EU AI Act für E-Commerce-Teams: Was 2026 wirklich Pflicht ist

Der EU AI Act ist seit August 2024 in Kraft, seine Pflichten greifen stufenweise, die ersten seit Februar 2025. Trotzdem behandelt der E-Commerce-Mittelstand in DACH ihn, als wäre er ein Problem für später. Dabei sind die ersten Pflichten seit über einem Jahr scharf, und die meisten Mittelständler erfüllen sie nicht.

Hier geht es darum, was 2026 für deine E-Commerce-Operations konkret gilt und was nicht. Außerdem zeige ich, wie du AI-Literacy-Pflicht und Use-Case-Klassifizierung pragmatisch umsetzt und welche vier Fehler in der Praxis am häufigsten passieren.

TL;DR

• Seit Februar 2025 gilt die AI-Literacy-Pflicht (Artikel 4). Mitarbeiter mit Zugang zu KI-Tools brauchen ein nachweisbares Grundverständnis, auch bei externen Tools wie ChatGPT oder Claude.
• Für die meisten E-Commerce-Use-Cases gilt „minimal“ oder „limited risk“. Schwere Auflagen gibt es da keine, wohl aber Transparenz- und Dokumentationspflichten.
• Ein internes AI-Use-Register ist 2026 noch nicht für alle Pflicht. Bei Audits oder Fragen der Versicherung wird es aber erwartet.
• Compliance-Theater bringt nichts. Wer die Schulung sauber aufsetzt und ein Use-Register pflegt, hat die zwei Pflicht-Aufgaben erledigt.
• Die meisten Fehler entstehen, weil Mittelständler den AI Act juristisch statt operativ angehen. Genau falsch herum.

Was der EU AI Act überhaupt regelt

Der EU AI Act ist die erste umfassende KI-Regulierung weltweit. Er teilt KI-Systeme in Risikostufen ein und legt für jede Stufe fest, was erlaubt ist, was dokumentiert werden muss und was ganz verboten ist.

Es gibt vier Stufen:

• Verbotene KI-Systeme, etwa Social Scoring, manipulative KI oder biometrische Massenüberwachung. Für E-Commerce praktisch irrelevant.
• Hochrisiko-KI: Systeme in kritischen Bereichen wie Personalauswahl, Kreditscoring oder Strafverfolgung. Im klassischen E-Commerce-Betrieb sind sie normalerweise nicht im Einsatz. Bei automatisiertem Recruiting oder einer Bonitätsprüfung von Kunden wird das Thema aber schnell relevant.
• Begrenztes Risiko (Limited Risk): KI mit direkter Nutzer-Interaktion, etwa Chatbots oder generierte Inhalte. Hier greifen Transparenzpflichten.
• Minimales Risiko (Minimal Risk): der Großteil aller operativen KI-Anwendungen im E-Commerce. Spezifische Auflagen gibt es keine, AI-Literacy gilt aber trotzdem.

Nimm ein durchschnittliches E-Commerce-DTC mit Marktplatz-Anbindung, AI-gestützter Bild- und Übersetzungs-Pipeline und LLM-basiertem Reporting. Da liegen 95 Prozent der Use-Cases in den unteren beiden Kategorien. Das ist erst mal gut. AI-Literacy gilt allerdings für alle.

AI Literacy: die wichtigste Pflicht, die alle ignorieren

Artikel 4 des EU AI Act ist seit dem 2. Februar 2025 scharf. Jeder Mitarbeiter, der ein KI-System einsetzt oder dessen Ergebnisse interpretiert, braucht ein angemessenes Verständnis der Technologie. Was „angemessen“ heißt, ist bewusst nicht starr definiert. Der Gesetzgeber will Augenmaß, je nach Rolle und Use-Case.

Im E-Commerce-Mittelstand sieht das so aus: Wer im Marketing mit ChatGPT arbeitet, braucht Grundlagen zu Halluzinations-Risiken, Datenschutz und Prompt-Hygiene. Operations-Leute, die mit AI-Bildgenerierung arbeiten, müssen Lizenzrechte, Trainingsdaten-Themen und Stilqualität verstehen. Ein Customer Service, der mit KI-gestützten Antwortvorschlägen arbeitet, braucht Wissen über Bias-Risiken und die Eskalationslogik. Und Geschäftsführer und Tech-Verantwortliche brauchen den Überblick über alle KI-Use-Cases im Haus und darüber, wie sie regulatorisch eingestuft sind.

