Künstliche Intelligenz ist längst nicht mehr nur ein Thema für große Tech-Unternehmen. Viele österreichische KMU nutzen KI bereits im Alltag: beim Formulieren von E-Mails, beim Zusammenfassen von Dokumenten, bei Bildideen, für Support-Chatbots, in CRM-Systemen, in SEO-Tools oder in Automatisierungen. Genau dadurch wird KI-Kompetenz zu einer praktischen Managementaufgabe. Es reicht nicht mehr, ein Tool freizuschalten und zu hoffen, dass alle schon wissen, was sie tun.

Der EU AI Act macht diesen Punkt ausdrücklich sichtbar. Anbieter und Betreiber von KI-Systemen sollen nach besten Kräften sicherstellen, dass Menschen, die mit KI arbeiten, über ein ausreichendes Maß an KI-Kompetenz verfügen. Für österreichische Unternehmen bedeutet das: Sie brauchen keinen künstlich aufgeblasenen Compliance-Apparat, aber sie sollten wissen, welche KI-Tools im Einsatz sind, welche Risiken entstehen und wie Mitarbeitende sinnvoll geschult und begleitet werden.

Was bedeutet KI-Kompetenz im AI Act?

KI-Kompetenz meint nicht, dass jede Mitarbeiterin und jeder Mitarbeiter Machine-Learning-Modelle erklären oder selbst entwickeln können muss. Gemeint ist ein angemessenes Verständnis für den konkreten Einsatz von KI im eigenen Kontext. Die RTR-KI-Servicestelle beschreibt KI-Kompetenz als Fähigkeiten, Kenntnisse und Verständnis, die es ermöglichen, KI-Systeme sachkundig einzusetzen und Chancen, Risiken sowie mögliche Schäden zu erkennen.

Artikel 4 des AI Act ist seit dem 2. Februar 2025 anwendbar. Die EU-Kommission erklärt dazu, dass Anbieter und Betreiber von KI-Systemen bei der Kompetenz ihrer Personen unter anderem technisches Wissen, Erfahrung, Ausbildung, Schulung und den Einsatzkontext berücksichtigen sollen. Ein kleines Beratungsunternehmen mit ChatGPT-Zugang braucht daher andere Maßnahmen als ein Softwareanbieter, der ein KI-basiertes Produkt entwickelt, oder ein Betrieb, der Bewerbungen automatisiert vorsortieren möchte.

Für KMU ist die wichtigste Botschaft: Die Pflicht ist risikobasiert und kontextabhängig. Wer KI nur zur internen Texthilfe nutzt, muss nicht denselben Aufwand betreiben wie ein Unternehmen mit Hochrisiko-KI. Aber auch einfache KI-Nutzung kann problematisch werden, wenn personenbezogene Daten, Geschäftsgeheimnisse, Kundendaten oder rechtlich sensible Entscheidungen betroffen sind.

Wer in österreichischen Unternehmen betroffen ist

Betroffen sind nicht nur Entwicklerinnen und Entwickler. In der Praxis sollten Unternehmen alle Rollen betrachten, die KI-Systeme auswählen, freigeben, administrieren oder nutzen. Dazu gehören Geschäftsführung, Marketing, Vertrieb, HR, Kundenservice, IT, Datenschutz, externe Dienstleister und Agenturen. Wenn etwa eine Marketingagentur KI für Anzeigen, Blogideen oder Keyword-Recherchen nutzt, braucht sie andere Leitplanken als eine HR-Abteilung, die Bewerbungsunterlagen analysiert.

Die WKO verweist im Zusammenhang mit KI im Unternehmen ebenfalls darauf, dass Mitarbeitende, die KI einsetzen, über Basisinformationen verfügen müssen. Das ist gerade für kleinere Unternehmen hilfreich: Es geht nicht um Perfektion, sondern um nachvollziehbare Basismaßnahmen. Wer KI im Betrieb erlaubt, sollte erklären können, welche Tools erlaubt sind, welche Daten nicht eingegeben werden dürfen, wann Ergebnisse geprüft werden müssen und wer bei Unsicherheit entscheidet.

Ein guter Ausgangspunkt ist eine einfache KI-Inventur. Schreiben Sie auf, welche KI-Funktionen bereits verwendet werden. Dazu zählen auch Funktionen, die in bestehende Software eingebaut wurden: automatische Textvorschläge, Meeting-Zusammenfassungen, Bildgeneratoren, Chatbots, Übersetzung, Analysefunktionen oder KI-Module in Newsletter-, CRM- und Website-Systemen. Viele Unternehmen entdecken dabei, dass KI schon an mehr Stellen aktiv ist als gedacht.

