KI-Kompetenz-Pflicht umsetzen: Art. 4 KI-Verordnung im Shop-Alltag

Die KI-Kompetenz-Pflicht (Art. 4 KI-Verordnung) gilt seit dem 2. Februar 2025, und die meisten Shop-Betreiber wissen inzwischen, dass sie betroffen sind: Wer Produkttexte mit ChatGPT schreibt oder Kundenanfragen mit einem KI-Assistenten beantwortet, für den muss das Unternehmen Maßnahmen zur KI-Kompetenz ergreifen, in der Praxis meist eine Schulung. Was das Gesetz genau verlangt, wer Betreiber ist und was bei Verstößen passiert, haben wir im Lexikon unter KI-Kompetenz-Pflicht zusammengefasst. Dieser Beitrag setzt dort an, wo der Lexikoneintrag aufhört: bei der Umsetzung.

Denn zwischen „Wir müssen schulen“ und einer Dokumentation, die einer Nachfrage der Bundesnetzagentur standhält, liegen einige sehr konkrete Entscheidungen. Welche Tools nutzt Ihr Team wirklich? Was darf in welches Tool? Wer wird in welchem Umfang geschult, und wie halten Sie das fest? Die folgenden fünf Schritte beantworten diese Fragen für ein typisches Handelsunternehmen mit Marketing, Vertrieb, Kundenservice und Backoffice.

Schritt 1: Bestandsaufnahme – welche KI Ihr Team tatsächlich nutzt

Die Pflicht knüpft an die tatsächliche Nutzung an, nicht an offizielle Projekte. Deshalb beginnt jede Umsetzung mit einer ehrlichen Inventur, und die fällt in fast jedem Unternehmen umfangreicher aus als gedacht. Fragen Sie nicht „Haben wir KI im Einsatz?“, sondern je Abteilung: „Welche Werkzeuge nutzen Sie, um Texte, Antworten, Übersetzungen oder Auswertungen zu erstellen?“

Ein typisches Ergebnis für einen Shop mit rund zwanzig Beschäftigten sieht dann etwa so aus:

• Marketing: ChatGPT für Produkt- und Kategorietexte, ein Bildgenerator für Social-Media-Grafiken, KI-Übersetzung im Shopsystem
• Kundenservice: Antwortvorschläge im Helpdesk-Tool, DeepL für internationale Anfragen
• Vertrieb: Copilot in Outlook und Teams für Angebote und Gesprächszusammenfassungen
• Backoffice: KI-Zusammenfassungen in der Buchhaltungssoftware, private ChatGPT-Konten für Excel-Formeln
• Shop: KI-Funktionen für Produktempfehlungen und automatische Bildfreistellung

Die letzte Zeile wird oft vergessen: Auch KI-Funktionen, die ein Hersteller in Shopware, das CRM oder ein Plugin eingebaut hat, machen Sie zum Betreiber. Halten Sie je Tool fest, wer es nutzt, welche Daten hineinfließen und ob ein Vertrag zur Auftragsverarbeitung besteht. Diese Liste ist zugleich die Grundlage für alle weiteren Schritte.

Schritt 2: Risikoeinordnung – Assistenz oder Entscheidung?

Welche Maßnahmen angemessen sind, richtet sich nach dem Risiko der eingesetzten Systeme. (Seit dem Digital Omnibus, in Kraft seit 27. Juli 2026, verlangt Art. 4 kein „ausreichendes Maß“ mehr, sondern Maßnahmen zur Förderung der KI-Kompetenz.) Für die Praxis genügt eine einfache Unterscheidung: Assistiert die KI einem Menschen, der das Ergebnis prüft und verantwortet? Oder trifft oder beeinflusst sie Entscheidungen über Personen?

Produkttexte, Newsletter-Entwürfe, Ticket-Zusammenfassungen und Übersetzungen gehören in die erste Gruppe. Hier reicht eine Anwenderschulung mit klaren Nutzungsregeln. In die zweite Gruppe fallen Anwendungen, die die Verordnung in Anhang III als Hochrisiko einstuft, etwa die Vorauswahl von Bewerbungen oder die Bonitätsbewertung von Privatkunden. Die Pflichten für solche Hochrisiko-Systeme greifen nach dem Digital Omnibus ab dem 2. Dezember 2027. Wer im Shop ein KI-gestütztes Scoring für den Ratenkauf einsetzt, sollte diesen Fall trotzdem jetzt prüfen lassen.

