung im Digitalbereich
Wer haftet, wenn eine KI falsche Entscheidungen trifft und Schaden verursacht? Die bestehenden Haftungsvorschriften sind hier noch nicht vollständig angepasst. Gemäß § 4 Produkthaftungsgesetz wird als Produkt jede bewegliche, körperliche Sache einschließlich Energie verstanden. Ob KI (etwa ein Chatbot) eine Software ist und als Produkt anzusehen ist, steht noch in den Sternen. Die neue EU-Produkthaftungsrichtlinie 2024/2853 soll Hersteller künftig für Fehler ihrer KI-Systeme haftbar machen. Sie nimmt eine Erweiterung des Produktbegriffs vor, der nun ausdrücklich auch Software umfasst. Österreich hat bis Dezember 2026 Zeit, diese Richtlinie in nationales Gesetz zu gießen. Ihren eigenen Entwurf einer KI-Haftungsrichtlinie aus 2022 hat die EU in ihrem Arbeitsprogramm 2025 zurückgezogen. Begründung: Es wird keine Einigung auf dieser Basis erwartet.
KI im Strafrecht
KI kann auch für Straftaten wie Betrug, Erpressung oder Cybermobbing genutzt werden, z.B. durch Deepfakes oder täuschend echte Phishing-Mails. Die Gesetze des Strafgesetzbuchs kommen hier zum Einsatz, doch die Täter:innen zu ermitteln und der Strafverfolgung zu überantworten, ist oft schwierig. Nicht vergessen werden darf bei Deepfake-Videos das Recht am eigenen Bild nach Urheberrechtsgesetz sowie der Straftatbestand des Cyber-Mobbings.
Arbeitsrecht
Der Einsatz von KI bei Bewerbungen kann Diskriminierung fördern (Verletzung des Allgemeinen Gleichbehandlungsgesetzes steht im Raum), wenn die Programme nicht richtig trainiert sind. Auch bei der Überwachung am Arbeitsplatz müssen Datenschutz und Privatsphäre gewahrt bleiben. Eingerichtete Betriebsräte haben bei der Einführung von KI-Systemen durch den Arbeitgeber Mitspracherecht.
Transparenz und Kennzeichnungspflichten
- Transparenz wird verpflichtend
  Nur dann, wenn nicht bereits offensichtlich ist, dass es sich um ein KI-System handelt, besteht die Pflicht zur Offenlegung. Unternehmen, die KI-gestützte Kommunikation direkt mit Personen führen (zum Beispiel automatisierte Chatbots auf Webseiten oder Sprachassistenten im Kundenservice), müssen ihre Kundinnen und Kunden darüber informieren, dass sie mit einer KI interagieren. Wenn die Kommunikation jedoch menschlich geprüft wurde, etwa eine E-Mail, die im Hintergrund mit Unterstützung von KI erstellt wurde, ist eine solche Kennzeichnung nicht erforderlich.
- Kennzeichnung von Inhalten (Texte, Bilder, Videos)
  Ab dem 02. August 2026 müssen alle von KI generierten Inhalte gemäß Artikel 50 des EU AI-Acts deutlich als solche gekennzeichnet werden. Ziel dieser Regelung ist es, mehr Transparenz zu schaffen und das Risiko von Desinformation oder Täuschung, beispielsweise durch Deepfakes, zu verringern. Es wird empfohlen, auch wenn es rechtlich noch keine Verpflichtung ist, Inhalte freiwillig und transparent zu kennzeichnen. Das stärkt das Vertrauen bei Kund:innen und hilft Missverständnisse zu vermeiden.
  - Wann ist eine Kennzeichnung notwendig?
    - Bei täuschend echten KI-generierten Inhalten, wie realistisch wirkenden Bildern, Videos oder Stimmenimitationen. Die Kennzeichnung sollte maschinenlesbar sein, zum Beispiel in den Metadaten.
    - Bei Texten zu öffentlichen Themen (z.B. Nachrichten), die ohne menschliche Kontrolle oder redaktionelle Verantwortung veröffentlicht werden.
    - Bei Deepfakes (manipulierten Medien), die künftig eindeutig als solche gekennzeichnet werden müssen.
  - Wann ist eine Kennzeichnung nicht notwendig?
    - Wenn die KI-generierten Inhalte nicht täuschend echt sind. Wobei der Begriff „täuschend echt“ bislang nicht eindeutig definiert ist. Dies kann im Einzelfall zu Unsicherheit führen (Beispiel: Ein KI-Bild einer fiktiven Baustelle – echt oder künstlich? Dies ist nicht immer leicht zu erkennen). Es gibt noch keine zentrale Prüfstelle. Der Anwender trägt das Risiko.
    - Wenn ein Mensch die KI-generierten Inhalte prüft und die Verantwortung dafür übernimmt.
    - Wenn die Inhalte nur intern im Unternehmen oder für die betriebliche Kommunikation genutzt werden, wie zum Beispiel bei Angebotsvorlagen.

