Der EU AI Act verbietet seit August 2024 bestimmte KI-Systeme vollständig, darunter Echtzeit-Biometrie zur Fernidentifikation im öffentlichen Raum und Social-Scoring-Anwendungen; Hochrisiko-Systeme unterliegen gestaffelten Pflichten, die ab 2026/2027 greifen. Für international tätige Unternehmen entsteht aus der globalen Regulierungsfragmentierung eine komplexe Multi-Compliance-Pflicht: Während die EU auf verbindliche Verbote und risikobasierte Produktsicherheit setzt, dereguliert die USA auf Bundesebene, die Schweiz wählt einen flexiblen Mittelweg über die Europarats-Konvention, und China steuert KI primär über Inhaltskontrolle. Wer grenzüberschreitend KI-Systeme entwickelt oder einsetzt, muss EU-Konformität mit teils gegensätzlichen lokalen Anforderungen verbinden, was Compliance-Aufwand und Rechtsrisiken spürbar erhöht.

EU AI Act: Verbotene KI-Systeme, Echtzeit-Biometrie und grenzüberschreitende Durchsetzung 2025

Seit August 2024 ist der EU AI Act in Kraft. Er etabliert weltweit das bisher umfassendste gesetzliche Regelwerk für Künstliche Intelligenz. Während die meisten Pflichten stufenweise bis 2026 und 2027 anlaufen, gelten die Verbote für bestimmte KI-Systeme bereits seit Februar 2025. Für Unternehmen, die in der EU tätig sind, bedeutet das: Prüfungsbedarf jetzt, nicht erst in zwei Jahren.

Was der EU AI Act vollständig verbietet

Der EU AI Act unterscheidet vier Risikostufen. Die unterste ist erlaubt, die oberste ist verboten. In die Kategorie der vollständig unzulässigen KI-Systeme fallen unter anderem:

• Echtzeit-Biometrie im öffentlichen Raum: Der Einsatz biometrischer Fernidentifikationssysteme in Echtzeit durch Strafverfolgungsbehörden ist grundsätzlich verboten. Enge Ausnahmen gelten etwa bei der Suche nach vermissten Personen oder der Prävention terroristischer Anschläge, jedoch nur unter strikten Bedingungen und mit vorheriger Genehmigung.
• Social Scoring: Systeme, die natürliche Personen anhand ihres Sozialverhaltens oder persönlicher Merkmale bewerten und daraus Nachteile ableiten, die nicht mit dem ursprünglichen Kontext der Datenerhebung zusammenhängen, sind unzulässig.
• Manipulation und Ausnutzung von Schwachstellen: KI-Systeme, die unbewusste Verhaltenssteuerung einsetzen oder gezielt Schwachstellen bestimmter Personengruppen ausnutzen, sind verboten.
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen: Systeme zur Erkennung von Emotionen in diesen Kontexten sind grundsätzlich unzulässig.

Enforcement: Wer kontrolliert, wer sanktioniert?

Die Durchsetzung des EU AI Act ist auf mehreren Ebenen organisiert. Das neu geschaffene EU AI Office innerhalb der Europäischen Kommission übernimmt die Aufsicht über sogenannte KI-Modelle mit allgemeinem Verwendungszweck (GPAI-Modelle) und koordiniert die grenzüberschreitende Durchsetzung. Nationale Marktaufsichtsbehörden der Mitgliedstaaten sind für die Kontrolle der meisten anderen KI-Systeme zuständig.

Bei Verstößen gegen die Verbote drohen die höchsten Sanktionen des gesamten Regelwerks: bis zu 35 Millionen Euro oder sieben Prozent des globalen Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Für international agierende Unternehmen ergibt sich daraus ein komplexes Bild: Der EU AI Act gilt für alle Anbieter und Betreiber von KI-Systemen, die in der EU eingesetzt werden, unabhängig vom Unternehmenssitz. Nicht-EU-Unternehmen ohne Niederlassung in der EU müssen einen autorisierten Vertreter benennen.

Globale Fragmentierung zwingt zu Multi-Compliance

Während der EU AI Act auf einer risikobasierten Vollregulierung beruht, verfolgen andere Staaten grundlegend andere Ansätze. Laut einer Analyse des Fachmagazins iX (Ausgabe 12/2025) setzt die USA unter der Trump-Administration auf Bundesebene auf Deregulierung, was zu einem Flickwerk einzelstaatlicher Regeln führt. Die Schweiz orientiert sich an der Europarats-Konvention und wählt damit einen flexibleren Mittelweg. China hingegen kontrolliert KI primär über Inhaltssteuerung statt über Produktsicherheitsanforderungen.

Für deutsche und europäische Unternehmen mit internationaler Präsenz entsteht dadurch eine mehrstufige Compliance-Pflicht: EU-Konformität plus lokal unterschiedliche Anforderungen in jedem Drittmarkt. Das erhöht den Aufwand für Rechts- und Technikteams erheblich.