Für Hochrisiko-Anwendungen braucht es tiefere Schulung, benannte Verantwortliche und laufende Kontrolle. Für die meisten Handelsunternehmen bleibt es bei der ersten Gruppe, und darauf konzentriert sich der Rest dieses Beitrags.

Schritt 3: KI-Nutzungsrichtlinie – die Regeln vor der Schulung

Eine Schulung ohne Regeln vermittelt Wissen, aber keine Verbindlichkeit. Deshalb sollte vor dem Training eine kurze KI-Nutzungsrichtlinie stehen, idealerweise auf zwei Seiten, die jede Mitarbeiterin in fünf Minuten liest. Bewährt haben sich sechs Abschnitte:

1. Freigegebene Tools: Welche Werkzeuge sind erlaubt, mit welchem Konto (Unternehmenskonto statt privat) und in welcher Konfiguration (Nutzung der Eingaben zum Training deaktiviert)
2. Datenklassen: Was darf hinein (öffentliche Produktdaten, eigene Texte), was nur anonymisiert (Kundenanfragen, Bewertungen), was nie (personenbezogene Daten, Zahlungsdaten, Verträge, Zugangsdaten)
3. Prüfpflicht: Jedes KI-Ergebnis wird vor der Verwendung von einem Menschen geprüft; sachliche Angaben werden gegen die Quelle abgeglichen
4. Verantwortung: Wer ein Ergebnis freigibt, verantwortet es – unabhängig davon, ob es von einer KI stammt
5. Kennzeichnung: Wann Inhalte als KI-generiert gekennzeichnet werden, insbesondere bei Chatbots (siehe KI-Kennzeichnungspflicht)
6. Ansprechpartner: An wen sich das Team bei Unsicherheit wendet und wer die Richtlinie pflegt

Ein Beispiel für eine konkrete Regel aus dem Kundenservice: „Kundenanfragen dürfen zur Formulierung einer Antwort in das freigegebene Tool eingegeben werden, wenn Name, E-Mail-Adresse, Bestellnummer und Adressdaten vorher entfernt wurden." Solche Sätze sind es, die im Alltag den Unterschied machen. Wie Sie KI-Einsatz von vornherein datenschutzkonform aufsetzen, beschreibt der Beitrag zu DSGVO-konformer KI-Automation.

Schritt 4: KI-Kompetenz-Schulung – rollengerecht statt Einheitsvortrag

Die Verordnung nennt weder Inhalte noch Dauer, verlangt aber, dass Vorwissen, Rolle und Einsatzkontext berücksichtigt werden. Ein einstündiges Erklärvideo für alle erfüllt diese Anforderung schlecht, weil es genau diesen Kontext nicht herstellen kann. Sinnvoller ist ein Aufbau in zwei Ebenen.

Grundlagen für alle

Jede Person, die KI nutzt, sollte erklären können, wie ein Sprachmodell arbeitet und warum es überzeugend klingende Falschaussagen produziert. Dazu gehören die eigene Rolle als Betreiber, die Risiken der konkret genutzten Tools (Datenschutz, Vertraulichkeit, Urheberrecht) und die Nutzungsrichtlinie aus Schritt 3. Das lässt sich in etwa zwei Stunden vermitteln, wenn es an Beispielen aus dem eigenen Unternehmen geschieht.

Anwendung je Abteilung

Der größere Teil der Schulung gehört den echten Aufgaben. Das Marketing übt an den eigenen Produkttexten und Kampagnen, der Service an anonymisierten Tickets, das Backoffice an Tabellen und Protokollen. Ein Beispiel aus dem Marketing-Modul: Aus einem Tonalitäts-Guide, drei bestehenden Produkttexten und einer Attributtabelle entsteht ein Prompt, der neue Beschreibungen in Markensprache liefert – und eine Prüfliste, mit der jede sachliche Angabe gegen die Stammdaten abgeglichen wird. Welche Aufgaben sich dafür eignen, zeigt der Beitrag KI im Marketing: 10 Aufgaben, die ein Prompt erledigt.

Wichtig für die Dokumentation: Halten Sie fest, welche Module welche Abteilung durchlaufen hat. Genau diese Rollenbezogenheit ist es, die eine Aufsichtsbehörde davon überzeugt, dass Sie angemessene Maßnahmen ergriffen haben.

