Über ein Drittel der österreichischen Unternehmen setzt bereits KI-Tools ein, viele davon ohne geklärte Datenschutzfrage. Für ein österreichisches Unternehmen ist die entscheidende Frage nicht, ob KI produktiv ist, sondern ob der konkrete Einsatz mit der DSGVO, dem österreichischen Datenschutzgesetz und der neuen KI-Verordnung vereinbar ist. Der Unterschied zwischen einem rechtssicheren und einem riskanten KI-Einsatz liegt selten am Tool selbst, sondern an der Konfiguration, dem Vertrag und dem Datenfluss dahinter.
Dieser Leitfaden ordnet die Rechtslage für den österreichischen Markt ein, benennt die Kriterien, an denen sich Konformität entscheidet, und zeigt, welche Plattformen sich in der Praxis bewährt haben. Wer die Grundlagen sauber legt, kann KI ohne rechtliches Bauchweh nutzen.
1. Was in Österreich rechtlich gilt
Für den KI-Einsatz greifen in Österreich drei Regelwerke ineinander. Sie ergänzen sich, widersprechen sich aber nicht, wer die DSGVO-Grundprinzipien einhält, ist meist auch bei den anderen auf der sicheren Seite.
DSGVO und österreichisches DSG
Die DSGVO gilt EU-weit unmittelbar und bildet den Rahmen: Rechtsgrundlage für jede Verarbeitung, Datensparsamkeit, Transparenz und die Rechte der Betroffenen. Das österreichische Datenschutzgesetz (DSG) ergänzt sie national, etwa bei den Zuständigkeiten der Datenschutzbehörde oder beim Datenschutz im Beschäftigungskontext. Sobald ein KI-Tool personenbezogene Daten verarbeitet, also Namen, E-Mail-Adressen, Kundendaten oder Personalinformationen, sind beide relevant.
Die KI-Verordnung (KI-VO)
Die KI-Verordnung der EU, auch EU AI Act genannt, gilt ebenfalls direkt in Österreich und tritt gestaffelt in Kraft. Sie ordnet Anwendungen nach Risiko. Für die meisten KMU-Anwendungen, Textgenerierung, Analyse, Assistenzsysteme, gilt die niedrige Risikoklasse mit überschaubaren Transparenz- und Dokumentationspflichten. Wichtig: Auch die reine Nutzung von KI ist reguliert, nicht nur deren Entwicklung. Wer heute schon dokumentiert, welche KI-Systeme im Haus mit welchen Daten laufen, ist gut vorbereitet.
Praxis-Tipp: Führen Sie ein einfaches KI-Register: Tool, Zweck, verarbeitete Datenkategorie, Rechtsgrundlage, Serverstandort, AVV vorhanden. Diese eine Tabelle deckt die Dokumentationspflichten aus DSGVO und KI-VO gleichzeitig ab und dauert weniger als einen Vormittag.
2. Die drei Kriterien für DSGVO-Konformität
Ob ein KI-Tool DSGVO-konform einsetzbar ist, entscheidet sich an drei Punkten. Sie sind unabhängig vom Anbieternamen und lassen sich für jedes Tool prüfen.
- Auftragsverarbeitungsvertrag (AVV): Verarbeitet das Tool personenbezogene Daten, brauchen Sie einen unterzeichneten AVV nach Art. 28 DSGVO. Ohne ihn ist die Nutzung angreifbar, egal wie gut die Technik ist.
- EU-Datenresidenz: Ihre Eingaben sollten in der EU verarbeitet und gespeichert werden. Achten Sie auf garantierte EU-Rechenzentren, nicht nur auf vertragliche Transfer-Klauseln. Und prüfen Sie, ob ein US-Mutterkonzern trotz EU-Standort dem US-Zugriffsrecht unterliegt.
- Kein Training auf Ihren Daten: Der Anbieter muss vertraglich ausschließen, dass Ihre Eingaben zum Training seiner Modelle verwendet werden. Bei kostenlosen Consumer-Tarifen ist das meist nicht der Fall, bei Enterprise- und API-Tarifen in der Regel schon.
Wer diese drei Kriterien im Detail vergleichen will, inklusive AVV, EU-Datenresidenz und Audit-Logging pro Plattform, findet die vertiefte Analyse in unserem Artikel zu den DSGVO-konformen KI-Diensten im Vergleich.
