Die Begriffe hinter KI, Software und digitalem Recht in der EU und in Österreich.

Ein KI-System wird planmäßig an einer festen Sammlung von Fragen oder Dokumenten geprüft, mit vorher vereinbarten Maßstäben wie Richtigkeit, Bezug auf Quellen, Vollständigkeit und einer Absage, wenn keine Antwort bekannt ist. Das geschieht vor dem Start und bei jeder Änderung an Modell, Prompt oder Datenbestand erneut.

Eine Datenplattform, die zwei Welten verbindet: Wie in einem Data Lake liegen die Daten in offenen Datei- und Tabellenformaten auf preiswertem Objektspeicher, und wie in einem Data Warehouse gibt es Transaktionen, Schemas, Rechteverwaltung und SQL. Offene Tabellenformate, etwa Apache Iceberg oder Delta Lake, machen das möglich.

Daten, die man wie ein Produkt pflegt. Es gibt eine namentlich verantwortliche Person, ein beschriebenes Schema, veröffentlichte Kennzahlen zur Qualität, klare Zugriffsregeln und feste Aktualisierungstermine. Andere Teams können die Daten so verwenden, ohne erst nach ihrer Herkunft zu fragen.

Ein neuronales Netz, trainiert an riesigen Textbeständen, um das jeweils folgende Wort zu schätzen. Damit lassen sich Texte in vielen Sprachen verfassen, kürzen, einordnen und auswerten. Ein Nachschlagewerk für Fakten ist es nicht: Fehlt die Verankerung in Ihren Quellen, klingen manche Antworten flüssig und sind trotzdem falsch.

Schutzvorkehrungen, die den Einsatz eines Sprachmodells in abgesteckten Grenzen halten: Filter für Eingaben und Ausgaben, erlaubte Themen, das Schwärzen personenbezogener Angaben, eine Rechteprüfung vor jedem Werkzeugaufruf und Freigaben vor Aktionen mit Folgen.

So nennt man eine KI-Ausgabe, die selbstsicher formuliert ist, aber von keiner Quelle und keinem Fakt gestützt wird. Ganz verschwinden wird das nicht. Seltener wird es, wenn Antworten auf abgerufenen Quellen beruhen, Zitate Pflicht sind, das System „weiß ich nicht“ sagen darf und die Quote bei jeder Bewertung gemessen wird.

Ein Aufbau, bei dem ein Mensch das Ergebnis einer KI prüft, korrigiert oder genehmigt, bevor es wirksam wird. Für Hochrisiko-Systeme verlangt die KI-Verordnung eine wirksame Aufsicht durch Personen, die dafür kompetent und zum Eingreifen befugt sind.

Formulare, Rechnungen, Bestätigungen oder eingescannte Briefe werden gelesen, einem Typ zugeordnet und in strukturierte Daten übertragen. Dafür arbeiten Texterkennung, Layoutanalyse und Sprachmodelle zusammen. Zu jedem erkannten Wert gibt es eine Sicherheit; liegt sie unter dem Schwellenwert, sieht sich ein Mensch den Fall an.

Ein Programm, das ein Sprachmodell nutzt, um Teilschritte zu einem Ziel selbst zu planen und abzuarbeiten: einen Akt nachschlagen, ein Formular ausfüllen, eine Schnittstelle ansprechen. Was der Agent darf, bestimmen die Rechte und Werkzeuge, die er bekommt; jeder Schritt kann protokolliert werden.

Alles, was Systeme mit maschinellem Lernen oder Sprachmodellen im laufenden Betrieb stabil hält: Versionsstände für Modelle, Prompts und Daten, automatische Bewertungen, Auslieferungsstrecken und ein Monitoring von Qualität, Kosten und Antwortzeit.

Hier sucht das System zunächst die passenden Abschnitte in freigegebenen Quellen, etwa in Arbeitsanweisungen, Erlässen oder Akten, und das Sprachmodell formuliert seine Antwort ausschließlich daraus. Dokument und Abschnitt lassen sich so zitieren, und schon bei der Suche gelten die Zugriffsrechte der Person, die fragt.

Gesucht wird nach dem Sinn einer Frage, nicht nach dem exakten Wortlaut. Das System rechnet Texte in Zahlenvektoren (Embeddings) um und liefert Stellen, deren Vektoren der Frage ähneln. Meist läuft daneben eine klassische Stichwortsuche, denn Geschäftszahlen, Namen und Paragrafen brauchen exakte Treffer.

Bei diesem Ansatz steht am Anfang die Schnittstelle: Man beschreibt und vereinbart sie, meist in OpenAPI oder AsyncAPI, bevor jemand Code dafür schreibt. Partner, andere Systeme und Oberflächen greifen danach über dokumentierte und versionierte APIs zu, nicht direkt auf die Datenbank.

