Recht der Künstlichen Intelligenz in Österreich – AI Act, Datenschutz und Verträge

Der EU AI Act ist seit 2. August 2026 in weiten Teilen anwendbar und wird durch weitere Übergangsfristen, Leitlinien und Standards ergänzt. Unternehmen müssen deshalb nicht nur feststellen, ob sie AI einsetzen, sondern welche Rolle sie im AI-System einnehmen, welche Risikoklasse betroffen ist und welche Pflichten für das konkrete Produkt oder den konkreten Use Case gelten.

Wir beraten AI-Anbieter, Integratoren, SaaS-Unternehmen und AI-nutzende Unternehmen bei Compliance, Produktgestaltung und Verträgen. Dabei behandeln wir AI Act, DSGVO, IP, Geschäftsgeheimnisse, Produkthaftung und kommerzielle Risiken gemeinsam.

Rechtsstand August 2026: Der AI Act ist seit 2. August 2026 in weiten Teilen anwendbar; für bestimmte High-Risk-Systeme bestehen verlängerte Übergangsfristen. Die konkrete Anwendung ist use-case-abhängig.

Beratungsschwerpunkte

  • Compliance mit dem EU AI Act und Rollenverteilung
  • Risikoklassifikation und Hochrisiko-KI
  • Transparenz bei Chatbots, Deepfakes und KI-generierten Inhalten
  • KI und Datenschutz – DSGVO, Profiling und Trainingsdaten
  • KI und Immaterialgüterrecht
  • KI-Verträge, Procurement und Haftung

Compliance mit dem EU AI Act und Rollenverteilung

Ein erster Schritt ist die Zuordnung der Rollen: Anbieter, Betreiber beziehungsweise Deployer, Importeur, Distributor oder Akteur entlang einer komplexen AI-Lieferkette. Davon hängen Dokumentations-, Informations- und Governancepflichten ab. Bei White-Labeling, Fine-Tuning oder wesentlichen Änderungen kann die regulatorische Rolle anders ausfallen als im Einkaufsvertrag bezeichnet.

Risikoklassifikation und Hochrisiko-KI

Wir prüfen, ob ein System verbotene Praktiken berührt, als High-Risk AI einzuordnen sein kann oder sonstige Transparenz- und Governancepflichten auslöst. Die Anwendbarkeit verschiedener High-Risk-Pflichten unterliegt aktuellen Übergangsfristen; die konkrete Timeline sollte für jedes Produkt dokumentiert werden.

Transparenz bei Chatbots, Deepfakes und KI-generierten Inhalten

Seit 2. August 2026 greifen zentrale Transparenzpflichten des AI Act, etwa für bestimmte direkte Interaktionen mit AI und für bestimmte synthetische oder manipulierte Inhalte. Bei Deepfakes und AI-generierten Veröffentlichungen zu Angelegenheiten von öffentlichem Interesse können besondere Kennzeichnungsanforderungen relevant sein.

Wir unterstützen bei UX-Hinweisen, Content-Workflows, Verantwortlichkeiten und Nachweisen, damit rechtliche Transparenz nicht erst nach Veröffentlichung ergänzt werden muss.

KI und Datenschutz – DSGVO, Profiling und Trainingsdaten

AI-Projekte verarbeiten häufig personenbezogene Daten in Inputs, Trainingsdaten, Prompts, Logs oder Outputs. Wir prüfen Rechtsgrundlagen, Zweckbindung, Datenminimierung, Transparenz, Betroffenenrechte, Profiling und Datenschutz-Folgenabschätzung sowie den Einsatz externer AI-Anbieter.

KI und Immaterialgüterrecht

Bei AI-Projekten stellen sich Fragen zu Trainingsdaten, Softwarelizenzen, urheberrechtlich geschützten Inputs, Output-Rechten, Marken, Geschäftsgeheimnissen und Open Source. Verträge sollten festlegen, welche Daten verwendet werden dürfen und wer welche Rechte und Risiken an Modellen, Prompts, Anpassungen und Outputs trägt.

KI-Verträge, Procurement und Haftung

AI-Verträge sollten Leistungsumfang, Modelländerungen, Datenverwendung, Informationspflichten, Security, Audit, Subprozessoren, Output-Nutzung, IP, regulatorische Unterstützung und Haftung abbilden. Für Unternehmenskunden ist insbesondere wichtig, welche Nachweise der Anbieter zur eigenen Compliance liefert.

KI-Governance, Policies und interne Nutzung

Unternehmen benötigen klare Regeln für die Nutzung generativer AI durch Mitarbeitende: Welche Daten dürfen eingegeben werden? Welche Tools sind freigegeben? Wann ist Human Review erforderlich? Wie werden Urheber-, Geheimnis- und Datenschutzrisiken kontrolliert? Wir entwickeln risikobasierte Policies und Freigabeprozesse.