Datenschutz bleibt ein Kernpunkt

Der AI Act ersetzt die DSGVO nicht. Die österreichische Datenschutzbehörde stellt klar, dass die DSGVO parallel anwendbar bleibt, wenn personenbezogene Daten verarbeitet werden. Genau hier wird KI-Kompetenz praktisch: Mitarbeitende müssen erkennen, wann ein Prompt personenbezogene Daten enthält, wann Kundendaten oder interne Informationen nicht in ein externes Tool gehören und wann eine Datenschutzprüfung notwendig ist.

Typische Risikofälle sind Support-Chatbots, die Kundendaten verarbeiten, KI-Tools für HR-Prozesse, Zusammenfassungen von Verträgen, Analyse von E-Mail-Inhalten oder automatisierte Bewertungen. Auch scheinbar harmlose Prompts können personenbezogene Daten enthalten, etwa Namen, E-Mail-Adressen, IP-Adressen, Bestellnummern, Gesundheitsinformationen oder interne Notizen zu Kundinnen und Kunden. Eine gute KI-Schulung sollte deshalb konkrete Beispiele aus dem eigenen Arbeitsalltag verwenden.

Wenn ein Unternehmen KI-Tools auf der Website einsetzt, muss die Dokumentation zur tatsächlichen Verarbeitung passen. Für Datenschutzerklärungen und Dienste-Beschreibungen ist der AdSimple Datenschutz Generator ein sinnvoller Startpunkt. Bei Chatbots, Tracking, Consent Mode, Analytics oder Marketing-Pixeln gehört außerdem geprüft, ob Einwilligungen nötig sind und ob die technische Umsetzung sauber dokumentiert ist. Dafür bietet der AdSimple Consent Manager eine passende Grundlage.

Eine schlanke KI-Richtlinie reicht oft als erster Schritt

Viele KMU brauchen keine 40-seitige KI-Policy. Hilfreicher ist ein kurzes Dokument, das tatsächlich gelesen und angewendet wird. Es sollte festlegen, welche KI-Tools erlaubt sind, für welche Zwecke sie eingesetzt werden dürfen, welche Daten tabu sind, wer neue Tools freigibt und wie Ergebnisse kontrolliert werden. Besonders wichtig ist ein klarer Satz zu personenbezogenen Daten und vertraulichen Informationen: Was nicht notwendig ist, soll nicht eingegeben werden.

Eine solche Richtlinie kann außerdem definieren, wann menschliche Kontrolle verpflichtend ist. KI-Ergebnisse sollten nicht ungeprüft als Rechtsauskunft, medizinische Empfehlung, Personalentscheidung oder verbindliche Kundeninformation verwendet werden. Für Marketing und SEO kann KI sehr wertvoll sein, solange Fakten, Quellen, Tonalität und rechtliche Aussagen geprüft werden. Passend dazu lohnt sich ein Blick auf unseren Beitrag wie KI den Arbeitsalltag in Unternehmen verändert und auf die Überlegungen zu KI-Potenzialen für österreichische KMU.

Welche Schulungsinhalte sinnvoll sind

Die Schulung sollte zur tatsächlichen Nutzung passen. Wer KI nur für interne Textentwürfe nutzt, braucht andere Inhalte als ein Team, das einen KI-Chatbot betreibt. Für viele österreichische KMU bietet sich ein Basismodul für alle und ein Vertiefungsmodul für besonders betroffene Rollen an.

  • Grundverständnis: Was KI kann, was sie nicht kann und warum Ergebnisse plausibel klingen können, ohne richtig zu sein.
  • Datenschutz: Welche personenbezogenen Daten nicht in KI-Tools gehören und wann DSGVO-Prüfungen notwendig sind.
  • Informationssicherheit: Umgang mit Geschäftsgeheimnissen, Kundendaten, Zugangsdaten und internen Dokumenten.
  • Qualitätssicherung: Faktencheck, Quellenprüfung, Vier-Augen-Prinzip und klare Verantwortlichkeit.
  • Rollen und Prozesse: Wer neue KI-Tools freigibt, wer Risiken bewertet und wo Mitarbeitende Fragen stellen können.
  • Website und Marketing: KI-Texte, SEO, Tracking, Chatbots, Consent und transparente Kommunikation gegenüber Nutzerinnen und Nutzern.