Mit klassischen einmaligen AI-Schulungen für E-Commerce-Teams erfüllst du die Pflicht nicht. Eine Schulung „irgendwann mal“ ist weder nachweisbar noch aufgabenspezifisch noch aktuell. Implizit verlangt der AI Act alle drei Eigenschaften.

Use-Case-Klassifizierung: pragmatisches Vorgehen

Bevor du irgendetwas dokumentierst oder Compliance-Schritte aufsetzt, brauchst du eine Übersicht. Welche KI-Systeme sind bei dir im Einsatz, und in welche Risikostufe gehören sie?

Für typische E-Commerce-Use-Cases sieht eine vereinfachte Einordnung so aus:

Use-Case	Risiko-Stufe	Pflichten
AI-Bildgenerierung für Produktfotos	Minimal	AI-Literacy
LLM-gestützte Übersetzung für Listings	Minimal	AI-Literacy
Automatisches Pricing mit Regelwerk	Minimal	AI-Literacy
Customer-Service-Chatbot mit Endkunden-Kontakt	Limited	AI-Literacy + Transparenz-Hinweis
AI-generierte Produkttexte für Marktplätze	Minimal-Limited	AI-Literacy, Marktplatz-AGB beachten
AI in Personal-Recruiting (z. B. CV-Screening)	Hoch	Hochrisiko-Vorgaben (umfangreich)
AI-Bonitätsprüfung für Endkunden	Hoch	Hochrisiko-Vorgaben (umfangreich)
AI-Sentiment-Analyse interner Daten	Minimal	AI-Literacy
Reporting-Automation mit LLM-Kommentaren	Minimal	AI-Literacy

Die meisten E-Commerce-Operations bewegen sich in den oberen zwei Kategorien der Tabelle, also Minimal und Limited. Sobald du in den Hochrisiko-Bereich kommst, vor allem bei Personal oder Finanzen, werden die Anforderungen substanziell. Dann brauchst du eine eigene juristische Begleitung. Für die operativen 95 Prozent reichen drei Bausteine.

Drei Bausteine, die deine Compliance praktisch tragen

Komplizierte Compliance-Architekturen kannst du vergessen. Im E-Commerce-Mittelstand brauchst du 2026 überraschend wenig. Das Wenige musst du aber konsequent durchziehen.

Baustein 1: Dokumentierte AI-Literacy-Schulung

Alle Mitarbeiter mit Zugang zu KI-Tools bekommen eine Grundschulung. Sie muss abdecken, was KI ist und wie sie funktioniert, dazu Halluzinations-Risiken, Datenschutz-Grundlagen, Prompt-Hygiene und eine Vertiefung je nach Rolle. Die Schulung muss nachweisbar sein, also mit Teilnehmerliste und Datum. Und sie muss sich wiederholen, mindestens einmal im Jahr.

Das ist kein Projekt für Wochen. Für die Grundlagen-Stufe erfüllt eine gut strukturierte 90-Minuten-Online-Schulung die Pflicht. Wenn du es ernster meinst, nimmst du die Adoption-Stufen-Logik aus dem Schulungs-Artikel dazu und unterscheidest nach Skeptiker, Anwender und Power-User.

Baustein 2: Internes AI-Use-Register

Das Register ist eine Liste aller KI-Systeme, die im Unternehmen laufen, egal ob selbst entwickelt oder extern bezogen. Jeder Eintrag enthält:

• Tool-Name und Anbieter
• Anwendungsbereich (z. B. „Übersetzung Marktplatz-Listings“, „Bildgenerierung Marketing“)
• Datenflüsse: welche Daten gehen rein, was kommt raus
• Interner Owner (eine Person, keine Abteilung)
• Risiko-Klassifizierung
• Datum des letzten Reviews

Dafür reicht ein einziges Dokument oder eine einfache Datenbank. Software musst du nicht kaufen. Für einen 5–50-Mio-Mittelständler sind sechs bis zehn Einträge typisch. 2026 ist das Register noch nicht für alle Pflicht. Bei Audits oder Fragen der Versicherung wird es aber schnell als Mindeststandard erwartet.

Baustein 3: Transparenz-Hinweise bei Endkunden-Interaktion

Sobald KI direkt mit Endkunden interagiert, musst du das kenntlich machen. Das betrifft etwa Chatbots, automatisierte E-Mail-Antworten oder AI-generierte Produktempfehlungen mit Personalisierungs-Logik. Meistens reicht ein knapper Hinweis im Footer des Chats oder am Anfang der E-Mail. Eine juristische Großbaustelle ist das nicht.

