KI-Transparenz & EU AI Act

1. Zweck und Geltungsbereich

Diese Seite beschreibt die allgemeinen Grundsätze von Valuch KI für die Konzeption, Entwicklung, Integration und Begleitung KI-gestützter Systeme. Sie richtet sich an Interessenten, Auftraggeber, Nutzer und sonstige Personen, die mit einem von Valuch KI dargestellten oder umgesetzten KI-System in Berührung kommen können.

Die Informationen sollen nachvollziehbar machen, dass „KI“ kein einheitliches Produkt und kein rechtsfreier Raum ist. Welche Pflichten tatsächlich gelten, hängt unter anderem vom konkreten System, seinem vorgesehenen Zweck, den eingesetzten Modellen, den verarbeiteten Daten, der Branche, den betroffenen Personen, dem Einsatzgebiet und der Rolle jedes Projektbeteiligten ab.

Diese allgemeine Darstellung ersetzt daher weder eine projektspezifische Risikoklassifizierung noch eine Rechts-, Datenschutz-, Arbeitsrechts-, Steuer- oder Fachberatung. Verbindliche Pflichten müssen für jedes reale Projekt anhand der tatsächlichen technischen und organisatorischen Ausgestaltung geprüft und vertraglich zugeordnet werden.

2. Rechtsstand und zeitliche Anwendung

Der „EU AI Act“ ist die Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz. Als EU-Verordnung gilt er unmittelbar; zahlreiche Pflichten werden jedoch stufenweise anwendbar. Zusätzlich sind spätere Änderungen und ergänzende Leitlinien zu berücksichtigen. Diese Seite berücksichtigt den zum 2. August 2026 veröffentlichten Rechtsstand einschließlich der Verordnung (EU) 2026/1744.

Die zeitliche Anwendbarkeit kann von Übergangsvorschriften, dem Datum des Inverkehrbringens, wesentlichen Änderungen und der konkreten Systemkategorie abhängen. Projektentscheidungen werden deshalb nicht allein auf diese Übersicht gestützt, sondern am jeweils aktuellen amtlichen Rechtsstand geprüft.

3. KI-Funktionen auf dieser Website

Auf dieser Website ist derzeit kein aktiver KI-Chatbot, kein Voice Agent und kein System eingebunden, das Besuchereingaben an ein generatives KI-Modell weiterleitet. Die visuelle Darstellung des „Automation Core“ ist eine grafische Animation; sie führt keine inhaltliche Bewertung von Besuchern durch und trifft keine Entscheidungen über sie.

Über das Kontaktformular übermittelte Nachrichten werden technisch per E-Mail weitergeleitet. Auf der Website findet dabei keine automatische inhaltliche KI-Entscheidung statt. Einzelheiten zur Verarbeitung personenbezogener Daten enthält die Datenschutzerklärung.

Bei der Konzeption, Formulierung, Gestaltung oder technischen Entwicklung einzelner Websitebestandteile können KI-gestützte Werkzeuge unterstützend eingesetzt worden sein. Veröffentlichte Inhalte werden nicht allein aufgrund einer Modellausgabe als verbindlich behandelt. Sie werden ausgewählt, bearbeitet oder menschlich freigegeben, ohne dass dadurch jede mögliche Unrichtigkeit ausgeschlossen werden kann.

Wird später eine interaktive KI-Funktion ergänzt, werden vor ihrer Aktivierung die Datenschutzinformationen und diese Seite aktualisiert. Zusätzlich wird der Nutzer direkt zu Beginn der Interaktion in klarer Form darauf hingewiesen, dass er mit einem KI-System kommuniziert.

4. Rollen im Sinne des EU AI Act

Der EU AI Act verteilt Pflichten nach Rollen. Eine Organisation kann je nach Projekt Anbieter, Betreiber, Einführer, Händler, Produkthersteller oder nachgelagerter Anbieter sein. Die alltagssprachlichen Begriffe „Entwickler“, „Kunde“ oder „Dienstleister“ beantworten diese Rollenfrage nicht abschließend.

