Ab August 2025 treten in der EU verbindliche Regeln für den Einsatz von Künstlicher Intelligenz in Kraft, die auch den Online-Handel unmittelbar betreffen. Wichtig ist: Sie sind nicht nur betroffen, wenn Sie eigene KI-Modelle entwickeln. Auch die Nutzung von KI-gestützten Tools und Diensten – etwa Chatbots im Kundenservice, automatische Übersetzungen, personalisierte Produktempfehlungen oder dynamische Preisgestaltung – fällt in den Anwendungsbereich. Für viele dieser Anwendungen gelten Transparenzpflichten (Kennzeichnung und Information), ergänzende Governance-Anforderungen sowie ein erhöhter Nachweis- und Dokumentationsaufwand.
Der Gesetzgeber verfolgt dabei drei Ziele: Transparenz gegenüber Verbraucherinnen und Verbrauchern, Reduzierung von Risiken (z. B. Irreführung, Diskriminierung, Sicherheitsrisiken) und klare Verantwortlichkeiten entlang der Wertschöpfungskette – vom Technologieanbieter bis zum handelnden Unternehmen, das KI in seinen Prozessen einsetzt.
Wer ist betroffen: Anbieter, Nutzer und die gesamte Lieferkette
Im Online-Handel sind in der Regel “Nutzer” (Deployers) von KI-Systemen betroffen, also Unternehmen, die KI-Lösungen einsetzen – sei es als SaaS, als integrierte Funktion in E‑Commerce- oder CRM-Systemen oder als eigenentwickelte Komponente. Daneben können Sie auch “Anbieter” (Provider) sein, wenn Sie KI-Funktionen selbst bereitstellen, etwa in einer hauseigenen App für Endkundinnen und -kunden.
- Typische Anwendungsfälle mit Pflichten: Chatbots, generative Content-Tools (Texte, Bilder, Übersetzungen), Empfehlungssysteme, dynamische Preisentscheidungen, Betrugserkennung, A/B‑Testing mit KI, personalisierte Onsite-Suchen.
- Potenziell “hochriskante” Kontexte: Kreditwürdigkeitsprüfung (z. B. BNPL), biometrische Verfahren (z. B. Altersverifikation mit Gesichtserkennung) oder KI in HR-Prozessen (z. B. Bewerbungsmanagement). Für diese Fälle gelten strengere Anforderungen an Risiko- und Qualitätsmanagement, Human Oversight, Datenqualität, Protokollierung und Konformitätsnachweise.
Für die Mehrzahl der Handelsanwendungen dürften “begrenzte Risiken” relevant sein. Dort stehen vor allem Transparenz, Informationspflichten und angemessene Schutzmaßnahmen im Vordergrund.
Transparenz- und Informationspflichten im Shop und Service
Transparenz ist das zentrale Stichwort der neuen Anforderungen. Für den Online-Handel sind insbesondere folgende Punkte relevant:
- Kennzeichnung von KI-Interaktionen: Wenn Kundinnen und Kunden mit einem Chatbot interagieren, müssen sie klar erkennen können, dass es sich um eine KI-gestützte Kommunikation handelt – außer es ist ohnehin offensichtlich. Sinnvoll ist ein deutliches Label (“KI-Chatbot”) sowie ein Hinweis auf die Grenzen des Systems.
- Option zur Eskalation: Bei komplexen oder sensiblen Anliegen sollte ein klarer Weg zu einem menschlichen Servicekanal angeboten werden. Das erhöht nicht nur die Compliance, sondern auch die Kundenzufriedenheit.
- Deepfake-/Content-Hinweise: Werden KI-generierte Bilder, Videos oder Audioinhalte verwendet, die wie echte Aufnahmen wirken könnten, ist eine Kennzeichnung erforderlich, damit keine Irreführung stattfindet. Das gilt insbesondere für Werbemittel, Produktfotos und Testimonials.
