KI-Verordnung im Handel: eine Seite, zwei Termine

Die teuerste Reaktion auf die KI-Verordnung ist selten ein Bußgeld. Es ist das Vorhaben, das aus Vorsicht liegen bleibt – oder das Gutachten für eine Einordnung, die man in einer Stunde selbst hinbekommt. Was die KI-Verordnung im Handel tatsächlich verlangt, passt für die meisten Groß- und Fachhandelsbetriebe auf eine Seite. Nur existiert diese Seite fast nirgends.

Genau die liefert dieser Beitrag: eine ausfüllbare Einordnung Ihrer KI-Systeme, ein durchgerechnetes Muster für den Posteingang und die eine Frage, bei der Betriebe dieser Größenordnung tatsächlich falsch liegen. Dazu zwei Termine für den Kalender – und die sind, so viel vorweg, keine Abgabefristen.

Seit dem 2. August 2026 ist die europäische KI-Verordnung allgemein anwendbar. Praktisch heißt das: Die Transparenzpflichten aus Artikel 50 greifen. Sechs Tage zuvor, am 27. Juli 2026, ist die Digital-Omnibus-Verordnung (EU) 2026/1744 in Kraft getreten und hat die anspruchsvollsten Teile nach hinten geschoben: Die Pflichten für Hochrisiko-Systeme nach Anhang III – KI, die über Menschen entscheidet – gelten erst ab dem 2. Dezember 2027, die für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028.

Beide Meldungen stimmen, sie betreffen nur verschiedene Teile desselben Gesetzes. Aus der Presse ist daraus ein Nebeneinander von „gilt jetzt“ und „ist verschoben“ geworden, das Entscheider ratlos zurücklässt.

In Gesprächen begegnet uns seither beides: Häuser, die wegen der Schlagzeilen KI-Vorhaben anhalten – und Häuser, die von den Pflichten, die längst gelten, zum ersten Mal hören. Beide Reaktionen haben dieselbe Ursache: Niemand hat den eigenen Bestand je durchgesehen.

Die KI-Verordnung fragt nie zuerst, was Sie tun müssen. Sie fragt zuerst, wer Sie in diesem Fall sind – und erst die Antwort darauf entscheidet, welche Pflichten überhaupt für Sie geschrieben wurden. Wer eine Regel liest, ohne ihren Adressaten zu prüfen, landet zuverlässig in der falschen Zeile.

Im Handel kennen Sie diese Mechanik längst: Wer fremde Ware weiterverkauft, steht anders in der Pflicht als wer sie unter eigener Marke vertreibt – gleiches Produkt, andere Rolle, anderes Pflichtenheft. Bei KI ist es dieselbe Logik. Wer einkauft und benutzt, ist Betreiber. Wer umbaut, nachtrainiert oder unter eigenem Namen weitergibt, wird zum Anbieter – und erbt dessen Pflichten.

Der Kipppunkt liegt näher, als man denkt. Ein zugekaufter Chat- oder Voicebot, der als „Ihr Assistent von [Firmenname]“ auf der eigenen Website steht, kann Sie bereits zum Anbieter machen: Anbieter ist nach der Verordnung auch, wer ein System unter eigenem Namen in Betrieb nimmt. Im Handel ist das der Normalfall, nicht der Sonderfall.

Artikel 50 als Beispiel: vier Pflichten, zwei Adressaten

Kein Paragraf zeigt besser, warum die Rolle zuerst kommt. Artikel 50 regelt die Transparenz und wird ständig als „die Kennzeichnungspflicht“ zitiert, als wäre es eine Regel für alle. Tatsächlich sind es vier – und sie sprechen zwei verschiedene Adressaten an:

Für einen Betrieb, der KI einkauft, bleibt daraus meist nichts zu tun – aber etwas zu prüfen: ob der Anbieter seine Absätze erfüllt hat. Die Pflicht liegt bei ihm, die Auswahl bei Ihnen.

Wer seine Rolle geklärt hat, weiß, wie die eigenen Systeme einzuordnen sind. Was fehlt, ist der Beleg dafür. Genau danach wird nämlich gefragt – von der Geschäftsführung, die eine Schlagzeile gelesen hat, vom Datenschutzbeauftragten, vom Betriebsrat, im Zweifel von einem Prüfer. Und genau dann ist Wissen im Kopf zu wenig.

