DSGVO, AI Act & KI-Kennzeichnung: Der Leitfaden für Unternehmen in Österreich 2026

Wer im Unternehmen ChatGPT, Claude, Canva oder einen Website-Chatbot einsetzt, muss 2026 zwei Regelwerke im Blick haben: die DSGVO (Datenschutz) und den EU AI Act (KI-Verordnung). Dieser Leitfaden bündelt, was die Wirtschaftskammer, die IHK, die EU-Kommission und Rechtsanwälte dazu sagen – verständlich, mit Checkliste und allen Quellen zum Nachlesen.

Inhalt

1. DSGVO und AI Act: Was ist der Unterschied?
2. Zeitplan: Welche KI-Pflichten gelten ab wann?
3. Pflicht 1: KI-Kompetenz im Team
4. Pflicht 2: Kennzeichnung von KI-Inhalten
5. Kostenlose EU-Icons zur KI-Kennzeichnung
6. Welche Strafen drohen?
7. DSGVO: Was du in KI-Tools eingeben darfst
8. KI-Tools im Datenschutz-Check
9. Checkliste: 10 Schritte zur rechtssicheren KI-Nutzung
10. Häufige Fragen
11. Quellen & weiterführende Links

DSGVO und AI Act: Was ist der Unterschied?

Viele werfen beide Gesetze in einen Topf. Sie regeln aber unterschiedliche Dinge – und gelten gleichzeitig:

Der AI Act ist eine EU-Verordnung. Er gilt in Österreich und Deutschland gleichermaßen unmittelbar – deshalb sind auch die Erläuterungen der deutschen IHK und deutscher Kanzleien für österreichische Unternehmen hilfreich.

Zeitplan: Welche KI-Pflichten gelten ab wann?

Die Wirtschaftskammer Österreich fasst den Zeitplan auf ihrer Seite „AI Act – Die KI-Verordnung der EU“ so zusammen (Stand der WKO-Seite: 31.08.2026):

Für die meisten Unternehmen, die KI im Marketing, in der Kommunikation oder im Büroalltag nutzen, zählen also vor allem zwei Pflichten: KI-Kompetenz und Transparenz.

Pflicht 1: KI-Kompetenz im Team (Art. 4 AI Act)

Die WKO bezeichnet die Schulungspflicht als „die für viele Unternehmen wichtigste Regelung ab Februar 2025“. Wer KI-Systeme betreibt, muss dafür sorgen, dass die Personen, die damit arbeiten, über ausreichende KI-Kompetenz verfügen.

Laut WKO enthält die Verordnung dazu keine genaue Konkretisierung und keine eigenen Strafbestimmungen. Die WKO empfiehlt zwei Schritte:

1. Schulung der betroffenen Mitarbeitenden – mit Dokumentation (wer, wann, welche Inhalte).
2. Allgemeine Regeln für den Umgang mit KI-Tools im Unternehmen festlegen (eine KI-Richtlinie).

Laut WKO gilt die Kompetenzpflicht auch im Zusammenspiel mit Vertragspartnern und Lieferanten, die für dich mit KI arbeiten. Als Angebote nennt die WKO unter anderem den WIFI-KI-Führerschein und KI-Guidelines für KMU.

Mein Praxis-Tipp: Halte die Schulung kurz und konkret. Eine Stunde zu „Was darf in die KI, was nicht? Wie prüfe ich Ergebnisse? Wann kennzeichne ich?“ plus eine einseitige Richtlinie bringt mehr als ein 50-seitiges Dokument, das niemand liest. Bewahre Teilnehmerliste und Unterlagen auf.

Pflicht 2: Kennzeichnung von KI-Inhalten (Art. 50 AI Act)

Seit 2. August 2026 gelten die Transparenzpflichten. Die IHK Köln erklärt sie in ihrem Beitrag „KI-Verordnung: Neue Transparenzpflichten ab August 2026“ besonders praxisnah. Die gute Nachricht vorweg: Laut IHK reicht für die meisten KMU „eine einfache, verständliche Kennzeichnung“, und nicht jede geringfügige KI-Unterstützung muss offengelegt werden.

Die folgende Übersicht fasst die Beispiele der IHK Köln zusammen:

Übergangsfrist: Laut IHK Köln müssen synthetisch erzeugte Inhalte, die vor dem 2. August 2026 in Verkehr gebracht wurden, erst bis zum 2. Dezember 2026 gekennzeichnet werden. Die WKO beschreibt die Übergangsfrist ebenfalls (bezogen auf KI-Systeme, die vor diesem Datum in Verkehr gebracht wurden). Jetzt ist also ein guter Zeitpunkt, Website, Blog und Social-Media-Kanäle durchzugehen.

Die IHK weist außerdem darauf hin, dass je nach Rolle – Anbieter (wer ein KI-System entwickelt oder unter eigenem Namen anbietet) oder Betreiber (wer es nutzt) – unterschiedliche Anforderungen gelten können. Als Unternehmen, das ChatGPT & Co. nutzt, bist du in der Regel Betreiber. Wenn du unsicher bist, welche Rolle du hast, klär das mit einer Rechtsberatung.

