Datenrecht.at

Dieser Beitrag beruht auf meiner Mitschrift auf Basis einer Präsentation des Bundeskanzleramts (Abteilung Digitale Strategien und Innovationen), die anlässlich der Jahrestagung der öffentlichen Datenschutzbeauftragten am 21.9.2026 in St. Pölten gehalten wurde. Im Folgenden wird deren Inhalt überblicksartig (und naturgemäß unvollständig) wiedergegeben – ohne eigene rechtliche Bewertung des noch nicht finalisierten Entwurfs.

Mit der KI-Verordnung (KI-VO bzw AI Act) entstehen nicht nur unionsweite Pflichten für Anbieter und Betreiber von KI-Systemen – die Verordnung überlässt den Mitgliedstaaten auch zentrale Organisationsentscheidungen:

• Wer beaufsichtigt Hochrisiko-KI aus Anhang I und Anhang III?
• Wer verfolgt verbotene Praktiken nach Art 5?
• Wer ist zentrale Anlaufstelle, wer notifizierende Behörde, wie werden Sanktionen vollzogen?

Unter anderem diese Fragen soll in Österreich hinkünftig das Künstliche Intelligenz Durchführungsgesetz (KIDG) beantworten.

Der gewählte Ansatz: dezentral statt zentral

Österreich setzt bewusst nicht auf eine neue Superbehörde, sondern auf ein arbeitsteiliges Modell: Wo bereits spezialisierte, bewährte Aufsichtsstrukturen bestehen, sollen diese für die KI-VO weitergenutzt werden (zB BEV, BASG/AGES oder das Fernmeldebüro). Für Hochrisiko-KI aus Anhang I soll hierfür auf bestehende Produktsicherheitsgesetze zurückgegriffen werden, je nach Produktkategorie. Für Anhang III sind insbesondere die Datenschutzbehörde (ua für biometrische Identifikation, Strafverfolgung, Migration/Asyl, Rechtspflege) sowie die FMA (Kreditwürdigkeitsprüfung, Versicherungsrisikobewertung) als Vollzugsbehörden vorgesehen. Auch für verbotene Praktiken gem Art 5 KI-VO zeichnet sich die DSB als zuständige Behörde ab.

Was das KIDG regeln soll

Nach dem vorliegenden Entwurfsstand gliedert sich das Gesetz in mehrere Blöcke:

• Notifizierung: notifizierende Behörde (geplant beim BKA iVm Akkreditierung Austria), Notifizierungsverfahren, einheitliches Bewertungsverfahren
• Marktüberwachung: Marktüberwachungsbehörden, Zuständigkeitsabgrenzung, zentrale Anlaufstelle, Berichtspflichten, Behördenkooperation und KI-Beauftragte
• Unterstützende Maßnahmen: Datenbank im Bereich kritische Infrastruktur, Clearingstelle
• Innovationsfördernde Maßnahmen: KI-Servicestelle, KI-Beirat, Testen unter Realbedingungen
• Sanktionsbestimmungen

Ergänzend regelt der Entwurf die Umsetzung von Art 77 KI-VO, also die Befugnisse jener Behörden, die Grundrechtsverstöße im Zusammenhang mit KI-Systemen prüfen – mit einem eigenen Verfahren zwischen Grundrechtsbehörde, Marktüberwachungsbehörde und Anbieter/Betreiber.

Mit den zwei ausgewiesenen Experten Michael Löffler und David M. Schneeberger habe ich für das kommende Jahrbuch Datenschutzrecht 2026 (herausgegeben von Bergauer/Gosch im Verlag Österreich) einen ausführlichen Beitrag mit dem Titel “Ausgewählte (datenschutz-)rechtliche Anforderungen an den Einsatz von RAG-Systemen in der öffentlichen Verwaltung (Public AI)” verfasst.
Aus dem Abstract: “Generative KI-Systeme halten zunehmend Einzug in die öffentliche Verwaltung. Um Sprachmodelle mit Fachwissen auszustatten, kommt dabei häufig die Retrieval-Augmented-Generation-Methode (RAG) zum Einsatz. Dieser Beitrag beleuchtet ausgewählte rechtliche Anforderungen an den Einsatz solcher RAG-Systeme durch öffentliche Stellen, mit Schwerpunktsetzung auf das Datenschutzrecht und die KI-VO, ergänzt um Fragen der Informationssicherheit und des Verwaltungsverfahrensrechts.”

And an unedited English translation by Claude:
Together with the two renowned experts Michael Löffler and David M. Schneeberger, I have authored an extensive contribution for the forthcoming Data Protection Law Yearbook 2026 (edited by Bergauer/Gosch, Verlag Österreich) with the title “Selected (Data Protection) Legal Requirements for the Use of RAG Systems in Public Administration (Public AI)”.
From the Abstract: “Generative AI systems are increasingly being deployed in public administration. To equip language models with domain-specific knowledge, the Retrieval-Augmented-Generation (RAG) method is frequently employed. This contribution examines selected legal requirements for the use of such RAG systems by public authorities, with a focus on data protection law and the AI Act, complemented by considerations regarding information security and administrative procedure law.”