Ihre Support-Mitarbeiter wissen vermutlich nicht, dass der Chatbot auf Ihrer Shop-Seite sie über Nacht zur 'Betreiberin' im Sinne der KI-Verordnung gemacht hat, ganz ohne eigene KI-Kompetenz und ohne dass im Haus jemand eine einzige Zeile Code für den Bot geschrieben hat. Dieses Wissen entscheidet in der E-Commerce-Compliance oft mehr über Ihr Haftungsrisiko als jede Zeile im Vertrag mit dem Software-Anbieter.
Die kurze Antwort: in den allermeisten Fällen ja. Genau darüber führe ich einen guten Teil meiner Erstgespräche zur KI Act Schulung für Onlinehändler, meistens nachdem ein Datenschutzbeauftragter oder ein aufmerksamer IT-Leiter das Thema überhaupt erst auf den Tisch gebracht hat. Mitarbeiterschulung zur KI-Kompetenz wirkt in vielen Shops wie ein Thema für später, weil Marketing, Pricing und Kundenservice mit Tools arbeiten, die niemand im eigenen Haus programmiert hat. Kaum ein Bereich im modernen E-Commerce kommt heute noch ohne solche Systeme aus.
Haftet wirklich nur der Tool-Anbieter für den eingekauften Chatbot?
Nein — und dieses Missverständnis kostet mich in Erstgesprächen regelmäßig die meiste Zeit. Sobald Sie ein KI-System in eigener Verantwortung nutzen, sind Sie im Sinne der KI-Verordnung der 'Betreiber' (Deployer), unabhängig davon, wer es entwickelt hat; die genaue Abgrenzung zwischen Anbieter- und Betreiberrolle ist ein eigenes Thema, das hier zu weit führen würde. Bei einem Spaziergang durch den Grüneburgpark erzählte mir kürzlich eine Shop-Betreiberin aus dem Modehandel, ihr Support-Team nutze seit Monaten einen Chatbot, den ein externer Dienstleister eingerichtet habe, doch niemand im Haus konnte erklären, wie das System zu seinen Antworten kommt. Genau diese Lücke soll Art. 4 KI-VO schließen: Wer ein System bedient, muss so viel verstehen, dass er ungewöhnliche Antworten erkennt und einordnen kann, auch ohne den Code je gesehen zu haben.
Welche KI im Checkout tatsächlich als Hochrisiko zählt
Im Checkout selbst tummeln sich mehr Hochrisiko-Kandidaten, als die meisten Geschäftsführer vermuten. Ratenkauf-Scoring, das die Kreditwürdigkeit eines Kunden in Echtzeit bewertet, oder personalisierte Versicherungstarife, die direkt an der Kasse eingeblendet werden, fallen in Bereiche, die Anhang III der KI-VO als Hochrisiko benennt; die genauen Abgrenzungskriterien dieser Liste sind ein eigenes Kapitel, das ich an dieser Stelle nicht aufrolle. Wo genau die Grenze zwischen 'Hochrisiko' und 'nur beobachtungswürdig' verläuft, sorgt im Übrigen selbst unter Beratern noch für unterschiedliche Einschätzungen; eine einheitliche Linie gibt es dazu in der Fachwelt bislang nicht. Für die Praxis reicht oft schon eine Frage: Entscheidet das System hier über etwas, das für den Kunden finanziell oder rechtlich spürbare Folgen hat? Sobald die Antwort ja lautet, brauchen die Mitarbeitenden, die das System auswählen oder betreuen, mehr als eine Bedienungsanleitung — sie müssen wissen, wonach sie fragen sollten, bevor ein Tool live geht.