Video: Droht jetzt eine Abmahnwelle?

Die Kölner Kanzlei WBS LEGAL erklärt im folgenden Video, was die KI-Kennzeichnungspflicht in der Praxis bedeutet und ob Unternehmen mit Abmahnungen rechnen müssen:

Video von WBS LEGAL · Auf YouTube ansehen

Kostenlose EU-Icons zur KI-Kennzeichnung

Damit du nicht selbst Symbole entwerfen musst, stellt die EU-Kommission „EU-Icons für die Kennzeichnung von KI-generierten Inhalten“ kostenlos zum Download bereit. Laut EU-Kommission sind sie „frei verfügbar“ und dürfen ohne Namensnennung verwendet werden.

• Drei Symbole: ein Grundsymbol (KI war beteiligt), „vollständig KI-generiert“ und „teilweise KI-modifiziert“.
• Vier Farbversionen: schwarz, weiß sowie jeweils mit 50 % Transparenz – passend für helle und dunkle Bilder.
• Formate: SVG und PNG als ZIP-Download.
• Platzierung laut EU-Kommission: beim ersten Kontakt gut sichtbar, direkt im Inhalt, nicht durch Overlays verdeckt – und mit Alt-Text für Barrierefreiheit.

Wichtig: Die Nutzung der Icons ist laut EU-Kommission freiwillig und „stellt für sich genommen keine rechtliche Konformität dar“. Sie helfen dir, Art. 50 umzusetzen – prüfen, ob du kennzeichnen musst, musst du trotzdem.

👉 Zu den kostenlosen EU-Icons

Welche Strafen drohen?

Laut WKO beginnen die Strafen des AI Act bei 7,5 Mio. Euro oder 1,5 % des weltweiten Jahresumsatzes und können – je nach Verstoß – bis zu 35 Mio. Euro oder 7 % erreichen. Für die KI-Kompetenzpflicht enthält die Verordnung laut WKO keine eigenen Strafbestimmungen.

Neben behördlichen Strafen diskutieren Anwälte auch das Risiko wettbewerbsrechtlicher Abmahnungen durch Mitbewerber. Wie hoch dieses Risiko in Österreich konkret ist, solltest du mit einer Rechtsberatung klären. Einen guten Überblick über die Pflichten seit 2. August gibt dieses Video von WBS LEGAL:

Video von WBS LEGAL · Auf YouTube ansehen

DSGVO: Was du in KI-Tools eingeben darfst – und was nicht

Der AI Act ändert nichts daran, dass die DSGVO weiter gilt. Die wichtigste Grundregel bleibt einfach:

Gib keine personenbezogenen Daten von Kund:innen, Mitarbeitenden oder Geschäftspartnern in KI-Tools ein, die keine DSGVO-Garantien bieten.

Personenbezogene Daten sind alle Informationen, mit denen sich eine Person identifizieren lässt, zum Beispiel:

• Namen, E-Mail-Adressen, Telefonnummern, Adressen
• IP-Adressen, Kundennummern, Vertragsdaten
• Fotos und Sprachaufnahmen von Personen
• Besonders heikel: Gesundheitsdaten, Bewerbungsunterlagen, Lohn- und Personaldaten

So arbeitest du trotzdem produktiv:

• Anonymisieren: Aus „Frau Huber aus Mödling beschwert sich über Rechnung 4711“ wird „Eine Kundin beschwert sich über eine Rechnung“. Für die meisten Marketing- und Textaufgaben braucht die KI keine echten Namen.
• Training deaktivieren: In den Einstellungen vieler Tools kannst du verhindern, dass deine Eingaben zum Trainieren der Modelle genutzt werden.
• Business-Tarife mit AVV: Wenn im Team mit Kundendaten gearbeitet wird, braucht es einen Business- oder Enterprise-Tarif mit Auftragsverarbeitungsvertrag (AVV, englisch DPA).
• Datenschutzerklärung aktualisieren: Setzt du KI auf deiner Website ein (z. B. einen Chatbot), muss das in der Datenschutzerklärung stehen – und laut AI Act zusätzlich als KI erkennbar sein (siehe oben).
• Vertrauliches schützen: Auch ohne Personenbezug gehören Geschäftsgeheimnisse, Angebote mit Kundenkonditionen oder interne Zahlen nicht in Verbraucher-Versionen.

KI-Tools im Datenschutz-Check

Eine Orientierung aus meiner Beratungspraxis. Anbieter ändern ihre Bedingungen laufend – prüfe deshalb vor dem Einsatz immer die aktuellen Datenschutz- und AVV-Unterlagen des jeweiligen Anbieters.

Tipps zur sicheren Einrichtung von ChatGPT findest du in meiner ChatGPT-Anleitung für Unternehmen, einen Vergleich in meinem Artikel zu Claude für Unternehmen.

