Dieser Beitrag beruht auf meiner Mitschrift auf Basis einer Präsentation des Bundeskanzleramts (Abteilung Digitale Strategien und Innovationen), die anlässlich der Jahrestagung der öffentlichen Datenschutzbeauftragten am 21.9.2026 in St. Pölten gehalten wurde. Im Folgenden wird deren Inhalt überblicksartig (und naturgemäß unvollständig) wiedergegeben – ohne eigene rechtliche Bewertung des noch nicht finalisierten Entwurfs.
Mit der KI-Verordnung (KI-VO bzw AI Act) entstehen nicht nur unionsweite Pflichten für Anbieter und Betreiber von KI-Systemen – die Verordnung überlässt den Mitgliedstaaten auch zentrale Organisationsentscheidungen:
- Wer beaufsichtigt Hochrisiko-KI aus Anhang I und Anhang III?
- Wer verfolgt verbotene Praktiken nach Art 5?
- Wer ist zentrale Anlaufstelle, wer notifizierende Behörde, wie werden Sanktionen vollzogen?
Unter anderem diese Fragen soll in Österreich hinkünftig das Künstliche Intelligenz Durchführungsgesetz (KIDG) beantworten.
Der gewählte Ansatz: dezentral statt zentral
Österreich setzt bewusst nicht auf eine neue Superbehörde, sondern auf ein arbeitsteiliges Modell: Wo bereits spezialisierte, bewährte Aufsichtsstrukturen bestehen, sollen diese für die KI-VO weitergenutzt werden (zB BEV, BASG/AGES oder das Fernmeldebüro). Für Hochrisiko-KI aus Anhang I soll hierfür auf bestehende Produktsicherheitsgesetze zurückgegriffen werden, je nach Produktkategorie. Für Anhang III sind insbesondere die Datenschutzbehörde (ua für biometrische Identifikation, Strafverfolgung, Migration/Asyl, Rechtspflege) sowie die FMA (Kreditwürdigkeitsprüfung, Versicherungsrisikobewertung) als Vollzugsbehörden vorgesehen. Auch für verbotene Praktiken gem Art 5 KI-VO zeichnet sich die DSB als zuständige Behörde ab.
Was das KIDG regeln soll
Nach dem vorliegenden Entwurfsstand gliedert sich das Gesetz in mehrere Blöcke:
- Notifizierung: notifizierende Behörde (geplant beim BKA iVm Akkreditierung Austria), Notifizierungsverfahren, einheitliches Bewertungsverfahren
- Marktüberwachung: Marktüberwachungsbehörden, Zuständigkeitsabgrenzung, zentrale Anlaufstelle, Berichtspflichten, Behördenkooperation und KI-Beauftragte
- Unterstützende Maßnahmen: Datenbank im Bereich kritische Infrastruktur, Clearingstelle
- Innovationsfördernde Maßnahmen: KI-Servicestelle, KI-Beirat, Testen unter Realbedingungen
- Sanktionsbestimmungen
Ergänzend regelt der Entwurf die Umsetzung von Art 77 KI-VO, also die Befugnisse jener Behörden, die Grundrechtsverstöße im Zusammenhang mit KI-Systemen prüfen – mit einem eigenen Verfahren zwischen Grundrechtsbehörde, Marktüberwachungsbehörde und Anbieter/Betreiber.