EU AI Act: Was die KI-Verordnung für Websites und Online-Shops bedeutet

Seit dem 2. August 2026 gelten die Transparenzpflichten der europäischen KI-Verordnung, des EU AI Act. Wer auf seiner Website einen KI-Chatbot einsetzt, Bilder mit KI erzeugt oder Texte automatisch schreiben lässt, sollte jetzt prüfen, ob alles richtig gekennzeichnet ist. Gleichzeitig hat die EU im Sommer 2026 mit dem sogenannten Digital Omnibus einige Fristen verschoben. Hier lesen Sie, was heute gilt, was später kommt und was Sie als Website- oder Shop-Betreiber konkret tun sollten.

Der Stand im Oktober 2026

Die KI-Verordnung (Verordnung (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft und wird schrittweise anwendbar. Mit der Verordnung (EU) 2026/1744, dem „Digital Omnibus zur KI“, hat die EU die Fristen für Hochrisiko-KI verschoben. Diese Änderung gilt seit dem 27. Juli 2026. In Deutschland ist seit dem 29. Juli 2026 das KI-Marktüberwachungsgesetz (KI-MIG) in Kraft: Die Bundesnetzagentur ist damit zentrale Aufsichtsbehörde, Anlauf- und Beschwerdestelle.

Seit / ab	Was gilt
2. Februar 2025	Verbotene KI-Praktiken, zum Beispiel manipulative Techniken und Social Scoring, sowie die Pflicht zur KI-Kompetenz im Team
2. August 2025	Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck, etwa großen Sprachmodellen
2. August 2026	Transparenzpflichten: Hinweis bei Chatbots, Kennzeichnung von Deepfakes und KI-generierten Inhalten
2. Dezember 2026	Ende der Übergangsfrist für die maschinenlesbare Markierung bei KI-Systemen, die schon vor August 2026 auf dem Markt waren; neues Verbot von KI, die nicht einvernehmliche intime Bilder erzeugt
2. Dezember 2027	Pflichten für eigenständige Hochrisiko-KI, zum Beispiel in der Personalauswahl oder bei der Kreditvergabe
2. August 2028	Pflichten für Hochrisiko-KI in regulierten Produkten wie Maschinen oder Medizinprodukten

Betrifft mich das überhaupt?

Die Verordnung unterscheidet vor allem zwischen Anbietern, die ein KI-System entwickeln oder unter eigenem Namen anbieten, und Betreibern, die ein KI-System beruflich in eigener Verantwortung nutzen. Ein Online-Shop, der ChatGPT, Gemini oder ein fertiges Chatbot-Plugin einsetzt, ist in der Regel Betreiber. Wer einen eigenen Assistenten auf Basis einer KI-Schnittstelle baut und unter eigenem Namen auf der Website anbietet, kann selbst als Anbieter gelten.

Die gute Nachricht: Die typischen Einsatzfälle auf Websites sind keine Hochrisiko-KI. Dazu gehören der Chatbot im Kundenservice, KI-Texte für Produktbeschreibungen, KI-Bilder für Banner und Produktempfehlungen im Shop. Für sie gelten vor allem die Transparenzpflichten und die Pflicht zur KI-Kompetenz.

Was Sie jetzt konkret tun sollten

1. Chatbots als KI kennzeichnen

Menschen müssen erkennen können, dass sie mit einer KI sprechen – spätestens bei der ersten Interaktion, es sei denn, das ist ohnehin offensichtlich. Ein kurzer Hinweis im Chatfenster genügt, etwa: „Sie chatten mit unserem KI-Assistenten. Antworten können fehlerhaft sein.“ Bieten Sie zusätzlich einen Weg zu einem Menschen an, zum Beispiel über ein Kontaktformular oder ein Support-Ticket.

2. Täuschend echte KI-Bilder und Videos offenlegen

Bilder, Videos oder Audios, die mit KI erzeugt oder verändert wurden und echte Personen, Orte oder Ereignisse täuschend echt darstellen, müssen als KI-generiert gekennzeichnet werden. Für offensichtlich künstlerische oder satirische Werke gelten Erleichterungen. Bei Produktbildern kommt das Wettbewerbsrecht hinzu: Ein KI-Bild darf nicht mehr versprechen, als das echte Produkt hält.

