Die regulatorische Landkarte lesen: vom EU AI Act bis zu Provenance-Gesetzen

# Die regulatorische Landkarte lesen: vom EU AI Act bis zu Provenance-Gesetzen

Eine Handtasche verlässt eine Werkstatt in Florenz mit eingebautem NFC-Chip, wird von einem Computer-Vision-System nach Lederqualität eingestuft, von einem Demand-Forecasting-Algorithmus bepreist und beim Wiederverkauf von einem KI-Erkennungstool authentifiziert. Vier KI-Systeme, ein Produkt, und bis 2027 möglicherweise vier verschiedene Regulierungsregime, die jeweils eines davon beobachten. Das ist heute die Realität für jedes Haus, das in der EU, den USA und Asien verkauft.

Diese Lektion zeigt Ihnen, wie Sie KI-Use-Cases in einem Luxusunternehmen den Regeln zuordnen, die tatsächlich gelten. So erkennen Sie den Unterschied zwischen „wäre gut, offenzulegen“ und „verpflichtende Compliance-Anforderung“.

Warum Luxus ein Sonderfall ist

Luxusgüter liegen an einer ungewöhnlichen Schnittstelle von drei Regulierungstraditionen:

• KI-spezifische Regulierung (der EU AI Act, seit August 2024 in Kraft, mit Pflichten, die bis 2027 gestaffelt greifen)
• Produkt- und Nachhaltigkeitsrecht (der Digital Product Passport der EU, Teil der Ecodesign for Sustainable Products Regulation, ESPR, ab 2027 gestaffelt für Textilien und weitere Kategorien)
• IP- und Kreativwirtschaftsrecht (Urheberrecht, Designrechte und Anti-Counterfeiting-Regeln, die älter sind als KI, aber nun dafür neu interpretiert werden)

Ein einzelnes KI-System, etwa eines, das Produktbeschreibungen erzeugt oder gefälschte Resale-Angebote markiert, kann Pflichten aus allen drei Bereichen gleichzeitig auslösen. Die meisten Compliance-Fehler in der Branche entstehen, weil diese Bereiche als getrennte Silos behandelt werden statt als eine einzige Landkarte.

Der EU AI Act: bei den Risikoklassen anfangen, nicht bei den Use-Cases

Der EU AI Act (Verordnung 2024/1689) klassifiziert KI-Systeme nach Risiko, nicht nach Branche. Das heißt: Dieselbe Klassifizierungslogik gilt, ob Sie eine Bank oder ein Schuhmacher sind.

Unakzeptables Risiko (verboten): unterschwellige Manipulation, Social Scoring, biometrische Kategorisierung mit Ableitung sensibler Merkmale. Für Luxus relevant, wenn zum Beispiel eine Retail-KI die Ethnie oder emotionale Verletzlichkeit eines Kunden ableitet, um Preise in Echtzeit anzupassen. Das wäre schlicht verboten.

Hochrisiko: Systeme, die Sicherheit, Beschäftigung oder Grundrechte betreffen. Im Kern-Luxusretail selten, aber Hiring-Algorithmen (Screening von Handwerkern oder Store-Personal) oder biometrische Zutrittskontrolle in Flagship-Stores kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen darunter fallen. Hochrisikosysteme erfordern ein Konformitätsbewertungsverfahren, eine technische Dokumentation, menschliche Aufsicht und die Registrierung in einer EU-Datenbank vor dem Einsatz.

Begrenztes Risiko (Transparenzpflichten): Hier landet der Großteil der Luxus-KI. Chatbots, KI-generierte Marketinginhalte und Kampagnenbilder im Deepfake-Stil lösen alle eine einfache, aber klare Regel aus: Sie müssen offenlegen, dass der Inhalt oder die Interaktion KI-generiert oder KI-gestützt ist. Ein virtueller Try-on-Assistent oder ein KI-Spokesmodel in einer Kampagne braucht eine sichtbare oder zugängliche Offenlegung.

