Alexander HuberAm 2. Dezember 2027 endet die gesetzliche Schonfrist. An diesem Datum werden die strengsten Anforderungen des EU AI Act – der europäischen Verordnung über künstliche Intelligenz – für sogenannte Hochrisiko-KI-Systeme nach Anhang III verbindlich. Österreichische Unternehmen, die KI-Anwendungen in Bereichen wie Personal, Kreditvergabe, kritischer Infrastruktur oder Bildung einsetzen, müssen bis dahin umfassende Compliance-Strukturen nachweisen können. Wer das nicht tut, riskiert Geldbußen von bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes. Laut Wirtschaftskammer Österreich fehlen in vielen heimischen Betrieben noch grundlegende Compliance-Strukturen – obwohl die Uhr bereits läuft.
Die 2027-Frist – warum dieses Datum gerade jetzt so präsent ist
Der EU AI Act trat gestaffelt in Kraft. Das Verbot bestimmter KI-Praktiken wie Social Scoring galt bereits ab Februar 2025. Seit August 2026 müssen sogenannte Allzweck-KI-Modelle (GPAI) wie große Sprachmodelle dokumentiert und transparent eingesetzt werden. Die besonders weitreichenden Pflichten für Hochrisiko-KI-Systeme nach Anhang III hingegen greifen erst ab dem 2. Dezember 2027 vollumfänglich.
Dass genau dieses Datum derzeit in österreichischen Trendsuchen so stark auftaucht, ist kein Zufall: Unternehmen beginnen zu rechnen. Wer erst im Herbst 2027 mit der Compliance-Umsetzung startet, wird es knapp. IT-Experten schätzen, dass eine vollständige Gap-Analyse, Risikoklassifizierung, Dokumentationserstellung und Mitarbeiterschulung je nach Unternehmensgröße zwischen vier und achtzehn Monate in Anspruch nimmt.
Gleichzeitig spielen wirtschaftliche Rahmendaten eine Rolle: Für 2027 prognostizieren Ökonomen Österreich ein Wachstum von 1,2 Prozent, nach 0,8 Prozent im Jahr 2026. Viele Betriebe investieren derzeit in Digitalisierung und KI-gestützte Prozesse – und geraten damit genau in den Anwendungsbereich des neuen Regelwerks, ohne sich dessen immer vollständig bewusst zu sein.
Was KI-Experten österreichischen Unternehmen jetzt raten
IT-Fachleute, die Unternehmen bei der KI-Compliance begleiten, berichten von einer deutlichen Zweiteilung: Auf der einen Seite stehen große Konzerne, die längst dedizierte AI-Governance-Teams aufgebaut haben. Auf der anderen Seite stehen KMU – und die bilden das Rückgrat der österreichischen Wirtschaft –, die noch nicht einmal eine vollständige Übersicht ihrer eingesetzten KI-Anwendungen erstellt haben.
„Der erste Schritt ist immer das KI-Inventar", raten Experten einhellig: Welche Systeme werden eingesetzt – intern entwickelte ebenso wie zugekaufte Drittlösungen? Welche Risikoklasse trifft auf jedes dieser Systeme zu? Erst wenn diese Grundlage dokumentiert vorliegt, lässt sich der konkrete Handlungsbedarf ableiten.
Ein zweites Problem betrifft die Lieferkette: Viele KMU kaufen fertige KI-Lösungen von großen Anbietern ein, ohne genau zu wissen, wie diese Systeme intern funktionieren. Der AI Act unterscheidet zwischen Anbieter (Provider) und Betreiber (Deployer) – als Betreiber tragen Sie eigene Pflichten, auch wenn Sie das System nicht selbst entwickelt haben. Manche Anbieter liefern die nötige technische Dokumentation bisher nur unvollständig oder auf Nachfrage.
Die gute Nachricht für die meisten österreichischen KMU: Wer ausschließlich Standard-KI-Tools wie Microsoft Copilot, ChatGPT oder einfache Chatbots einsetzt, fällt in die Kategorie „minimales Risiko". Für diese Anwendungen sind lediglich Transparenzpflichten – etwa die Kennzeichnung KI-generierter Inhalte – und Grundschulungen nach Artikel 4 AI Act erforderlich. Aufwand überschaubar, Strafrisiko gering.
Kritisch wird es erst, wenn KI in sensiblen Entscheidungsprozessen zum Einsatz kommt. Genau hier beginnt die Zone der Hochrisiko-Systeme, die den eigentlichen Compliance-Druck bis 2027 erzeugen.
Hochrisiko, begrenztes Risiko, Minimalrisiko – was die Kategorien für Sie bedeuten
Der AI Act definiert vier Risikoklassen. Am relevantesten für österreichische Unternehmen ist Anhang III, der Hochrisiko-KI-Systeme in acht Kategorien zusammenfasst:
- Biometrische Identifizierung – z. B. Gesichtserkennung im Zutrittskontrollsystem
- Kritische Infrastruktur – z. B. KI-gestützte Steuerung von Strom- oder Wasserversorgung
- Bildung und Ausbildung – z. B. automatisierte Bewerbungsbewertung für Schulzulassungen
- Beschäftigung und Personalverwaltung – z. B. KI-Screening von Bewerbungen, automatische Beförderungsempfehlungen
- Wesentliche Privatdienstleistungen – z. B. KI-gestützte Kreditscoring-Systeme oder Versicherungsrisikobewertung
- Strafverfolgung – z. B. prädiktive Polizeianalytik
- Migration und Grenzkontrolle – z. B. Risikoanalysesysteme bei Visumanträgen
- Rechtspflege und demokratische Prozesse – z. B. KI-gestützte Urteilsunterstützung
Für alle diese Kategorien gelten ab dem 2. Dezember 2027 strenge Auflagen: Ein laufendes Risikomanagementsystem nach Artikel 9, technische Dokumentationen nach Artikel 11, automatische Protokollfunktionen nach Artikel 12 sowie nachweisliche menschliche Aufsicht nach Artikel 14 müssen vorhanden sein. Gemäß der offiziellen WKO-Übersicht zum EU AI Act sind auch Klein- und Mittelbetriebe grundsätzlich nicht von diesen Pflichten ausgenommen – lediglich bei der Bemessung von Geldbußen soll die wirtschaftliche Tragfähigkeit berücksichtigt werden.
