KI-Funktionen im Shopsystem bewerten: Nutzen und Risiken

KI-Funktionen kommen als Bestandteil des Tarifs, als Zusatzmodul oder als Anbindung an einen externen Dienst in den Shop. Ob eine Funktion ihren Preis wert ist, entscheidet der Vergleich mit dem Ablauf, den Sie heute haben. Dieses Raster ordnet jede Funktion nach drei Fragen: Was verbessert sie messbar, welche Daten sieht sie, und was kostet der einzelne Vorgang?

Worum es bei der Auswahl geht

Der Begriff ist weiter, als er klingt. Nach Art. 3 Nr. 1 der KI-Verordnung (Verordnung (EU) 2024/1689) ist ein KI-System ein maschinengestütztes System, das aus Eingaben Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen ableitet. Darunter fallen Textvorschläge im Backend, die Sortierung der Suche, ein Antwortvorschlag im Service oder ein Score im Checkout.

Für die Bewertung zählt, wo die Funktion arbeitet: Im Backend kostet ein Fehler Arbeitszeit, im Checkout wirkt er gegenüber der Kundschaft, etwa wenn eine Bestellung abgelehnt oder eine Zahlungsart gesperrt wird. Beide brauchen eine eigene Zeile im Raster, und die Rechtslage hängt am Land.

Wie Sie den Nutzen einer Funktion messen

Messen Sie zuerst, was die Funktion ersetzen soll: eine Kennzahl, eine Stichprobe, ein Zeitraum, festgehalten bevor Sie das System einsetzen. Ohne diesen Wert bleibt jede Bewertung ein Gefühl.

Geeignete Kennzahlen sind Zeit je Vorgang (Stoppuhr, nicht Schätzung), Fehler je 100 Vorgänge, der Anteil ohne Nacharbeit und die Zahl der Rückfragen; im Service zusätzlich der Anteil ohne Übergabe an einen Menschen.

Die Prüfzeit gehört in denselben Vergleich: Was jemand kontrolliert, kostet die Kontrolle weiter, und eine Freigabe ohne Prüfung verlagert das Risiko in den Shop. Bleibt der Vorteil, wenn die Prüfzeit auf das Dreifache steigt?

Was eine Funktion mit Daten macht

Vor jeder Bewertung steht der Datenweg: welche Daten in das System gehen, wo es sie verarbeitet, wer sie sieht und wie lange.

Die KI-Verordnung ist in Deutschland und Österreich ab dem 2. August 2026 anzuwenden (Art. 113 Abs. 2 der Verordnung (EU) 2024/1689); das ist nicht ihr erster Termin. Die Kapitel I und II gelten bereits ab dem 2. Februar 2025, ausgenommen die erst ab dem 2. Dezember 2026 geltenden Verbote des Art. 5 Abs. 1 Unterabs. 1 Buchst. ba und bb sowie des Art. 5 Abs. 1a und 1b (Art. 113 Abs. 3 Buchst. a in der Fassung der Verordnung (EU) 2026/1744). Zu Kapitel I gehören Art. 2 (Anwendungsbereich) und Art. 4 (KI-Kompetenz). Adressaten sind nach Art. 2 Abs. 1 Anbieter, Betreiber, Einführer, Händler, Produkthersteller und Bevollmächtigte sowie die betroffenen Personen in der Union; ohne ein KI-System entsteht daraus keine Pflicht. Die Neufassung des Art. 4 durch die Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, verlangt Maßnahmen zur Entwicklung der KI-Kompetenz des befassten Personals, ohne ein Kompetenzniveau zu garantieren. Art. 50 ist seit dem 2. August 2026 anwendbar und verlangt: Interaktionssysteme sind so zu gestalten, dass die Person informiert wird, außer dies ist offensichtlich (Abs. 1), erzeugte Audio-, Bild-, Video- oder Textinhalte maschinenlesbar zu kennzeichnen (Abs. 2) und Deepfakes offenzulegen (Abs. 4), jeweils spätestens zum Zeitpunkt der ersten Interaktion (Abs. 5). Die Kennzeichnungspflicht nach Abs. 2 gilt nach Abs. 2 Satz 3 nicht, soweit die Systeme eine unterstützende Funktion für die Standardbearbeitung ausführen, die vom Betreiber bereitgestellten Eingabedaten oder deren Semantik nicht wesentlich verändern oder zur Aufdeckung, Verhütung, Ermittlung oder Verfolgung von Straftaten gesetzlich zugelassen sind. Die Absätze 1 und 2 adressieren den Anbieter, Absatz 4 den Betreiber. Für generative Systeme aus der Zeit vor dem 2. August 2026 läuft die Frist für Absatz 2 bis zum 2. Dezember 2026 (Art. 111 Abs. 4).

