KI und Datenschutz 2026: Was KMU in Österreich über DSGVO und AI Act wissen müssen

Künstliche Intelligenz ist 2026 im Arbeitsalltag vieler österreichischer Unternehmen angekommen. ChatGPT beantwortet Kundenanfragen, KI-Tools erstellen Marketingtexte, automatisierte Workflows übernehmen repetitive Aufgaben. Doch mit der zunehmenden Nutzung wachsen auch die rechtlichen Anforderungen. Der EU AI Act tritt am 2. August 2026 mit seinen Transparenzpflichten vollständig in Kraft, und die DSGVO gilt weiterhin uneingeschränkt für jeden KI-Einsatz, bei dem personenbezogene Daten verarbeitet werden.

Für KMU in Salzburg und ganz Österreich entsteht dadurch eine doppelte Herausforderung: Du willst KI nutzen, um wettbewerbsfähig zu bleiben, musst aber gleichzeitig sicherstellen, dass du dabei keine Gesetze verletzt. Laut einer aktuellen Studie sehen 57 Prozent der Unternehmen den Datenschutz als größte Bremse beim KI-Einsatz. Dabei ist datenschutzkonforme KI-Nutzung kein Hexenwerk – wenn du die Regeln kennst und systematisch vorgehst. Dieser Artikel zeigt dir, welche Pflichten auf dich zukommen und wie du KI rechtssicher in deinem Unternehmen einsetzt.

Der EU AI Act: Was ab August 2026 gilt

Der EU AI Act ist die weltweit erste umfassende Regulierung für Künstliche Intelligenz. Er wurde im Mai 2024 verabschiedet und tritt schrittweise in Kraft. Seit Februar 2025 gelten bereits Verbote für bestimmte KI-Praktiken, etwa Social Scoring oder manipulative KI-Systeme. Am 2. August 2026 treten die Transparenzpflichten nach Artikel 50 in Kraft – und die betreffen praktisch jedes Unternehmen, das KI einsetzt.

Die Transparenzpflichten verlangen unter anderem, dass KI-generierte Inhalte als solche gekennzeichnet werden müssen. Wenn du einen Chatbot auf deiner Website einsetzt, müssen Nutzer wissen, dass sie mit einer KI kommunizieren. Wenn du KI-generierte Texte oder Bilder veröffentlichst, muss das erkennbar sein. Für KMU bedeutet das konkret: Überprüfe alle Stellen, an denen du KI einsetzt, und stelle sicher, dass die Transparenzanforderungen erfüllt sind.

Der AI Act arbeitet mit einem risikobasierten Ansatz. KI-Systeme werden in vier Kategorien eingeteilt:

• Verbotene KI-Praktiken: Social Scoring, manipulative Techniken, biometrische Echtzeit-Überwachung im öffentlichen Raum. Diese sind seit Februar 2025 verboten.
• Hochrisiko-KI: Systeme in Bereichen wie Personalrekrutierung, Kreditvergabe oder kritische Infrastruktur. Strenge Dokumentations- und Prüfpflichten.
• Begrenztes Risiko: Chatbots, KI-generierte Inhalte, Deepfakes. Transparenzpflichten ab August 2026.
• Minimales Risiko: Spam-Filter, KI-gestützte Empfehlungssysteme. Keine besonderen Pflichten, aber freiwillige Verhaltenskodizes empfohlen.

Die meisten KMU in Österreich werden mit KI-Systemen der Kategorien „begrenztes Risiko“ und „minimales Risiko“ arbeiten. Trotzdem solltest du genau prüfen, ob einzelne Anwendungen möglicherweise als Hochrisiko eingestuft werden – etwa wenn du KI für Bewerbungsscreenings oder Bonitätsprüfungen einsetzt.

DSGVO und KI: Die bestehenden Regeln gelten weiter

Der AI Act ergänzt die DSGVO, ersetzt sie aber nicht. Jeder KI-Einsatz, bei dem personenbezogene Daten verarbeitet werden, unterliegt weiterhin den strengen Regeln der Datenschutz-Grundverordnung. Das betrifft weit mehr Anwendungsfälle, als viele Unternehmen vermuten.

Wenn du beispielsweise Kundendaten in ChatGPT eingibst, um eine E-Mail-Antwort generieren zu lassen, verarbeitest du personenbezogene Daten mit einem KI-System. Dafür brauchst du eine Rechtsgrundlage nach Artikel 6 DSGVO, musst die Datenverarbeitung in deinem Verzeichnis der Verarbeitungstätigkeiten dokumentieren und gegebenenfalls eine Datenschutz-Folgenabschätzung durchführen.