Anbieter

Eine Stelle, die ein KI-System oder KI-Modell entwickelt oder entwickeln lässt und es unter eigenem Namen oder eigener Marke in Verkehr bringt oder in Betrieb nimmt.

Betreiber

Eine Stelle, die ein KI-System in eigener Verantwortung verwendet, soweit die Nutzung nicht ausschließlich persönlich und nicht beruflich erfolgt.

Nachgelagerter Anbieter

Eine Stelle, die ein KI-Modell oder ein darauf aufbauendes System in eine eigene Lösung integriert und dadurch eigene Pflichten übernehmen kann.

Betroffene Person

Eine Person, über die, gegenüber der oder in deren Lebensbereich ein System eingesetzt wird, etwa Kunde, Beschäftigter, Bewerber oder Anrufer.

Valuch KI kann abhängig vom Auftrag ein System konzipieren, Komponenten integrieren, einen Workflow entwickeln, eine bestehende Lösung konfigurieren oder den Auftraggeber bei dessen Einsatz begleiten. Die konkrete Rollen- und Pflichtenverteilung muss im jeweiligen Projekt bestimmt werden. Eine pauschale Einstufung für sämtliche angebotenen Leistungen wäre unzutreffend.

5. Risikobasierter Ansatz

Der EU AI Act verfolgt einen risikobasierten Ansatz. Nicht jede Automatisierung ist ein KI-System und nicht jedes KI-System ist ein Hochrisiko-System. Grob zu unterscheiden sind verbotene Praktiken, besonders regulierte Hochrisiko-Systeme, Systeme mit besonderen Transparenzpflichten und sonstige Systeme, für die allgemeine Rechtsvorschriften und freiwillige Schutzmaßnahmen maßgeblich bleiben.

Zu Beginn eines Projekts sollen deshalb Zweck, Nutzerkreis, Datenquellen, betroffene Personen, Entscheidungswirkung, menschliche Eingriffsmöglichkeiten, technische Abhängigkeiten und denkbare Fehlfolgen beschrieben werden. Die Bezeichnung eines Projekts als „Assistent“, „Agent“, „Copilot“ oder „Automatisierung“ ändert seine rechtliche Funktion nicht.

Ein Office-Agent, der E-Mails vorsortiert, kann ein anderes Risikoprofil haben als ein System, das Bewerber bewertet, Kreditwürdigkeit beeinflusst, Beschäftigte überwacht oder Zugang zu einer wesentlichen Dienstleistung steuert. Auch innerhalb eines Workflows können einzelne Schritte unterschiedlich zu bewerten sein.

6. Verbotene KI-Praktiken

Bestimmte KI-Praktiken sind aufgrund ihres nicht hinnehmbaren Risikos untersagt. Dazu gehören – jeweils im gesetzlichen Umfang und unter Berücksichtigung enger Ausnahmen – insbesondere bestimmte manipulative oder täuschende Techniken, die Personen erheblich schädigen; bestimmte Formen der Ausnutzung von Schutzbedürftigkeit; unzulässiges Social Scoring; bestimmte Vorhersagen von Straftaten allein anhand von Profiling oder Persönlichkeitsmerkmalen; ungezieltes Auslesen von Gesichtsbilddaten zum Aufbau von Datenbanken; bestimmte Emotionserkennung in Arbeits- und Bildungskontexten; biometrische Kategorisierung nach besonders sensiblen Merkmalen; sowie bestimmte Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen.

Ob eine Praxis tatsächlich unter ein Verbot fällt, erfordert eine Prüfung der gesetzlichen Definitionen, des Zwecks, der verwendeten Daten, des Kontexts und möglicher ausdrücklich geregelter Ausnahmen. Begriffe wie „Emotionserkennung“, „Profiling“ oder „biometrische Identifizierung“ dürfen dabei nicht nur umgangssprachlich verstanden werden.