Hochrisiko erst später. Die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen steht in Anhang III Nr. 5 Buchst. b; Systeme zur Aufdeckung von Finanzbetrug sind dort ausgenommen. Solche Systeme gelten nach Art. 6 Abs. 2 als hochriskant; nach Art. 6 Abs. 3 gelten sie abweichend davon nicht als hochriskant, wenn sie kein erhebliches Risiko der Beeinträchtigung in Bezug auf die Gesundheit, Sicherheit oder Grundrechte natürlicher Personen bergen, indem sie unter anderem das Ergebnis der Entscheidungsfindung nicht wesentlich beeinflussen und eine der dort genannten Bedingungen erfüllen; nehmen sie ein Profiling natürlicher Personen vor, gelten sie ungeachtet dessen immer als hochriskant. Die Kapitel III Abschnitte 1 bis 3 greifen für diese Systeme ab dem 2. Dezember 2027 (Art. 113 Abs. 3 Buchst. c Ziffer i in der Fassung der Verordnung (EU) 2026/1744), ausgenommen Art. 6 Abs. 5 (Leitlinien der Kommission), der nicht verschoben ist. Für ein System, das vor dem Beginn dieser Anwendung in Verkehr gebracht oder in Betrieb genommen wurde, gilt die Verordnung nach Art. 111 Abs. 2 in der Fassung der Verordnung (EU) 2026/1744 nur, wenn es danach in seiner Konzeption erheblich verändert wurde.

Personenbezogene Daten. In Deutschland und Österreich gilt die DSGVO; nach Art. 3 Abs. 2 DSGVO erfasst sie auch Verantwortliche außerhalb der Union, die Personen in der Union Waren oder Dienstleistungen anbieten. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder erheblicher Beeinträchtigung ist nach Art. 22 Abs. 1 DSGVO grundsätzlich unzulässig und nur in den Fällen des Absatzes 2 zulässig; in den Fällen des Absatzes 2 Buchst. a und c gehören die Schutzmaßnahmen nach Absatz 3 dazu (Eingreifen einer Person, Darlegung des eigenen Standpunkts, Anfechtung der Entscheidung), und nach Art. 13 Abs. 2 Buchst. f DSGVO ist über Logik, Tragweite und angestrebte Auswirkungen zu informieren. Für Scoring in Deutschland gilt § 31 BDSG: Der Wahrscheinlichkeitswert ist nur zulässig, wenn die datenschutzrechtlichen Vorschriften eingehalten sind, die zur Berechnung genutzten Daten nach einem wissenschaftlich anerkannten mathematisch-statistischen Verfahren nachweisbar für die Wahrscheinlichkeit erheblich sind, für die Berechnung nicht ausschließlich Anschriftendaten genutzt wurden und die betroffene Person bei Nutzung von Anschriftendaten vor der Berechnung über diese Nutzung unterrichtet und die Unterrichtung dokumentiert wurde (§ 31 Abs. 1 Nr. 1 bis 4 BDSG). Die Verwendung eines von Auskunfteien ermittelten Wahrscheinlichkeitswerts über die Zahlungsfähig- oder Zahlungswilligkeit ist im Fall der Einbeziehung von Informationen über Forderungen nach § 31 Abs. 2 BDSG nur zulässig, wenn die Voraussetzungen des Absatzes 1 vorliegen, nur Forderungen berücksichtigt werden, die trotz Fälligkeit nicht erbracht wurden, und die berücksichtigten Forderungen eine der fünf Voraussetzungen des Absatzes 2 Nr. 1 bis 5 erfüllen. Verarbeitet ein Dienstleister in Ihrem Auftrag, brauchen Sie einen Vertrag nach Art. 28 Abs. 3 DSGVO; weitere Auftragsverarbeiter darf er nur mit Ihrer vorherigen gesonderten oder allgemeinen schriftlichen Genehmigung einsetzen (Art. 28 Abs. 2 Satz 1 DSGVO). Haben Sie eine allgemeine schriftliche Genehmigung erteilt, muss er Sie über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter informieren, damit Sie gegen die Änderung Einspruch erheben können (Art. 28 Abs. 2 Satz 2 DSGVO). Die Nennung der Unterauftragsverarbeiter in einer Liste ist eine redaktionelle Anforderung an den Vertrag, keine Vorgabe des Art. 28 DSGVO.

