Verbotene KI-Praktiken nach Art. 5 AI Act

Seit wann gelten die Verbote – und warum das relevant bleibt

Art. 5 der KI-VO (EU) 2024/1689 ist bereits seit dem 02.02.2025 in Kraft – zusammen mit Art. 4 (KI-Kompetenz). Der „Digital Omnibus on AI“, den Parlament und Rat im Juni 2026 angenommen haben, verschiebt zwar mehrere andere Fristen der Verordnung (Art. 50, Hochrisiko-Pflichten nach Anhang III und Anhang I), rührt aber an Art. 5 nicht. Die Verbotsliste gilt uneingeschränkt und ohne Übergangsfrist – unabhängig davon, ob Ihr System als Hochrisiko-KI eingestuft ist oder nicht. Das macht Art. 5 zur derzeit schärfsten und am längsten scharfgestellten Norm der gesamten Verordnung.

Welche Praktiken Art. 5 konkret untersagt

Art. 5 Abs. 1 zählt acht Praktiken auf, die unabhängig vom Risikograd des Systems verboten sind:

• Unterschwellige oder manipulative Beeinflussung (Art. 5 Abs. 1 lit. a), die Entscheidungsfähigkeit deutlich beeinträchtigt und zu erheblichem Schaden führt oder führen kann.
• Ausnutzung von Vulnerabilität aufgrund Alter, Behinderung oder sozialer/wirtschaftlicher Situation (lit. b).
• Social Scoring: Bewertung oder Einstufung von Personen anhand sozialen Verhaltens oder abgeleiteter Persönlichkeitsmerkmale, wenn dies zu ungerechtfertigter Schlechterstellung führt (lit. c).
• Straftaten-Prognose ausschließlich auf Profiling-Basis (lit. d) – mit Ausnahme der Unterstützung menschlicher Bewertungen, die sich auf objektive, überprüfbare Tatsachen stützen.
• Ungezieltes Scraping von Gesichtsbildern aus dem Internet oder von Überwachungsaufnahmen zum Aufbau von Gesichtserkennungsdatenbanken (lit. e).
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (lit. f), außer aus medizinischen oder Sicherheitsgründen.
• Biometrische Kategorisierung zur Ableitung von Rasse, politischer Einstellung, Gewerkschaftszugehörigkeit, Religion, Sexualleben oder sexueller Orientierung (lit. g).
• Biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken (lit. h) – hierzu gibt es enge Ausnahmen (siehe unten).

Für die betriebliche Praxis sind vor allem lit. a, b und f relevant: Marketing-, Recruiting- und HR-Tools, die auf Verhaltensbeeinflussung, Vulnerabilitätsausnutzung oder Emotionsanalyse setzen, bewegen sich hier schnell im verbotenen Bereich – auch wenn das ursprünglich nicht die Absicht war.

Die Ausnahme: biometrische Echtzeit-Fernidentifizierung

Art. 5 Abs. 1 lit. h verbietet biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken grundsätzlich, lässt aber drei eng gefasste Ziele zu: Suche nach Opfern von Menschenhandel oder sexueller Ausbeutung sowie vermissten Personen, Abwenden einer konkreten und unmittelbaren Gefahr für Leben oder körperliche Unversehrtheit oder eines Terroranschlags, und die Verfolgung von in Anhang II gelisteten Straftaten mit einer Mindestfreiheitsstrafe von vier Jahren. Art. 5 Abs. 2 verlangt zusätzlich, dass der Einsatz „unbedingt erforderlich“ ist und nur zur Bestätigung der Identität einer speziell betroffenen Person erfolgt. Für Verarbeitungen biometrischer Daten außerhalb der Strafverfolgung verweist Art. 5 Abs. 1 lit. h ausdrücklich auf Art. 9 der Verordnung (EU) 2016/679 – die DSGVO-Regeln zu besonderen Kategorien personenbezogener Daten bleiben also parallel anwendbar.

Typische Lücken in der Praxis

In der Beratungspraxis zeigen sich immer wieder dieselben blinden Flecken: Emotionserkennung wird in Callcenter- oder Recruiting-Software eingebaut, ohne dass geprüft wird, ob eine medizinische oder Sicherheits-Ausnahme nach lit. f tatsächlich vorliegt. Scoring-Modelle im Kreditgeschäft oder HR-Bereich verarbeiten „weiche“ Verhaltensdaten, ohne dass jemand die Abgrenzung zu Art. 5 Abs. 1 lit. c dokumentiert hat. Und A/B-Testing oder Personalisierungsalgorithmen im Marketing werden selten unter dem Gesichtspunkt „manipulative Technik mit Schadenspotenzial“ (lit. a) geprüft – dabei ist genau das der Maßstab, den Art. 5 anlegt. Weil diese Verbote absolut wirken und keine Melde- oder Konformitätsbewertungspflicht als Korrektiv kennen, hilft hier keine nachträgliche Dokumentation – die Praxis muss von vornherein unterbleiben.

Fazit

Art. 5 ist keine Zukunftsfrage, sondern seit über einem Jahr geltendes Recht. Wer KI-Systeme mit Verhaltens-, Emotions- oder biometrischen Komponenten einsetzt, sollte diese unabhängig von der Hochrisiko-Einstufung gegen den Verbotskatalog prüfen. Einen ersten Anhaltspunkt, wo Ihr System steht und welche Pflichten aus der KI-VO für Sie greifen, gibt Ihnen unser kostenloser Risiko-Check unter /einstufung.