Minimales Risiko: Die meisten Back-Office-Anwendungen, Demand Forecasting, Bestandsoptimierung, rein intern genutzte Vision-Modelle zur Qualitätseinstufung, unterliegen keiner spezifischen Pflicht aus dem AI Act über allgemeine Good Practice hinaus.

Kurzes Klassifizierungs-Snippet

Eine einfache Möglichkeit, Use-Cases vor der tieferen rechtlichen Prüfung zu triagieren:

def triage_ai_act_tier(use_case):
    if use_case in ["biometric categorization", "manipulative dark patterns"]:
        return "UNACCEPTABLE - do not deploy"
    if use_case in ["hiring screening", "biometric access control",
                     "credit/financing decisions"]:
        return "HIGH-RISK - conformity assessment required"
    if use_case in ["chatbot", "AI-generated ad content",
                     "synthetic spokesmodel", "deepfake campaign"]:
        return "LIMITED RISK - disclosure obligation"
    return "MINIMAL RISK - internal governance sufficient"

Das ist eine erste Heuristik, keine rechtliche Feststellung. Die endgültige Klassifizierung sollte die Rechtsabteilung einbeziehen, besonders nahe der Hochrisiko-Grenze.

Digital Product Passports: eine zweite, unabhängige Ebene

Die ESPR der EU führt den Digital Product Passport (DPP) ein, einen maschinenlesbaren Datensatz, der einem Produkt zugeordnet ist (oft über QR-Code oder NFC-Chip) und Materialien, Herkunft, Reparierbarkeit und Umweltfußabdruck offenlegt. Textilien und Schuhe sind als Prioritätskategorien benannt, detaillierte Regeln werden ab 2027 gestaffelt erwartet (die Zeitpläne werden von der Europäischen Kommission noch finalisiert).

Hier liegt der Schnittpunkt: Wenn ein KI-System irgendeinen Teil dieser Passdaten erzeugt oder verifiziert, etwa ein KI-Modell, das den CO2-Fußabdruck einer Tasche aus ihrer Stückliste schätzt, dann fällt dieser KI-Use-Case nun sowohl unter die Transparenzregeln des AI Act als auch unter die Datengenauigkeitsanforderungen des DPP. Liegt die KI-generierte Fußabdruckschätzung falsch, haben Sie ein Produkt-Compliance-Problem, nicht nur ein AI-Governance-Problem.

Deshalb brauchen Häuser, die in der EU, den USA und Asien verkaufen, ein einziges KI-Inventar, das jedes System gegen jedes anwendbare Regime taggt, und nicht drei getrennte Compliance-Tracker, die nie miteinander sprechen.

Provenance, Fälschungen und IP-Recht

Die dritte Ebene ist älter als KI, wird aber durch sie gedehnt. Zwei Brennpunkte sind 2026 am wichtigsten:

Authentifizierungs-KI und Haftung. KI-basierte Authentifizierungstools (genutzt von Resale-Plattformen und zunehmend von den Häusern selbst) senken das Fälschungsrisiko, aber ein False Positive (eine Fälschung fälschlich als echt einstufen) oder ein False Negative (ein echtes Stück ablehnen) erzeugt reale kommerzielle und rechtliche Risiken. Es gibt noch keinen EU-weiten Standard dafür, wie genau diese Tools sein müssen, daher verlassen sich Häuser typischerweise auf vertragliche Haftungsausschlüsse und menschliche Prüfung markierter Grenzfälle.

Generative KI und Designrechte. Generative KI, die auf gescrapten Bildern trainiert wurde, für neue Taschensilhouetten oder Textilmuster zu nutzen, wirft urheber- und designrechtliche Fragen unter bestehenden IP-Frameworks auf (die Gemeinschaftsgeschmacksmusterverordnung der EU sowie in den USA laufende Verfahren zur Frage, ob KI-Training auf urheberrechtlich geschützten Werken Fair Use ist). Kein Luxushaus will ein Hero-Produkt, das auf einer Design-PipelinePipelineAll active sales opportunities across the stages of the sales process, together with their combined potential value and probability of closing.Vollständige Definition ansehen → beruht, die später angreifbar sein kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnte. Die sichere Haltung 2026 lautet: Dokumentieren Sie die Provenance der Trainingsdaten für jedes generative Tool im Design und halten Sie die menschliche Creative Direction nachweisbar im Zentrum der endgültigen Entwürfe.