Chatbots und automatisch generierte Produkttexte: Was Kunden wissen müssen
Die Transparenzpflicht der KI-Verordnung reicht im Onlinehandel bis in den direkten Kundenkontakt hinein: Support-Bots und automatisiert erstellte Produktbeschreibungen müssen gegenüber Verbrauchern als solche erkennbar sein. In der Praxis ist das für mich weniger eine Frage der Paragrafen als eine des gesunden Menschenverstands — bei jedem neuen Tool frage ich zuerst, ob ein Kunde beim Lesen den Eindruck bekommen könnte, mit einem Menschen zu sprechen oder einen von einem Menschen verfassten Text vor sich zu haben. Wenn ja, gehört ein Hinweis dazu, und zwar an einer Stelle, die man auch findet, ohne danach zu suchen. Ein Marketing-Team, das automatisiert generierte Produktbeschreibungen ungekennzeichnet in den Shop stellt, spart sich zwar den Kennzeichnungssatz, handelt sich damit aber ein Risiko ein, das in keinem Verhältnis zum Aufwand einer sauberen Lösung steht.
Warum Mitarbeiterschulung auch für Marketing und Pricing gilt, nicht nur für die IT
Wenn ich in Workshops frage, wer im Unternehmen mit KI arbeitet, zeigen zuerst die IT-Kollegen auf. Dabei sitzt das eigentliche Risiko oft im Marketing, das Kundensegmente über ein Machine-Learning-Modell bildet, oder im Pricing-Team, das Preise dynamisch an Nachfrage und Kundenverhalten anpasst. Beide Gruppen müssen verstehen, an welchen Datenpunkten problematische Muster entstehen können — nicht auf Code-Ebene, sondern so, dass im Alltag eine berechtigte Rückfrage kommt, bevor ein Modell live geschaltet wird. Was das Ganze pro Kopf kostet, hängt stark davon ab, ob Sie ein Modul für alle Abteilungen buchen oder rollenspezifische Vertiefungen — dazu gibt es einen eigenen Kostenvergleich, den ich an dieser Stelle nicht wiederhole. Für Kundenservice-Teams kommt die Kennzeichnungspflicht der Chatbots aus dem vorigen Abschnitt noch obendrauf.
Eine Unternehmensberatung, die an Ihrer Zielgruppe vorbeischulte
Nicht jede Schulung, die ich empfehlen könnte, hat bei meinen Mandanten tatsächlich funktioniert. Für ein Unternehmen aus dem Modehandel hatte ich einmal Webinare einer überregionalen Unternehmensberatung vorgeschlagen, die auf dem Papier solide aussahen. In der Praxis waren die Inhalte komplett auf DAX-Konzerne zugeschnitten, etwa Beispiele aus Konzern-Compliance-Abteilungen, Prozesse, die eine eigene Rechtsabteilung voraussetzen, nichts davon ließ sich auf ein Team mit überschaubarer Größe übertragen. Die Teilnehmenden saßen die Webinare ab, ohne einen einzigen Anwendungsfall aus dem eigenen Shop wiederzuerkennen. Seitdem prüfe ich bei jedem Anbieter zuerst, ob überhaupt Branchenbeispiele aus dem Mittelstand vorkommen, bevor ich über Format oder Umfang spreche; wie Sie diese Qualität jenseits von Hochglanz-Videos selbst erkennen, habe ich an anderer Stelle ausführlich beschrieben: Qualität guter KI Act Schulungen jenseits von Hochglanz-Videos erkennen. Ob am Ende ein E-Learning-Modul oder ein Workshop mit echten Checkout-Fallbeispielen die bessere Wahl ist, bleibt eine reine Formatfrage, die von der Lerngewohnheit Ihres Teams abhängt.
