Beide Gesetze haben „Act“ im Namen und beide betreffen deine IT – aber völlig unterschiedlich. Der AI Act ist ein EU-Gesetz über künstliche Intelligenz, der Cloud Act ein US-Gesetz über den Zugriff auf Daten. Hier das Wichtigste für kleine und mittlere Betriebe, Stand Oktober 2026.
Was ist der EU AI Act?
Der AI Act (Verordnung (EU) 2024/1689) ist das erste umfassende KI-Gesetz der Welt und teilt KI-Anwendungen nach ihrem Risiko in vier Stufen ein. Je höher das Risiko, desto strenger die Regeln.
- Verboten: etwa Social Scoring oder manipulative KI, die Schwächen von Menschen ausnutzt.
- Hochrisiko: KI, die über Menschen entscheidet, zum Beispiel bei Bewerbungen, Kreditvergabe oder in kritischer Infrastruktur. Hier gelten strenge Pflichten zu Dokumentation, Kontrolle und Qualität.
- Begrenztes Risiko: zum Beispiel Chatbots oder KI-generierte Bilder. Hier gelten vor allem Transparenzpflichten.
- Minimales Risiko: etwa Spamfilter oder Rechtschreibhilfen. Keine besonderen Pflichten.
Welche Fristen gelten?
- Seit 2. Februar 2025: Verbote und die Pflicht zur KI-Kompetenz (Artikel 4).
- Seit 2. August 2025: Regeln für Anbieter großer KI-Modelle wie GPT oder Gemini.
- Seit 2. August 2026: Transparenzpflichten, etwa für Chatbots und KI-generierte Inhalte.
- Ab 2. Dezember 2027: Pflichten für eigenständige Hochrisiko-Systeme. Dieser Termin wurde durch den sogenannten Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) vom August 2026 nach hinten verschoben.
- Ab 2. August 2028: Hochrisiko-KI in regulierten Produkten wie Maschinen oder Medizinprodukten.
Was muss mein Betrieb konkret tun?
Wer KI nur nutzt – etwa ChatGPT für Texte, Copilot in Microsoft 365 oder eine KI-Funktion in der Buchhaltungssoftware – ist ein sogenannter Betreiber und hat überschaubare Pflichten:
- KI-Kompetenz fördern: Mitarbeiter, die mit KI arbeiten, sollen wissen, was die Tools können, wo sie Fehler machen und was nicht hineingehört. Der Digital Omnibus hat diese Pflicht abgeschwächt – verlangt werden Maßnahmen zur Förderung, kein garantiertes Kompetenzniveau. Eine kurze interne Schulung mit Nachweis ist trotzdem sinnvoll.
- Kennzeichnen, wo nötig: Wer einen KI-Chatbot auf der Website einsetzt, muss erkennbar machen, dass Kunden mit einer KI sprechen. Künstlich erzeugte Bilder oder Videos echter Personen (Deepfakes) müssen gekennzeichnet werden.
- Datenschutz beachten: Der AI Act ersetzt die DSGVO nicht. Personenbezogene Kundendaten gehören nicht ungeprüft in öffentliche KI-Tools.
- Hochrisiko prüfen: Setzt du KI für Bewerberauswahl oder Personalentscheidungen ein? Dann gelten ab Dezember 2027 zusätzliche Pflichten.
Was ist der US Cloud Act?
Der Clarifying Lawful Overseas Use of Data Act (Cloud Act) von 2018 verpflichtet US-Unternehmen, US-Behörden auf richterliche Anordnung Daten herauszugeben – unabhängig davon, in welchem Land die Daten gespeichert sind. Entscheidend ist, ob der Anbieter die Daten „in Besitz, Verwahrung oder Kontrolle“ hat.
Das betrifft Microsoft, Google, Amazon und alle anderen Anbieter mit US-Mutterkonzern – auch dann, wenn deine Daten in einem Rechenzentrum in Wien oder Frankfurt liegen. Ein „EU-Rechenzentrum“ allein löst das Problem also nicht.
Wie passt der Cloud Act zur DSGVO?
Schlecht. Die DSGVO erlaubt die Übermittlung an Behörden außerhalb der EU grundsätzlich nur auf Basis internationaler Abkommen (Artikel 48). US-Anbieter stecken damit in einem Rechtskonflikt, den sie teilweise vor Gericht ausfechten. Für dich als Kunde heißt das: Ein Restrisiko bleibt, auch wenn der Anbieter verspricht, sich gegen Anfragen zu wehren. Wie groß es für deinen Betrieb ist, beleuchten wir in Wie gläsern sind österreichische Unternehmen?
Was kann ich gegen das Cloud-Act-Risiko tun?
- Daten einteilen: Was ist wirklich sensibel? Gesundheitsdaten, Geschäftsgeheimnisse und Personalakten anders behandeln als den Speiseplan.
- Selbst verschlüsseln: Wer den Schlüssel selbst verwaltet, macht herausgegebene Daten für Dritte unlesbar.
- Europäische Anbieter für besonders sensible Bereiche einsetzen, siehe Europäische Anbieter.
- Verträge prüfen: Auftragsverarbeitungsvertrag, Speicherorte, Unterauftragnehmer.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Gesetze und Fristen ändern sich; für verbindliche Auskünfte wende dich an die zuständige Behörde oder eine Rechtsanwältin bzw. einen Rechtsanwalt.
Häufige Fragen
Darf ich ChatGPT im Betrieb verwenden?
Ja. Achte darauf, keine personenbezogenen oder vertraulichen Daten einzugeben, wenn der Dienst sie für Training nutzen darf, und schule dein Team im Umgang. Unternehmensversionen bieten hier meist bessere vertragliche Zusagen.
Gilt der Cloud Act auch für europäische Anbieter?
Grundsätzlich nicht, solange sie keine US-Mutter oder bedeutende US-Präsenz haben, die Kontrolle über die Daten ausübt.