Eine Cloud-Umgebung, die schon fertig eingerichtet ist, bevor die erste Anwendung dort läuft: Kontenstruktur oder Subskriptionen, Identitäten, Netze, Richtlinien, Protokolle und die Sicherheitsbasis. Spätere Projekte kommen dadurch schneller voran, und die Kontrollen sind überall gleich.

Eine Gruppe von IEC-Normen (IEC 61970, IEC 61968 und IEC 62325), die Stromnetz, Anlagen und Marktkommunikation in einem einheitlichen Datenmodell abbilden. Netzbetreiber nutzen sie, damit Netzplanung, Betriebsführung und Marktsysteme dasselbe Bild des Netzes verwenden.

Ein digitales Gegenstück zu einer Anlage, einem Ablauf oder einem Netz, das ständig mit Messdaten aus der Wirklichkeit nachgeführt wird. Damit lässt sich der Zustand verfolgen, eine Änderung vorab durchspielen und die Instandhaltung planen. Ohne laufende Daten ist ein 3D-Modell eben nur ein Modell.

Systeme melden Ereignisse an einen Broker, also Tatsachen wie „Ansuchen eingelangt“ oder „Zählerstand geprüft“, und andere Systeme greifen sie auf, wann es für sie passt. Weil die Systeme dadurch lose gekoppelt sind, kann sich eines ändern oder ausfallen, ohne dass die übrigen stehen bleiben.

Offener Standard für den Datenaustausch im Building Information Modeling (BIM), betreut von buildingSMART und genormt als ISO 16739-1. Mit IFC 4.3 kamen Bahn, Straße, Häfen, Wasserstraßen und Brücken dazu, sodass Daten über Anlagen von der Planung über den Bau bis in den Betrieb wandern, ohne dass jemand sie neu eintippt.

Integrationen werden hier auf einer Cloud-Plattform entwickelt und betrieben, die vorgefertigte Konnektoren, Mapping, Ablaufsteuerung und Überwachung gebündelt anbietet. Bekannte Beispiele sind SAP Integration Suite und MuleSoft.

Ein Verzeichnis aller Bestandteile und Abhängigkeiten einer Software in maschinenlesbarer Form, üblicherweise als SPDX oder CycloneDX. Wird eine neue Schwachstelle bekannt, sieht man damit sofort, ob man betroffen ist. Nach dem Cyber Resilience Act müssen Hersteller für ihre Produkte eine solche Liste führen.

Gemeint sind Cloud-Angebote, bei denen Datenstandort, Betrieb und geltende Rechtsordnung in europäischer oder nationaler Hand bleiben. Eine einheitliche Definition fehlt. Manche Staaten haben eigene Programme, Frankreich etwa SecNumCloud, das ausdrücklich Schutz vor dem Zugriff außereuropäischen Rechts verlangt.

Eine Methode, um ein Altsystem nach und nach zu ersetzen. Eine Fassade wird davorgesetzt, dahinter übernehmen neue Dienste Funktion um Funktion, und wenn keine Anfrage mehr beim alten System landet, wird es abgeschaltet. Den einen großen, riskanten Umstiegstag gibt es dabei nicht.

Ein Muster für Fabriken: Ein zentraler Event-Broker kennt den aktuellen Zustand der Produktion, sortiert nach Werk, Halle, Linie und Maschine. Jedes System schreibt dorthin und liest von dort, statt mit jedem anderen eine eigene Verbindung zu pflegen.

Ein Sicherheitsansatz, bei dem der Ort im Netzwerk niemandem Vertrauen verschafft, weder Personen noch Geräten noch Diensten. Jede einzelne Anfrage wird nach Identität, Gerätezustand und Umständen geprüft und freigegeben, und Zugriff gibt es nur im Umfang der jeweiligen Aufgabe.

Das österreichische Gesetz zur Umsetzung des European Accessibility Act, BGBl. I Nr. 76/2023, anzuwenden seit 28. Juni 2025. Die Marktüberwachung liegt beim Sozialministeriumservice. Kleinstunternehmen, die Dienstleistungen erbringen, sind von den Anforderungen an Dienstleistungen ausgenommen.

Die zentrale Beschaffungsstelle des Bundes. Sie schließt Rahmenvereinbarungen ab, aus denen Bundesdienststellen abrufen, und betreibt einen E-Shop, in dem Abrufe mit Kerndaten-Meldungen verbunden sind.

