EU AI Act, Haftung, Verträge und Pflichten: die rechtlichen Begriffe, die Geschäftsführer:innen kennen sollten, bevor KI im Unternehmen produktiv wird. Orientierung, keine Rechtsberatung.
AGES (Österreichische Agentur für Gesundheit und Ernährungssicherheit) und BASG (Bundesamt für Sicherheit im Gesundheitswesen) sind die österreichischen Regulierungsbehörden für Medizinprodukte. Das…
Der EU AI Act (Verordnung 2024/1689) ist die weltweit erste umfassende Rechtsverordnung zur Regulierung künstlicher Intelligenz. Die am 1. August 2024 in Kraft getretene Verordnung klassifiziert…
Das European AI Office ist eine 2024 innerhalb der EU-Kommission eingerichtete Behörde, die als zentrale Anlaufstelle für die Umsetzung und Durchsetzung des EU AI Act fungiert – insbesondere für…
Anbieter im Sinne der EU-KI-Verordnung ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt. Im Gegensatz zum…
Angemessenheit ist die dritte und letzte Stufe der rechtlichen Verhältnismäßigkeitsprüfung. Sie prüft, ob eine Maßnahme – selbst wenn sie geeignet und erforderlich ist – in einem ausgewogenen…
Anhang IV des EU AI Act legt fest, welche technische Dokumentation Anbieter von Hochrisiko-KI-Systemen vor Markteinführung erstellen müssen. Die Dokumentation umfasst neun Pflichtabschnitte und dient…
Das Auditrecht bezeichnet die vertragliche Befugnis des Auftraggebers, bei Dienstleistern (insbesondere Auftragsverarbeitern) die Einhaltung vereinbarter Datenschutz- und Sicherheitsanforderungen…
Automatisierte Entscheidungsfindung bezeichnet Entscheidungen, die ausschließlich durch Computer-Algorithmen ohne menschliches Eingreifen getroffen werden und rechtliche Wirkung entfalten oder eine…
Das Arbeitszeitgesetz (AZG) ist das zentrale österreichische Bundesgesetz, das die zulässige Dauer der täglichen und wöchentlichen Arbeitszeit, Ruhepausen und Ruhezeiten regelt. Es verpflichtet…
Das Berufsgeheimnis nach WTBG (§ 80 Wirtschaftstreuhandberufsgesetz 2017) verpflichtet Steuerberater:innen und Wirtschaftsprüfer:innen zur umfassenden Verschwiegenheit über anvertraute…
Ein Beschwerdeverfahren ist das in der DSGVO verankerte Recht jeder betroffenen Person, bei einer Datenschutzbehörde gegen vermutete Datenschutzverstöße vorzugehen. Es ermöglicht KMU-Kund:innen oder…
Ein Betreiber ist eine natürliche oder juristische Person, die ein KI-System in eigener Verantwortung für berufliche Zwecke einsetzt, ohne es selbst zu entwickeln oder unter eigenem Namen zu…
Der Betriebsrat ist die gewählte Interessenvertretung der Arbeitnehmerinnen und Arbeitnehmer auf Betriebsebene. Er hat gesetzlich verankerte Mitbestimmungs-, Informations- und Überwachungsrechte und…
Eine Betriebsvereinbarung ist eine schriftliche, rechtsverbindliche Vereinbarung zwischen Arbeitgeber und Betriebsrat, die betriebliche Angelegenheiten regelt und für alle Arbeitnehmer eines Betriebs…
§ 87 Abs. 1 Nr. 6 BetrVG gibt dem Betriebsrat ein zwingendes Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung der…
Biometrische Identifikation bezeichnet die Erkennung von Personen anhand einzigartiger körperlicher oder verhaltensbezogener Merkmale wie Fingerabdruck, Gesicht oder Iris. Sie gilt unter dem EU AI…
Ein Bug-Bounty-Programm ist eine Initiative, bei der Unternehmen externe Sicherheitsexpert:innen finanziell belohnen, wenn diese Schwachstellen in Software, Webanwendungen oder IT-Systemen entdecken…
