Bußgelder bis 15 Mio. €: So dokumentierst du deine KI-Compliance im Shop (KI-Register, Protokoll, Dossier)

Die meisten Shopbetreiber, mit denen wir gerade sprechen, haben Schritt eins hinter sich: Sie kennzeichnen ihre KI-Bilder und ihren Chatbot. Schritt zwei fehlt fast immer – und der entscheidet im Ernstfall. Denn wenn eine Behörde nachfragt oder ein Wettbewerber abmahnt, hilft dir die Kennzeichnung im Shop nur begrenzt. Du musst belegen können, dass du kennzeichnest, wie vollständig du das tust und seit wann. Ohne Dokumentation steht deine Aussage gegen die Behauptung der Gegenseite.

Im Detail: Eine belastbare KI-Dokumentation besteht aus vier Teilen – einem Inventar der eingesetzten KI-Systeme (KI-Register), einem Nachweis der Abdeckung (welche Inhalte sind gekennzeichnet, welche nicht), einer lückenlosen Änderungshistorie (wer hat wann welche Kennzeichnung gesetzt, und woher kam sie) und regelmäßigen Snapshots als PDF, die den Stand zu einem Zeitpunkt festhalten. In diesem Artikel zeigen wir, warum das nötig ist und wie du es praktisch löst, ohne eine Excel-Liste zu pflegen. Kleiner Hinweis vorab: Wir sind Entwickler, keine Anwälte – das hier ist Erfahrung aus Projekten, keine Rechtsberatung.

Warum Kennzeichnen allein nicht reicht

Stell dir zwei Szenarien vor. Im ersten kommt ein Abmahnschreiben, das behauptet, dein KI-generiertes Lifestyle-Bild auf der Kategorieseite sei nicht gekennzeichnet gewesen. Du weißt, dass das Badge dort seit Monaten steht – aber woher weißt du, seit wann genau? Und wie beweist du es, wenn die Gegenseite einen Screenshot von irgendwann vorlegt?

Im zweiten Szenario fragt ein Großkunde oder eine Behörde: „Welche KI-Systeme setzt du in deinem Shop ein, und wie stellst du sicher, dass die Outputs gekennzeichnet werden?" Eine ehrliche Antwort wie „wir machen das schon" wirkt schwach. Ein exportiertes Register plus ein Abdeckungsbericht wirkt souverän.

Das ist der Kern: Compliance ist nicht nur ein Zustand im Frontend, sondern eine nachweisbare Praxis. In unseren Projekten sehen wir das Muster ständig – die Umsetzung ist gut, die Dokumentation fehlt. Und die Dokumentation ist ausgerechnet der Teil, der im Streitfall zählt.

Was auf dem Spiel steht

Die Transparenzpflichten aus Artikel 50 der KI-Verordnung (VO (EU) 2024/1689) gelten seit dem 2. August 2026. Wer sie als Betreiber verletzt, riskiert nach Art. 99 Abs. 4 Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Für einen mittelständischen Shop ist das ein theoretischer Maximalrahmen, keine realistische Erwartung. Aber es zeigt, in welcher Gewichtsklasse das Thema spielt.

Praktisch relevanter ist für die meisten Shops das Wettbewerbsrecht: Eine fehlende Pflichtkennzeichnung kann als unlautere Handlung nach dem UWG gewertet werden – und damit von Wettbewerbern und Verbänden abgemahnt werden. Das ist der Weg, der in der Praxis schnell und ohne Behörde funktioniert. Und Abmahnungen kommen nicht mit Vorwarnung, sondern mit Frist.

Wer bei dir überhaupt nachfragen kann

Viele unterschätzen, wie viele Wege es zu diesem Thema gibt. Realistisch sind vor allem diese:

• Die Marktüberwachung. In Deutschland bündelt das „Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz" (KI-MIG) die nationale KI-Aufsicht bei der Bundesnetzagentur – sie ist seit Ende Juli 2026 Marktüberwachungs-, Anlauf- und Beschwerdestelle. Dort können sich auch Verbraucher beschweren.
• Wettbewerber und Abmahnvereine. Der schnellste und häufigste Weg. Wer in deiner Nische mitliest, sieht deine Bilder genauso wie deine Kunden.
• Interne Compliance und Datenschutzbeauftragte. Sobald KI-Tools im Unternehmen wachsen, will jemand eine Liste sehen – oft dieselbe Liste, die auch das KI-Register verlangt.
• Anwälte der Gegenseite. Bei jedem Streit rund um Produktdarstellung, Werbung oder Retouren gehört ein Blick auf KI-Inhalte inzwischen zum Standardrepertoire.
• B2B-Kunden und Plattformen. Im Lieferanten-Onboarding werden Compliance-Fragebögen normal. Ein PDF, das du einfach anhängen kannst, spart dir dort Tage.