Das österreichische Gesetz für die Vergabe öffentlicher Aufträge, BGBl. I Nr. 65/2018. Das Vergaberechtsgesetz 2026 hat es geändert und die Kerndaten an die eForms der EU angepasst. Für Anbieter bedeutet es Ausschreibungsunterlagen, die Punkt für Punkt zu beantworten sind.

Mit dieser Verordnung legt die EU Mindestanforderungen an die Cybersicherheit von Produkten mit digitalen Elementen fest, egal ob Hardware oder Software. Hersteller kümmern sich über den gesamten Unterstützungszeitraum um Schwachstellen, melden aktiv ausgenutzte ab 11. September 2026 und erfüllen die übrigen Kernpflichten ab 11. Dezember 2027.

Seit 12. September 2025 regelt diese EU-Verordnung, wer auf Daten zugreifen und sie nutzen darf. Wer ein vernetztes Gerät verwendet, bekommt Zugang zu den Daten, die es erzeugt; der Wechsel zwischen Cloud-Diensten wird leichter, und unfaire Vertragsklauseln zur Datenweitergabe sind eingeschränkt.

Seit 25. Mai 2018 regelt diese EU-Verordnung, wie personenbezogene Daten verarbeitet werden dürfen. Sie enthält Grundsätze wie Zweckbindung und Datensparsamkeit, Rechte der Betroffenen und Pflichten für Verantwortliche und Auftragsverarbeiter, etwa eine Folgenabschätzung bei hohem Risiko. In Österreich ergänzt sie das Datenschutzgesetz (DSG); die Aufsicht führt die Datenschutzbehörde (DSB).

Das Digitalisierungsprogramm des Bundes. Zu seinen Schwerpunkten bis 2030 zählen ID Austria, das Once-Only-Prinzip, digitale Kompetenzen, Public AI und die EUDI-Wallet. Das Staatssekretariat für Digitalisierung ist im Bundeskanzleramt angesiedelt.

EU-Verordnung zur digitalen Widerstandsfähigkeit von Banken, Versicherungen und anderen Finanzunternehmen, anzuwenden seit 17. Jänner 2025. Geregelt werden IKT-Risikomanagement, Vorfallsmeldungen, Resilienztests und die Steuerung externer IKT-Dienstleister mit Mindestinhalten für Verträge und einem Informationsregister. Zuständig in Österreich ist die FMA, die mit der OeNB zusammenarbeitet.

Seit 1. Jänner 2014 nehmen Bundesdienststellen von ihren Lieferanten nur strukturierte e-Rechnungen an, eingebracht über das Unternehmensserviceportal (USP) oder über Peppol. Lieferanten ohne Sitz in Österreich sind nur im Rahmen ihrer technischen Möglichkeiten verpflichtet. Länder und Gemeinden können die Infrastruktur nutzen, ihre Lieferanten trifft derzeit aber keine Pflicht.

Eine App auf Grundlage der überarbeiteten eIDAS-Verordnung, in der Menschen Ausweisdaten und Bescheinigungen wie Zeugnisse oder Berechtigungen speichern, gezielt nur das Erforderliche freigeben und elektronisch unterschreiben. Alle Mitgliedstaaten müssen zumindest eine solche Wallet bereitstellen, und zahlreiche Dienste werden sie annehmen müssen. Digital Austria führt sie unter seinen Schwerpunkten.

Diese EU-Richtlinie verpflichtet dazu, bestimmte Produkte und Dienstleistungen für Menschen mit Behinderungen nutzbar zu machen, etwa Onlineshops, Bankgeschäfte für Privatkundschaft, E-Books sowie Websites, Apps und digitale Fahrkarten im Personenverkehr. Seit 28. Juni 2025 wirkt sie über nationale Gesetze; in Österreich ist das das Barrierefreiheitsgesetz (BaFG).

Die digitale Identität in Österreich, mit der sich Bürgerinnen und Bürger bei Online-Diensten ausweisen. Seit August 2026 ist sie mit dem Unternehmensserviceportal verbunden, sodass man sich damit auch im Namen eines Unternehmens anmelden kann.

Normenreihe für die Sicherheit von Automatisierungs- und Steuerungstechnik in der Industrie. Eine Anlage wird in Zonen gegliedert, die über sogenannte Conduits verbunden sind; dazu kommen Sicherheitsstufen und eine klare Aufteilung der Verantwortung zwischen Betreibern, Integratoren und Herstellern.

Diese EU-Verordnung soll öffentliche Dienste über Grenzen hinweg zusammenarbeiten lassen. Behörden bewerten bei neuen oder geänderten transeuropäischen digitalen Diensten, wie sich diese auf die Interoperabilität auswirken, und können passende Lösungen über ein gemeinsames Portal tauschen und nachnutzen.

