KI-Verordnung: Aufsicht für Hochrisiko-KI fehlt

Am 27. Juli 2026 ist ein neues EU-Gesetz in Kraft getreten. Es schiebt die strengsten Regeln für Hochrisiko-KI nach hinten, also für Programme, die zum Beispiel über Jobs, Schulnoten oder Kredite mitentscheiden. Aber wer schaut bei uns in Österreich nach, ob so ein Programm die Regeln überhaupt einhält? Ich habe nachgesehen, und die Antwort hat mich selbst überrascht: Eine klar zuständige Kontrollstelle für Hochrisiko-KI habe ich nicht gefunden.

Die KI-Servicestelle bei der RTR ist die offizielle erste Anlaufstelle für den AI Act in Österreich. Auf ihrer eigenen Seite beschreibt sie sich selbst als "Ansprechpartner und Informationshub". Sie hilft beim Wissensaufbau, sie betreut einen Beirat, sie informiert. Eine Behörde, die Firmen prüfen und Strafen verhängen kann, ist sie nicht. Das steht dort schwarz auf weiß, nachgelesen habe ich es selbst.

16 Monate mehr Zeit, aber wofür eigentlich

Das steht in der Digital-Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744. Sie ändert über 40 Artikel der ursprünglichen KI-Verordnung. Verschoben werden nur die Pflichten aus Kapitel III: Risikomanagement, Datenqualität, technische Dokumentation, menschliche Aufsicht, Protokollierung. Genau diese Punkte sollten verhindern, dass ein Bewerbungssystem ungeprüft läuft. Bis Dezember 2027 muss so ein System also gar nichts davon erfüllen. Dabei laufen solche Systeme längst.

Nicht jede Änderung schwächt Regeln ab. Ab 2. Dezember 2026 verbietet die Verordnung EU-weit sogenannte Nudify-Apps, also KI-Programme, die aus einem echten Foto ein nicht einvernehmliches intimes Bild derselben Person machen. Verboten wird auch KI, die Missbrauchsdarstellungen von Kindern erzeugt oder verändert.

Für mich gehört das zum Schlimmsten, was es überhaupt gibt. So etwas sollte sofort verboten sein. Und zwar mit den härtesten Strafen, die das Recht hergibt. Warum sich die EU damit bis Dezember 2026 Zeit lässt, ist mir schleierhaft.

Die Kritik von AlgorithmWatch und EDRi

Das EU-Parlament hatte dem Paket am 17. Juni 2026 zugestimmt. Trotzdem habe ich mir die Kritik angesehen, die European Digital Rights, ARTICLE19, Access Now, AlgorithmWatch und Amnesty International gemeinsam veröffentlicht haben. Ihr Kernpunkt: Ein Verbot, das gute Schlagzeilen bringt, lenkt davon ab, dass dieselbe Einigung Schutzmaßnahmen verzögert und Transparenzpflichten abschwächt. Anbieter müssen im öffentlichen KI-Register der EU künftig weniger Angaben machen als geplant. KI-Systeme in Maschinen wandern zudem aus dem Hochrisiko-Teil der Verordnung in die branchenspezifische Maschinenverordnung. Dabei beeinflussen solche Systeme Arbeitstempo, Überwachung und Aufgabenverteilung von Beschäftigten.

Zurück zu meiner Ausgangsfrage. Für einzelne Bereiche gibt es in Österreich zwar Fachbehörden, etwa die Datenschutzbehörde für Hochrisiko-KI bei Polizei, Grenzkontrolle oder Justiz. Eine zentrale, klar benannte Aufsichtsstelle für Hochrisiko-KI insgesamt habe ich auf keiner offiziellen Seite gefunden. Falls du eine kennst, schreib mir, ich ergänze die Meldung gerne.

Eine Verwechslung will ich noch aufklären: Die Kennzeichnungspflicht für Chatbots, KI-Bilder und Deepfakes nach Artikel 50 ist von der Verschiebung nicht betroffen. Sie gilt weiterhin ab 2. August 2026, mit vier Monaten Übergangsfrist für Systeme, die schon vorher am Markt waren. Mehr dazu: Was die Kennzeichnungspflicht für Chatbots bedeutet. Wer beide Fristen durcheinanderbringt, meldet sich bei der falschen Pflicht.

Falls du selbst ein Bewerbungssystem, eine Lernsoftware oder ein Diagnosewerkzeug mit KI einsetzt: Bis Dezember 2027 greift dafür keine der neuen Kontrollpflichten. Und die Menschen, die von solchen Systemen bewertet werden, haben bis dahin keinen zusätzlichen Anspruch darauf.