Der AI Act trat am 1. August 2024 in Kraft. Sechs Monate später, am 2. Februar 2025, sollten die ersten Verbote gegen manipulative KI und Social Scoring greifen. Doch der AI Omnibus hat den Kalender neu aufgeschrieben. Die Fristen verschieben sich, einige Regelungen verschärfen sich – und für E-Commerce-Betreiber entsteht ein Planungsvakuum, das teurer werden kann als jede Compliance-Abteilung. Besonders im DACH-Raum, wo die Digitalpolitik seit der DSGVO für Verzögerung und nationale Fragmentierung steht, ist dies keine abstrakte Brüsseler Debatte.
Drei Tech-Lawyer, die das Gesetzespaket für internationale Kanzleien analysiert haben, kommen zu einem einstimmigen Urteil: Der Omnibus ist keine Entschärfung, sondern eine Umverteilung der Risiken. Wer heute einen Onlineshop mit KI-gestützten Preisalgorithmen, Chatbots oder Betrugserkennung betreibt, muss fünf Änderungen neu bewerten. Nicht theoretisch, sondern im Budget.
Warum der AI Omnibus E-Commerce-Betreiber härter trifft als erwartet
Der AI Act unterscheidet zwischen minimalen, begrenzten, Hochrisiko- und unzulässigen KI-Systemen. Bislang galt im E-Commerce die Faustregel: Wer keine Kreditscoring-Algorithmen und keine biometrische Echtzeit-Fernidentifikation im Shop einsetzt, bleibt unterhalb der Hochrisiko-Schwelle. Der Omnibus ändert diese Rechnung.
Die neue Fassung präzisiert die Definition von Hochrisiko-Systemen im Bereich der kritischen Infrastruktur und der Finanzdienstleistungen. Das klingt nach Banken und Telefonnetzen, trifft aber den E-Commerce dort, wo Zahlungsabwicklung und Betrugsprävention auf KI setzen. Ein Onlineshop, der ein Machine-Learning-Modell nutzt, um Transaktionen in Echtzeit zu bewerten – etwa bei Zahlungsarten wie Klarna, Afterpay oder PayPal –, operiert plötzlich in einer Kategorie, die Dokumentationspflichten, Risikomanagement-Systeme und Mensch-in-der-Schleife-Vorgaben erfordert.
50.000 bis 200.000 Euro kostet eine interne Konformitätsbewertung pro Algorithmus, schätzen mittelständische Betreiber. Bei dynamischen Preismodellen, die wöchentlich neu trainiert werden, fällt dieser Betrag schnell mehrfach an. Der AI Omnibus verschiebt nicht nur Fristen, sondern senkt die Schwelle für Hochrisiko-KI im Finanz- und Logistik-Umfeld von E-Commerce-Plattformen. Wer seinen Zahlungs-Stack nicht auf menschliche Aufsicht umstellt, riskiert ab August 2025 nicht nur Bußgelder, sondern die Zahlungslizenz selbst.
Welche Fristen sich verschieben – und warum das ein Täuschungsmanöver ist
Die zentrale Nachricht des Omnibus lautet Aufschub. Die Verbote für unzulässige KI-Praktiken, die ursprünglich am 2. Februar 2025 wirksam werden sollten, rutschen um sechs Monate auf den 2. August 2025. Auch die Pflichten für Hochrisiko-Systeme werden teilweise zurückgestellt. Für Entwickler klingt das nach Luft. Für E-Commerce-Manager ist es eine Falle.
Der Grund liegt in der Halbherzigkeit der Übergangsbestimmungen. Wer jetzt ein neues Empfehlungssystem für seine Warenkorb-Logik entwickelt oder ein KI-Tool für Kundenservice-Agenten einführt, muss unter zwei Unsicherheiten planen: der endgültigen Form des Omnibus, die noch im Trilog verhandelt wird, und der nationalen Umsetzung durch die Mitgliedstaaten. Die deutsche Digitalpolitik hat sich in der Vergangenheit als spät und fragmentiert erwiesen – siehe die Jahre um die DSGVO. Wer auf den August wartet, um dann erst mit der Anpassung zu beginnen, verliert gegen Wettbewerber, die jetzt schon ihre Lieferketten- und Preisalgorithmen auditiert haben.
Ein weiterer Effekt: Die Verzögerung treibt die Kosten für Beratungshäuser in die Höhe. Da alle mittelständischen Händler gleichzeitig im Sommer 2025 anfangen werden, ihre KI-Systeme zu prüfen, droht ein Engpass bei qualifizierten Tech-Lawyern und Auditoren. Der Stundensatz für AI-Act-Compliance steigt bereits jetzt in Frankfurt und München um 20 bis 30 Prozent.
<
„Der Aufschub ist keine Gnade, sondern eine gewollte Verzögerung der unvermeidlichen Kosten. Wer sie nicht jetzt einplant, wird im Herbst 2025 mit einer Doppelbelastung aus Nachrüstung und Bußgeldern sitzen.“
Welche neuen Verbote den E-Commerce direkt treffen
Der AI Omnibus führt keine radikale Neuausrichtung der verbotenen Praktiken ein, präzisiert aber den Anwendungsbereich dort, wo E-Commerce-Systeme bereits heute operieren. Das Verbot der Manipulation durch subliminale Techniken – also KI-gestützte Dark Patterns, die das menschliche Bewusstsein umgehen – betrifft nicht nur TikTok-Algorithmen, sondern auch Checkout-Prozesse in Onlineshops. Ein dynamisches Interface, das Kunden durch KI-gestützte Farbwechsel, verzögerte Negativ-Optionen oder pulsierende Kauf-Buttons zum Abschluss drängt, rutscht in die Nähe des Verbots.