Praktische Implikationen für Entscheider

1. Bestandsaufnahme verbotener Anwendungsfälle ist zwingend Unternehmen sollten prüfen, ob eingesetzte oder geplante KI-Systeme in die Verbotskategorien fallen. Das betrifft nicht nur Strafverfolgungsbehörden, sondern auch private Betreiber, etwa bei Emotionserkennungssystemen in HR-Prozessen oder Scoring-Modellen in der Kundenbewertung. Weiterführende Informationen zu biometrischen Hochrisiko-Anforderungen finden Sie unter EU AI Act: Biometrie, Hochrisiko und Transparenzpflichten.

2. Drittland-Anbieter stehen in der Pflicht Auch Anbieter aus den USA, China oder anderen Nicht-EU-Ländern müssen den EU AI Act einhalten, wenn ihre Systeme im EU-Binnenmarkt genutzt werden. Unternehmen, die solche Systeme einkaufen, sollten entsprechende Nachweise und Vertragsklauseln einfordern. Details zu Importverboten für nicht-konforme KI aus Drittländern liefern konkrete Anhaltspunkte.

3. Durchsetzungsmechanismen werden schärfer Das EU AI Office baut seine Kapazitäten aus. Mit dem Anlaufen weiterer Pflichten ab 2026 ist mit einer deutlich aktiveren Aufsichtstätigkeit zu rechnen. Unternehmen sollten jetzt Governance-Strukturen aufbauen, statt auf nachträgliche Korrekturen zu setzen. Die Durchsetzungsmechanismen und Sanktionen des EU AI Act sind bereits definiert.

4. Multi-Compliance erfordert strukturierte Strategie Wer in mehreren Märkten operiert, kann sich nicht auf eine einzige Compliance-Strategie verlassen. Die regulatorische Fragmentierung zwischen der EU, den USA, der Schweiz und China macht eine marktspezifische Differenzierung notwendig. Eine Compliance-Roadmap mit klaren Fristen und Phasen hilft bei der Priorisierung.

Quellen

• KI-Regulierung weltweit: Viele eigene Wege (heise iX, 12/2025)
• KI-Regulierung weltweit: Die Strategien anderer Länder (heise.de, 19.11.2025)

Häufige Fragen

Welche KI-Systeme verbietet der EU AI Act grundsätzlich?

Der EU AI Act definiert eine Kategorie sogenannter verbotener KI-Systeme, die unabhängig vom Einsatzbereich nicht betrieben werden dürfen. Dazu zählen unter anderem bestimmte Anwendungen zur biometrischen Echtzeit-Fernidentifikation in öffentlichen Räumen sowie KI-gestützte Social-Scoring-Systeme, die Personen anhand ihres Verhaltens bewerten und benachteiligen. Diese Verbote sind Teil des risikobasierten Ansatzes des Gesetzes, das seit August 2024 schrittweise in Kraft tritt.

Ab wann gelten die Verbote für bestimmte KI-Systeme konkret?

Der EU AI Act ist seit August 2024 in Kraft, entfaltet seine Wirkung jedoch über mehrere Jahre gestaffelt. Die Verbote für unzulässige KI-Systeme gehören zu den frühesten Regelungen, während Pflichten für Hochrisiko-KI-Systeme erst ab 2026 und 2027 schrittweise anlaufen sollen. Unternehmen sollten die genauen Fristen für ihren jeweiligen Anwendungsbereich sorgfältig prüfen.

Wie unterscheidet sich der EU-Ansatz bei der KI-Regulierung von dem anderer Länder wie den USA oder China?

Der EU AI Act setzt auf eine umfassende, risikobasierte Vollregulierung, die Produktsicherheit und Grundrechtsschutz in den Mittelpunkt stellt. Die USA verfolgen unter der Trump-Administration auf Bundesebene dagegen einen Deregulierungskurs, während einzelne US-Bundesstaaten eigene, teils uneinheitliche Regeln erlassen. China steuert den KI-Einsatz primär über Inhaltskontrolle statt über Produktsicherheitsanforderungen. Diese globale Fragmentierung ist für international tätige Unternehmen regulatorisch besonders anspruchsvoll.

Was bedeutet die globale Regulierungsfragmentierung konkret für international tätige Unternehmen?

Unternehmen, die KI-Systeme in mehreren Rechtsräumen einsetzen, müssen eine Multi-Compliance-Strategie verfolgen: Sie müssen einerseits die Anforderungen des EU AI Act erfüllen und andererseits lokale Sonderanforderungen in Märkten wie den USA oder China berücksichtigen. Da diese Anforderungen teils widersprüchlich sind, erhöht sich der Aufwand für Rechts- und Compliance-Abteilungen erheblich. Eine einheitliche globale KI-Regulierung ist derzeit nicht absehbar.

Wie werden die Verbote des EU AI Act grenzüberschreitend durchgesetzt?

Der EU AI Act gilt für alle Anbieter und Betreiber, die KI-Systeme im EU-Binnenmarkt in Verkehr bringen oder einsetzen, unabhängig davon, ob das Unternehmen seinen Sitz innerhalb oder außerhalb der EU hat. Die Durchsetzung obliegt nationalen Marktaufsichtsbehörden der Mitgliedstaaten, wobei die Koordinierung auf EU-Ebene noch aufgebaut wird. Welcher Regulierungsansatz sich langfristig international als Maßstab durchsetzt, wird sich nach Einschätzung von Fachleuten erst in den kommenden Jahren zeigen.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.