Valuch KI setzt wissentlich kein Projekt um, das nach der projektspezifischen Prüfung eine verbotene KI-Praxis verwirklichen würde. Bestehen ernsthafte rechtliche Zweifel, muss der Anwendungsfall angepasst, durch eine befugte Rechtsberatung geprüft oder abgelehnt werden. Diese Grundsatzerklärung ist keine Zertifizierung eines noch nicht konkret beschriebenen Systems.

7. Hochrisiko-KI-Systeme

Ein KI-System kann insbesondere dann als hochriskant gelten, wenn es Sicherheitskomponente eines gesetzlich erfassten Produkts ist oder für bestimmte in Anhang III genannte Bereiche eingesetzt wird. Dazu können beispielsweise biometrische Anwendungen, kritische Infrastruktur, Bildung, Beschäftigung und Personalmanagement, Zugang zu wesentlichen privaten oder öffentlichen Diensten, Strafverfolgung, Migration, Justiz oder demokratische Prozesse gehören.

Nicht jede Verwendung in einem solchen Bereich ist automatisch hochriskant. Der vorgesehene Zweck, der Einfluss auf Entscheidungen, gesetzliche Ausnahmen und das konkrete Funktionsniveau sind entscheidend. Umgekehrt lässt sich eine Hochrisiko-Einstufung nicht dadurch vermeiden, dass eine entscheidungsrelevante Funktion nur als „Empfehlung“ bezeichnet wird, obwohl Menschen ihr faktisch regelmäßig ungeprüft folgen.

Bei einem Hochrisiko-System können unter anderem Anforderungen an Risikomanagement, Daten- und Daten-Governance, technische Dokumentation, Aufzeichnungen, Transparenz gegenüber Betreibern, menschliche Aufsicht, Genauigkeit, Robustheit, Cybersicherheit, Qualitätsmanagement, Konformitätsbewertung, Registrierung und Überwachung nach dem Inverkehrbringen relevant werden.

8. Chatbots, KI-Agenten und Voice Agents

Menschen müssen bei bestimmten interaktiven KI-Systemen grundsätzlich darüber informiert werden, dass sie mit einer KI kommunizieren, sofern dies nicht bereits aus Sicht einer angemessen informierten, aufmerksamen und verständigen Person offensichtlich ist. Die Information muss spätestens bei der ersten Interaktion klar, unterscheidbar, barrierefrei und für die konkrete Situation verständlich erfolgen.

Ein Hinweis ausschließlich in dieser langen Rechtstextseite wäre für einen künftigen Chatbot oder Voice Agent nicht ausreichend. Die Kennzeichnung gehört direkt an die Benutzeroberfläche beziehungsweise an den Beginn eines Telefonats. Zusätzlich sollen Zweck, Grenzen, mögliche Aufzeichnung oder Speicherung, verfügbare menschliche Kontaktwege und ein sinnvoller Eskalationsmechanismus erklärt werden.

Die genaue Formulierung muss an Funktion, Zielgruppe, Medium, Sprache, Barrierefreiheit und Datenschutzprozess angepasst werden. In Bereichen mit besonderen Informations-, Aufzeichnungs- oder Einwilligungspflichten können zusätzliche Hinweise erforderlich sein.

9. KI-generierte und manipulierte Inhalte

Anbieter bestimmter generativer KI-Systeme müssen Ausgaben so ausgestalten, dass künstlich erzeugte oder manipulierte Audio-, Bild-, Video- oder Textinhalte in einem maschinenlesbaren Format erkennbar beziehungsweise kennzeichenbar sind, soweit die gesetzlichen Voraussetzungen erfüllt sind. Betreiber können bei Deepfakes und bestimmten Texten von öffentlichem Interesse zusätzliche Offenlegungspflichten treffen.

Eine Kennzeichnung soll für Menschen verständlich sein und darf nicht so versteckt werden, dass sie ihren Zweck verliert. Zugleich sind gesetzliche Ausnahmen zu beachten, etwa für bestimmte redaktionell verantwortete, künstlerische, satirische oder vergleichbare Inhalte. Auch dort dürfen Kennzeichnungen die Nutzung oder Darstellung nicht unangemessen beeinträchtigen.