Business Continuity (Geschäftskontinuität) bezeichnet die Fähigkeit eines Unternehmens, kritische Geschäftsprozesse auch bei schwerwiegenden Störungen aufrechtzuerhalten oder schnellstmöglich…
CEO-Fraud ist eine Betrugsmasche, bei der sich Kriminelle als Geschäftsführung oder hochrangige Führungskraft eines Unternehmens ausgeben und Mitarbeitende per E-Mail, Telefon oder Nachricht dazu…
Der CLOUD Act ist ein US-amerikanisches Gesetz aus dem Jahr 2018, das US-Behörden den Zugriff auf Daten von US-Unternehmen ermöglicht – unabhängig davon, wo diese Daten weltweit gespeichert sind. Das…
Compliance bezeichnet die Gesamtheit aller Maßnahmen, die sicherstellen, dass ein Unternehmen geltende Gesetze, Verordnungen und interne Regeln einhält. Für KMU ist dies nicht nur rechtliche Pflicht,…
Ein Cookie-Banner ist ein Pop-up-Element auf einer Website, das Nutzer:innen vor dem Setzen nicht notwendiger Cookies um eine aktive Einwilligung bittet. In Österreich und Deutschland ist es…
Eine Cybersicherheitsbehörde ist eine staatliche Stelle, die für die Überwachung, Durchsetzung und Koordination von Cybersicherheitsmaßnahmen zuständig ist. Sie fungiert als zentrale Anlaufstelle bei…
Dark Patterns sind manipulative Designelemente auf Websites und in Apps, die Nutzer durch gezielte Gestaltung zu Entscheidungen verleiten sollen, die ihren eigentlichen Interessen widersprechen –…
Ein Datenschutzgesetz regelt den Schutz personenbezogener Daten auf nationaler Ebene. In Österreich und Deutschland ergänzen die nationalen Datenschutzgesetze (DSG bzw. BDSG) seit 2018 die EU-weit…
Datensouveränität bezeichnet die Fähigkeit eines Unternehmens, vollständige Kontrolle über Erhebung, Speicherung, Verarbeitung und Löschung seiner Daten auszuüben – unabhängig davon, ob diese…
Der Digital Omnibus ist ein von der EU-Kommission im November 2025 vorgeschlagenes Gesetzespaket, das Anpassungen an bestehenden EU-Digitalgesetzen (DSGVO, KI-Verordnung, Data Act, NIS2, ePrivacy)…
Digitale Souveränität bezeichnet die Fähigkeit von Staaten, Organisationen und Unternehmen, ihre digitalen Ressourcen, Infrastrukturen und Daten eigenständig zu kontrollieren und selbstbestimmt über…
Die Einnahmen-Ausgaben-Rechnung (EAR) ist eine vereinfachte Methode der Gewinnermittlung für kleinere Unternehmen in Österreich, bei der der Gewinn als Differenz zwischen tatsächlich zugeflossenen…
Die erste der beiden rechtlichen Wege, über die der EU AI Act ein KI-System als hochriskant einstuft: Das System muss als Sicherheitskomponente eines nach Anhang I regulierten Produkts verwendet…
Anhang III des EU AI Act listet acht definierte Anwendungsbereiche (z. B. Personalauswahl, Kreditwürdigkeit, Strafverfolgung), in denen eigenständige KI-Systeme automatisch als hochriskant gelten und…
Die ePrivacy-Richtlinie (Richtlinie 2002/58/EG) regelt seit 2002 EU-weite Mindestvorgaben für den Datenschutz in der elektronischen Kommunikation, insbesondere Cookie-Verwendung, Telefon- und…
Erforderlichkeit ist der zweite Prüfschritt im Dreistufentest der Verhältnismäßigkeit, der bei der Bewertung von Hochrisiko-KI-Systemen im Rahmen des AI Act angewendet wird. Er prüft, ob ein…
Die EU-Konformitätserklärung ist ein rechtsverbindliches Dokument, mit dem der Hersteller bestätigt, dass sein Produkt alle anwendbaren EU-Anforderungen erfüllt. Die CE-Kennzeichnung wird auf dieser…