Ein Unternehmen vor dem Stichtag: Was der 2. Dezember 2027 konkret bedeutet
Stellen Sie sich folgendes Szenario vor: Ein österreichisches IT-Dienstleistungsunternehmen mit 50 Mitarbeitenden und einem Jahresumsatz von 4 Millionen Euro setzt seit 2024 eine zugekaufte SaaS-Plattform zur Vorauswahl von Bewerbungen ein. Das System analysiert Lebensläufe automatisch, bewertet Qualifikationen anhand eines Algorithmus und erstellt ein Kandidaten-Ranking – die Personalverantwortliche trifft ihre Entscheidung dann auf Basis dieser Rangliste.
Dieses Szenario fällt direkt unter Anhang III, Kategorie 4 des AI Act: „Beschäftigung und Personalverwaltung, Zugang zu selbständiger Erwerbstätigkeit." Das KI-System ist damit als Hochrisiko eingestuft – unabhängig davon, ob das Unternehmen das weiß oder nicht.
Was muss bis zum 2. Dezember 2027 umgesetzt sein?
Risikomanagementsystem (Art. 9): Das Unternehmen muss ein dokumentiertes, laufend aktualisiertes Risikomanagementsystem vorweisen. Initialer Aufwand: erfahrungsgemäß 20 bis 40 Stunden bei externem IT-Experten-Support.
Technische Dokumentation (Art. 11): Vor der weiteren Nutzung des Systems muss eine strukturierte technische Dokumentation erstellt werden. Dazu gehören Systemarchitektur, Trainingsdaten-Beschreibung und erwartete Performance-Grenzen – Daten, die der SaaS-Anbieter liefern muss. Falls der Anbieter diese verweigert oder nicht ausreichend bereitstellt, ist das ein Vertragsbruch und muss rechtlich adressiert werden.
Logging-Funktionen (Art. 12): Das System muss automatische Protokollfunktionen besitzen. Bietet die SaaS-Plattform diese nicht an, muss der Anbieter nachrüsten oder der Vertrag neu verhandelt werden.
Mitarbeiterschulung (Art. 4 und Art. 26): Die Personalverantwortliche muss nachweislich geschult worden sein – mit Dokumentation der Teilnahme.
Was passiert, wenn das Unternehmen das nicht tut und ein abgelehnter Bewerber Beschwerde einreicht? Bei 4 Millionen Euro Jahresumsatz wären theoretisch bis zu 280.000 Euro Geldbuße (7 Prozent) möglich. Selbst wenn die österreichische Aufsichtsbehörde im ersten Schritt eine Verwarnung ausspricht: Die Nachbesserungskosten, Anwaltskosten und Reputationsschäden summieren sich rasch. Eine frühzeitige Compliance kostet einen Bruchteil davon.
Hinweis: Dieser Artikel informiert allgemein über regulatorische Entwicklungen und ersetzt keine individuelle IT- oder Rechtsberatung.
Was Sie jetzt tun sollten – bevor es knapp wird
Die 15 Monate bis zum 2. Dezember 2027 klingen nach viel Zeit. Sind sie aber nicht: Interne Abstimmungsprozesse, Anbieterverhandlungen, Dokumentationserstellungen und Mitarbeiterschulungen brauchen Zeit und Vorlauf. IT-Experten empfehlen, jetzt mit drei konkreten Schritten zu beginnen:
Schritt 1 – KI-Bestandsaufnahme: Erstellen Sie eine vollständige Liste aller KI-Systeme, die Ihr Unternehmen einsetzt oder plant einzusetzen. Intern entwickelte Lösungen ebenso wie zugekaufte SaaS-Tools.
Schritt 2 – Risikoklassifizierung: Prüfen Sie für jedes identifizierte System, ob es in eine der acht Anhang-III-Kategorien fällt. Oft reicht schon ein erster Blick mit einem IT-Experten, um die kritischen Anwendungen herauszufiltern.
Schritt 3 – Gap-Analyse und Roadmap: Vergleichen Sie den aktuellen Compliance-Status mit den gesetzlichen Anforderungen. Je früher die Lücken identifiziert sind, desto mehr Handlungsspielraum – und desto geringere Kosten – haben Sie bei der Umsetzung. Priorisieren Sie dabei Systeme, die in laufende Personalentscheidungen oder Kreditvergabeprozesse eingebunden sind, da hier das Risiko regulatorischer Eingriffe am höchsten ist.
Ein auf IT-Compliance spezialisierter Experte kann dabei helfen, das Risikomanagementsystem strukturiert aufzubauen, die technische Dokumentation zu koordinieren und die rechtlichen Anforderungen an SaaS-Anbieter klar zu formulieren. Auf ExpertZoom finden österreichische Unternehmen Informatik-Experten, die genau diese Begleitung anbieten – schnell, praxisorientiert und ohne unnötigen bürokratischen Aufwand. Für österreichische Unternehmen, die bereits ähnliche EU-Compliance-Themen verfolgen, bietet auch unser Beitrag zu EU-Sanktionen und österreichischen Unternehmen weitere nützliche Einblicke.