Für Kundenprojekte werden Kennzeichnungs-, Metadaten- und Veröffentlichungsprozesse anhand der eingesetzten Modelle und des tatsächlichen Verwendungszwecks festgelegt. Eine rein interne Entwurfsunterstützung ist anders zu beurteilen als ein täuschend echt wirkendes Video, das öffentlich eine reale Person Aussagen tätigen lässt, die sie nie gemacht hat.

10. Menschliche Aufsicht und Eskalation

Automatisierung soll Verantwortlichkeit nicht unsichtbar machen. Je höher die mögliche Auswirkung eines Fehlers, desto klarer müssen Freigaben, Kontrollschritte, Stop-Möglichkeiten, Eskalationswege und Zuständigkeiten ausgestaltet sein. Ein Mensch muss über ausreichende Kompetenz, Befugnis und Zeit verfügen, um Ergebnisse kritisch zu beurteilen und gegebenenfalls zu übersteuern.

Bei unkritischen Routinen kann eine nachgelagerte Stichprobenkontrolle angemessen sein. Bei Zahlungen, Vertragsannahmen, Personalentscheidungen, rechtlich relevanten Erklärungen, sensiblen Kundensituationen oder vergleichbar folgenreichen Vorgängen kann eine ausdrückliche menschliche Freigabe vor der Ausführung erforderlich sein.

Besonders zu berücksichtigen sind Automationsbias und Gewöhnungseffekte: Eine formale Freigabetaste genügt nicht, wenn die prüfende Person das Ergebnis tatsächlich nicht nachvollziehen kann oder aufgrund des Arbeitsdrucks jede Empfehlung ungeprüft bestätigt.

11. KI-Kompetenz und Schulungen

Anbieter und Betreiber von KI-Systemen müssen nach Maßgabe des EU AI Act Maßnahmen treffen, um bei ihrem Personal und anderen in ihrem Auftrag handelnden Personen ein ausreichendes Maß an KI-Kompetenz sicherzustellen. Zu berücksichtigen sind technische Kenntnisse, Erfahrung, Ausbildung, der Nutzungskontext und die Personen, gegenüber denen das System eingesetzt wird.

Schulungen sollten nicht auf allgemeine Begeisterung oder einzelne Bedienungsanleitungen beschränkt bleiben. Je nach Einsatz gehören dazu insbesondere Funktionsweise und Grenzen, Datenqualität, Datenschutz, Informationssicherheit, zulässige Eingaben, Erkennung plausibel klingender Fehler, menschliche Aufsicht, Eskalation, Dokumentation und Meldung von Vorfällen.

Valuch KI bietet begleitende Schulungen für Mitarbeitende und Führungskräfte an. Inhalt, Tiefe, Nachweis und Wiederholungsintervall sind projektspezifisch festzulegen. Die Teilnahme an einer Schulung begründet für sich allein keine umfassende Compliance-Zertifizierung.

12. Daten, Datenschutz und Vertraulichkeit

Der EU AI Act ergänzt bestehende Rechtsvorschriften; er ersetzt die DSGVO, das österreichische Datenschutzgesetz, Arbeitsrecht, Urheberrecht, Geheimnisschutz, Wettbewerbsrecht oder branchenspezifische Regeln nicht. Ein KI-System kann nach dem EU AI Act zulässig und datenschutzrechtlich dennoch unzulässig sein – oder umgekehrt zusätzliche KI-rechtliche Anforderungen auslösen.

Vor der Verarbeitung personenbezogener Daten sind insbesondere Zweck, Rechtsgrundlage, Datenminimierung, Rollen, Empfänger, internationale Übermittlungen, Speicherdauer, Betroffenenrechte und Sicherheitsmaßnahmen zu klären. Bei voraussichtlich hohem Datenschutzrisiko kann eine Datenschutz-Folgenabschätzung erforderlich sein. Bei Beschäftigtendaten sind zusätzlich arbeitsrechtliche und betriebsverfassungsrechtliche Vorgaben zu prüfen.