Checkliste: 10 Schritte zur rechtssicheren KI-Nutzung

1. Bestandsaufnahme: Liste alle KI-Tools, die in deinem Unternehmen genutzt werden – auch die, die Mitarbeitende „einfach so“ verwenden.
2. Datenregeln festlegen: Welche Daten dürfen in welches Tool? Personenbezogene und vertrauliche Daten nur in Tools mit AVV.
3. Training deaktivieren und Business-Tarife für Teams prüfen.
4. AVV abschließen mit allen Anbietern, die personenbezogene Daten verarbeiten.
5. KI-Richtlinie schreiben: eine Seite, verständlich, für alle zugänglich.
6. Team schulen und dokumentieren (KI-Kompetenz, seit Februar 2025).
7. Chatbot & KI-Telefonie kennzeichnen: Hinweis zu Beginn der Unterhaltung.
8. Bilder und Videos prüfen: Wirkt etwas echt, ist es aber KI-generiert? Dann kennzeichnen – z. B. mit den EU-Icons.
9. Bestehende Inhalte bis 2. Dezember 2026 durchgehen: Website, Blog, Social Media, Newsletter.
10. Datenschutzerklärung aktualisieren und bei Unsicherheit rechtliche Beratung einholen.

Häufige Fragen

Gilt der EU AI Act auch für kleine Unternehmen in Österreich?

Ja. Die KI-Verordnung ist eine EU-Verordnung und gilt unmittelbar in allen Mitgliedstaaten – auch für KMU und Selbstständige, die KI-Tools wie ChatGPT nutzen. Laut WKO ist für viele Unternehmen die Pflicht zur KI-Kompetenz (seit 2. Februar 2025) die wichtigste Regel; seit 2. August 2026 kommen Transparenzpflichten dazu.

Muss ich jeden mit KI erstellten Social-Media-Post kennzeichnen?

Nein, nicht automatisch. Laut IHK Köln betrifft die Kennzeichnungspflicht bei Texten nur Inhalte zu Angelegenheiten von öffentlichem Interesse; sie entfällt, wenn ein Mensch den Text geprüft hat und die redaktionelle Verantwortung übernimmt. Bei Bildern und Videos ist eine Kennzeichnung nötig, wenn sie echt oder irreführend wirken können (Deepfakes). Im Einzelfall solltest du eine Rechtsberatung einholen.

Bis wann müssen ältere KI-Inhalte gekennzeichnet werden?

Laut WKO und IHK Köln gilt durch den „Digital Omnibus on AI“ für synthetische Inhalte bzw. KI-Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, eine Übergangsfrist bis 2. Dezember 2026.

Wo gibt es kostenlose Icons zur Kennzeichnung von KI-Inhalten?

Die EU-Kommission stellt auf ihrer Website kostenlose EU-Icons als SVG und PNG bereit – in drei Varianten und vier Farbversionen. Die Nutzung ist freiwillig und ersetzt nicht die Prüfung der Pflichten nach Art. 50 AI Act.

Darf ich ChatGPT im Unternehmen DSGVO-konform nutzen?

Ja, wenn du keine personenbezogenen oder vertraulichen Daten in Verbraucher-Versionen eingibst, die Nutzung deiner Eingaben fürs Training deaktivierst und für Teams einen Business- oder Enterprise-Tarif mit Auftragsverarbeitungsvertrag (AVV) verwendest. Eine interne KI-Richtlinie schafft Klarheit für alle Mitarbeitenden.

Welche Strafen sieht der AI Act vor?

Laut WKO beginnen die Strafen bei 7,5 Mio. Euro oder 1,5 % des weltweiten Jahresumsatzes und können bis zu 35 Mio. Euro oder 7 % erreichen – je nach Verstoß. Für die KI-Kompetenzpflicht enthält die Verordnung laut WKO keine eigenen Strafbestimmungen.

Quellen & weiterführende Links

• WKO: AI Act – Die KI-Verordnung der EU (Zeitplan, Pflichten, Strafen, WKO-Angebote)
• IHK Köln: KI-Verordnung: Neue Transparenzpflichten ab August 2026 (Praxisbeispiele zur Kennzeichnung)
• EU-Kommission: EU-Icons für die Kennzeichnung von KI-generierten Inhalten (kostenloser Download)
• WBS LEGAL auf YouTube: KI-Kennzeichnungspflicht: Droht eine neue Abmahnwelle?
• WBS LEGAL auf YouTube: Neue KI-Pflicht ab 2. August

Fazit

DSGVO und AI Act schließen KI im Unternehmen nicht aus – sie verlangen nur, dass du bewusst vorgehst. Wer keine sensiblen Daten in ungeeignete Tools eingibt, sein Team schult, Chatbots und täuschend echte KI-Bilder kennzeichnet und bestehende Inhalte bis 2. Dezember 2026 prüft, ist für die meisten Alltagssituationen gut aufgestellt. Und für alles, was darüber hinausgeht: Frag eine Juristin oder einen Juristen.