Die KI-Compliance-Treppe NEU
Welche Pflicht greift auf welcher KI-Reifestufe? Das Fahrplan-Modell für Vorstände — mit Selbstcheck.
Zur KI-Compliance-TreppeDie regulatorische Realität für österreichische Finanzinstitute
Seit dem 2. Februar 2025 gelten im Rahmen des EU AI Act die ersten verbindlichen Anforderungen, darunter das Verbot bestimmter KI-Praktiken und die Pflicht zur KI-Kompetenz für Personen, die Systeme mit Künstlicher Intelligenz (KI) einsetzen oder betreiben.
Was viele unterschätzen: Die regulatorischen Anforderungen kommen nicht einzeln. DORA, NIS2, DSGVO und der EU AI Act überschneiden sich mit unterschiedlichen Fristen, Behörden und Sanktionsregimen. Eine KI-bezogene Compliance-Verletzung kann gleichzeitig die FMA, die Datenschutzbehörde und den Betriebsrat betreffen.
Für mittelgroße Regionalbanken und Versicherungen in Österreich entsteht damit eine besondere Herausforderung: Sie betreiben oft dieselben Kernsysteme wie Großinstitute, verfügen aber über deutlich knappere interne Compliance-Ressourcen.
Neben dieser Finanzsektor-Vertiefung wird KI-Governance auch für Aktiengesellschaften außerhalb des Finanzsektors zum Leitungs- und Überwachungsthema: Vorstand, Aufsichtsrat, IKS und Berichtswesen brauchen einen gemeinsamen Rahmen.
Aktueller Stand der Fristen
Der Digital Omnibus zur KI ist als Verordnung (EU) 2026/1744 am 24. Juli 2026 im Amtsblatt veröffentlicht worden und seit 27. Juli 2026 in Kraft. Die Verschiebung ist damit geltendes Recht: Die Anforderungen an Hochrisiko-KI-Systeme nach Anhang III gelten ab 2. Dezember 2027, jene nach Anhang I ab 2. August 2028. Nicht verschoben wurden die Transparenzpflichten nach Art. 50, die seit 2. August 2026 einzuhalten sind.
Die zentralen Themenfelder, mit denen sich Vorstände jetzt befassen müssen
Shadow-KI (Schatten-KI)
KI-Komponenten in eingekaufter Software oder frei genutzten Tools werden oft nicht als KI-System inventarisiert. Trotzdem können Pflichten nach EU AI Act, DSGVO und internen Governance-Vorgaben entstehen.
Mehr zu Shadow-KIEU AI Act
Der EU AI Act ist seit 1. August 2024 in Kraft. Verbote und KI-Kompetenz gelten seit Februar 2025, die Transparenzpflichten seit 2. August 2026. Die Hochrisiko-Pflichten nach Anhang III folgen am 2. Dezember 2027.
Mehr zum EU AI ActVorstandshaftung
Über § 84 AktG und § 39 BWG wird KI-Governance zur Organisationspflicht. Nichtwissen über eingesetzte KI-Systeme ist kein tragfähiges Kontrollkonzept.
Mehr zur VorstandshaftungAG-Governance
Vorstand und Aufsichtsrat brauchen einen prüfbaren Rahmen für KI-Inventar, IKS, Risikomanagement, Berichtswesen und Organentscheidungen.
KI-Governance für AGsVendor-KI
Marktführende Plattformen für Kernbanking, AML, Underwriting und HR können KI-Komponenten enthalten. Wer diese Systeme einsetzt, trägt eigene Betreiberpflichten.
Mehr zu Vendor-KIFRIA
Die Grundrechte-Folgenabschätzung nach Art. 27 EU AI Act ist vor allem bei Kreditwürdigkeitsbewertung und Life-/Health-Insurance-Risikobewertung relevant.
FRIA verstehenGPAI
ChatGPT, Copilot, Claude und andere Allzweck-KI-Dienste brauchen klare Nutzungsregeln, Datenschutzprüfung, Inventarisierung und Provider-Due-Diligence.
Mehr zu GPAICyber Resilience Act
Apps und digitale Produkte unter eigener Marke können neben DORA auch CRA-Pflichten auslösen. Rollenklärung ist der erste Schritt.
CRA prüfenArbVG §§ 96/96a
KI-Systeme mit Mitarbeiterdaten, HR- oder Kontrollfunktion können Betriebsratseinbindung und Betriebsvereinbarungen erforderlich machen.
ArbVG-Schnittstelle prüfenDer Weg zur Compliance: strukturiert, methodisch, individuell
Der Weg zur EU AI Act-Compliance ist kein einzelnes Projekt, sondern ein strukturierter Prozess in mehreren Phasen: Bestandsaufnahme, Risikoklassifikation, Rollenklärung, Gap-Analyse, Governance und laufende Überwachung. Internationale Normen wie ISO/IEC 42001:2023 bieten dafür einen Rahmen. Sie ersetzen jedoch nicht die individuelle Auseinandersetzung mit den konkreten KI-Systemen, Geschäftsprozessen und Verantwortlichkeiten Ihres Instituts.
CSRD-/ESRS-Bezug bei KI-Bias
KI-Bias ist nicht nur ein technisches oder EU-AI-Act-Thema. Wenn KI-Systeme Diskriminierungsrisiken in HR, Kreditvergabe, Underwriting oder Kundenzugang erzeugen, können diese Risiken auch für CSRD-/ESRS-Berichterstattung relevant werden: als soziale Auswirkung, Governance-Thema, Risikomanagementfrage oder prüfbarer Nachweis.
ISO/IEC 42001
Der internationale Standard für KI-Managementsysteme schafft Struktur, deckt aber nicht alle EU AI Act-spezifischen Pflichten ab.
ISO/IEC 42001 verstehenKI-Inventar
Ohne vollständige Bestandsaufnahme bleiben Risikoklassifikation, FRIA und Governance lückenhaft.
Mehr zum KI-InventarAudit-Readiness
Prüfbare KI-Governance heißt: Inventar, Rollen, FRIA, Logs, Meldewege und Nachweise jederzeit belastbar vorlegen können.
Audit-Readiness aufbauenProjektbegleitung
KI-Compliance-Beratung aus einer Hand: Wir begleiten österreichische Finanzinstitute von der Erstbestandsaufnahme bis zur prüfbaren Governance-Struktur.
Projektbegleitung ansehenGlossar
Zentrale Begriffe aus EU AI Act, ISO/IEC 42001 und KI-Governance, jeweils mit Verweisen auf die passenden Themenseiten.
Glossar öffnen