- Personalisierte Preise: Wenn Preise individuell oder segmentbasiert automatisiert personalisiert werden, müssen Sie darüber informieren. Diese Transparenzpflichten bestehen neben verbraucherrechtlichen Vorgaben bereits heute und gewinnen mit der KI-Verordnung an praktischer Relevanz. Kommunizieren Sie klar, auf welcher Grundlage personalisiert wird (z. B. Nutzungsverhalten, Standortkategorie, Segment).
- Empfehlungen und Ranking: Wenn Ranking, Empfehlungen oder Suchergebnisse maßgeblich KI-basiert personalisiert werden, sollten Nutzerinnen und Nutzer darüber informiert werden – idealerweise mit einem kurzen, verständlichen Hinweis und einem Link zu Detailinformationen.
Praxis-Tipp: Platzieren Sie gut sichtbare, kurze Hinweise direkt dort, wo die Interaktion stattfindet (z. B. am Chat-Widget, neben dem Preis), und verlinken Sie auf eine ausführliche Erläuterung in Ihrer KI-Transparenzseite bzw. im Privacy- und AI-Policy-Bereich.
Datenschutz, automatisierte Entscheidungen und Einwilligungen
Die EU-KI-Verordnung wirkt im Zusammenspiel mit bestehenden Gesetzen wie der DSGVO. Für den Online-Handel ergeben sich daraus folgende Schwerpunkte:
- Rechtsgrundlage und Einwilligung: Personalisierte Empfehlungen und Preise basieren häufig auf Tracking- und Profiling-Daten. Prüfen Sie, ob Sie eine gültige Einwilligung benötigen (z. B. bei Marketing-Cookies) und ob die Zweckbindung klar kommuniziert ist.
- Automatisierte Entscheidungen: Wenn eine Entscheidung ausschließlich automatisiert erfolgt und rechtliche oder ähnlich erhebliche Auswirkungen hat (z. B. Ablehnung eines BNPL-Kredits), müssen Betroffene informiert werden und haben ggf. Anspruch auf menschliches Eingreifen, eine Erläuterung der Entscheidung und Anfechtung.
- Datenminimierung und Zweckbindung: Sammeln Sie nur die Daten, die tatsächlich für den konkreten KI-Anwendungsfall erforderlich sind. Dokumentieren Sie die Zwecke nachvollziehbar.
- Transparenz und Betroffenenrechte: Sorgen Sie dafür, dass Auskunfts- und Löschanfragen auch KI-bezogene Daten und Protokolle einschließen. Halten Sie dafür klare Prozesse und Zuständigkeiten vor.
- Sicherheit und Zugriff: KI-Modelle und ‑Pipelines sollten so abgesichert sein, dass Trainingsdaten, Prompt-Historien und generierte Inhalte nicht unkontrolliert abfließen (z. B. durch Rollenkonzepte, Verschlüsselung, getrennte Umgebungen).
Fazit: Ohne DSGVO-Konformität ist KI-Compliance im Handel nicht erreichbar. Stimmen Sie Cookie- und Consent-Management, Profiling-Logik sowie die KI-Funktionen eng aufeinander ab.
Urheberrecht und inhaltliche Verantwortung für KI-generierte Assets
Setzen Sie generative KI für Produkttexte, Bilder, Übersetzungen oder Kampagnen ein, tragen Sie die Verantwortung für die veröffentlichten Inhalte:
- Urheberrecht: Klären Sie, ob der von Ihnen genutzte Dienst Trainingsdaten transparent ausweist und Rechteinhaber-Opt-outs respektiert. Vermeiden Sie das Reproduzieren geschützter Marken, Designs oder Fotos. Führen Sie bei bildgenerierten Assets Rights- und Similarity-Checks durch.
- Kennzeichnung von KI-Inhalten: Wenn KI-generierte Inhalte realistisch wirken und zur Irreführung geeignet sind (z. B. “echte” Produktfotos), kennzeichnen Sie diese. Ein kurzer Hinweis in der Bildunterschrift kann genügen.
- Qualitäts- und Faktenprüfung: Vermeiden Sie falsche Produktangaben, überzogene Versprechen und irreführende Vergleiche. Richten Sie Review-Workflows mit menschlicher Freigabe ein, bevor Inhalte live gehen.