Die Antwort darauf ist unspektakulär: eine Seite, einmal ausgefüllt, mit Datum abgelegt. Sie kostet eine Stunde und beantwortet danach jede Nachfrage, ohne dass jemand die Herleitung wiederholen muss.

Der letzte Punkt ist der, den die meisten weglassen – und der aus einem Einmal-Dokument etwas Haltbares macht. Eine Einordnung ohne Auslöser veraltet still. Eine mit Auslöser sagt Ihnen, wann sie veraltet ist.

Für die Anbieter-Auswahl hilft der Fragenkatalog aus Dürfen unsere Belege in die KI? – Hosting, Auftragsverarbeitung, Nutzung der Daten für Training. Die Verordnung nimmt vor allem Anbieter in die Pflicht; Ihre Aufgabe als Betreiber ist, einen zu wählen, der sie erfüllt.

Der häufigste KI-Einsatz im Handel ist zugleich der unaufgeregteste: Belege auslesen, E-Mails sortieren, Dokumente dem richtigen Vorgang zuordnen. So könnte die Seite dafür aussehen – ein Muster zum Abschreiben, kein realer Fall.

Das Ergebnis ist Entwarnung – und die Einordnung deckt sich mit der Prüfung, die wir für das Freigabe-Prinzip in Nur geprüfte KI-Daten ins ERP gegen den Verordnungstext nachvollzogen haben. Der Digital-Omnibus ändert daran nichts: Für die Belegverarbeitung waren die Hochrisiko-Pflichten nie einschlägig. Interessant ist an dieser Seite deshalb nicht das Ergebnis, sondern dass es nachlesbar dasteht.

Wenn die Seite liegt, bleibt erstaunlich wenig zu tun. Und dieses Wenige sind keine Abgabetermine, sondern zwei Momente, an denen sich Ihre Einordnung ändern könnte. Wer sie im Kalender hat, muss sich dazwischen nicht kümmern.

Artikel 4 der KI-Verordnung verlangt seit Februar 2025, dass Menschen, die mit KI-Systemen arbeiten, dafür gerüstet sind. Der Digital-Omnibus hat diese Pflicht spürbar entschärft: Aus „ein ausreichendes Maß an KI-Kompetenz sicherstellen“ wurde die Vorgabe, Maßnahmen zur Förderung von KI-Kompetenz zu ergreifen. Ein bestimmtes Wissensniveau einzelner Personen muss ausdrücklich nicht garantiert werden.

Das klingt nach weniger Aufwand, verschiebt aber vor allem den Maßstab. Vorher hätte man über die Frage streiten können, ob jemand genug weiß. Diese Frage stellt sich nicht mehr. Übrig bleibt eine andere: Was haben Sie getan – und können Sie es zeigen?

Damit wird die Zeile „Wer arbeitet damit“ auf Ihrer Einordnung zum eigentlichen Kern des Dokuments – im Muster oben ist es die Zeile mit der 45-Minuten-Einweisung. Mehr braucht es für den Posteingang nicht: Die Mitarbeitenden am Prüfschritt wissen, was die Erkennung kann, wo sie typischerweise irrt und wie korrigiert wird. Vorausgesetzt, es ist notiert.

Fazit

Für die meisten Betriebe im technischen Handel endet die KI-Verordnung dort, wo sie anfängt: bei einer Seite, die einmal ausgefüllt wird, und zwei Terminen, an denen man nachsieht. Das ist kein Freibrief, sondern das ehrliche Maß – und es ist deutlich mehr, als die meisten heute vorweisen können.

Was darüber hinaus bleibt, hat mit Brüssel wenig zu tun. Den eigenen Prozess so gut zu kennen, dass man ihn beziffern kann. Und jeden KI-gelesenen Beleg vor der Übernahme prüfen zu lassen – nicht, weil ein Gesetz es verlangt, sondern weil Fehler im ERP teurer sind als der Prüf-Klick davor. Die Verordnung belohnt am Ende genau die Arbeitsweise, die ohnehin vernünftig ist: Menschen, die wissen, was ihre KI tut, und Prozesse, in denen der Mensch das letzte Wort behält.

Ihr viamind-Team