Vertrauliche Unternehmensinformationen, personenbezogene Daten oder besondere Kategorien personenbezogener Daten dürfen nicht ungeprüft in öffentliche oder nicht freigegebene KI-Dienste eingegeben werden. Modelle, Konten, Regionen, Aufbewahrung, Trainingsnutzung, Zugriffsrechte und Auftragsverarbeitungsverträge müssen zum Anwendungsfall passen.

13. Dokumentation und Nachvollziehbarkeit

Ein belastbarer KI-Prozess braucht mehr als eine technische Verbindung zwischen mehreren Diensten. Je nach Risiko und Rolle sollen insbesondere Zweck, Systemgrenzen, Datenquellen, Modell- und Versionsstand, Eingabe- und Ausgaberegeln, Zugriffsrechte, Freigaben, Tests, bekannte Einschränkungen, verantwortliche Personen, Änderungen und Notfallabläufe dokumentiert werden.

Protokolle können helfen, Fehler zu untersuchen, Entscheidungen nachzuvollziehen und Missbrauch zu erkennen. Gleichzeitig dürfen Protokolle nicht unbegrenzt und nicht ohne Zweck personenbezogene oder vertrauliche Inhalte sammeln. Umfang, Zugriff und Aufbewahrung sind nach Risiko, Datenschutz und gesetzlicher Pflicht festzulegen.

Wesentliche Änderungen an Zweck, Daten, Modell, Entscheidungslogik, Schnittstellen oder Einsatzumgebung können eine erneute Risiko-, Datenschutz- und Rollenprüfung erfordern. Ein System, das im Pilotbetrieb mit Beispieldaten geprüft wurde, ist nicht automatisch für einen unbeschränkten Produktivbetrieb geeignet.

14. Sicherheit, Robustheit und Vorfälle

KI-Systeme können neben klassischen IT-Risiken besondere Fehlerbilder aufweisen, etwa erfundene Inhalte, Prompt Injection, unerwünschte Datenoffenlegung, unzuverlässige Werkzeugaufrufe, Modell- oder Datenverschiebungen, manipulierte Eingaben und unvorhersehbare Wechselwirkungen zwischen mehreren Agenten.

Angemessene Schutzmaßnahmen können unter anderem Rollen- und Rechtekonzepte, getrennte Test- und Produktivumgebungen, Freigabegrenzen, Eingabe- und Ausgabevalidierung, sichere Geheimnisverwaltung, Protokollierung, Monitoring, Stichproben, Wiederanlauf- und Abschaltmöglichkeiten sowie regelmäßige Tests umfassen. Welche Maßnahmen erforderlich sind, richtet sich nach dem konkreten Schadenspotenzial.

Fehler, Beinahevorfälle und Sicherheitsereignisse sollen an eine festgelegte Stelle gemeldet, bewertet und dokumentiert werden. Soweit gesetzlich erforderlich, sind Behörden, Anbieter, Auftraggeber oder betroffene Personen innerhalb der jeweiligen Fristen zu informieren.

15. Verantwortung der Auftraggeber und Betreiber

Der Auftraggeber bleibt für die Rechtmäßigkeit seiner Prozesse, Datenquellen, Zwecke, Weisungen und fachlichen Entscheidungen verantwortlich, soweit vertraglich und gesetzlich keine andere Zuordnung besteht. Er muss Valuch KI zutreffend über den vorgesehenen Einsatz, betroffene Personengruppen, vorhandene Systeme, besondere Risiken und branchenspezifische Pflichten informieren.

Zu den typischen Mitwirkungspflichten können gehören: Bereitstellung geeigneter Testdaten; Benennung fachlich verantwortlicher Personen; Prüfung von Ausgaben; Festlegung von Freigabe- und Eskalationswegen; Information eigener Beschäftigter, Kunden oder Gesprächspartner; Einholung erforderlicher Rechte oder Einwilligungen; Abschluss notwendiger Datenschutzverträge; sowie Sicherstellung eines rechtmäßigen Betriebs nach Übergabe.