3. Geeignete KI-Tools für den österreichischen Markt
Diese Plattformen erfüllen die drei Kriterien und haben sich für Unternehmen im DACH-Raum bewährt. Die Auswahl hängt davon ab, wie sensibel Ihre Daten sind und wie viel eigene Infrastruktur Sie betreiben wollen.
| Plattform | EU-Hosting | AVV | Am besten für |
|---|---|---|---|
| Azure OpenAI (EU-Region) | Ja, EU-Rechenzentren | Ja | OpenAI-Niveau mit EU-Datenresidenz |
| Aleph Alpha | Ja, Deutschland | Ja | Öffentlicher Sektor, stark regulierte Branchen |
| Mistral AI | Ja, EU (Frankreich) | Ja | Europäisches Modell, gutes Preis-Leistungs-Verhältnis |
| Llama / Mistral (self-hosted) | Eigener EU-Server | Entfällt bei Eigenbetrieb | Höchste Sensibilität, volle Kontrolle |
Für besonders sensible Daten, etwa Personalakten oder Mandantendaten, ist ein selbst gehostetes Open-Source-Modell auf einem europäischen Server die sicherste Variante: Die Daten verlassen Ihre Infrastruktur nie. Der Preis dafür ist etwas geringere Modellqualität und eigener IT-Betrieb. Eine breitere Übersicht konkreter Werkzeuge nach Anwendungsfall bietet unser Vergleich der besten KI-Tools für Unternehmen.
Häufiger Irrtum: Viele Unternehmen glauben, ein US-Tool mit „EU-Server" sei automatisch sicher. Solange der Anbieter dem US-Recht unterliegt, kann ein Datenzugriff nicht vollständig ausgeschlossen werden. Für unkritische Inhalte ist das oft vertretbar, für Art.-9-Daten wie Gesundheitsdaten nicht.
4. Förderungen für KI-Projekte in Österreich
Ein Vorteil des österreichischen Marktes: Der Einstieg in KI ist förderbar. Drei Programme sind für KMU besonders relevant, sie decken unterschiedliche Projektphasen ab.
- KMU.DIGITAL: Fördert die Beratung zu Digitalisierung und KI. Ideal, um vor der Tool-Auswahl eine fundierte, geförderte Standortbestimmung zu machen.
- aws (Austria Wirtschaftsservice): Unterstützt Digitalisierungs- und Investitionsvorhaben, etwa die Umsetzung konkreter KI-Anwendungen im Betrieb.
- FFG (Forschungsförderungsgesellschaft): Für innovativere Entwicklungen mit Forschungsanteil, wenn Sie etwas Neues bauen statt Standard einzuführen.
Welches Programm passt, hängt davon ab, ob Sie sich beraten lassen, ein Standardprojekt umsetzen oder etwas Eigenes entwickeln. Da sich Konditionen und Fristen regelmäßig ändern, lohnt vor Projektstart ein kurzer Blick auf die aktuellen Programmbedingungen, oder ein Gespräch mit jemandem, der die Landschaft kennt.
5. In drei Schritten rechtssicher starten
Sie müssen nicht alles auf einmal lösen. Der pragmatische Weg zu DSGVO-konformer KI im österreichischen Unternehmen sieht so aus:
Schritt 1: Bestandsaufnahme
Klären Sie zuerst, wo im Unternehmen bereits KI genutzt wird, oft mehr als gedacht. Halten Sie fest, welche Daten in welche Tools fließen. In den meisten Fällen ist das die überraschendste Erkenntnis und die Grundlage für alles Weitere.
Schritt 2: Plattform wählen und absichern
Ersetzen Sie ungeprüfte Consumer-Tools durch eine der oben genannten Plattformen, schließen Sie den AVV ab und legen Sie eine interne KI-Richtlinie fest: Welche Daten dürfen in welche Tools? Diese Richtlinie ist gleichzeitig ein Baustein Ihrer KI-VO-Dokumentation. Bei der technischen Umsetzung unterstützt eine professionelle KI-Integration.
Schritt 3: Team befähigen
Die beste Plattform nützt nichts, wenn das Team weiter Firmendaten in private Tools tippt. Ein praxisnaher KI-Workshop schafft das Bewusstsein dafür, welche Daten wohin dürfen, und macht aus der Richtlinie gelebte Praxis. Wer KI zusätzlich zur Automatisierung nutzen will, findet Anwendungsfälle in unserem Leitfaden zum Geschäftsprozesse automatisieren.
Fazit
DSGVO-konforme KI ist in Österreich 2026 kein Widerspruch, sondern eine Frage bewusster Entscheidungen: die richtige Plattform mit AVV und EU-Datenresidenz, eine interne Richtlinie und die passende Förderung für den Einstieg. Der erste Schritt ist keine technische, sondern eine organisatorische Entscheidung, zu verstehen, wo bei Ihnen bereits KI genutzt wird. Von dort aus lässt sich Datenschutz sauber aufbauen, statt ihm hinterherzulaufen.