Die meisten operativen AI-Use-Cases aus KI im Möbelhandel jenseits des Hypes, also Bildgenerierung, Übersetzung, Pricing und Reporting, betrifft diese Pflicht nicht, weil es keinen direkten Kontakt zu Endkunden gibt. Bei Customer-Service-Anwendungen sieht das anders aus.

Vier Fehler, die Mittelständler beim AI Act machen

In operativen Mandaten der letzten zwölf Monate sind vier Muster besonders oft aufgetaucht.

Der erste Fehler ist, den AI Act ausschließlich juristisch anzugehen. Wer ihn in die Rechtsabteilung oder zum Anwalt schiebt, bekommt einen 40-Seiten-Compliance-Plan zurück, den operativ niemand umsetzt. Der AI Act ist ein operatives Thema mit juristischem Rahmen, und nicht umgekehrt. Fang also damit an, deine Use-Cases zu erfassen, und leite erst dann die Pflichten ab.

Der zweite: AI-Literacy mit einem einmaligen Webinar abhaken. Ein 60-Minuten-Webinar im Februar 2025, danach kommt nichts mehr. Im Oktober arbeitet die Belegschaft längst mit anderen Tools, zu denen es nie eine Schulung gab. Die Pflicht gilt dauerhaft, ein einzelner Stichtag reicht nicht.

Der dritte: kein Owner pro AI-System. „Wir nutzen alle ChatGPT“ ist kein Owner-Modell. Wenn niemand für ein Tool verantwortlich ist, fehlt bei einem Audit die Person, die Auskunft geben kann. Und im Tagesgeschäft fehlt jemand, der bei Problemen den Hut aufhat.

Der vierte: Hochrisiko-Anwendungen unterschätzen. „Wir nutzen halt ein Tool für unsere Bewerber-Vorauswahl“, und schon bist du im Hochrisiko-Bereich mit substanziellen Pflichten (Folgenabschätzung, Dokumentation, menschliche Aufsicht, Bias-Monitoring). Recruiting-AI und Bonitätsprüfung sind im E-Commerce die zwei häufigsten Stolpersteine.

Was du in den nächsten 60 Tagen tun solltest

Wenn du als Geschäftsführer eines E-Commerce-Mittelständlers den AI Act noch nicht systematisch angegangen bist, ist das ein realistischer Ablauf für die nächsten 60 Tage:

• Tag 1–14: AI-Use-Inventar erstellen. Welche KI-Tools sind wirklich im Einsatz, intern und über externe Anbieter? Welche Daten fließen wohin? Wer ist verantwortlich? Das ist eher eine Inventur deiner Operations als eine Compliance-Aufgabe.
• Tag 15–30: Klassifizierung und Lückenanalyse. Welcher Use-Case hat welche Risikostufe? Welche Pflichten greifen? Wo gibt es Lücken, etwa fehlende Owner, fehlende Schulung oder fehlende Transparenz-Hinweise?
• Tag 31–45: AI-Literacy-Format aufsetzen. Eine Grundschulung für alle Mitarbeiter mit Zugang zu KI-Tools, strukturiert, nachweisbar und jedes Jahr wiederholt.
• Tag 46–60: Use-Register live nehmen und Owner zuweisen. Das Register wird gepflegt und nicht im Schrank abgelegt. Dazu kommt als feste Routine ein Review mit den Ownern einmal im Quartal.

Wenn du das durchziehst, hast du nach zwei Monaten deine Hausaufgaben sauber gemacht und einen klaren Überblick. Und im Audit kannst du echte Substanz zeigen statt PowerPoint-Folien.

Was 2026 wirklich zu tun ist

Für den E-Commerce-Mittelstand ist der EU AI Act 2026 keine juristische Großbaustelle. Er ist operative Pflicht-Hygiene mit drei Bausteinen: AI-Literacy-Schulung, AI-Use-Register und Transparenz-Hinweise, wenn KI mit Endkunden interagiert. Wenn du diese drei sauber aufsetzt, hast du die realen Pflichten erfüllt.

Die Branche hängt weniger an der Komplexität des Gesetzes fest als an der Herangehensweise. Viele Mittelständler laden den AI Act als Compliance-Aufgabe ab, statt ihn in den Operations anzugehen. Richtig wäre es andersherum: Erst kommen die Operations, und die Compliance dokumentiert dann das Ergebnis.

Wenn du den AI Act für dein E-Commerce-Team systematisch aufsetzen willst: In einer Beratung zur KI-Implementierung und AI-Act-Compliance weißt du meist schon nach 15 Minuten Discovery-Call, welcher Hebel als Nächstes dran ist.