Internationale Norm für Managementsysteme der Informationssicherheit. Eine zertifizierte Organisation hat ein auditiertes Verfahren, mit dem sie Risiken erkennt, Maßnahmen festlegt und diese laufend nachschärft. FromNine ist nach ISO/IEC 27001 zertifiziert.

Die Metadaten, mit denen öffentliche Auftraggeber in Österreich ihre Bekanntmachungen veröffentlichen, bereitgestellt über das Open-Data-Portal data.gv.at. Eine einzige nationale Ausschreibungsplattform gibt es nicht; wer Ausschreibungen verfolgt, liest die Kerndaten aus.

Die Anlaufstelle bei der Rundfunk und Telekom Regulierungs-GmbH (RTR), die zur KI-Verordnung berät. Eine nationale Marktüberwachungsbehörde für die KI-Verordnung ist in Österreich mit Stand Herbst 2026 noch nicht benannt.

Mit dieser Verordnung regelt die EU künstliche Intelligenz nach Risikostufen. Bestimmte Praktiken sind untersagt, für Hochrisiko-Systeme gelten Vorgaben zu Daten, Dokumentation, Aufsicht durch Menschen und Genauigkeit, andere Systeme müssen transparent machen, dass KI im Spiel ist. Seit 2. Februar 2025 gelten die Verbote, seit 2. August 2026 die Transparenzpflichten; die Hochrisiko-Pflichten nach Anhang III folgen nach der Änderung von 2026 am 2. Dezember 2027.

Das österreichische Gesetz zur Umsetzung der NIS2-Richtlinie, BGBl. I Nr. 94/2025. Es ist seit 1. Oktober 2026 in Kraft und löst das NISG 2018 ab. Zuständige Behörde ist das Bundesamt für Cybersicherheit (BCS), eine dem Bundesminister für Inneres unmittelbar nachgeordnete Behörde, die seit demselben Tag arbeitet.

Richtlinie der EU über Cybersicherheit für wesentliche und wichtige Einrichtungen, etwa aus Energie, Verkehr, Gesundheitswesen, digitaler Infrastruktur und Verwaltung. Gefordert sind Risikomanagement, eine sichere Lieferkette und Meldungen: zuerst eine Frühwarnung innerhalb von 24 Stunden, dann eine Meldung innerhalb von 72 Stunden. Jeder Mitgliedstaat setzt sie mit einem eigenen Gesetz um, Österreich mit dem NISG 2026.

Über dieses System, eingerichtet nach der Verordnung zum einheitlichen digitalen Zugangstor, tauschen Behörden in der EU amtliche Nachweise über Grenzen hinweg aus, sobald eine Person oder ein Unternehmen das ausdrücklich wünscht. Unterlagen, die der Verwaltung schon vorliegen, muss dann niemand mehr selbst vorlegen. Die Pflichten gelten seit 12. Dezember 2023.

Ein grenzüberschreitendes Netz mit technischen Vorgaben, über das Unternehmen strukturierte Dokumente wie Rechnungen und Bestellungen über zertifizierte Zugangspunkte austauschen. In Österreich ist Peppol neben dem Unternehmensserviceportal (USP) einer der zwei Wege, auf denen Lieferanten seit 1. Jänner 2014 e-Rechnungen an Bundesdienststellen einbringen.

Richtlinie der EU, die kritische Einrichtungen in elf Sektoren physisch und organisatorisch widerstandsfähiger machen soll, unter anderem in Energie, Verkehr, Gesundheit, Trinkwasser und digitaler Infrastruktur. Bis 17. Juli 2026 legen die Mitgliedstaaten fest, wer als kritisch gilt; die betroffenen Einrichtungen bewerten dann ihre Risiken und setzen Maßnahmen.

Das Portal der Verwaltung für Unternehmen unter usp.gv.at und zugleich einer der zwei Wege, auf denen e-Rechnungen an Bundesdienststellen eingebracht werden.

Richtlinien des W3C für barrierefreie Webinhalte mit Erfolgskriterien auf den Stufen A, AA und AAA. Ausschreibungen und Gesetze zielen meist auf Stufe AA; gültig ist derzeit WCAG 2.2, und auf diesen Richtlinien beruht auch die europäische Norm EN 301 549.

Das Gesetz, das die Richtlinie (EU) 2016/2102 für Websites und mobile Anwendungen des Bundes umsetzt. Betroffene Stellen müssen eine Erklärung zur Barrierefreiheit veröffentlichen. Die Österreichische Forschungsförderungsgesellschaft (FFG) überwacht die Einhaltung und führt die Beschwerdestelle.