KI-Verordnung in Österreich: KI-Servicestelle und Aufsicht

Die KI-Servicestelle der RTR-GmbH

Die RTR-GmbH führt in Österreich die „Servicestelle für Künstliche Intelligenz“. Rechtsgrundlage sind § 20c des KommAustria-Gesetzes (KOG) und § 194a des Telekommunikationsgesetzes 2021 (TKG 2021). Nach § 20c Abs. 1 KOG sorgt sie für ein vielfältiges Informations- und Beratungsangebot zum Kompetenzaufbau bei der Konzeption und Nutzung von KI-Anwendungen und fungiert als zentrale Serviceeinrichtung für KI-Projekte in den Fachbereichen Medien, Telekommunikation und Post. Beide Bestimmungen sind seit 1. Januar 2024 in Kraft.

Nach § 194a Abs. 1 TKG 2021 umfasst die Aufgabe des Fachbereichs Telekommunikation und Post insbesondere Unterstützungs- und Beratungsleistungen für die Öffentlichkeit zu:

1. den regulatorischen Rahmenbedingungen bei der Entwicklung und beim Einsatz von KI in Unternehmen und öffentlichen Rechtsträgern,
2. den regulatorischen Rahmenbedingungen für die technische Dokumentation von KI-Systemen einschließlich der Informationen für Nutzerinnen und Nutzer,
3. der Förderung des Wissensaufbaus und -austauschs zu KI und den Märkten für KI-Anwendungen, insbesondere durch Studien, Analysen und Fachveranstaltungen,
4. den Auswirkungen von KI auf die Cybersicherheit,
5. bereits eingesetzter KI in Hochrisikobereichen.

Sie beaufsichtigt nicht und erteilt keine Genehmigungen. Zum Angebot gehören ein Informationsportal, ein FAQ, ein AI-Act-Chatbot, Studien und Fachveranstaltungen; nach Angaben der RTR ist das Informationsangebot, soweit nicht anders angegeben, unter CC BY 4.0 frei lizenziert. Erreichbar ist die Servicestelle per E-Mail an ki@rtr.at.

Der KI-Beirat

Bei der RTR-GmbH ist nach § 20c Abs. 6 KOG ein „Beirat für Künstliche Intelligenz“ (KI-Beirat) eingerichtet. Er berät die mit KI-Angelegenheiten befassten Mitglieder der Bundesregierung und die RTR-GmbH zu technischen, ethischen und gesellschaftlichen Entwicklungen, beobachtet die technologische Entwicklung im In- und Ausland und unterstützt die Priorisierung der Themen; er kann Empfehlungen beschließen.

Der Beirat besteht aus elf Mitgliedern mit einer Funktionsperiode von vier Jahren. Drei Mitglieder bestellt der Bundeskanzler, acht der Bundesminister für Finanzen; sie müssen über ausgezeichnete Kenntnisse in Ethik, Forschung, Ökonomie, Recht oder Technik verfügen (§ 20c Abs. 7 KOG). Die operative Unterstützung übernimmt die RTR-GmbH als Geschäftsstelle.

Wer in Österreich und auf EU-Ebene zuständig ist

Die folgende Übersicht ordnet die Stellen und ihre Aufgaben. Die Aufgaben der österreichischen Stellen stehen im KOG und im TKG 2021, die Aufsichtsaufgaben in der Verordnung (EU) 2024/1689.

Stelle	Rechtsgrundlage	Aufgabe
KI-Servicestelle (RTR-GmbH)	§ 20c KOG, § 194a TKG 2021	Information und Beratung zur KI-Verordnung
KI-Beirat (RTR-GmbH)	§ 20c Abs. 6 bis 8 KOG	Beratung von Bundesregierung und RTR-GmbH
AI Policy Forum, AI Stakeholder Forum	Governance-Struktur des Bundeskanzleramts	ressortübergreifende Koordination und Austausch
Marktüberwachungsbehörde	Art. 70 Abs. 1 VO (EU) 2024/1689	Aufsicht über Anbieter und Betreiber von KI-Systemen
Notifizierende Behörde	Art. 70 Abs. 1, Art. 28 Abs. 1 VO (EU) 2024/1689	Bewertung, Benennung, Notifizierung und Überwachung der Konformitätsbewertungsstellen
Für den Grundrechtsschutz benannte Behörden und öffentliche Stellen	Art. 77 VO (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744	Anforderung von Informationen und Dokumentationen über die Marktüberwachungsbehörde
AI Office (Europäische Kommission)	Art. 64 VO (EU) 2024/1689	Aufsicht über Anbieter von KI-Modellen mit allgemeinem Verwendungszweck
AI Board, Advisory Forum, Scientific Panel	Art. 65 bis 68 VO (EU) 2024/1689	Koordination, Beratung und wissenschaftliche Unterstützung

Der KI-Beirat ist nicht mit dem „AI Board“ auf EU-Ebene zu verwechseln (amtlich: Europäisches Gremium für Künstliche Intelligenz, „KI-Gremium“). Das KI-Gremium setzt sich aus je einem Vertreter jedes Mitgliedstaats zusammen; der Europäische Datenschutzbeauftragte nimmt als Beobachter teil, das AI Office nimmt an den Sitzungen teil, ohne sich an den Abstimmungen zu beteiligen (Art. 65 Abs. 2). Es berät und unterstützt die Kommission und die Mitgliedstaaten und trägt zur Koordination der zuständigen nationalen Behörden bei (Art. 66).