3. KI-Texte redaktionell prüfen

KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, müssen offengelegt werden – außer ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung. Produktbeschreibungen fallen meist nicht darunter. Lassen Sie trotzdem jeden KI-Text von einem Menschen gegenlesen. Das schützt vor falschen Produktangaben und ist ohnehin gute Praxis für SEO.

4. KI-Kompetenz im Team aufbauen

Seit Februar 2025 müssen Unternehmen, die KI einsetzen, für KI-Kompetenz ihrer Mitarbeitenden sorgen. Der Digital Omnibus hat diese Pflicht abgeschwächt: Statt ein bestimmtes Kompetenzniveau sicherzustellen, sollen Unternehmen den Aufbau von KI-Kompetenz fördern. In der Praxis reicht oft eine kurze interne Richtlinie: Welche Tools sind erlaubt? Welche Daten gehören nicht hinein, etwa Kundendaten, Passwörter oder Geschäftsgeheimnisse? Wer gibt KI-Ergebnisse frei? Dokumentieren Sie Schulungen, das hilft im Zweifel als Nachweis.

5. Verbotene Praktiken ausschließen

Verboten sind unter anderem KI-Systeme, die Menschen mit unterschwelligen oder manipulativen Techniken zu Entscheidungen drängen, die ihnen erheblich schaden, oder die gezielt Schwächen wie Alter oder eine wirtschaftliche Notlage ausnutzen. Für Online-Shops heißt das: keine KI-gesteuerten Dark Patterns, etwa künstlicher Zeitdruck, der sich an der vermuteten Verletzlichkeit einzelner Kunden ausrichtet.

6. Datenschutz nicht vergessen

Der AI Act ersetzt die DSGVO nicht. Für einen Chatbot brauchen Sie in der Regel einen Vertrag zur Auftragsverarbeitung mit dem Anbieter, einen Abschnitt in der Datenschutzerklärung und eine Einwilligung über Ihr Cookie-Banner, wenn das Chat-Skript Cookies setzt oder Daten an Dritte überträgt. Mit unserem Plugin WordPress DSGVO lassen sich solche Dienste erst nach der Zustimmung laden.

7. KI im Recruiting rechtzeitig vorbereiten

Wer KI einsetzt, um Bewerbungen zu filtern oder Bewerber zu bewerten, nutzt Hochrisiko-KI. Die strengen Pflichten wie Risikomanagement, menschliche Aufsicht und Protokollierung gelten dafür ab dem 2. Dezember 2027. Nutzen Sie die Zeit, um Anbieter und Abläufe zu prüfen.

Welche Strafen drohen?

Bei verbotenen Praktiken drohen Bußgelder bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Bei Verstößen gegen die meisten übrigen Pflichten, darunter die Transparenzpflichten, sind es bis zu 15 Millionen Euro oder 3 %. Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag. Das sind Obergrenzen, die Behörden müssen verhältnismäßig handeln. Ob Wettbewerber fehlende KI-Hinweise zusätzlich abmahnen können, ist noch nicht geklärt – ausschließen sollten Sie es nicht.

Wo Sie Hilfe bekommen

Die Bundesnetzagentur bietet mit dem KI-Service-Desk ein kostenloses Online-Tool zur ersten Einschätzung der Risikoklasse sowie Leitfäden, vor allem für kleine und mittlere Unternehmen. Bei der technischen Umsetzung unterstützen wir Sie gern: Wir binden Chatbots mit korrektem Hinweis und Einwilligung in WordPress und WooCommerce ein, kennzeichnen KI-Inhalte und prüfen Ihre Website auf offene Punkte. Sprechen Sie uns an.

Checkliste

• Alle KI-Tools auf der Website und im Team auflisten: Chatbot, Texte, Bilder, Übersetzungen, Empfehlungen
• Chatbot mit klarem KI-Hinweis und einem Weg zu einem Menschen
• Täuschend echte KI-Bilder und -Videos kennzeichnen
• KI-Texte vor der Veröffentlichung von einem Menschen prüfen lassen
• Interne KI-Richtlinie und kurze Schulung, beides dokumentiert
• Datenschutzerklärung, Auftragsverarbeitung und Cookie-Einwilligung anpassen
• KI im Recruiting bis Dezember 2027 auf die Hochrisiko-Pflichten vorbereiten

Dieser Beitrag gibt den Stand vom 29. Oktober 2026 wieder und ersetzt keine Rechtsberatung.