Schritt 5: Schulungsregister – so sieht die Dokumentation aus

Ein amtliches Zertifikat gibt es nicht, und die EU-Kommission stellt in ihrem Q&A zu Art. 4 klar, dass interne Aufzeichnungen genügen. Umso wichtiger ist, dass diese Aufzeichnungen vollständig sind. Ein Schulungsregister ist im einfachsten Fall eine Tabelle mit einer Zeile je Schulungsmaßnahme und diesen Spalten:

• Datum, Dauer und Format (Präsenz, Remote, Selbstlernkurs)
• Teilnehmende mit Rolle und Abteilung
• Behandelte Inhalte, getrennt nach Grundlagen und Abteilungsmodul
• Trainer oder verantwortliche Person, intern oder extern
• Version der Nutzungsrichtlinie, auf die sich die Schulung bezog
• Nachweise (Teilnahmebescheinigung, Agenda, Übungsmaterial) mit Ablageort
• Nächste geplante Auffrischung

Eine Beispielzeile: „12.03.2026 · 6 Stunden · vor Ort · Marketing (4 Personen), Kundenservice (3) · Grundlagen + Module Marketing und Service · externer Trainer · Richtlinie v1.1 · Bescheinigungen im Personalordner · Auffrischung März 2027." Ergänzen Sie das Register um zwei Prozesse: Neue Mitarbeitende durchlaufen die Grundlagen im Onboarding, und bei wesentlichen Änderungen – neues Tool, neue Richtlinienversion – wird nachgeschult. Eine Teilnahmebescheinigung des Trainers ist ein sinnvoller Beleg, ersetzt das Register aber nicht, weil sie die interne Verantwortung nicht dokumentiert.

Was eine Behörde im Ernstfall sehen will

Art. 4 kennt kein eigenes Bußgeld, auch das deutsche Durchführungsgesetz (KI-MIG) sieht keines vor. Relevant wird die Dokumentation deshalb meist im Zusammenhang mit einem anderen Vorfall: Ein Mitarbeiter hat Kundendaten in ein nicht freigegebenes Tool eingegeben, ein KI-generierter Text enthält eine falsche Produktangabe, ein Chatbot war nicht gekennzeichnet. Dann stellt die zuständige Aufsicht – seit Ende Juli 2026 die Bundesnetzagentur als zentrale Marktüberwachungsbehörde, bei Datenschutzverstößen die Landesdatenschutzbehörde – die Frage, ob das Unternehmen seine Beschäftigten befähigt hatte.

Wer dann Nutzungsrichtlinie, Schulungsregister und Teilnahmenachweise vorlegen kann, kann den Vorwurf eines Organisationsmangels in aller Regel entkräften und steht deutlich besser da als ein Unternehmen ohne jede Dokumentation. Mehr braucht es nicht, weniger sollte es nicht sein.

Fazit: KI-Kompetenz-Pflicht in fünf Schritten und einem Praxistag

Die KI-Kompetenz-Pflicht lässt sich in einem überschaubaren Projekt erfüllen: Bestandsaufnahme und Risikoeinordnung in einer Woche, Richtlinie und Schulung an einem Tag, Register als laufende Routine. Der Nebeneffekt ist wertvoller als die Pflichterfüllung selbst, denn geschulte KI-Anwender sind genau die Profile, die der Arbeitsmarkt derzeit kaum liefert. Warum das so ist, lesen Sie im Beitrag KI-Fachkräfte finden? Warum Sie Ihr Team besser selbst befähigen. Genau diese fünf Schritte deckt unser KI-Kompetenz-Training ab, inklusive Richtlinienvorlage, Prompt-Bibliothek, Teilnahmebescheinigung und Registervorlage.

Haftungsausschluss

Dieser Beitrag dient der allgemeinen Information und gibt den Stand vom September 2026 wieder. Er stellt keine Rechtsberatung dar und ersetzt sie nicht. Die Angaben zu Pflichten, Zuständigkeiten und Aufsichtsbehörden nach der KI-Verordnung und der DSGVO haben wir nach bestem Wissen zusammengestellt, übernehmen jedoch keine Gewähr für Richtigkeit, Vollständigkeit und Aktualität. Rechtslage und behördliche Praxis können sich ändern und hängen vom Einzelfall ab. Für die verbindliche Bewertung Ihrer konkreten Situation wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt bzw. an Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten. Eine Haftung für Entscheidungen, die auf Grundlage dieses Beitrags getroffen werden, ist ausgeschlossen.

Wie Unternehmen Richtlinie, Zuständigkeiten und KI-Register pragmatisch organisieren, beschreibt der Lexikon-Eintrag KI-Governance.