AI Act für E-Commerce: Was Online-Händler seit August 2026 beachten müssen

1. Betrifft der AI Act meinen Online-Shop?

Ja, sobald du KI einsetzt – aber in welchem Umfang, hängt davon ab, welche Rolle du hast und welche KI du nutzt. Der EU AI Act (Verordnung (EU) 2024/1689 [1]) unterscheidet nicht nach Branchen, sondern nach Rollen und Risikostufen. Für die meisten Shops ist das Ergebnis überschaubar.

2. Anbieter oder Betreiber: die entscheidende Frage

Fast alle Pflichten im AI Act hängen an der Rolle:

• Anbieter (Art. 3 Nr. 3) ist, wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt – also OpenAI, Midjourney, der Hersteller deines Chatbot-Tools.
• Betreiber (Art. 3 Nr. 4) ist, wer ein KI-System in eigener Verantwortung beruflich verwendet – also du als Händler, wenn du ChatGPT, Midjourney oder ein fertiges Chatbot-Tool nutzt.

Als Händler bist du in aller Regel Betreiber. Anbieter wirst du erst, wenn du ein KI-System selbst entwickelst oder ein fremdes System wesentlich veränderst und unter deinem Namen anbietest [1].

3. Typische KI-Anwendungen im Überblick

4. Shop-Chatbots

Art. 50 Abs. 1 verlangt, dass Menschen erfahren, dass sie mit einem KI-System interagieren – es sei denn, das ist aus dem Kontext offensichtlich [1]. Die Pflicht trifft formal den Anbieter des Chatbots: Er muss das System so bauen, dass der Hinweis erscheint. Nutzt du ein fertiges Tool, prüf trotzdem, ob der Hinweis in deinem Shop wirklich angezeigt wird – sonst stimmt die Konfiguration nicht. Baust du den Chatbot selbst oder verkaufst ein fremdes System unter eigenem Namen, bist du selbst Anbieter. Details im Spezialartikel zur Chatbot-Kennzeichnungspflicht.

Praktisch: eine Begrüßung wie „Ich bin der KI-Assistent von [Shop]“ oder ein KI-Hinweis im Chatfenster. Das Modell (GPT, Claude …) musst du nicht nennen. Laut den Leitlinien der Kommission fallen Produktempfehlungen und Produktvisualisierungen wie virtuelle Anprobe nicht unter Abs. 1 [3].

5. KI-Produktbilder: nur bei Täuschung kennzeichnen

Für Betreiber gilt Art. 50 Abs. 4: Wer einen Deepfake veröffentlicht, muss offenlegen, dass der Inhalt künstlich erzeugt oder verändert wurde [1]. Deepfake (Art. 3 Nr. 60) ist ein KI-Inhalt, der echten Personen, Gegenständen, Orten oder Ereignissen ähnelt und fälschlich echt wirkt. Die Leitlinien der Kommission machen es am Produktbild konkret [3]:

Die Kennzeichnung muss sichtbar und „klar und eindeutig“ sein (Art. 50 Abs. 5), etwa „KI-generierte Darstellung“ am Bild. Die maschinenlesbare Markierung (Wasserzeichen, Metadaten) ist dagegen Pflicht der Tool-Anbieter nach Art. 50 Abs. 2 – nicht deine. Laut Kommission darfst du dich für deine sichtbare Kennzeichnung aber nicht auf deren Markierung verlassen [4]. Mehr Beispiele im Artikel zur Kennzeichnung von KI-Produktbildern.

6. KI-Produkttexte: keine Kennzeichnungspflicht

Art. 50 Abs. 4 Unterabs. 2 erfasst nur KI-Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren – also eher Nachrichten als Shop-Inhalte [1]. Die Leitlinien nennen Werbung und Produktbeschreibungen ausdrücklich als nicht erfasst – mit einer Einschränkung: Texte mit Aussagen etwa zu Gesundheit, Verbrauchersicherheit oder Nachhaltigkeit können darunter fallen [3].

7. KI-Kompetenz der Mitarbeiter (Art. 4)

Die Pflicht, die viele Händler übersehen: Seit dem 2. Februar 2025 müssen auch Betreiber Maßnahmen zur KI-Kompetenz ihres Personals treffen (Art. 4) [1]. Die Digital-Omnibus-Verordnung (EU) 2026/1744 hat die Pflicht seit dem 27. Juli 2026 abgeschwächt: Gefordert sind Maßnahmen, die die Entwicklung der KI-Kompetenz unterstützen; ein bestimmtes Niveau muss nicht garantiert werden [2]. Art. 4 steht nicht im EU-Bußgeldkatalog. Praktisch: kurze Einweisung für alle, die im Shop mit KI arbeiten (Kundenservice, Marketing), und eine dokumentierte Regel, wofür KI genutzt werden darf.