Schweiz. Dort gilt die KI-Verordnung nicht als dortiges Recht. Nach Art. 2 Abs. 1 Buchst. a erfasst sie Anbieter unabhängig von ihrem Sitz, die ein KI-System in der Union in Verkehr bringen oder in Betrieb nehmen, und nach Buchst. c Anbieter und Betreiber mit Sitz im Drittland, wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird; ein Schweizer Anbieter, der sein System in der Union anbietet, und ein Schweizer Shop, dessen Ausgabe in der Union verwendet wird, können danach erfasst sein. Für Personendaten gilt, soweit der Shop solche beschafft, das DSG: Art. 19 verlangt die Information bei der Beschaffung. Eine Entscheidung, die ausschließlich auf einer automatisierten Bearbeitung beruht und für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt, löst nach Art. 21 Abs. 1 eine Informationspflicht aus; auf Antrag muss der Betrieb den Standpunkt der Person anhören und die Entscheidung von einer natürlichen Person überprüfen lassen (Ausnahmen: Abs. 3). Bei einer Kreditwürdigkeitsprüfung fällt nach Art. 31 Abs. 2 Buchst. c DSG ein überwiegendes Interesse insbesondere in Betracht, wenn vier Voraussetzungen erfüllt sind: keine besonders schützenswerten Personendaten und kein Profiling mit hohem Risiko, Weitergabe an Dritte nur für den Abschluss oder die Abwicklung eines Vertrags, Daten nicht älter als zehn Jahre, volljährige Person; ein solches überwiegendes Interesse rechtfertigt nach Art. 31 Abs. 1 DSG die Persönlichkeitsverletzung.

Bewertungsraster: Nutzen, Daten und Kosten je Funktion

Eine Zeile je Funktion; leere Zellen werden im Betrieb zur offenen Frage.

Funktion	Nutzen-Test (Kennzahl vorher → Ziel)	Datenverwendung und Rechtsrahmen	Kostenpositionen	Frage an den Anbieter
Produkttexte, Übersetzungen, Bildvarianten	Minuten je Text heute → Prüfzeit und Nacharbeit; Fehler je 100 Texten	Produktdaten ohne Personenbezug; bei Kundenanfragen DSGVO (DE, AT) oder DSG (CH); Kennzeichnung durch den Anbieter nach Art. 50 Abs. 2 (DE, AT), ausgenommen unterstützende Standardbearbeitung und Systeme, die Eingabedaten oder deren Semantik nicht wesentlich verändern (Abs. 2 Satz 3)	Einrichtung, Modul oder Verbrauch, Prüf- und Korrekturzeit	Wem gehören die Ausgaben, und wer haftet für fehlerhafte Texte?
Chat- oder Sprachassistent, automatische Status- und Antwortvorschläge	Anteil ohne Übergabe gelöster Anfragen; Zeit bis zur Antwort; Korrekturen vor dem Versand	Chatverlauf und Bestelldaten: Art. 28 DSGVO (DE, AT), Art. 9 DSG (CH); Information nach Art. 50 Abs. 1 (DE, AT); ein Vorschlag ohne Versand ist keine Entscheidung nach Art. 22 DSGVO (DE, AT)	Grundgebühr, Preis je Konversation, Pflege des Wissensstands, Freigabezeit	Werden Verläufe gespeichert oder zum Training verwendet, und wer gibt Vorschläge frei?
Suche, Filter, Empfehlungen	Abbruchquote in Suche und Warenkorb; Zahl der Nulltreffer	Such- und Klickdaten; bei Personenbezug Rechtsgrundlage nach Art. 6 DSGVO (DE, AT), in der Schweiz Rechtfertigung einer Persönlichkeitsverletzung nach Art. 31 DSG	Modul oder Verbrauch, Einrichtung, Datenpflege	Welche Signale fließen ein, und lässt sich die Reihenfolge ohne Modell setzen?
Bonitäts- und Betrugsprüfung	Ausfallquote und Zahl manueller Nachprüfungen je 100 Bestellungen	Scoring: § 31 BDSG (DE), Art. 22 DSGVO (DE, AT); Art. 31 Abs. 2 Buchst. c und Art. 21 DSG (CH); die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen ist nach Art. 6 Abs. 2 und Anhang III Nr. 5 Buchst. b hochriskant (ohne Systeme zur Aufdeckung von Finanzbetrug), nach Art. 6 Abs. 3 ausnahmsweise nicht, wenn kein erhebliches Risiko besteht, bei einem Profiling natürlicher Personen aber immer; die Kapitel III Abschnitte 1 bis 3 gelten für sie ab dem 2. Dezember 2027 (ausgenommen Art. 6 Abs. 5), für vorher in Verkehr gebrachte oder in Betrieb genommene Systeme nach Art. 111 Abs. 2 nur bei erheblicher späterer Änderung der Konzeption (DE, AT)	Gebühr je Prüfung, Nachprüfung von Hand, Dokumentation	Aus welchen Quellen stammen die Daten, und wie werden Falschtreffer behandelt?

Woraus sich die Kosten zusammensetzen

Dieses Prüfraster trennt fünf Kostenarten; sie ergeben zusammen die Kosten je Vorgang. Halten Sie zu jeder Position schriftlich fest, was sie kostet.