Wenn du noch am Anfang stehst und erst mal wissen willst, was überhaupt zu kennzeichnen ist, lies zuerst unsere Übersicht zur KI-Kennzeichnungspflicht für Online-Shops. Dieser Artikel hier setzt danach an.

Die vier Bausteine einer sauberen KI-Dokumentation

Diese vier Dinge kannst du theoretisch von Hand pflegen: eine Excel-Tabelle mit KI-Tools, ein Screenshot-Ordner „Nachweise" und ein Kalendereintrag, der nach zwei Quartalen ignoriert wird. Das Problem ist nicht der gute Willen, sondern die Halbwertszeit. Sobald der Katalog wächst, driftet die Liste von der Realität ab – und eine Doku, die nicht stimmt, ist im Streitfall schlimmer als keine.

Deshalb haben wir das in unser Shopware-Plugin EU AI Act Compliance direkt eingebaut: Die Nachweise entstehen dort, wo die Kennzeichnung passiert – im Shop-System selbst.

Baustein 1: Das KI-Register – dein Inventar

Das KI-Register ist die einfachste und am häufigsten übersehene Übung: eine gepflegte Liste der KI-Werkzeuge, die in deinem Shop-Alltag im Einsatz sind. Das Bildgenerierungs-Tool für Lifestyle-Motive, das Text-Tool für Produktbeschreibungen, der Chatbot, das Übersetzungs-Tool.

Im Plugin liegt das Register unter „Inhalte → EU AI Act Compliance → KI-Register". Du kannst Einträge einzeln anlegen oder per CSV-Import in einem Schwung einspielen – praktisch, wenn im Unternehmen schon eine Tool-Liste existiert. Für die Ablage exportierst du das Register als CSV (zum Weiterverarbeiten) oder als PDF (zum Abheften und Weitergeben).

Der Nebeneffekt ist der eigentliche Wert: Wenn du bei Bildern angibst, mit welchem Werkzeug sie entstanden sind, und dieselben Werkzeuge im Register führst, ergibt das ein stimmiges Gesamtbild. Fragt jemand nach, passen Inventar und Einzelfall zusammen.

Baustein 2: Abdeckung messen statt hoffen

Die Frage „kennzeichnen wir alles?" lässt sich nicht mit Bauchgefühl beantworten – dafür ist ein Mediathek-Bestand zu groß. Sie lässt sich mit einer Zahl beantworten.

Das Dashboard zeigt dir, wie viele Medien gekennzeichnet und wie viele noch nicht gekennzeichnet sind, wie sich die Status verteilen und wie viele Produkttexte schon eine Herkunfts-Angabe haben. Damit wird aus „müssten wir mal prüfen" eine To-do-Liste mit Fortschrittsanzeige.

Zwei Automatismen halten die Zahl danach stabil:

• Die Coverage-Warnung: Überschreitet der Anteil unmarkierter Medien einen Schwellwert, den du selbst festlegst, bekommst du eine Benachrichtigung im Adminbereich. Du musst nicht daran denken – das System erinnert dich.
• Die Warnung beim Aktivieren von Produkten, deren KI-fähige Inhalte noch nicht gekennzeichnet sind. Genau hier entstehen in der Praxis die Lücken: Ein neues Produkt geht live, das Badge fehlt, niemand merkt es. Die Warnung greift, bevor der Kunde das Bild sieht.

Wie das Kennzeichnen von Bildern in Shopware konkret abläuft – inklusive Ordner-Standards für neue Uploads und Metadaten-Scan – haben wir in KI-Bilder in Shopware kennzeichnen beschrieben.

Baustein 3: Die Änderungshistorie – der eigentliche Beweis

Das ist der Baustein, der die Frage „seit wann?" beantwortet. Das Änderungsprotokoll zeichnet auf, wer wann eine Kennzeichnung gesetzt oder geändert hat und woher die Änderung kam: manuell, aus dem automatischen Metadaten-Scan, per automatischer Übernahme, per CSV-Import oder über eine Massenaktion.

Warum die Quelle wichtig ist: Sie zeigt, dass hinter deiner Kennzeichnung ein Prozess steht und nicht Zufall. Genau das ist es, was du im Ernstfall darstellen willst – nicht „wir haben da mal was angeklickt", sondern „so läuft das bei uns, hier ist die Historie".

Zwei praktische Details, die im Alltag zählen: Jede Änderung lässt sich über das Protokoll rückgängig machen – wenn also eine Massenaktion 200 Bilder falsch markiert hat, ist das kein Nachmittag Handarbeit, sondern ein Klick. Und das Protokoll pflegt sich selbst, ältere Einträge werden nach einiger Zeit automatisch bereinigt. Du hast keinen Wartungsaufwand.