Gerade im Online-Marketing ist KI bereits ein Produktivitätshebel. Gleichzeitig entstehen dort schnell Datenschutz- und Qualitätsfragen: Welche Daten fließen in Analyse-Tools? Werden KI-generierte Inhalte gekennzeichnet, wenn es sinnvoll oder erforderlich ist? Sind Aussagen belegbar? Wer seine Marketingprozesse modernisieren möchte, kann KI-Kompetenz direkt mit einer sauberen Online-Marketing-Strategie verbinden.

Dokumentation: nicht übertreiben, aber nachvollziehbar bleiben

Der AI Act schreibt für Artikel 4 nicht in jedem Detail vor, wie KI-Kompetenz nachgewiesen werden muss. Trotzdem ist Dokumentation sinnvoll. Sie hilft intern, reduziert Missverständnisse und zeigt im Ernstfall, dass das Unternehmen nicht blind gehandelt hat. Die RTR empfiehlt unter anderem, Schulungs- und Wissensvermittlungskonzepte zu dokumentieren und Schulungen nachvollziehbar festzuhalten.

Für KMU kann eine pragmatische Dokumentation so aussehen: eine Liste der eingesetzten KI-Tools, eine kurze Risikoeinschätzung je Tool, eine freigegebene KI-Richtlinie, Schulungsunterlagen, Teilnahmelisten oder E-Learning-Nachweise, ein Prozess für neue Tools und ein Datum für die nächste Überprüfung. Wenn KI-Systeme personenbezogene Daten verarbeiten, sollten außerdem Verarbeitungsverzeichnis, Auftragsverarbeitungsverträge, Drittlandübermittlungen, technische Schutzmaßnahmen und Datenschutzerklärung geprüft werden.

Wer Datenschutz, Impressum, Consent und laufende Website-Pflichten lieber gebündelt angehen möchte, kann das AdSimple Business Paket als Ausgangspunkt nutzen. Wichtig ist: KI-Kompetenz ist kein einmaliges Zertifikat, sondern ein wiederkehrender Prozess. Neue Tools, neue Funktionen und neue rechtliche Leitlinien sollten regelmäßig bewertet werden.

30-Tage-Plan für KMU

Ein realistischer Einstieg muss nicht kompliziert sein. In der ersten Woche sammeln Sie alle KI-Tools und KI-Funktionen, die im Unternehmen genutzt werden. Fragen Sie nicht nur die IT, sondern auch Marketing, Vertrieb, Assistenz, HR und externe Dienstleister. In der zweiten Woche bewerten Sie die wichtigsten Risiken: personenbezogene Daten, vertrauliche Informationen, Kundenauswirkungen, automatisierte Entscheidungen und Abhängigkeit von externen Anbietern.

In der dritten Woche erstellen Sie eine kurze KI-Richtlinie und definieren, welche Tools erlaubt sind. Parallel prüfen Sie, ob Datenschutzerklärung, Consent-Lösung und interne Datenschutzdokumentation angepasst werden müssen. In der vierten Woche schulen Sie die betroffenen Personen anhand echter Beispiele aus dem Unternehmen. Danach legen Sie einen festen Überprüfungstermin fest, etwa alle sechs Monate oder bei Einführung eines neuen KI-Tools.

Dieser Ablauf ist bewusst einfach. Er verhindert, dass KI-Regeln als reines Papierprojekt enden. Entscheidend ist, dass Mitarbeitende verstehen, was sie konkret tun dürfen, wo Grenzen liegen und wann sie nachfragen sollen.

Fazit: KI-Kompetenz ist ein Wettbewerbsvorteil

KI-Kompetenz nach dem AI Act ist für österreichische KMU keine Einladung zur Bürokratie, sondern eine Chance, KI sicherer und produktiver einzusetzen. Unternehmen, die ihre Tools kennen, Datenschutz ernst nehmen und Mitarbeitende praxisnah schulen, reduzieren Risiken und holen mehr aus KI heraus. Besonders Website-Betreiber sollten dabei Datenschutz, Consent, Chatbots, Analytics und Marketing gemeinsam betrachten.

Wenn Sie KI auf Ihrer Website, in Marketingprozessen oder in Kundenkommunikation einsetzen, prüfen Sie Ihre Datenschutztexte, Einwilligungen und internen Regeln frühzeitig. So entsteht kein Bremsklotz, sondern ein belastbarer Rahmen für bessere Automatisierung, bessere Inhalte und mehr Vertrauen.

Quellen und weiterführende Informationen