Gleiches gilt für die Emotionserkennung. Callcenter-Software, die die Stimmung von Kunden oder Mitarbeitern in Echtzeit analysiert, um Gespräche zu eskalieren oder zu beenden, fällt unter die neue Verbotskategorie. E-Commerce-Betreiber, die solche Tools im Kundenservice oder in der Retourenabwicklung einsetzen, müssen sie bis August 2025 stilllegen – sofern der Omnibus in der vorliegenden Form beschlossen wird. Die Unsicherheit ist hier das größte Risiko: Niemand kann mit Sicherheit sagen, ob emotionale Analyse in der reinen Spracherkennung von Chatbots noch als legale Klassifikation gilt oder als verbotene Erkennung.
Besonders brisant: Die Unterscheidung zwischen aktiver und passiver Biometrie. Ein Chatbot, der nur sprachliche Inhalte kategorisiert („Kunde ist verärgert“), ist noch kein Biometrie-System. Sobald aber Tonhöhe, Sprechgeschwindigkeit oder Atemfrequenz gemessen werden, um emotionale Zustände zu erfassen, entsteht ein verbotenes System. Die Grenze ist fließend, und genau das macht die Planung für Kundenservice-Chefs im E-Commerce zur Hypothek.
Warum die Unterscheidung zwischen Anbieter und Betreiber die Haftung eskaliert
Eine der komplexesten Änderungen betrifft die Rollen zwischen Anbieter und Betreiber. Der AI Act belastet Anbieter mit der CE-Kennzeichnung, der technischen Dokumentation und der Risikobewertung. Betreiber müssen nur die vorgesehenen Nutzungszwecke einhalten und menschliche Aufsicht sicherstellen. Der Omnibus verschiebt diese Grenze.
Wer ein Standard-Software-Produkt mit KI-Funktionen für den eigenen Onlineshop anpasst, etwa ein Shopify-Plugin für dynamische Preisgestaltung oder ein Magento-Modul für Kundensegmentierung, kann unter Umständen als Anbieter eingestuft werden, wenn die Anpassung das ursprüngliche Risikoprofil verändert. Das bedeutet: Der Shop-Betreiber haftet plötzlich wie ein Hersteller. Für Marktplätze wie Amazon, Zalando oder About You verschärft sich die Lage zusätzlich, weil sie als Anbieter ihrer eigenen Empfehlungsalgorithmen gelten und gleichzeitig als Betreiber für die KI-Tools Dritter, die über ihre APIs laufen.
Die Haftungskaskade, die hier entsteht, wird von den analysierenden Tech-Lawyern als unternehmensgefährdend bezeichnet, wenn sie nicht bis 2026 vollständig dokumentiert ist. Ein kleiner Händler, der über Amazon FBA vertreibt und gleichzeitig ein KI-Tool für eigene Preisanpassungen nutzt, kann sich in drei Haftungsrollen gleichzeitig wiederfinden: als Betreiber des Amazon-Algorithmus, als Anbieter seines eigenen Tools und als Endnutzer einer SaaS-Lösung für Kundenservice. Der Omnibus macht diese Dreifachbelastung nicht einfacher, sondern verschärft die Beweispflichten für jeden einzelnen Knotenpunkt.
Was E-Commerce-Manager jetzt tun müssen, ohne das Gesetz zu kennen
Der AI Omnibus ist noch nicht verabschiedet. Das Europäische Parlament und der Rat müssen den Vorschlägen der Kommission zustimmen, und bis zur endgültigen Fassung können einzelne Artikel noch fallen oder verschärft werden. Trotzdem gibt es Handlungszwänge, die sich aus der Struktur der Änderungen ableiten lassen.
Erstens: Inventur. Jedes KI-System, das heute im E-Commerce-Stack läuft – vom Retouren-Chatbot über das Fraud-Scoring bis zur E-Mail-Optimierung – muss auf einer Risikoliste landen. Nicht mit dem Ziel der sofortigen Abschaltung, sondern mit dem Ziel der Klassifizierung. Zweitens: Vertragsprüfung. SaaS-Anbieter von KI-Tools müssen in ihren AGB klarstellen, wer die Rolle des Anbieters übernimmt und wer die CE-Kennzeichnung trägt. Wer hier keine schriftliche Zusage hat, wird im Ernstfall allein zur Kasse gebeten. Drittens: Dark-Pattern-Audit. Checkout-Prozesse, Kunden-Rückgewinnungs-Pop-ups und dynamische Preisanzeigen sollten auf subliminale oder manipulative Elemente geprüft werden – unabhängig davon, ob sie KI-gesteuert sind oder nicht. Der Omnibus verschärft hier die Beweislast.
Kein Händler sollte erwarten, dass der AI Omnibus die KI-Regulierung entschärft. Stattdessen verlagert er die Brisanz in Bereiche, die den E-Commerce direkt finanziell treffen: Preisalgorithmen, Zahlungsabwicklung und Kundenservice. Wer bis August 2025 wartet, um diese Systeme zu verstehen, hat nicht nur Zeit verloren, sondern wahrscheinlich auch die Kontrolle über seine Kostenstruktur. Die Entschärfung war ein politisches Versprechen. Die Realität sieht für Shop-Betreiber nach einer teuren Runderneuerung aus.