Die erste Frage ist nicht, wer darf — sondern welche Rolle der Betrieb hat.
Kommt die Zuständigkeitsfrage in einer Leitungsrunde auf, richtet sich der Blick sofort nach innen: Geschäftsführung, IT, Fachbereich, Datenschutzstelle. Das ist der zweite Schritt; der erste ist eine Einordnung, die von außen vorgegeben ist.
Der AI Act kennt einen festen Kreis von Akteuren. Die KI-Servicestelle der RTR zählt sie nach Art. 3 Ziffer 8 auf: Anbieter, Produkthersteller, Bevollmächtigter, Einführer, Händler und Betreiber.
Für die meisten Betriebe ist eine dieser Rollen die entscheidende. Die KI-Servicestelle schreibt: „Betreiber ist jene Person, Behörde, etc. die entscheidet, ob und wie ein KI-System eingesetzt wird und trägt dafür auch die Verantwortung.“ Die Definition nach Art. 3 Ziffer 4 AIA stellt darauf ab, dass ein System in eigener Verantwortung verwendet wird; ausgenommen ist die persönliche, nicht berufliche Tätigkeit.
Die Rolle hängt damit an der Entscheidung, nicht an der Bedienung. Auch wer ausschließlich fremde Werkzeuge verwendet, steht nicht daneben: Wer KI-Systeme Dritter einsetzt, „ohne eine Änderung daran vorzunehmen“, ist nach den FAQ derselben Stelle „in der Regel als Betreiber einzustufen“.
Eindeutig ist die Zuordnung dennoch nicht. Dieselbe Übersicht hält fest: „In bestimmten Situationen kann ein Akteur auch mehrere Rollen gleichzeitig übernehmen.“ Zu klären ist also nicht die eine Rolle des Hauses, sondern die Rolle je System — und erst danach, wer sie im Haus ausfüllt.
Quelle: RTR, KI-Servicestelle — Die Akteure im AI Act · RTR, KI-Servicestelle — FAQ
Vier Entscheidungen, die im Alltag ständig zusammenfallen.
Die Titelfrage hat vier Antworten, weil sich hinter dem einen Wort vier Vorgänge verbergen. In kleinen Häusern liegen sie oft bei derselben Person; das ist kein Fehler, solange es festgehalten ist.
- Anschaffung.Welches System überhaupt ins Haus kommt: Auswahl, Vertrag, Konten, Kosten.
- Freigabe.Wofür es verwendet werden darf, in welchem Bereich, mit welchen Daten — und wer eine neue Anwendung zulässt.
- Anwendung.Die Entscheidung am Einzelfall: Wird ein Ergebnis übernommen, verworfen oder geprüft weitergegeben?
- Aufsicht.Wer die Verwendung beobachtet, eingreifen kann und den Einsatz notfalls aussetzt.
Die KI-Servicestelle stellt diese Trennung als Frage an die strategische Ebene: „Wer im Unternehmen trifft Entscheidungen über Entwicklung, Anschaffung und Einsatz von KI-Systemen?“ Sie hält zugleich fest, dass es je nach Einsatzbereich unterschiedliche Verantwortlichkeiten geben kann. Eine einzige Zuständigkeit für alles ist nicht der Normalfall.
Für die Freigabe sind die KI-Guidelines für KMU deutlich (Seite 15, Abschnitt „Erläuterungen“): „Wenn es um den Einsatz von KI-Systemen in Ihrem Unternehmen geht, trifft allein die Unternehmensleitung die Entscheidung, ob die Anwendung zulässig ist. … Beispielsweise dürfen Mitarbeitende auch sonst üblicherweise keine Software ohne Rücksprache herunterladen.“ Für experimentelle und Beta-Funktionen sieht dieselbe Seite eine gesonderte Freigabe durch die Unternehmensleitung vor.
Die Praxistipps auf Seite 16 nennen drei Festlegungen, die diese Trennung tragen: eine Liste genehmigter KI-Werkzeuge nach Abteilung und Verwendungszweck, klare Freigabeprozesse für neue KI-Anwendungen und die Angabe, wer Ansprechperson für KI-Fragen ist. Drei Zeilen — und der Unterschied zwischen einer Zuständigkeit und einer Zuständigkeitsvermutung.