Fristen, Haftung und die Sache mit dem Betriebsrat
Die Fristen der KI-Verordnung sind gestaffelt, und für einzelne verbotene Praktiken laufen sie deutlich früher ab als für den Rest des Regelwerks; die genaue Staffelung habe ich in einem separaten Beitrag zum Zeitplan aufgeschlüsselt. Wichtiger als das exakte Datum ist für Geschäftsführer ohnehin die Haftungsfrage: Verantwortlich ist am Ende die Geschäftsführung, nicht die IT-Abteilung, die ein Tool technisch eingerichtet hat. Hat Ihr Unternehmen einen Betriebsrat, gehört der übrigens früh an den Tisch, sobald Schulungsinhalte oder Monitoring-Aspekte der KI-Nutzung festgelegt werden, nicht erst, wenn die Unterlagen schon fertig sind. Verkaufen Sie zusätzlich über einen Marktplatz mit eigenen Händlern, lässt sich die Pflicht auch nicht einfach vertraglich an die Plattform durchreichen — wer ein KI-System im eigenen Namen gegenüber Käufern einsetzt, bleibt in der Verantwortung, selbst wenn ein Marktplatzvertrag etwas anderes suggeriert. Bei jeder Artikelnummer, die ich in solchen Gesprächen in ein Anmerkungsfeld tippe, klickt die Tastatur inzwischen fast im Takt mit — ein Nebeneffekt zu vieler Verordnungs-Workshops.
Was mir dabei als Fortschritt auffällt, ist simpler, als es klingt: Wenn eine Teilnehmerin heute nach der Dokumentationspflicht aus Art. 16 KI-VO fragt statt nach der Definition eines KI-Systems, weiß ich, dass die Grundlagen sitzen und wir zur eigentlichen Arbeit übergehen können. Ich lese die Verordnung dafür grundsätzlich im englischen Original, weil einzelne Formulierungen in der deutschen Fassung Nuancen verlieren, die im Streitfall durchaus relevant werden könnten. An der einen oder anderen Stelle überschneidet sich das mit datenschutzrechtlichen Pflichten, etwa wenn ein System Kaufhistorien personenbezogen auswertet — das ist aber ein eigenes Fass, das an dieser Stelle nicht aufgemacht werden soll. Ob Sie das Ganze mit einem intern geschulten Multiplikator stemmen oder einen externen Berater dazu holen, hängt am Ende vor allem davon ab, wie viele Abteilungen tatsächlich mit KI-Systemen arbeiten; einen ausführlichen Vergleich dazu finden Sie hier: Vergleich zwischen KI-Schulungen für interne Multiplikatoren und externen Kursen.
Was eine E-Commerce-Schulung am Ende leisten muss
Ein Freund von mir bouldert regelmäßig im Kletterzentrum Frankfurt-West, und wenn ich ihm von einem neuen Mandat erzähle, fragt er meistens nur eines: Versteht der Kunde das Prinzip am Ende selbst, oder bezahlt er nur dafür, dass sich jemand anderes die Sorgen macht? Genau daran messe ich jede Schulung, die ich für E-Commerce-Teams konzipiere. Ein Zertifikat am Ende eines Webinars beweist wenig, wenn die Mitarbeiterin im Kundenservice kurz danach trotzdem nicht erkennt, dass ein neues Empfehlungs-Feature möglicherweise unter Anhang III fällt. Der Maßstab für eine gute KI Act Schulung im Onlinehandel ist deshalb nicht die Zahl der absolvierten Module, sondern eine ganz konkrete Fähigkeit: dass jemand im Team bei einem neuen Tool von selbst die richtige Frage stellt, bevor es scharf geschaltet wird. Fristen, Formulare und Dokumentationsvorlagen lassen sich nachschlagen. Dieses Gespür nicht.
Vieles davon lässt sich mit klarer Struktur und gesundem Menschenverstand lösen, aber nicht alles. An der Grenze zwischen KI-Kompetenz-Schulung und rechtlicher Einzelfallprüfung sollte am Ende immer eine Fachanwältin oder ein Fachanwalt für IT-Recht mitlesen, gerade wenn es um Hochrisiko-Einstufungen im eigenen Sortiment geht. Was hier beschrieben ist, stammt aus meiner Beratungspraxis und ersetzt keine Rechtsberatung im eigentlichen Sinn.