Kostenart	Abrechnung	Schriftlich verlangen
Einrichtung	Pauschale oder Stunden nach Aufwand	Leistungsverzeichnis mit Stundensatz und Abgrenzung
Lizenz oder Modul	fest je Monat oder Jahr	Tarifstufe, in der die Funktion enthalten ist, und Preisstufe bei Wachstum
Verbrauch	je Aufruf, je 1.000 Zeichen, je Konversation	Einheit, Preis, Mindestabnahme, Frist für Preisänderungen
Eigene Prüf- und Nacharbeit	Minuten je Vorgang mal Ihr Vollkostensatz	keine Zusage des Anbieters, sondern Ihre Messung
Ausstieg	einmalig	Exportformat, Löschfrist, Auftragsverarbeitungsvertrag

Beispielrechnung mit erfundenen Zahlen: 1.000 Produkttexte, heute 12 Minuten je Text (200 Stunden), mit der Funktion 3 Minuten Prüfzeit und 1 Minute Nacharbeit (67 Stunden). Bei 45 Euro Vollkosten je Stunde sind das 6.000 Euro weniger Handarbeit im ersten Jahr; 1.800 Euro Einrichtung und 120 Euro Monatsgebühr ergeben 3.240 Euro, der Vorteil liegt bei rund 2.760 Euro. Steigt die Prüfzeit auf 8 Minuten, bleiben 2.250 Euro Ersparnis und damit weniger als die Kosten. Die Zahlen sind Annahmen, kein Marktpreis.

Warnsignale in Angebot und Vertrag

• Die Preisliste nennt keinen Verbrauchspreis und darf sich ohne Frist ändern.
• Die Funktion steht als “inklusive KI” im Angebot, ohne System, Zweck und Datenstandort zu nennen.
• Der Anbieter darf Eingaben zum Training seiner Modelle verwenden.
• Der Vertrag regelt nicht, wie weitere Unterauftragsverarbeiter genehmigt werden; in Deutschland und Österreich braucht der Auftragsverarbeiter dafür nach Art. 28 Abs. 2 Satz 1 DSGVO Ihre vorherige gesonderte oder allgemeine schriftliche Genehmigung, und bei einer allgemeinen schriftlichen Genehmigung muss er Sie nach Satz 2 über jede beabsichtigte Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter informieren.
• Zu Ausgaben fehlt jede Regelung: Nutzungsrechte, Haftung, Kennzeichnung.
• Die Vorführung zeigt Beispiele, aber keine Fehlerquote und keinen Prüfaufwand.

Welche Kriterien für welchen Betrieb

Dasselbe Raster, andere Gewichte: Was in welcher Lage zuerst zählt.

Betrieb	Was am stärksten wiegt
Kleiner Katalog mit stabilen Texten	Prüfzeit je Text mehr als der Verbrauchspreis
Großer Katalog mit Varianten und häufigen Änderungen	Datenpflege, Import und Nulltreffer in der Suche
Viele Rückfragen zu Versand und Retouren	Lösungsquote und Pflege des Wissensstands
Verkauf auf Rechnung oder Raten	Prüftiefe, Falschtreffer, Dokumentation, Zeitplan der Hochrisiko-Pflichten ab 2. Dezember 2027, der für davor in Verkehr gebrachte oder in Betrieb genommene Systeme nach Art. 111 Abs. 2 nur bei erheblicher späterer Änderung der Konzeption gilt
Verkauf in mehreren Sprachen und Ländern	Datenstandort, Auftragsverarbeitung, Kennzeichnung je Land

So vergleichen Sie in fünf Schritten

1. Messen Sie je Funktion die Ausgangslage über zwei Wochen und notieren Sie Kennzahl, Stichprobe und Datum.
2. Legen Sie die Zielgröße und ein Abbruchkriterium fest, etwa 4 Minuten Prüfzeit je Text.
3. Zeichnen Sie den Datenweg: Eingaben, System, Speicherort, Empfänger, Rechtsgrundlage; halten Sie die Antworten schriftlich fest.
4. Rechnen Sie die Kosten je Vorgang und stellen Sie sie dem gemessenen Nutzen gegenüber; setzen Sie Ihre eigene Zeit mit Vollkostensatz an.
5. Setzen Sie ein Prüfdatum von drei Monaten und messen Sie nach.

Für die Auswahl nach denselben Regeln siehe Kriterien der Shopsystem-Auswahl, für Verträge mit Dienstleistern Auftragsverarbeitung mit Dienstleistern und für Datenstandorte Datenschutz bei der Shopsystem-Auswahl. Die Kosten über die Laufzeit rechnet Gesamtkosten über die Laufzeit; die Prüfung von KI-Texten behandelt KI-Produkttexte und Prüfablauf.