Acht zentrale DSGVO-Kriterien für den KI-Einsatz im Unternehmen:

1. Rechtsgrundlage festlegen: Für jede KI-Verarbeitung personenbezogener Daten brauchst du eine gültige Rechtsgrundlage – typischerweise berechtigtes Interesse oder Einwilligung.
2. Zweckbindung beachten: Daten, die für einen bestimmten Zweck erhoben wurden, dürfen nicht ohne Weiteres für KI-Training oder andere Zwecke verwendet werden.
3. Datenminimierung umsetzen: Gib der KI nur die Daten, die sie wirklich braucht. Keine vollständigen Kundendatensätze, wenn der Name allein reicht.
4. Auftragsverarbeitung regeln: Wenn du Cloud-basierte KI-Tools nutzt, brauchst du einen Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter.
5. Drittlandtransfer prüfen: Viele KI-Tools verarbeiten Daten in den USA. Stelle sicher, dass ein angemessenes Datenschutzniveau gewährleistet ist.
6. Betroffenenrechte sicherstellen: Kunden müssen ihre Daten löschen, korrigieren oder einsehen lassen können – auch wenn sie von einer KI verarbeitet wurden.
7. Transparenz gewährleisten: Informiere in deiner Datenschutzerklärung über den Einsatz von KI-Tools und die damit verbundene Datenverarbeitung.
8. Dokumentation führen: Halte fest, welche KI-Tools du einsetzt, welche Daten verarbeitet werden und welche Schutzmaßnahmen du getroffen hast.

Praktische KI-Tools datenschutzkonform einsetzen

Die gute Nachricht: Datenschutzkonforme KI-Nutzung ist machbar, wenn du systematisch vorgehst. Viele KI-Anbieter haben mittlerweile DSGVO-konforme Optionen im Angebot. OpenAI bietet mit der ChatGPT Enterprise und Team Version Optionen, bei denen Eingabedaten nicht für das Training verwendet werden. Microsoft Copilot verarbeitet Daten innerhalb der EU-Datengrenze. Und lokale KI-Lösungen, die auf eigenen Servern laufen, umgehen das Drittlandproblem komplett.

Für KMU in Österreich empfehle ich einen pragmatischen Ansatz: Beginne mit KI-Anwendungen, die keine personenbezogenen Daten verarbeiten. Marketingtexte erstellen, Blogbeiträge optimieren, Produktbeschreibungen generieren – all das funktioniert ohne Kundendaten und ist datenschutzrechtlich unproblematisch. Erst wenn du KI für Prozesse mit personenbezogenen Daten einsetzen willst, musst du die vollständige DSGVO-Compliance sicherstellen.

Unser Artikel über ChatGPT als digitaler Assistent für KMU zeigt dir konkrete Einsatzmöglichkeiten, die sofort Mehrwert bringen. Und die KI-Lösungen von MIKAS sind speziell auf die Bedürfnisse österreichischer KMU zugeschnitten.

KI-Automatisierung mit n8n: Datenschutz von Anfang an einbauen

Automatisierte KI-Workflows mit Tools wie n8n bieten enormes Potenzial für KMU. Du kannst Kundenanfragen automatisch kategorisieren, E-Mails vorformulieren lassen oder Daten zwischen verschiedenen Systemen synchronisieren. Aber auch hier gilt: Datenschutz muss von Anfang an mitgedacht werden.

Der Vorteil von n8n: Als Self-Hosted-Lösung kannst du die Plattform auf eigenen Servern in Österreich oder der EU betreiben. Damit behältst du die volle Kontrolle über deine Daten und vermeidest Drittlandtransfers. Wenn du n8n mit lokalen KI-Modellen kombinierst, entsteht eine vollständig DSGVO-konforme Automatisierungslösung.

Laut n8n setzen immer mehr europäische Unternehmen auf Self-Hosted-Automatisierung, um die Kontrolle über ihre Daten zu behalten und gleichzeitig von KI-gestützten Workflows zu profitieren. Unser Leitfaden zu n8n-Workflows für KMU zeigt dir, wie du solche Automatisierungen konkret umsetzt.

Checkliste: KI datenschutzkonform im Unternehmen einführen

Damit du sofort loslegen kannst, hier die wichtigsten Schritte für eine datenschutzkonforme KI-Einführung in deinem Unternehmen:

1. Bestandsaufnahme machen: Welche KI-Tools werden bereits genutzt? Auch inoffizielle Nutzung durch Mitarbeiter erfassen – Stichwort Shadow-AI.
2. Risikoklassifizierung durchführen: Ordne jedes KI-System den Kategorien des AI Act zu. Die meisten KMU-Anwendungen fallen unter „begrenztes“ oder „minimales“ Risiko.
3. DSGVO-Compliance prüfen: Für jede KI-Anwendung mit personenbezogenen Daten: Rechtsgrundlage, AVV, Drittlandtransfer und Betroffenenrechte klären.
4. Datenschutzerklärung aktualisieren: Informiere über den Einsatz von KI-Tools, die verarbeiteten Daten und die Rechte der Betroffenen.
5. Mitarbeiter schulen: Erstelle klare Richtlinien, welche Daten in KI-Tools eingegeben werden dürfen und welche nicht.
6. Transparenzpflichten umsetzen: Kennzeichne KI-generierte Inhalte und informiere Nutzer über den Einsatz von Chatbots.
7. Dokumentation anlegen: Führe ein Verzeichnis aller KI-Systeme mit Zweck, Datenflüssen und Schutzmaßnahmen.

