Gilt der AI Act für uns, wenn wir KI rund ums ERP nutzen?
Ja, aber für die meisten Anwendungen rund ums ERP mit überschaubaren Pflichten. Belege auslesen, Entwürfe schreiben oder Fragen an Unterlagen stellen sind in der Regel keine Hochrisiko-Anwendungen. Ein Website-Chatbot muss als KI erkennbar sein. Genauer hinschauen sollten Sie, wenn KI bei Personalentscheidungen mitwirkt.
In Kürze
- Als Unternehmen, das KI nutzt, sind Sie im AI Act meist Betreiber, nicht Anbieter.
- Typische ERP-Anwendungen wie Belegerfassung fallen in der Regel nicht unter Hochrisiko.
- Seit 2. August 2026 müssen Chatbots nach Art. 50 Abs. 1 als KI erkennbar sein.
- KI bei Bewerberauswahl oder Leistungsbewertung kann ein Hochrisiko-Bereich sein.
- Die DSGVO gilt unabhängig davon weiter.
Ja, der AI Act gilt auch für Unternehmen, die KI rund um ihr ERP einsetzen. Für die meisten typischen Anwendungen sind die Pflichten aber überschaubar. Belege auslesen, Antwortentwürfe vorbereiten oder Fragen an die eigenen Unterlagen stellen gelten in der Regel nicht als Hochrisiko. Ein Website-Chatbot muss als KI erkennbar sein. Genauer hinschauen sollten Sie, sobald KI bei Entscheidungen über Menschen mitwirkt, etwa im Personalbereich. Dieser Überblick ersetzt keine Rechtsberatung.
Was ist der AI Act überhaupt?
Der AI Act ist eine EU-Verordnung über künstliche Intelligenz, die Verordnung (EU) 2024/1689. Sie gilt unmittelbar in allen Mitgliedstaaten, also auch in Österreich, ohne eigenes österreichisches Gesetz. Ihre Pflichten treten schrittweise in Kraft, und die EU hat 2026 mit dem sogenannten Digital-Omnibus einzelne Regeln geändert. Wer sich auf Termine verlässt, sollte deshalb den aktuellen Text auf EUR-Lex prüfen und nicht ältere Zusammenfassungen.
Der Grundgedanke: Je größer das Risiko einer KI-Anwendung für Menschen, desto strenger die Regeln.
Sind Sie Anbieter oder Betreiber?
Der AI Act unterscheidet vor allem zwei Rollen. Anbieter entwickeln ein KI-System und bringen es auf den Markt, etwa ein Softwarehersteller. Betreiber setzen ein KI-System in eigener Verantwortung ein. Ein Großhändler, der Eingangsrechnungen mit KI auslesen lässt, ist in aller Regel Betreiber. Für Betreiber sind die Pflichten deutlich geringer als für Anbieter.
Welche ERP-Anwendungen sind unkritisch?
Die meisten, die im Büro anfallen:
- Rechnungen, Lieferscheine und Auftragsbestätigungen auslesen und zur Prüfung vorbereiten,
- Bestellungen aus Mails als Auftragsentwurf erfassen,
- Fragen an Verträge, Anleitungen und freigegebene ERP-Auszüge stellen,
- Entwürfe für Kundeninformationen oder Newsletter schreiben.
Diese Anwendungen stehen nicht auf der Liste der Hochrisiko-Bereiche in Anhang III des AI Act. Dass am Ende ein Mensch prüft und freigibt, ist trotzdem eine gute Praxis, schon weil die KI Fehler macht.
Wann muss etwas gekennzeichnet werden?
Wenn Menschen direkt mit einer KI zu tun haben, ohne das zu wissen. Ein Chatbot auf Ihrer Website muss nach Art. 50 Abs. 1 AI Act seit 2. August 2026 so gestaltet sein, dass Besucher erkennen, dass sie mit einer KI sprechen. Ein Hinweis im Chatfenster erfüllt diesen Zweck.
Für Antwortentwürfe, die Ihr Innendienst prüft und unter eigenem Namen verschickt, ist die Lage anders: Hier schreibt am Ende ein Mensch, die KI ist ein Hilfsmittel.
Wo sollten Sie vorsichtig sein?
Im Personalbereich. Anhang III des AI Act nennt unter anderem KI-Systeme, die bei der Auswahl von Bewerbern oder bei Entscheidungen über Beförderung, Kündigung und Leistungsbewertung eingesetzt werden. Manche ERP- und Lohnprogramme bieten inzwischen KI-Funktionen rund um Lebensläufe oder Mitarbeiterdaten an. Bevor Sie solche Funktionen für Entscheidungen über Menschen nutzen, sollten Sie die Pflichten mit Ihrer Rechtsberatung klären. Auch der Betriebsrat ist hier oft einzubinden.
Ebenfalls heikel: KI, die über die Kreditwürdigkeit von Privatpersonen entscheidet. Für die Bonitätsprüfung von Geschäftskunden gilt das so nicht, Vorsicht ist trotzdem angebracht.
Und die DSGVO?
Gilt unabhängig vom AI Act weiter. Sobald personenbezogene Daten verarbeitet werden, etwa Namen von Ansprechpersonen auf Rechnungen, braucht es eine Rechtsgrundlage, einen Auftragsverarbeitungsvertrag mit Dienstleistern und Klarheit darüber, wo die Daten verarbeitet werden. Für viele Unternehmen ist die DSGVO im Alltag die wichtigere der beiden Regelungen.
Was sollten Sie jetzt tun?
Machen Sie eine kurze Liste: Welche KI-Werkzeuge werden im Unternehmen genutzt, auch die, die Mitarbeiter selbst mitgebracht haben? Wofür, mit welchen Daten, und entscheidet dabei irgendwo die KI über Menschen? Mit dieser Liste ist ein Gespräch mit Datenschutzbeauftragtem oder Rechtsberatung schnell erledigt. Einen Überblick, welche KI-Anwendungen Goma-IT für Unternehmen mit ERP einrichtet, finden Sie auf der Seite Leistungen.
Häufige Fragen
Müssen wir unsere Mitarbeiter im Umgang mit KI schulen?
Die Regel zur KI-Kompetenz in Art. 4 AI Act wurde 2026 durch den sogenannten Digital-Omnibus abgeschwächt, aber nicht aufgehoben: Unternehmen, die KI nutzen, ergreifen Maßnahmen, die die KI-Kompetenz ihrer Mitarbeitenden fördern. In der Praxis kann das eine kurze Einweisung sein: welche Werkzeuge erlaubt sind, welche Daten hineindürfen und dass Ergebnisse geprüft werden. Was genau für Ihr Unternehmen gilt, klärt eine Rechtsberatung.
Ist Goma-IT dann Anbieter im Sinne des AI Act?
Goma-IT richtet Lösungen auf Basis von Sprachmodellen anderer Hersteller ein. Wie die Rollen im Einzelfall verteilt sind, hängt von der konkreten Lösung ab. Das gehört zu den Punkten, die vor dem Start schriftlich festgehalten werden sollten.