Künstliche Intelligenz bietet zweifellos großes Potenzial, den Menschen zu unterstützen. Gleichzeitig bringt sie aber auch rechtliche Herausforderungen mit sich. Unser Rechtssystem tastet sich nur langsam an diese neuen Technologien heran. Wir müssen aber aufpassen, gegenüber der rasanten KI-Entwicklung nicht ins Hintertreffen zu geraten.

Und warum KI-Antworten auf Faktencheck-Fragen immer von Menschen kritisch überprüft werden müssen, lesen Sie in einem Beitrag mit dem Titel: „ChatGPT: Schnell erfragt, falsch geklagt.“

Quellenhinweise:

*⁾ Der IT-Dienstleister adesso hat im November 2023 und im Mai 2024 zwei Umfragen zum Thema GenAI in Deutschland, Österreich und der Schweiz durchgeführt. Insgesamt nahmen 778 Verantwortliche aus Unternehmen an den Befragungen teil.

AI Act: Was gilt ab Februar 2025?

5 zentrale rechtliche Herausforderungen im Bereich KI im Zeitalter der generativen KI

KI-Compliance: Wichtige rechtliche Aspekte im Überblick

Neue Spielregeln für die Verwendung Künstlicher Intelligenz – was Unternehmen ab August beachten müssen

KI im Recht – oder nicht?

Rechtliche Risiken beim Einsatz von künstlicher Intelligenz. Im Blickpunkt: Marketing, Produktentwicklung und Vertrieb.

Leitfaden zur Kennzeichnung von KI-generierten Texten und Bildern.

Fragen und Antworten zu KI meets KMU: Was bedeutet die neue KI-Verordnung in der Praxis?

Offenlegungs-, Kennzeichnungs- und Informationspflichten

Linkauswahl zum EU‑AI Act:

EU-Verordnung 2024/1689 über künstliche Intelligenz (AI Act)

Nationale Strategie der österreichischen Bundesregierung zur Förderung von Künstlicher Intelligenz (KI)

Österreichische KI-Service- und Koordinationsstelle (RTR GmbH)

Österreichischer KI-Beirat (beratendes Gremium)

Offenlegungs-, Kennzeichnungs- und Informationspflichten

Fragen und Antworten zu KI meets KMU: Was bedeutet die neue KI-Verordnung in der Praxis?

KI-Guidelines für KMU

AI Act – Die KI-Verordnung der EU

Fragen und Antworten zum Thema Datenschutz und Künstliche Intelligenz

Entscheidungen mit KI-Bezug (demonstrativ):

Deutschland: Haftung für Falschauskünfte wegen unzulänglicher KI-Programmierung (LG Kiel, Urteil vom 29.02.2024 – 6 O 151/23). Für die mit KI erzeugten Inhalte haftet jedenfalls aber (auch) der Verwender der künstlichen Intelligenz, obwohl das Unternehmen, das die KI eingesetzt hatte, keine Kenntnis von der Unrichtigkeit der veröffentlichten Information hatte.

Österreich: Das OGH Urteil (Aktenzeichen 4Ob77/23m, vom 27.06.2023) betrifft die Klage des Österreichischen Rechtsanwaltsvereins (ÖRAV) gegen ein Unternehmen, das KI-gestützte Rechtsdienstleistungen anbietet. Ein aktuelles Gerichtsurteil des Obersten Gerichtshofs ebnet den Weg für mehr Innovation und betont die Bedeutung von KI in der Rechtspraxis.