EU AI Act: Was Sie jetzt wirklich wissen müssen

Die zentrale Frage ist nicht, ob ein Unternehmen KI nutzt, sondern wofür. Der AI Act reguliert nach Wirkung: Je stärker ein System Menschen, Entscheidungen oder Sicherheit beeinflusst, desto strenger die Pflichten. Eine Texterstellung für Newsletter und ein KI-gestütztes Recruiting-Tool werden völlig unterschiedlich behandelt – auch wenn beides oberflächlich nach „KI“ klingt.

Typische Use Cases aus Marketing, Sales und Service

Chatbots und KI-Assistenten im Kundenservice

Begrenztes Risiko. Die wichtigste Pflicht ist die Kennzeichnung: Kundinnen und Kunden müssen erkennen können, dass sie mit einem KI-System interagieren. Ein dezenter Hinweis im Chatfenster genügt in der Regel.

Lead-Scoring und Priorisierung im Vertrieb

Meist minimales bis begrenztes Risiko – solange das Scoring eine menschliche Entscheidung unterstützt und nicht ersetzt. Sobald daraus eine automatisierte Ablehnung wird, etwa beim Vertragsabschluss, kann die Einstufung kippen. Faustregel: Wenn niemand mehr in den Prozess hineinschauen kann, wird es regulatorisch heikel.

Content-Erstellung und Personalisierung im Marketing

Generative Texte, Bildvarianten, A/B-Testing – meist minimal eingestuft. Generierte Inhalte, die als authentisch wirken könnten (Deepfakes, KI-Stimmen), unterliegen Transparenzpflichten nach Artikel 50. Bei stark segmentierter Zielgruppenansprache mit sensiblen Merkmalen wird die Bewertung anspruchsvoller.

Bewerberauswahl und Personalentscheidungen

Hochrisiko. Sobald KI in Recruiting, Performance-Bewertung oder Beförderungsentscheidungen mitwirkt, fällt das unter Anhang III. Hier sind Dokumentationspflichten, Bias-Tests und menschliche Aufsicht keine Empfehlung, sondern Pflicht. Auch Bonitäts- und Kreditprüfungen gehören in diese Kategorie.

Sonderfall Energieversorger: zwei Welten unter einem Dach

Energieversorger sind einer der wenigen Sektoren, in denen Hochrisiko-Pflichten und alltägliches Marketing in derselben Organisation aufeinandertreffen. Wer KI dort einsetzt, sollte beide Seiten klar trennen, sonst überträgt sich die strenge Regulierung der einen Seite faktisch auf die andere.

Wo Hochrisiko wirklich greift

Der AI Act stuft KI im Energiesektor nicht pauschal als hochriskant ein. Der Hebel ist Anhang III Ziffer 2: KI-Systeme, die als Sicherheitsbauteil im Betrieb der Strom-, Gas- oder Wärmeversorgung eingesetzt werden. Gemeint sind Systeme, deren Ausfall oder Fehlfunktion Menschen oder die Versorgungssicherheit gefährden würde – etwa in Netzsteuerung, Lastmanagement, Schutzfunktionen oder sicherheitskritischer Prognose.

Typische Lastprognosen für die Beschaffung oder Vertriebsplanung fallen nicht automatisch darunter. Sobald dieselben Modelle aber in die Netzführung einfließen und dort Sicherheitsentscheidungen mittragen, ändert sich die Einstufung. Die Frage ist immer: Was passiert, wenn das System falsch liegt?

Im Kundenbereich gelten andere Regeln

Tarifberatung per Chatbot, Lead-Scoring im Vertrieb, Kampagnenpersonalisierung – das ist normales Marketing- und Service-Geschäft mit begrenztem oder minimalem Risiko. Die Transparenzpflicht für Chatbots gilt, mehr nicht.

Heikel wird es an zwei Stellen: bei automatisierter Bonitätsprüfung oder Vertragsablehnung (das fällt unter Anhang III Ziffer 5 – Bewertung der Kreditwürdigkeit) und bei Tarifentscheidungen, die faktisch über Zugang zu Konditionen entscheiden. Reine Personalisierung von Angeboten bleibt unkritisch, solange sie nicht diskriminiert.