Dieselben Spalten stehen im Zuständigkeitsraster zum Ausfüllen in der Seitenspalte: Entscheidungsart, benannte Person, Vertretung, Grenze der Befugnis, Weg der Eskalation.
Quelle: RTR, KI-Servicestelle — AI Act: KI-Kompetenz, Abschnitt „KI-Kompetenz auf strategischer Ebene“ · KI-Guidelines für KMU, 3. Auflage April 2026, Seiten 15 und 16
Wann die Rolle kippt: vom Betreiber zum Anbieter.
Die Betreiberrolle ist keine Dauerzusage. Der AI Act sieht Fälle vor, in denen ein Haus, das ein fremdes System einsetzt, wie dessen Hersteller behandelt wird — die KI-Servicestelle spricht vom „Quasi-Hersteller“.
Nach ihrer Darstellung zu Art. 25 Abs. 1 AIA können Einführer, Händler, Betreiber und sonstige Dritte als Anbieter behandelt werden, wenn sie ein bereits in Verkehr gebrachtes oder in Betrieb genommenes Hochrisiko-KI-System mit ihrem Namen oder Unternehmenskennzeichen versehen, an einem solchen System eine wesentliche Änderung vornehmen oder die Zweckbestimmung eines nicht als hochriskant eingestuften Systems so ändern, dass es zu einem Hochrisiko-KI-System im Sinne von Art. 6 AIA wird.
Ein Fall ist gar keine Grauzone. In den FAQ steht: „Ein Unternehmen, das ihr eigenes KI-System entwickelt und selbst in Betrieb nimmt, wird einerseits selbst die Rolle des Anbieters innehaben, als auch die Rolle des Betreibers.“
Ob ein Werkzeug im eigenen Haus unter diese Fälle fällt, bewerte ich nicht; das ist eine rechtliche Einstufung. Die organisatorische Folge lässt sich festhalten: Umbenennen, wesentlich ändern und den Verwendungszweck verschieben sind Handgriffe, die jemand mit Zugang zur Konfiguration nebenbei vornimmt. Zu klären ist, wer sie vornehmen darf und wo sie festgehalten werden.
Quelle: RTR, KI-Servicestelle — Die Akteure im AI Act, Abschnitt „Wer ist Anbieter?“ · RTR, KI-Servicestelle — FAQ
Menschliche Aufsicht ist eine benannte Person, keine gute Absicht.
Die vierte Entscheidungsart bleibt am häufigsten unbesetzt, weil sie nach Haltung klingt. Im Regelwerk ist sie eine Übertragung mit Voraussetzungen.
Die KI-Servicestelle schreibt zu den Betreiberverpflichtungen: „Für die grundsätzliche Implementierung menschlicher Überwachungstools sind die Anbieter zuständig (siehe Art. 16 Buchstabe a iVm Art. 14 AIA), die Betreiber sind in der Folge verpflichtet, natürlichen Personen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen, die menschliche Aufsicht zu übertragen (siehe Art. 26 Abs. 2 AIA). Betreiber sind auch verpflichtet, diesen natürlichen Personen die erforderliche Unterstützung zukommen zu lassen.“
Drei Worte tragen diesen Satz. Kompetenz heißt, dass die Person versteht, wie ein System zu seinen Ergebnissen kommt. Ausbildung heißt, dass diese Kompetenz nicht vorausgesetzt, sondern hergestellt wird. Befugnis heißt, dass die Person ein Ergebnis verwerfen und den Einsatz aussetzen darf, ohne erst eine Genehmigung einzuholen. Fehlt das dritte Wort, ist die Aufsicht eine Beobachtung. Die Verantwortung bleibt die der Organisation; sie wandert nicht auf jene Person, die das Fenster geöffnet hat.