Baustein 4: Das Compliance-Dossier als Snapshot

Ein Dashboard zeigt immer nur das Jetzt. Für den Nachweis brauchst du aber die Vergangenheit. Deshalb gibt es das Compliance-Dossier: ein PDF, das deinen Stand zu einem Zeitpunkt einfriert – mit Abdeckung, KI-Register, Änderungshistorie und einer Attestierung des Stands, alles in einem Dokument.

Du erzeugst es im Bereich EU AI Act Compliance über „Dossier exportieren" und speicherst die Datei. Das ist der ganze Vorgang – zwei Klicks.

Der Praxis-Workflow: 20 Minuten pro Quartal

So sieht das bei unseren Kunden im Alltag aus – bewusst schlank, weil sonst niemand es durchhält:

1. Einmal aufsetzen: KI-Register mit allen eingesetzten Tools füllen, Ordner-Standards für neue Uploads setzen, Coverage-Warnung mit Schwellwert aktivieren, Warnung beim Produkt-Aktivieren einschalten.
2. Laufend: Neue Uploads werden über die Ordner-Standards automatisch vorbelegt, der Metadaten-Scan schlägt Kandidaten vor, die Review-Queue sammelt Zweifelsfälle. Du entscheidest nur noch die Grenzfälle.
3. Wenn eine Warnung kommt: Dashboard öffnen, Lücken abarbeiten. Meistens sind es einzelne Bilder eines neuen Sortiments.
4. Quartalsende: Dossier exportieren, ablegen, fertig. Ändert sich die Tool-Landschaft, vorher kurz das Register aktualisieren.

Dass wir bewusst keine automatische KI-Erkennung per Heuristik eingebaut haben, gehört zu diesem Bild: Eine Software, die „errät", ob ein Bild KI-generiert ist, produziert falsch-positive und falsch-negative Ergebnisse – und die Verantwortung bleibt trotzdem bei dir. Wir liefern Vorschläge aus echten Metadaten (C2PA/IPTC) und einen Prozess, der deine Entscheidung dokumentiert. Nachvollziehbar ist mehr wert als bequem.

Häufige Fehler, die wir sehen

• Screenshots als Nachweis. Ein Screenshot zeigt einen Moment und lässt sich beliebig datieren. Ein Protokoll mit Nutzer, Zeitpunkt und Quelle ist eine andere Qualität.
• Register ohne Pflege. Eine Liste vom letzten Jahr, in der drei Tools fehlen, schadet mehr als sie hilft. Deshalb gehört das Register in dasselbe System wie die Kennzeichnung.
• Nur Bilder im Blick. Produkttexte und der Chatbot werden gern vergessen. Der Chatbot-Hinweis ist ein eigener Pflichttatbestand – Details dazu in Chatbot: KI-Hinweis-Pflicht im Online-Shop.
• Doku außerhalb des Shops. Jede Dokumentation, die in einem separaten Tool lebt, driftet. Nachweise sollten dort entstehen, wo die Daten liegen.

Quellen

Alle Rechtsangaben in diesem Artikel lassen sich hier im Original nachlesen (Stand: August 2026):

• Verordnung (EU) 2024/1689 (KI-Verordnung), Art. 50 und Art. 99 Abs. 4
• Bundesnetzagentur: Marktüberwachung KI

Fazit: Nachweisbar ist der Unterschied

Kennzeichnen ist Pflicht – nachweisen ist Selbstschutz. Der Aufwand dafür ist überschaubar, wenn die Werkzeuge im Shop-System sitzen: ein Register, das du einmal füllst, ein Dashboard, das Lücken sichtbar macht, ein Protokoll, das mitläuft, und vier PDFs im Jahr. Mehr braucht es nicht, um bei einer Nachfrage souverän statt nervös zu reagieren.

Genau dafür haben wir unser Plugin EU AI Act Compliance gebaut: komplett lokal, ohne externe Dienste, mit Badge-Ausgabe im Storefront und der kompletten Nachweis-Seite obendrauf. Es ist auf die Leitlinien der EU-Kommission vom Juli 2026 vorbereitet und kommt bald in den Shopware Store – wenn du früher einsteigen willst, melde dich einfach.

Du willst wissen, wie es in deinem Shop wirklich um KI-Kennzeichnung und Nachweise steht? Wir machen einen Check: Welche KI-Inhalte hast du, wo fehlt die Kennzeichnung, was gehört in dein Register, wie kommst du zu einem quartalsweisen Dossier. Und wenn dein Setup Sonderfälle hat – eigenes Theme, PIM-Anbindung, mehrere Verkaufskanäle – lösen wir das über unsere Shopware-Plugin-Entwicklung. Lass uns in einem kostenlosen Erstgespräch draufschauen: ehrlich, unverbindlich und ohne Verkaufsdruck. Rechtsberatung ersetzt das nicht – aber es sagt dir, wo du technisch stehst.