KI-Kompetenzpflicht laut EU AI Act: Was ändert sich ab August 2026 für KMUs und EPUs in Österreich?

...aber eine Pflicht ohne Zähne

Trotz der rechtlichen Verpflichtung zur KI-Kompetenz haben viele KMUs bisher nichts unternommen. Dafür gibt es nachvollziehbare Gründe:

1. Keine konkreten Vorgaben. Der Gesetzestext bleibt vage. Was genau "ausreichende KI-Kompetenz" bedeutet, welches Schulungsformat geeignet ist und wie der Nachweis zu führen ist, lässt die Verordnung offen. Die Europäische Kommission hat zumindest klargestellt, dass eine Zertifizierung nicht verpflichtend ist.

Inhaltliche Empfehlungen für KI-Kompetenzschulungen existieren zwar von der Europäischen Kommission und von der österreichischen KI-Servicestelle RTR, sind aber fallspezifisch anzuwenden. Konkrete Vorgaben, die Rechtssicherheit garantieren, fehlen komplett.

2. Keine direkten Strafen vorgesehen. Der Bußgeldkatalog des AI Act (Artikel 99) listet die Artikel auf, deren Verletzung zu Geldbußen führt. Die KI-Kompetenzpflicht aus Artikel 4 taucht dort nicht auf. Direkte Bußgelder spezifisch für Verstöße gegen die KI-Kompetenzpflicht sind also nicht vorgesehen. Die WKO bestätigt: "Die Verordnung selbst enthält keine Konkretisierung dieser Bestimmung und auch keine Strafbestimmungen." Theoretisch könnten Mitgliedstaaten im Rahmen ihrer nationalen Umsetzungsgesetze eigene Sanktionen festlegen, in Österreich ist das aber derzeit nicht absehbar.

3. Keine Behörde zuständig. In Österreich existiert seit 2024 die KI-Servicestelle bei der RTR als Informationsdrehscheibe, aber die eigentlich zuständige Marktüberwachungsbehörde ist Stand Februar 2026 noch nicht formell benannt.

Was sich ab August 2026 ändert

Am 2. August 2026 treten zusätzliche Verpflichtungen einschließlich der Durchsetzungsvorschriften der KI-Verordnung in Kraft. Ab diesem Datum können nationale Marktüberwachungsbehörden Verstöße tatsächlich ahnden. Doch gerade für die KI-Kompetenzpflicht ist die Lage differenziert zu betrachten.

Keine direkte Bestrafung, aber ein indirektes Risiko. Da Artikel 4 im Bußgeldkatalog (Art. 99) nicht aufscheint, drohen für fehlende KI-Kompetenz allein keine Geldbußen. Die eigentliche Gefahr liegt woanders: Fehlende KI-Kompetenz wirkt als Verstärker bei anderen Verstößen, die sehr wohl strafbar sind und für die im Extremfall Geldbußen bis zu 35 Millionen Euro (oder 7% des Jahresumsatzes) verhängt werden können. 

DSGVO-Verstöße durch KI-Unwissenheit. Mitarbeitende, die personenbezogene Daten bedenkenlos in KI-Tools eingeben (etwa Kundendaten in ChatGPT), riskieren DSGVO-Verstöße. Diese sind schon heute sanktionierbar und haben mit dem AI Act nichts zu tun, werden aber durch fehlende KI-Kompetenz deutlich wahrscheinlicher.

Zivilrechtliche Haftung. Verursacht die falsche Bedienung eines KI-Systems durch ungeschultes Personal einen Schaden (fehlerhafte Auskünfte an Kunden, falsch generierte Verträge, diskriminierende Entscheidungen), kann das Unternehmen zivilrechtlich haften. Die fehlende Schulung wird dabei zum Nachweis eines Organisationsverschuldens.

Arbeitsrechtliche Konsequenzen. Umgekehrt brauchen Unternehmen klare interne Regeln zum KI-Einsatz, um bei Fehlverhalten von Mitarbeitenden überhaupt arbeitsrechtlich reagieren zu können. Ohne dokumentierte Richtlinien und Schulungen wird es schwer, Konsequenzen durchzusetzen.

Reputationsrisiken. Abseits der Rechtslage: Unternehmen, deren Mitarbeitende KI-Tools inkompetent einsetzen, riskieren peinliche Fehler gegenüber Kunden und Geschäftspartnern. Entsprechende Vorfälle können schmerzhafter sein, als jedes Bußgeld.

Österreich ist spät dran

Ob Österreich bis August 2026 eine voll operationsfähige Marktüberwachungsbehörde haben wird, ist fraglich. Die Frist zur Benennung (August 2025) ist bereits verstrichen, ein nationales Umsetzungsgesetz fehlt. Der Rechnungshof hat die Situation bereits kritisiert.

Realistisch betrachtet wird die aktive Durchsetzung in Österreich auch nach August 2026 zunächst auf Information und Nachbesserung statt auf Strafen setzen.

Was KMUs jetzt tun sollten (und was nicht)

Panik ist fehl am Platz, Untätigkeit aber auch. Das Zeitfenster bis August 2026 bietet die Gelegenheit, sich ohne Zeitdruck vorzubereiten, statt unter Druck nachzuarbeiten.

Drei Maßnahmen reichen wahrscheinlich für den Anfang:

Erstens: Verschaffen Sie sich einen Überblick, welche KI-Tools im Unternehmen im Einsatz sind. Vom Chatbot über den Copiloten in MS Office bis zum KI-gestützten Buchhaltungstool. Bedenken Sie, dass auch etablierte Software-Tools immer öfter KI-Funktionen nachrüsten und damit (vielleicht ohne Ihr Wissen) zum KI-Tool werden.

Zweitens: Dokumentieren Sie, wer diese Tools nutzt, und sorgen Sie für ein Grundverständnis bei den betroffenen Mitarbeitenden. Das muss nicht aufwändig sein. Schriftliche interne Richtlinien und eine einfache Schulung (beides lässt sich extern zukaufen, falls Sie intern nicht über die entsprechenden Kompetenzen verfügen) reichen oft schon. Wenn Sie noch eine interne Ansprechperson für KI-Themen benennen können, wäre das perfekt.

Drittens: Halten Sie schriftlich fest, was Sie getan haben. Eine einfache Dokumentation genügt, um im Fall einer Prüfung guten Willen und Sorgfalt nachzuweisen.

Was Sie getrost lassen können: teure Zertifizierungsprogramme buchen, die mit der Angst vor Strafen werben. Die EU-Kommission hat explizit klargestellt, dass eine formale Zertifizierung nicht verlangt wird.

Fazit

Die KI-Kompetenzpflicht nach Artikel 4 ist kein zahnloser Papiertiger, aber auch kein Grund zur Panik. Direkte Strafen für fehlende KI-Kompetenz gibt es nicht. Doch fehlende Kompetenz erhöht das Risiko für Verstöße gegen andere Bestimmungen der KI-Verordnung, DSGVO-Verstöße, Haftungsfälle und Reputationsschäden erheblich. Wer seine Mitarbeitenden jetzt fit macht, schützt sein Unternehmen nicht vor einer imaginären KI-Polizei, sondern vor ganz realen Fehlern im Tagesgeschäft.