- Marken- und Tonalitätskontrolle: Halten Sie Styleguides für KI-Generierung vor, damit Übersetzungen und Texte konsistent bleiben und keine diskriminierenden oder unangemessenen Aussagen enthalten.
Durch konsequentes Content-Governance vermeiden Sie Haftungsrisiken und stärken Vertrauen.
Technische und organisatorische Maßnahmen: Von Risikobewertung bis Logging
Auch bei “begrenzten Risiken” erwarten die Aufsichtsbehörden nachvollziehbare Prozesse:
- Use-Case-Inventur: Erfassen Sie alle KI-Anwendungen in Shop, App, CRM, Marketing, Pricing und Logistik. Ordnen Sie sie nach Risiko (hoch/normal/begrenzt) und Geschäftsrelevanz.
- Risikobewertung: Analysieren Sie potenzielle Auswirkungen auf Kundinnen und Kunden (z. B. Benachteiligung bei Preisen, irreführende Empfehlungen, Sicherheitsrisiken) und legen Sie Schutzmaßnahmen fest.
- Human Oversight: Definieren Sie, wann menschliche Freigabe und Eskalation notwendig sind (z. B. bei Preissprüngen über Schwellenwerten, sensiblen Beschwerden, Kreditentscheidungen).
- Daten- und Modellqualität: Legen Sie Kriterien für Trainings- und Testdaten fest (Repräsentativität, Bias-Prüfung), testen Sie regelmäßig Output-Qualität und dokumentieren Sie Ergebnisse.
- Protokollierung: Aktivieren Sie Logging für relevante KI-Entscheidungen und -Interaktionen, inklusive Versionierung von Modellen und Prompt-Änderungen. Das unterstützt Nachweis- und Audit-Anforderungen.
- Robustheit und Sicherheit: Schützen Sie KI-Schnittstellen vor Prompt Injection, Datenabfluss und Missbrauch. Führen Sie Red-Teaming bzw. adversarische Tests für kritische Funktionen durch.
- Governance-Rahmen: Etablieren Sie eine KI-Policy, Rollen und Verantwortlichkeiten (z. B. Product Owner, Legal, Data Protection, Engineering) und schulen Sie Teams regelmäßig.
Als Referenzrahmen kann ein KI-Managementsystem nach ISO/IEC 42001 dienen. Es hilft, Prozesse, Risiken und Kontrollen strukturiert abzubilden und kontinuierlich zu verbessern.
Drittanbieter, Verträge und Lieferkette
Viele Händler integrieren KI-Funktionen über externe Anbieter. Damit verlagert sich Verantwortung nicht einfach – sie wird geteilt und muss vertraglich abgesichert werden:
- Vertragsklauseln: Fordern Sie vom Anbieter Zusicherungen zur Einhaltung der EU-KI-Verordnung, zur Datenherkunft, zu Transparenzmaßnahmen, zu Qualitätsstandards und zu Sicherheitskontrollen.
- Dokumentation: Verlangen Sie technische Dokumentationen, Modellkarten, Evaluationsberichte, Informationen zu Trainingsdaten (soweit verfügbar) und Update-Notizen.
- Audit- und Informationsrechte: Sichern Sie sich Prüf- und Informationsrechte, insbesondere bei wesentlichen Änderungen am Modell oder bei Sicherheitsvorfällen.
- Haftung und Support: Regeln Sie Verantwortlichkeiten bei fehlerhaften Outputs (z. B. irreführende Übersetzungen) und definieren Sie Reaktionszeiten für Incident-Management.
- Exit-Strategie: Stellen Sie sicher, dass Sie Dienste wechseln können, ohne Compliance oder Geschäftsbetrieb zu gefährden. Datenportabilität und saubere Offboarding-Prozesse sind zentral.
Ein strukturiertes Third-Party-Management verhindert Lücken in Ihrer Compliance-Kette.