Die KI-Guidelines für KMU setzen an derselben Stelle an. Ihr zweiter Leitsatz auf Seite 16: Der Mensch hat im Einsatz der KI das letzte Wort. KI-basierte Inhalte sollen erst übernommen werden, „wenn diese zuvor von mindestens einer qualifizierten Person auf Richtigkeit, Faktentreue und Kontext überprüft wurden. Bei kritischen Outputs ist das Vier-Augen-Prinzip anzuwenden.“ Für KI-generierte externe Kommunikation verlangt der zehnte Leitsatz auf Seite 27 eine Freigabe durch eine qualifizierte Person vor dem Versand.
Der Anspruch an Kompetenz gilt nicht nur für besondere Systeme: Nach Art. 4 in Verbindung mit Art. 3 Ziffer 56 AIA trifft er Anbieter wie Betreiber bei jeder Art von KI-Systemen. Und er endet nicht an der Belegschaft — auch Dienstleister müssen über KI-Kompetenz verfügen, wenn sie am Einsatz von KI im Unternehmen mitwirken. Wie sich dieser Aufbau nach Ebenen ordnen lässt, zeigen die Lernwege für Belegschaft und Leitung.
Quelle: RTR, KI-Servicestelle — AI Act: Betreiberverpflichtungen · RTR, KI-Servicestelle — AI Act: KI-Kompetenz, Abschnitt „Operative Umsetzung von KI-Kompetenz“ · KI-Guidelines für KMU, Seiten 16 und 27
Wer vor der Entscheidung gehört werden muss.
Eine Entscheidung mit einem Namen ist noch keine gute Entscheidung. Zwei Punkte betreffen den Weg dorthin. Der erste ist eine Empfehlung. Unter den Best Practices für die Vermittlung von KI-Kompetenz nennt die KI-Servicestelle die „[i]nterdisziplinäre Beobachtung durch Vertreter:innen aus Technik, Recht, Compliance, IT-Security, Human Ressources und Betriebsrat – abhängig von der Unternehmensgröße“. Der Zusatz am Ende ist der wichtige: In einem Haus mit zwölf Beschäftigten sind das nicht sechs Personen, sondern zwei bis drei Sichtweisen vor der Freigabe.
Der zweite Punkt ist eine Informationspflicht für einen bestimmten Fall. Die KI-Servicestelle fasst Art. 26 Abs. 7 AIA so zusammen: „Arbeitgeber informieren neben den betroffenen Arbeitnehmer:innen auch die Arbeitnehmervertretung vor Inbetriebnahme oder Verwendung eines Hochrisiko-KI-Systems am Arbeitsplatz über den geplanten Einsatz eines solchen KI-Systems.“ Welche Systeme gemeint sind, umreißt Anhang III Ziffer 4 lit. a und b: Systeme für Einstellung und Auswahl, für die Sichtung von Bewerbungen sowie für Entscheidungen über Bedingungen von Arbeitsverhältnissen, Beförderungen, Kündigungen, Aufgabenzuweisung und Leistungsbeobachtung.
Die KI-Guidelines für KMU raten auf Seite 21, in Betrieben mit Betriebsrat diesen bei mitbestimmungspflichtigen Themen frühzeitig einzubeziehen, insbesondere wenn KI-Systeme Aspekte der Leistungskontrolle berühren. Was im eigenen Haus mitbestimmungspflichtig ist, bewerte ich nicht; das ist eine arbeitsrechtliche Frage.
Nach dem Zeitplan der KI-Servicestelle gelten die Anforderungen an Hochrisiko-KI-Systeme nach Anhang III ab 2. Dezember 2027 und jene nach Anhang I ab 2. August 2028; der Zeitplan wurde nach Angabe der Servicestelle durch den Digital-Omnibus zu KI angepasst und ist vor einer Planung an der Quelle nachzulesen.
Quelle: RTR, KI-Servicestelle — AI Act: Betreiberverpflichtungen · RTR, KI-Servicestelle — AI Act: KI-Kompetenz, Abschnitt „Operative Umsetzung von KI-Kompetenz“ · RTR, Zeitplan & Umsetzung des AI Act · KI-Guidelines für KMU, Seite 21
Ein KI-Beauftragter ist nicht verlangt — Namen trotzdem.