Die regimeübergreifende Landkarte aufbauen

Stellen Sie für jeden KI-Use-Case vier Fragen in dieser Reihenfolge:

1. Welche AI-Act-Klasse? Unakzeptabel, Hochrisiko, begrenztes Risiko (Offenlegung) oder minimal.

2. Berührt er Produktdaten, die für einen Pass bestimmt sind? (Materialien, Herkunft, Fußabdruck, Reparierbarkeit)

3. Berührt er kreatives oder authentifizierungsbezogenes IP? (Generierung, Design, Fälschungserkennung)

4. In welche Märkte wird das Produkt geliefert? Der EU AI Act gilt für Systeme, die im EU-Markt genutzt werden, unabhängig davon, wo das Unternehmen seinen Sitz hat (extraterritoriale Wirkung, ähnlich der Logik der DSGVO). Die USA haben noch kein vergleichbares Bundesgesetz zu KI und stützen sich stattdessen auf Sektorregeln und Landesgesetze (zum Beispiel den AI Act von Colorado und verschiedene Biometrie-Datenschutzgesetze der Bundesstaaten), während mehrere asiatische Märkte (Japan, Singapur) derzeit leichtere Leitlinien gegenüber verbindlichen Regeln bevorzugen. Ein einzelnes KI-Tagging-Feature kann daher in Paris „begrenztes Risiko, Offenlegung erforderlich“ sein und in Tokio in derselben Form faktisch unreguliert, Stand Anfang 2026.

Das praktische Ergebnis sollte ein lebendes Register sein, eine Zeile pro KI-System, Spalten für jedes Regime, aktualisiert, sobald ein neuer Markt oder ein neues KI-Feature dazukommt.

Die Governance-Gewohnheit, die daraus entsteht

Nichts davon verlangt, dass jeder Luxus-Profi zum Regulierungsjuristen wird. Es verlangt eine Gewohnheit: Bevor ein KI-System live geht, führt jemand es durch die vier Fragen oben und protokolliert die Antwort. Dieser einzelne Checklisten-Schritt macht den Unterschied, ob Sie eine falsche Hochrisiko-Einstufung im Design-Review auffangen oder sie im Anfragebrief einer Aufsichtsbehörde entdecken.

Wichtigste Erkenntnisse

• Klassifizieren Sie KI-Use-Cases zuerst nach der Risikoklasse des EU AI Act (unakzeptabel, Hochrisiko, begrenztes Risiko, minimal); der Großteil der KI in Luxusretail und Marketing landet bei begrenztem Risiko und löst eine Offenlegungspflicht aus, nicht eine vollständige Konformitätsbewertung.
• Digital Product Passports (aus der ESPR, ab 2027 gestaffelt für Textilien) schaffen eine zweite, unabhängige Pflicht, sobald KI Produktdaten wie Materialherkunft oder CO2-Fußabdruck erzeugt oder verifiziert.
• IP- und Provenance-Recht fügt eine dritte Ebene hinzu: Generative Designtools brauchen dokumentierte Trainingsdaten-Provenance, und Authentifizierungs-KI braucht menschliche Prüfung von Grenzfällen, um Haftung zu steuern.
• Der EU AI Act gilt extraterritorial für jedes System, das den EU-Markt berührt; die USA und die meisten asiatischen Märkte regulieren derzeit leichter, sodass dasselbe KI-Feature je nach Region unterschiedlichen Pflichten unterliegen kann.
• Führen Sie ein einziges regimeübergreifendes KI-Inventar, keine Silo-Tracker, damit die Pflichten eines KI-Systems in allen drei Regimen vor dem Einsatz an einem Ort sichtbar sind.