Aufsicht: Marktüberwachung und notifizierende Behörde

Art. 70 Abs. 1 der Verordnung (EU) 2024/1689 verlangt von jedem Mitgliedstaat, mindestens eine notifizierende Behörde und mindestens eine Marktüberwachungsbehörde als zuständige nationale Behörden einzurichten oder zu benennen. Nach Art. 70 Abs. 2 teilen die Mitgliedstaaten der Kommission die Namen und Aufgaben mit, machen bis zum 2. August 2025 öffentlich, wie die Behörden auf elektronischem Wege zu erreichen sind, und benennen eine Marktüberwachungsbehörde als zentrale Anlaufstelle; die Kommission erstellt eine öffentlich verfügbare Liste der zentralen Anlaufstellen.

Für Österreich beschreibt die Seite des Bundeskanzleramts zur KI-Governance die nationale Aufsichtsstruktur als im KI-Gesetz vorgesehen; die künftigen Behörden können auf der Wissensbasis der KI-Servicestelle aufbauen. Aufgabe der Marktüberwachung ist die Aufsicht über Anbieter und Betreiber von KI-Systemen. Die notifizierende Behörde ist nach Art. 28 Abs. 1 für die Einrichtung und Durchführung der Verfahren zur Bewertung, Benennung und Notifizierung von Konformitätsbewertungsstellen und für deren Überwachung zuständig.

Grundrechtsschutz: benannte Behörden nach Art. 77

Art. 77 Abs. 1 der Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 (Art. 1 Nr. 34) befugt nationale Behörden und öffentliche Stellen, die die Einhaltung des Unionsrechts zum Schutz der Grundrechte einschließlich des Rechts auf Nichtdiskriminierung beaufsichtigen oder durchsetzen, sämtliche nach der Verordnung erstellten oder geführten Informationen und Dokumentationen in zugänglicher Sprache und maschinenlesbarer Form auf elektronischem Weg bei der betreffenden Marktüberwachungsbehörde anzufordern und einzusehen, soweit der Zugang für die wirksame Ausübung ihrer Aufträge im Rahmen ihrer Befugnisse und innerhalb der Grenzen ihrer Hoheitsgewalt notwendig ist. Die Marktüberwachungsbehörde gewährt diesen Zugang und fordert die Informationen und Dokumentationen erforderlichenfalls unverzüglich auch erst vom Anbieter oder Betreiber an (Art. 77 Abs. 1a). Marktüberwachungsbehörden und benannte Stellen arbeiten eng zusammen und leisten einander Amtshilfe (Art. 77 Abs. 1b).

Mit der Verordnung (EU) 2026/1744 ist die frühere Beschränkung auf die Verwendung der in Anhang III genannten Hochrisiko-KI-Systeme entfallen. Reicht die Dokumentation nicht aus, um festzustellen, ob ein Verstoß gegen das Unionsrecht zum Schutz der Grundrechte vorliegt, kann die benannte Behörde oder öffentliche Stelle bei der Marktüberwachungsbehörde einen begründeten Antrag auf Durchführung eines technischen Tests des Hochrisiko-KI-Systems stellen (Art. 77 Abs. 3). Nach Art. 77 Abs. 2 musste jeder Mitgliedstaat diese Behörden und Stellen bis zum 2. November 2024 benennen, in einer öffentlichen Liste verfügbar machen und die Liste der Kommission und den anderen Mitgliedstaaten übermitteln; die Liste ist auf dem neuesten Stand zu halten.

Das Bundeskanzleramt veröffentlicht diese Liste. Sie umfasst nach der amtlichen Seite unter anderem die Datenschutzbehörde, das Parlamentarische Datenschutzkomitee, die Volksanwaltschaft, die Gleichbehandlungsanwaltschaft und die Gleichbehandlungskommissionen, die KommAustria für die Medienaufsicht, die Arbeitsinspektorate und mehrere Patientenanwaltschaften. Das Bundeskanzleramt stellt klar, dass Art. 77 ein Recht und keine Pflicht begründet und keine neuen Stellen schafft: Die benannten Stellen werden nur in Bereichen tätig, für die sie schon vor dem AI Act eine gesetzliche Grundlage hatten.