Ein externes IT-Sicherheitsaudit ist die systematische Überprüfung der IT-Infrastruktur eines Unternehmens durch unabhängige Fachkräfte, um Schwachstellen, Fehlkonfigurationen und Sicherheitslücken…
Geeignetheit ist die erste Stufe des Dreistufentests aus dem Datenschutzrecht, der prüft, ob eine KI-Maßnahme grundsätzlich geeignet ist, den verfolgten Zweck zu erreichen. Der Test stammt aus der…
Ein genehmigter Tool-Katalog ist eine verbindliche Liste jener KI-Tools und -Dienste, die in einem Unternehmen nach datenschutzrechtlicher und technischer Prüfung für bestimmte Zwecke freigegeben…
Die GoBD legen fest, wie Unternehmen in Deutschland steuerrelevante Bücher, Belege und Unterlagen in elektronischer Form führen und aufbewahren müssen. Sie regeln die Anforderungen an digitale…
Guilt-Tripping (auch Confirmshaming) ist ein manipulatives Design-Muster in digitalen Oberflächen, das Schuldgefühle oder Scham nutzt, um Nutzer:innen zu einer bestimmten Entscheidung zu drängen.…
Incident-Reporting bezeichnet die rechtlich verpflichtende oder freiwillige Meldung von Sicherheitsvorfällen, Datenschutzverletzungen oder KI-Fehlfunktionen an zuständige Behörden. Bei…
Eine interne KI-Nutzungsrichtlinie ist ein verbindliches Regelwerk für Mitarbeitende, das festlegt, welche KI-Tools im Unternehmen erlaubt sind, welche Daten verarbeitet werden dürfen und wie…
Kennzeichnungspflicht bezeichnet die gesetzliche Verpflichtung, KI-generierte oder KI-manipulierte Inhalte als solche erkennbar zu machen. Ab dem 2. August 2026 regelt Artikel 50 der…
Ein Konformitätsbewertungsverfahren ist der formale Nachweis, dass ein Hochrisiko-KI-System alle gesetzlichen Anforderungen der EU-KI-Verordnung erfüllt, bevor es in Verkehr gebracht oder in Betrieb…
Kritische Infrastruktur (KRITIS) umfasst Organisationen, Einrichtungen und Systeme, deren Ausfall oder Beeinträchtigung erhebliche Versorgungsengpässe, Gefährdungen der öffentlichen Sicherheit oder…
Die kritische Prüfpflicht bezeichnet die Sorgfaltspflicht von Unternehmen – abgeleitet aus Haftungsrisiken und den Transparenzpflichten des Art. 50 EU AI Act –, KI-generierte Inhalte vor deren…
Die NIS2-Richtlinie ist eine EU-Richtlinie zur Stärkung der Cybersicherheit von Unternehmen und Einrichtungen in 18 kritischen Sektoren. Sie verpflichtet mittlere und große Organisationen zu…
Das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) ist das österreichische Bundesgesetz zur Umsetzung der EU-NIS-2-Richtlinie. Es verpflichtet rund 4.000 mittlere und große…
Ein Notfallplan ist ein dokumentiertes Konzept, das Maßnahmen, Zuständigkeiten und Abläufe für den Fall einer Betriebsunterbrechung oder eines Sicherheitsvorfalls festlegt. Er soll sicherstellen,…
Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verpflichtet Verantwortliche, die Einhaltung aller datenschutzrechtlichen Grundsätze nicht nur einzuhalten, sondern auch jederzeit nachweisen zu…
Ein Review-Zyklus bezeichnet den festgelegten zeitlichen Rhythmus, in dem unternehmensinterne Richtlinien, Policies und Compliance-Dokumente auf ihre Aktualität, Rechtmäßigkeit und Praxistauglichkeit…
Risikoklassen sind die vier Kategorien (minimal, begrenzt, hoch, inakzeptabel), in die KI-Systeme gemäß der EU-KI-Verordnung eingeordnet werden. Die Klassifizierung bestimmt, welche rechtlichen…