Dynamische Preise und Personalisierung: Fairness, Tests, Kontrolle
Dynamische und personalisierte Preise sind sensible Anwendungsfälle:
- Transparenz und Kontrolle: Kommunizieren Sie, wenn Preise personalisiert sind, und bieten Sie dem Kunden einfache Informationen zu Kriterien und Opt-out-Möglichkeiten, soweit technisch und rechtlich möglich.
- Fairness-Checks: Testen Sie, ob Algorithmen indirekt diskriminierende Effekte erzeugen (z. B. durch Proxy-Variablen). Entfernen oder neutralisieren Sie solche Effekte.
- Schwellenwerte und Leitplanken: Legen Sie Grenzen für Preisspannen, Änderungsfrequenzen und Ausnahmen fest (z. B. Essentials). Hinterlegen Sie Alarmierungen bei ungewöhnlichen Mustern.
- A/B-Testing mit Schutzgeländern: Stellen Sie sicher, dass Experimente keine irreführenden oder unangemessenen Nachteile für Teilgruppen erzeugen. Dokumentieren Sie Hypothesen, Metriken und Abbruchkriterien.
- Erklärbarkeit: Halten Sie nachvollziehbare Kriterien bereit, um Preisentscheidungen intern zu erläutern und extern in verständlicher Form zu erklären.
So verbinden Sie kommerzielle Ziele mit Rechtskonformität und Kundenvertrauen.
Roadmap zur Vorbereitung: In fünf Schritten zur Compliance
1) Bestandsaufnahme und Klassifizierung
- Liste aller KI-Anwendungen erstellen, inklusive Zweck, Datenquellen, Anbieter, betroffene Kundengruppen.
- Risikoklasse und Transparenzpflichten je Use Case bestimmen.
2) Lückenanalyse und Maßnahmenplan
- Abgleich mit Anforderungen (Transparenz, DSGVO, Urheberrecht, Governance, Sicherheit).
- Priorisierter Maßnahmenplan mit Verantwortlichkeiten, KPIs und Zeitplan bis August 2025.
3) Umsetzung von Policies, Prozessen und Technik
- KI-Policy, Transparenzseite, Kennzeichnung in Frontends.
- Consent- und Datenmanagement schärfen; Logging, Monitoring, Human Oversight einführen.
- Content-Governance und Review-Workflows etablieren; Wasserzeichen-/Kennzeichnungskonzepte für Medien.
4) Lieferketten- und Vertragsmanagement
- Vertrags-Addenda mit KI-Anbietern verhandeln (Compliance, Audit, Haftung).
- Dokumentationen einsammeln und zentral verfügbar machen.
5) Schulung, Test und kontinuierliche Verbesserung
- Zielgruppenspezifische Trainings (Produkt, Service, Legal, Data).
- Red-Teaming/QA für kritische KI-Funktionen; regelmäßige Audits nach ISO/IEC 42001-Prinzipien.
- Incident- und Change-Management mit klaren Eskalationswegen aufsetzen.
Mit dieser Roadmap stellen Sie sicher, dass Transparenz- und Informationspflichten rechtzeitig umgesetzt sind und die operativen Risiken im Griff bleiben.
Fazit: Compliance als Wettbewerbsvorteil im E‑Commerce
Die EU-KI-Verordnung bringt ab August 2025 klare Spielregeln für KI im Online-Handel. Im Fokus stehen Transparenz bei KI-Interaktionen, saubere Informationspflichten bei personalisierten Preisen, DSGVO-konforme Datenverarbeitung, urheberrechtlich geprüfte Inhalte und solide Governance. Wer frühzeitig Inventur, Lückenanalyse und Prozessanpassungen startet, reduziert Risiken, vermeidet Bußgelder und stärkt das Vertrauen der Kundschaft.
Wenn Sie Ihre KI-Strategie, Compliance und operative Umsetzung ganzheitlich aufsetzen möchten, unterstützen wir Sie mit maßgeschneiderten Roadmaps, Governance-Frameworks (inkl. ISO/IEC 42001), Vertrags- und Lieferkettenmanagement sowie praxisnahen Trainings für Ihre Teams – damit KI im Handel messbare Ergebnisse liefert und zugleich rechtskonform bleibt.