KI-Richtlinie im Unternehmen erstellen

Eine interne KI-Richtlinie ist der wichtigste organisatorische Schritt für datenschutzkonforme KI-Nutzung. Die Richtlinie definiert klare Regeln, welche KI-Tools erlaubt sind, welche Daten eingegeben werden dürfen und wer für die Einhaltung verantwortlich ist. Ohne eine solche Richtlinie entsteht schnell sogenannte Shadow-AI – Mitarbeiter nutzen KI-Tools auf eigene Faust, ohne die Datenschutzrisiken zu kennen.

Eine gute KI-Richtlinie für KMU sollte folgende Punkte abdecken: eine Liste der genehmigten KI-Tools mit ihren jeweiligen Einsatzzwecken, klare Vorgaben, welche Datentypen in welche Tools eingegeben werden dürfen, Verantwortlichkeiten für die Überwachung und Aktualisierung der Richtlinie, Schulungsanforderungen für alle Mitarbeiter und ein Prozess für die Genehmigung neuer KI-Tools. Diese Richtlinie sollte regelmäßig überprüft und an neue rechtliche Anforderungen angepasst werden – spätestens wenn am 2. August 2026 die Transparenzpflichten des AI Act in Kraft treten.

Strafen und Konsequenzen bei Verstößen

Die Konsequenzen bei Verstößen gegen den AI Act sind erheblich. Je nach Schwere des Verstoßes drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Für KMU sind die Bußgelder zwar proportional niedriger angesetzt, aber auch hier können die Strafen existenzbedrohend sein.

Zusätzlich gelten weiterhin die DSGVO-Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des Jahresumsatzes. Bei einem gleichzeitigen Verstoß gegen AI Act und DSGVO können sich die Strafen addieren. Die österreichische Datenschutzbehörde hat bereits angekündigt, den KI-Einsatz in Unternehmen verstärkt zu prüfen.

Das Positive: Wer jetzt handelt, hat genug Zeit, alle Anforderungen bis August 2026 umzusetzen. Die Investition in datenschutzkonforme KI-Prozesse schützt nicht nur vor Strafen, sondern stärkt auch das Vertrauen deiner Kunden. Mehr über die konkreten Auswirkungen des AI Act auf KMU erfährst du in unserem Artikel zum EU AI Act und KMU in Österreich.

Häufig gestellte Fragen

Darf ich ChatGPT in meinem Unternehmen nutzen?

Ja, du darfst ChatGPT in deinem Unternehmen nutzen, musst aber die DSGVO einhalten. Das bedeutet: Keine personenbezogenen Daten von Kunden oder Mitarbeitern in die Standard-Version eingeben. Nutze stattdessen ChatGPT Enterprise oder Team, wo Daten nicht für das Training verwendet werden, und schließe einen Auftragsverarbeitungsvertrag mit OpenAI ab.

Was ändert sich durch den EU AI Act am 2. August 2026?

Am 2. August 2026 treten die Transparenzpflichten des EU AI Act in Kraft. Unternehmen müssen KI-generierte Inhalte kennzeichnen, Chatbots als KI deklarieren und Deepfakes markieren. Hochrisiko-KI-Systeme unterliegen zusätzlichen Dokumentations- und Prüfpflichten. Die meisten KMU sind vor allem von den Transparenzpflichten betroffen.

Brauche ich einen Datenschutzbeauftragten für KI?

Einen Datenschutzbeauftragten brauchst du nach DSGVO, wenn du regelmäßig und systematisch Personen überwachst oder besondere Datenkategorien in großem Umfang verarbeitest. Der KI-Einsatz allein löst diese Pflicht nicht aus, kann aber dazu beitragen. Unabhängig davon sollte jedes KMU, das KI einsetzt, eine verantwortliche Person für Datenschutzfragen benennen.

Welche KI-Tools sind DSGVO-konform?

DSGVO-konforme KI-Tools bieten unter anderem ChatGPT Enterprise, Microsoft Copilot mit EU-Datengrenze, DeepL Pro für Übersetzungen und n8n als Self-Hosted-Automatisierungsplattform. Entscheidend ist nicht nur das Tool selbst, sondern auch die korrekte Konfiguration, ein Auftragsverarbeitungsvertrag und die Einhaltung der Datenminimierung.

Du willst KI in deinem Unternehmen nutzen, aber datenschutzkonform? Wir beraten dich zu DSGVO-konformen KI-Lösungen und setzen automatisierte Workflows um, die rechtssicher funktionieren. Jetzt Projekt anfragen