Risikomanagement im NIS2-Kontext bezeichnet die systematische Identifikation, Bewertung und Behandlung von Cyberrisiken, die von betroffenen Unternehmen nach der NIS2-Richtlinie umzusetzen sind. Es…
Ein dokumentiertes System zur systematischen Identifikation, Bewertung und Minderung von Risiken, das für Hochrisiko-KI-Systeme nach dem EU AI Act verpflichtend ist. Es muss als kontinuierlicher…
Die Rundfunk und Telekom Regulierungs-GmbH (RTR) ist die österreichische Regulierungsbehörde für Medien, Telekommunikation und Post. Sie fungiert als Geschäftsstelle für die KommAustria und die…
Sanktionen im EU AI Act sind gestufte Geldstrafen bei Verstößen gegen die KI-Verordnung. Artikel 99 sieht je nach Schwere bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, je…
Schulungspflicht bezeichnet die rechtliche Verpflichtung für Unternehmen, ihre Mitarbeiter regelmäßig im Umgang mit sensiblen Daten, Datenschutz und KI-Systemen zu schulen. Sie leitet sich aus der…
Eigenverantwortliche Prüfung durch ein Unternehmen, ob Compliance-Anforderungen erfüllt sind – etwa bei DSGVO oder AI Act. Dient der Selbsteinschätzung von Risiken und Umsetzungsstand ohne externe…
Shadow IT bezeichnet IT-Systeme, Software oder Cloud-Dienste, die Mitarbeiter:innen ohne Wissen oder Genehmigung der IT-Abteilung im Arbeitsalltag einsetzen. Beispiele sind private Cloud-Speicher,…
Ein Sicherheitsvorfall ist ein Ereignis, bei dem die Sicherheit von IT-Systemen, Netzwerken oder Daten beeinträchtigt wird oder wurde. Dazu zählen unbefugter Zugriff, Datenverlust, Systemstörungen…
Spear-Phishing ist eine gezielte Form des Phishing-Betrugs, bei der Angreifer einzelne Personen oder Unternehmen mit personalisierten Nachrichten attackieren. Im Gegensatz zu Massen-Phishing werden…
Supply-Chain-Sicherheit bezeichnet Maßnahmen und Strategien zur Absicherung von Lieferketten gegen Cyberbedrohungen, physische Risiken und Abhängigkeiten. Sie umfasst die Bewertung und Überwachung…
Die technische Dokumentation ist ein verpflichtender Nachweis für Anbieter von Hochrisiko-KI-Systemen, der vor dem Inverkehrbringen erstellt werden muss. Sie belegt gemäß Artikel 11 und Anhang IV des…
§ 165 Abs. 3 TKG 2021 ist die österreichische Rechtsgrundlage für die Verwendung von Cookies und regelt, dass das Speichern von Informationen auf Endgeräten oder der Zugriff darauf grundsätzlich nur…
Rechtliche Verpflichtung, betroffene Personen oder Nutzer klar und verständlich darüber zu informieren, wie personenbezogene Daten verarbeitet werden oder dass sie mit einem KI-System interagieren.…
Das Unternehmensgesetzbuch (UGB) ist das zentrale österreichische Bundesgesetz für das Unternehmensrecht. Es regelt Firmenrecht, Rechnungslegung, Personengesellschaften und unternehmensbezogene…
Die UID-Nummer (Umsatzsteuer-Identifikationsnummer) ist eine EU-weit etablierte Kennziffer, die Unternehmen für umsatzsteuerliche Zwecke kennzeichnet. In Österreich besteht sie aus dem Länderkürzel…
Wesentliche Einrichtungen sind Unternehmen und Organisationen aus hochkritischen Sektoren, die aufgrund ihrer Größe oder Funktion unter die NIS-2-Richtlinie fallen und strengeren…
Wichtige Einrichtungen sind Unternehmen, die aufgrund ihrer Größe und Branchenzugehörigkeit unter die NIS-2-Richtlinie fallen und strengen Cybersicherheitspflichten unterliegen. Sie werden im…
