Die Fristen im Überblick
Der EU AI Act tritt in mehreren Phasen in Kraft. Für österreichische Banken und Versicherungen ergeben sich daraus unterschiedliche Handlungsprioritäten.
| Datum | Was gilt | Relevanz für Finanzinstitute |
|---|---|---|
| 2. Februar 2025 | Verbot bestimmter KI-Praktiken, KI-Kompetenzpflicht | Verbotene Praktiken sind zu vermeiden; Personen mit KI-Bezug benötigen angemessene Kompetenz und Sensibilisierung. |
| 2. August 2025 | GPAI-Pflichten und Governance-Strukturen auf EU-/Mitgliedstaatsebene | Nutzung externer Sprachmodelle und KI-Modelle erfordert ein klares internes Kontroll- und Lieferantenverständnis. |
| 2. August 2026 | Nach ursprünglicher Zeitachse: Mehrheit der Regeln, Transparenzpflichten Art. 50, Annex-III-Hochrisiko-Pflichten | Chatbots und KI-Interaktionen müssen transparent gemacht werden. Hochrisiko-Systeme in Kredit, Versicherung und HR müssen klassifiziert und vorbereitet werden. |
| 2. Dezember 2027 | Politisch vereinbarte Digital-Omnibus-Zeitachse für bestimmte Hochrisiko-Bereiche | Bis zur formellen Annahme sollten Institute die Verschiebung einplanen, aber ihre Bestandsaufnahme und Governance nicht verzögern. |
| 2. August 2028 | Nach Digital-Omnibus-Einigung: Systeme in regulierten Produkten | Für klassische Finanzdienstleister meist geringere direkte Relevanz, relevant bei eingebetteten Produkt-/Sicherheitskomponenten. |
Was Hochrisiko-KI bedeutet
Nicht jedes KI-System fällt unter die strengen Hochrisiko-Anforderungen. Der EU AI Act listet in Annex III konkrete Anwendungsbereiche. Für Finanzinstitute sind insbesondere Kreditwürdigkeitsbewertung natürlicher Personen, Life- und Health-Insurance-Underwriting sowie HR-Recruiting und Leistungsbewertung relevant.
- Annex III Nr. 5(b): KI-Systeme zur Bewertung der Kreditwürdigkeit natürlicher Personen oder zur Erstellung eines Credit Scores.
- Annex III Nr. 5(c): KI-Systeme für Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen.
- Annex III Nr. 4: KI-Systeme für Recruiting, Auswahl, Aufgabenallokation, Leistungsüberwachung und arbeitsbezogene Entscheidungen.
Betreiberpflichten und FRIA
Betreiber von Hochrisiko-KI-Systemen müssen technische und organisatorische Maßnahmen setzen, menschliche Aufsicht zuweisen, Inputdaten kontrollieren, Logs aufbewahren, betroffene Personen informieren und mit Behörden kooperieren. Für Kreditwürdigkeitsbewertung sowie Life- und Health-Insurance-Risikobewertung ist zusätzlich ein Fundamental Rights Impact Assessment (FRIA) vor Einsatz vorgesehen. HR-KI löst vor allem Informationspflichten gegenüber Arbeitnehmervertretungen und betroffenen Arbeitnehmerinnen und Arbeitnehmern aus; eine FRIA-Pflicht kann in besonderen Konstellationen dennoch zu prüfen sein.
CSRD/ESRS: Bias als Berichtsthema
Der EU AI Act regelt KI-Systeme direkt. Die CSRD und die ESRS können ergänzend relevant werden, wenn KI-gestützte Entscheidungen zu Diskriminierungsrisiken, Menschenrechtsauswirkungen oder Governance-Risiken führen. Besonders betroffen sind HR-KI, Kreditwürdigkeitsbewertung und Life/Health-Underwriting. Dann reicht es nicht, nur technische Konformität zu dokumentieren; es braucht auch nachvollziehbare Angaben zu Policies, Due Diligence, Maßnahmen, Risiken, Kennzahlen und Prüfbarkeit.
Die Sanktionen
Der EU AI Act sieht abgestufte Sanktionen vor: bei Verstößen gegen Verbote bis zu 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes, bei Verstößen gegen viele Betreiber- und Hochrisiko-Anforderungen bis zu 15 Mio. Euro oder 3 Prozent und bei unrichtigen Angaben bis zu 7,5 Mio. Euro oder 1 Prozent. Hinzu kommen mögliche gesellschafts-, banken-, versicherungs- und datenschutzrechtliche Folgen.
Vierfach-Meldekaskade: ein Vorfall, mehrere Behördenwege
Ein schwerwiegender KI-Vorfall in einem österreichischen Finanzinstitut kann mehrere eigenständige Meldepflichten auslösen. Entscheidend ist, die Auslöser und Fristen getrennt zu bewerten.
| Rechtsgrundlage | Was wird gemeldet? | Frist | An wen? |
|---|---|---|---|
| EU AI Act Art. 73 | Schwerwiegender Vorfall mit Hochrisiko-KI | spätestens 15 Tage; 10 Tage bei Todesfall; 2 Tage bei bestimmten besonders schweren Konstellationen | zuständige Marktüberwachungsbehörde nach nationaler Umsetzung |
| DSGVO Art. 33 | Verletzung des Schutzes personenbezogener Daten mit Risiko für Betroffene | 72 Stunden | Datenschutzbehörde |
| DORA / Delegierte Verordnung (EU) 2025/301 | schwerwiegender IKT-bezogener Vorfall | 4 Stunden ab Klassifizierung und spätestens 24 Stunden ab Entdeckung; Zwischenmeldung 72 Stunden; Abschlussmeldung binnen eines Monats | FMA |
| NISG 2026 | erheblicher Cybersicherheitsvorfall, soweit das Institut erfasst ist und keine Spezialregel greift | Frühwarnung, Meldung und Abschlussbericht nach NISG-2026-Systematik | Cybersicherheitsbehörde bzw. zuständiger CSIRT-Meldeweg |
DORA ist für Finanzunternehmen das zentrale Spezialregime für IKT-Risikomanagement und schwerwiegende IKT-Vorfälle. Das NISG 2026 kann daneben für bestimmte Cybersicherheits- und Meldekonstellationen relevant sein. Die konkrete Abgrenzung sollte je Institut und Vorfalltyp geprüft werden.
Was vorbereitet sein sollte
- Incident-Response-Plan mit eigener KI-Vorfall-Kategorie
- separate Bewertungslogik für AI Act, DSGVO, DORA und NISG 2026
- klare Verantwortliche für FMA, Datenschutzbehörde und Cybersicherheitsmeldungen
- Vorlagen für Erstmeldung, Zwischenmeldung, Abschlussbericht und interne Eskalation
Der EU AI Act existiert nicht isoliert. DORA verlangt ICT-Risikomanagement und Drittanbieter-Governance. Die DSGVO regelt automatisierte Einzelentscheidungen und Datenschutz-Folgenabschätzungen. Das österreichische Arbeitsverfassungsrecht kann bei HR-KI eine Betriebsvereinbarung erforderlich machen.