Fristen der KI-Verordnung

Die folgenden Stichtage gelten für alle Mitgliedstaaten, also auch für Österreich. Sie stammen aus dem Zeitplan der KI-Servicestelle, den die Verordnung (EU) 2026/1744 (Digital-Omnibus zur KI) angepasst hat.

Stichtag	Was gilt
1. August 2024	Die Verordnung (EU) 2024/1689 tritt in Kraft.
2. Februar 2025	Verbotene Praktiken nach Art. 5 dürfen nicht mehr angewandt werden; die Pflicht zur KI-Kompetenz nach Art. 4 gilt.
2. August 2025	Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Governance- und Notifizierungsbestimmungen sowie die Sanktionsbestimmungen gelten.
2. August 2026	Transparenzpflichten nach Art. 50, das Recht auf Beschwerde nach Art. 85 und das Recht auf Erläuterung nach Art. 86 gelten; Geldbußen für KI-Modelle mit allgemeinem Verwendungszweck.
2. Dezember 2026	Das Verbot sexualisierter Deep Fakes ohne Einwilligung der dargestellten Person gilt (Erweiterung des Verbotskatalogs in Art. 5).
2. August 2027	KI-Reallabore müssen einsatzbereit sein.
2. Dezember 2027	Anforderungen an Hochrisiko-KI-Systeme nach Anhang III gelten.
2. August 2028	Anforderungen an Hochrisiko-KI-Systeme nach Anhang I gelten.

Was das für Ihren Betrieb bedeutet

Die Pflichten treffen Ihren Betrieb unmittelbar aus der EU-Verordnung, nicht erst durch eine österreichische Umsetzung. Setzen Sie ein KI-System in eigener Verantwortung ein, sind Sie Betreiber; entwickeln oder vertreiben Sie ein System unter eigener Marke, sind Sie Anbieter. Welche Pflichten das im Einzelnen sind, steht im Artikel zur KI-Verordnung im ERP; die Pflicht zur KI-Kompetenz nach Art. 4 behandelt der Artikel KI-Kompetenz nach Artikel 4.

Die KI-Servicestelle ist die erste Anlaufstelle für Fragen zur Auslegung und Umsetzung; sie prüft Ihren Einzelfall aber nicht rechtlich verbindlich und ersetzt keine Rechtsberatung. Verarbeitet Ihr KI-System personenbezogene Daten, kommt die Datenschutzprüfung hinzu; die Prüfschritte beschreibt der Artikel Personenbezogene Daten in KI-Funktionen.

Checkliste für Ihren Betrieb

• Listen Sie die KI-Funktionen in Ihrem ERP mit Verwendungszweck, Nutzern und verarbeiteten Daten auf.
• Ordnen Sie jede Funktion der Rolle Anbieter oder Betreiber zu.
• Prüfen Sie, ob eine verbotene Praktik nach Art. 5 vorliegt, und schließen Sie sie aus.
• Ergreifen Sie Maßnahmen zur Förderung der KI-Kompetenz Ihres Personals und der Personen, die in Ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind (Art. 4); eine bestimmte Nachweisform nennt Art. 4 nicht, das Festhalten der Maßnahmen ist eine redaktionelle Empfehlung.
• Beachten Sie die Transparenzpflichten nach Art. 50 für KI-Ausgaben und für mit KI erzeugte oder bearbeitete Inhalte.
• Prüfen Sie bei Hochrisiko-Systemen die Fristen nach Anhang III und Anhang I.
• Halten Sie für Datenschutzfragen die Prüfung nach der DSGVO getrennt fest.
• Nutzen Sie das Informationsangebot der KI-Servicestelle und klären Sie offene Einzelfragen mit Ihrer Rechts- oder Steuerberatung.

Was bei einem Verstoß droht

Bei einem Verstoß gegen eine verbotene Praktik nach Art. 5 sind Geldbußen von bis zu 35 Millionen Euro oder bis zu 7 Prozent des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vorgesehen, je nachdem welcher Betrag höher ist (Art. 99 Abs. 3). Bei Verstößen gegen die Betreiberpflichten für Hochrisiko-KI-Systeme (Art. 26) oder gegen die Transparenzpflichten (Art. 50) liegt die Obergrenze bei 15 Millionen Euro oder 3 Prozent (Art. 99 Abs. 4). Für KMU gilt jeweils der niedrigere Betrag (Art. 99 Abs. 6). Die Mitgliedstaaten legen die Sanktionsvorschriften fest und teilen sie der Kommission mit (Art. 99 Abs. 1 und 2); die KI-Verordnung selbst sieht für einen Verstoß gegen Art. 4 keine eigene Geldbuße vor.