Was Energieversorger oft übersehen

Die wertvollste Übung im Energieumfeld ist nicht die Risikoklassifizierung einzelner Tools, sondern eine saubere Trennung der Datendomänen. Verbrauchsdaten, Zahlungshistorie, Vertragsdaten und Netzdaten landen in immer mehr Anwendungen gleichzeitig – und je verzahnter sie sind, desto schwerer wird die saubere Einstufung im Nachhinein. Wer hier früh trennt, spart sich später Konformitätsbewertungen, die eigentlich nur für den Hochrisiko-Teil nötig wären.

Wo AI Act und DSGVO ineinandergreifen

Der AI Act ersetzt die DSGVO nicht – er kommt obendrauf. Sobald personenbezogene Daten im Spiel sind, sind beide Regelwerke parallel zu erfüllen. Häufige Rechtsgrundlagen sind Einwilligung, Vertragserfüllung oder berechtigtes Interesse, je nach Use Case.

Eine oft übersehene Regelung: Artikel 10 Absatz 5 des AI Act erlaubt Anbietern von Hochrisiko-Systemen ausnahmsweise die Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO – aber ausschließlich zur Erkennung und Korrektur von Verzerrungen und nur, wenn das Ziel mit anderen Daten nicht erreichbar ist. Praktisch relevant für Teams, die Fairness-Tests an Recruiting- oder Scoring-Modellen fahren.

Hinweis zur Aktualität: Im Rahmen des „Digital Omnibus“ diskutiert die EU derzeit, die Durchsetzung der Hochrisiko-Pflichten zu verschieben – das EU-Parlament hat im April 2026 dafür gestimmt, der Rat muss noch zustimmen. Die Pflichten selbst ändern sich nicht, nur möglicherweise der Stichtag. Wer auf eine Verschiebung wartet, riskiert, bei einem Nein unvorbereitet zu sein.

Was das für österreichische Unternehmen bedeutet

Die Aufsicht in Österreich liegt bei mehreren Behörden, koordiniert über eine nationale KI-Servicestelle bei der RTR. Für die meisten Mittelständler ist die operative Botschaft aber simpler: Bevor man über Aufsicht spricht, sollte man wissen, was im eigenen Haus läuft – und genau diese Übersicht fehlt vielerorts. Marketing nutzt ein Tool, Sales eines, der Kundenservice ein drittes. Ohne Bestandsaufnahme ist keine sinnvolle Risikoeinschätzung möglich.

Was zusätzlich unterschätzt wird, ist die Geschwindigkeit, mit der harmlose Anwendungen in regulatorisch relevante Use Cases wachsen. Ein KI-Assistent, der heute Texte zusammenfasst, ist morgen Teil einer Empfehlung, übermorgen Teil einer Entscheidung. An diesem Übergang entstehen die Graubereiche.

Die häufigsten Unsicherheiten in der Praxis

Die schwierigen Fälle liegen selten bei den offensichtlichen Themen. Heikel wird es dort, wo KI eine Entscheidung „nur unterstützt“, aber faktisch lenkt – automatische Priorisierung im Service, Scoring im Vertrieb, Empfehlungen, die das menschliche Urteil ersetzen, weil niemand mehr widerspricht.

Ein zweiter blinder Fleck ist die Rollenverteilung. Wer ein Sprachmodell von einem großen Anbieter nutzt, ist meist Betreiber, nicht Anbieter – mit anderen Pflichten. Sobald man das Modell aber finetunt, eigene Daten einbringt oder es in ein eigenes Produkt einbaut, kann sich die Rolle ändern. Diese Frage lohnt sich, bevor ein Projekt produktiv geht.

Der dritte Punkt: Die Kombination aus AI Act und DSGVO. Ein technisch sauberes System kann rechtlich scheitern, wenn die Datenverarbeitung keine klare Grundlage hat – und umgekehrt.

Einordnung für Entscheider

Die operativ wichtigste Frage für C-Level, Marketing, Sales und IT lautet nicht „Dürfen wir KI einsetzen?“, sondern: „Welche Wirkung hat unser KI-Einsatz auf Menschen, Kundinnen, Entscheidungen?“ Aus der Antwort folgt die Risikoklasse fast automatisch.

Die größten Hebel liegen meist nicht in komplexen Spezialprojekten, sondern in den alltäglichen Anwendungen – Lead-Scoring, Service-Workflows, Personalisierung, Content. Genau dort wird der AI Act spürbar.

Hinweis: Dieser Beitrag dient der Einordnung und ersetzt keine Rechtsberatung. Die konkrete Bewertung einzelner KI-Systeme hängt vom Einsatzkontext, den verarbeiteten Daten und der Rollenverteilung zwischen Anbieter und Betreiber ab.