Ein Auftraggeber darf ein System nicht entgegen dem vereinbarten Zweck in einem sensibleren Bereich verwenden, Schutzvorkehrungen entfernen oder wesentliche Änderungen vornehmen und zugleich davon ausgehen, dass eine frühere Projektbewertung unverändert gilt.

16. Grenzen, Fehler und fachliche Prüfung

KI-Systeme können trotz guter Entwicklung, Tests und Überwachung falsche, unvollständige, veraltete, voreingenommene oder ungeeignete Ergebnisse erzeugen. Sprachmodelle berechnen wahrscheinliche Ausgaben und verfügen nicht automatisch über verlässliche Tatsachenkenntnis, rechtliches Urteilsvermögen oder ein Verständnis der wirtschaftlichen Folgen.

Ausgaben zu Recht, Steuern, Medizin, Finanzen, Buchhaltung, Personal, Sicherheit oder anderen folgenreichen Themen müssen durch entsprechend qualifizierte Personen geprüft werden. Eine UGB-Kontrolle, Rechnungsprüfung oder Buchungsvorbereitung kann einen Fachprozess unterstützen, ersetzt aber nicht automatisch die gesetzlich oder organisatorisch erforderliche Freigabe durch befugte Personen.

Projektziele wie Zeitersparnis, Fehlerreduktion oder höhere Reaktionsgeschwindigkeit sind Zielvorstellungen und keine allgemeine Erfolgsgarantie. Messgrößen, Testfälle, Abnahmekriterien und zulässige Fehlertoleranzen müssen für jedes Projekt konkret vereinbart werden.

17. Fragen, Beschwerden und menschlicher Kontakt

Fragen zu einem von Valuch KI dargestellten oder umgesetzten KI-System können an office@valuch-ki.at gerichtet werden. Bitte beschreiben Sie das betroffene System, den Zeitpunkt, den Vorgang und die gewünschte Klärung möglichst konkret, ohne unnötige sensible Daten zu übermitteln.

Für produktive Kundenlösungen sollen projektspezifische Kontakt- und Eskalationswege festgelegt werden. Nutzer sollen bei relevanten Anliegen eine realistische Möglichkeit erhalten, einen Menschen zu erreichen, eine Ausgabe prüfen zu lassen oder einen Fehler zu melden. Welche Reaktionszeiten gelten, richtet sich nach dem jeweiligen Vertrag und Risikoprofil.

Rechte nach der DSGVO, Beschwerden bei Datenschutz- oder Marktaufsichtsbehörden und sonstige gesetzliche Rechtsbehelfe bleiben unberührt. Hinweise auf mögliche Fehler werden sachlich geprüft; ihre Entgegennahme ist noch kein Anerkenntnis einer Rechtspflicht oder Haftung.

18. Amtliche Quellen und Aktualisierung

Die Darstellung orientiert sich insbesondere an den folgenden amtlichen Quellen. Bei Abweichungen sind die im Amtsblatt veröffentlichten Rechtsakte, ihre geltenden Änderungen und die einschlägige Rechtsprechung maßgeblich:

• Verordnung (EU) 2024/1689 – EU AI Act
• Verordnung (EU) 2026/1744 – Änderung des europäischen KI-Rechts
• Europäische Kommission – Orientierung zum EU AI Act
• Europäische Kommission – FAQ zu den Transparenzpflichten nach Art. 50
• Europäische Kommission – Leitlinien zu Transparenzpflichten

Diese Seite wird überprüft, wenn sich angebotene Funktionen, Projektrollen, maßgebliche Leitlinien oder gesetzliche Vorgaben wesentlich ändern. Sie ist eine allgemeine Transparenzinformation, kein amtliches Prüfsiegel und keine Zusicherung, dass jede denkbare Kundenanwendung ohne weitere Maßnahmen sämtliche gesetzlichen Anforderungen erfüllt.