An dieser Stelle kommt zuverlässig die Frage nach einer neuen Funktion im Organigramm. Die KI-Servicestelle schreibt dazu: „Wichtig ist, dass aus Art. 4 AIA – anders als in der DSGVO – nicht die gesetzliche Pflicht resultiert, einen ‚KI-Beauftragten‘ zu benennen.“
Das wird gern als Erlaubnis gelesen, gar nichts zu benennen. Dieselbe Seite formuliert aber eine andere Erwartung: Eine interne KI-Richtlinie „sollte insbesondere die oben genannte Unternehmensstrategie beschreiben, … klare Rollen definieren, innerhalb des Unternehmens klar kommuniziert werden und für Mitarbeiter:innen einfach und selbstständig auffindbar sein.“ Klare Rollen also — nur eben keine vorgeschriebene Funktion mit Titel.
Wie nötig das ist, zeigt eine Feststellung derselben Seite: „Damit ist es möglich, dass KI-Systeme bereits jetzt im Unternehmen eingesetzt werden, das den intern dafür zuständigen Stellen möglicherweise aber noch unbekannt ist.“ Wo niemand benannt ist, meldet auch niemand etwas — nicht aus Heimlichkeit, sondern weil es keine Adresse gibt.
Zur Benennung gehört eine Grenze. Die KI-Servicestelle druckt Art. 4 Abs. 1 AIA in jener Fassung ab, die sie dem Digital-Omnibus zu KI zuschreibt: Anbieter und Betreiber „ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen zu unterstützen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind“ — ausdrücklich ohne die Verpflichtung, „für irgendeine Person ein bestimmtes Niveau an KI-Kompetenz zu garantieren“. Benannt wird also, wer entscheidet und wer unterstützt, nicht wer für ein Ergebnisniveau geradesteht.
Wo mein Beitrag aufhört und die zuständigen Stellen beginnen.
Ein Wort zu den Behörden. Die KI-Servicestelle der RTR beschreibt sich als Ansprechpartner und Informationshub: Ihre Rechtsgrundlage bilden nach eigener Angabe § 20c KOG und § 194a TKG 2021 (BGBl. I Nr. 6/2024). Bei der RTR ist nach § 20c Abs. 6 KOG außerdem ein Beirat für Künstliche Intelligenz eingerichtet — nicht zu verwechseln mit dem Advisory Forum des AI Act.
Eine benannte Marktaufsicht gibt es zum Stand dieser FAQ nicht: Die KI-Servicestelle hält fest, dass es derzeit noch keine nationale Umsetzung der Zuständigkeiten des AI Acts in Österreich gibt, weder für die Marktüberwachungsbehörden noch für die notifizierende Behörde. Das ist eine Momentaufnahme; ich lese die Seite vor jeder Festlegung neu.
Wer im eigenen Haus klären will, welche Rolle der Betrieb nach dem AI Act einnimmt und wer welche Entscheidung tragen darf, wendet sich mit den Fragen zum Regelwerk an die KI-Servicestelle der RTR (ki@rtr.at), mit datenschutzrechtlichen Fragen an die eigene Datenschutzstelle oder die Datenschutzbehörde, mit arbeitsrechtlichen an die zuständige Kammer — und für die verbindliche Beurteilung eines konkreten Einsatzes an eine Rechtsberatung. Dieser Beitrag ersetzt sie nicht.
Was ich beitrage, ist der Teil davor: die vier Entscheidungsarten auseinanderhalten, jede mit einem Namen, einer Vertretung und einer Grenze versehen, und die Menschen so weit befähigen, dass eine übertragene Aufsicht im Alltag auch ausgeübt wird. Das Raster in der Seitenspalte behauptet keine Rechtsfolgen; es ordnet Zuständigkeiten.
Quelle: RTR, KI-Servicestelle · RTR, Behörden & Einrichtungen im AI Act · RTR, KI-Servicestelle — FAQ · RIS, BGBl. I Nr. 6/2024