8. Hochrisiko-KI: Bonitätsprüfung und BNPL

Als hochriskant gelten nach Anhang III Nr. 5 Buchst. b KI-Systeme zur Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen – ausgenommen Systeme zur Aufdeckung von Finanzbetrug [1]. Im E-Commerce betrifft das Kauf auf Rechnung, Ratenkauf und Buy-now-pay-later.

Bindest du einen Anbieter wie Klarna, PayPal oder Riverty ein, trifft die Bonitätsentscheidung dessen System in dessen Verantwortung. Damit liegen die Hochrisiko-Pflichten nach der Logik der Verordnung beim Kreditgeber, nicht bei dir. Ausdrücklich geregelt ist dieser Fall nicht – wer selbst automatisiert über Kauf auf Rechnung entscheidet, sollte das prüfen lassen. Die Hochrisiko-Pflichten nach Anhang III gelten erst ab dem 2. Dezember 2027 [2].

9. Empfehlungen und Preise: anderes Recht

Produktempfehlungen und dynamische Preise lösen im AI Act keine Pflichten aus – für KI ohne hohes Risiko und außerhalb von Art. 50 kennt die Verordnung nur die KI-Kompetenz und freiwillige Verhaltenskodizes [1]. Relevant ist anderes Recht:

• Digital Services Act, Art. 27: Offenlegung der Hauptparameter von Empfehlungssystemen – aber nur für Online-Plattformen (z. B. Marktplätze mit Drittanbietern), und Klein- und Kleinstunternehmen sind ausgenommen (Art. 19). Ein Shop, der nur eigene Ware verkauft, ist keine Plattform [5].
• Personalisierte Preise: Wird ein Preis auf Grundlage automatisierter Entscheidungen personalisiert, musst du darauf hinweisen (Art. 6 Abs. 1 Buchst. ea RL 2011/83/EU). Für reine dynamische Preise ohne Personalisierung gilt das nicht [6].
• 30-Tage-Tiefstpreis: gilt bei der Bekanntgabe einer Preisermäßigung, nicht wegen dynamischer Preise an sich [6].

10. Checkliste für Online-Shops

11. Fristen und Zeitplan

Der AI Act gilt stufenweise. Die Digital-Omnibus-Verordnung (EU) 2026/1744 (Amtsblatt vom 24.07.2026, in Kraft seit 27.07.2026) hat einige Termine verschoben [2]:

Zur Umsetzung hat die Kommission am 10.06.2026 einen freiwilligen Verhaltenskodex zur Markierung und Kennzeichnung KI-generierter Inhalte veröffentlicht (Abschnitt 2 richtet sich an Betreiber) und am 20.07.2026 Leitlinien zu Art. 50 [3][4][7].

12. Bußgelder

Verstöße gegen Art. 50 können mit bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist (Art. 99 Abs. 4). Für KMU gilt der jeweils niedrigere Betrag (Abs. 6), seit dem Omnibus auch für kleine Midcaps (Abs. 6a) [1][2]. Die konkreten Sanktionsregeln legen die Mitgliedstaaten fest.

Fazit

Für Shops, die fertige KI-Tools nutzen, ist der AI Act kleiner als sein Ruf: KI-Kompetenz fördern, täuschende Produktbilder kennzeichnen, den Chatbot-Hinweis prüfen. Vieles, was oft als AI-Act-Pflicht verkauft wird – Kennzeichnung jedes KI-Texts, C2PA-Metadaten durch den Händler, Dokumentation von Empfehlungsalgorithmen –, steht so nicht in der Verordnung. Einen breiteren Überblick gibt die AI-Act-Checkliste für KMU.

Änderungen: 04.10.2026 – Artikel gegen Verordnungstext, Digital-Omnibus (EU) 2026/1744 und Kommissions-Leitlinien C(2026) 5054 geprüft und korrigiert. Frühere Fassung nannte fälschlich eine Kennzeichnungspflicht für alle KI-Produkttexte, eine maschinenlesbare Markierungspflicht (C2PA) für Händler sowie AI-Act-Pflichten für Produktempfehlungen und dynamische Preise. Ergänzt: Rollen Anbieter/Betreiber, KI-Kompetenz (Art. 4), Deepfake-Abgrenzung bei Produktbildern.

Über den Autor

Olaf Mergili

Varel. Kein Programmierer, keine Agentur, kein Auftrag dahinter. Was hier steht, stammt aus eigener Praxis — nicht aus Fachliteratur übernommen. LinkedIn