Seit Februar 2025 gelten im Rahmen des EU AI Act acht ausdrückliche Verbote für KI-Systeme mit inakzeptablem Risiko, darunter Social Scoring, biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen und das ungezielte Abkratzen von Gesichtserkennungsdaten aus dem Internet oder von CCTV-Material. Für Unternehmen, die KI-Systeme in der EU anbieten oder betreiben, ist das Inkrafttreten dieser Verbote der erste konkrete Enforcement-Meilenstein des AI Act. Die EU-Kommission hat begleitend offizielle Leitlinien veröffentlicht, die rechtliche Erläuterungen und Praxisbeispiele zu den verbotenen Praktiken liefern. Wer gegen die Verbote verstößt, riskiert empfindliche Sanktionen. Entscheider sollten ihre KI-Portfolios jetzt systematisch gegen die acht Verbotstatbestände prüfen, bevor nationale Aufsichtsbehörden mit der Durchsetzung beginnen.

EU AI Act: Diese KI-Systeme sind verboten, und so setzt die Kommission das Gesetz durch

Seit Februar 2025 sind acht Kategorien von KI-Praktiken in der Europäischen Union ausdrücklich verboten. Das EU-KI-Gesetz klassifiziert KI-Systeme nach einem risikobasierten Ansatz in vier Stufen; die unterste Stufe umfasst Anwendungen mit inakzeptablem Risiko, die vollständig untersagt sind.

Die acht verbotenen Praktiken im Überblick

Das KI-Gesetz benennt konkret, welche Anwendungen nicht mehr auf dem EU-Markt betrieben werden dürfen. Laut der Europäischen Kommission handelt es sich um folgende Praktiken:

1. Schädliche KI-basierte Manipulation und Täuschung von Personen
2. Schädliche KI-basierte Ausnutzung von Schwachstellen vulnerabler Gruppen
3. Soziales Scoring durch öffentliche oder private Akteure
4. Individuelle Risikobewertung oder Vorhersage von Straftaten auf Basis von KI
5. Ungezielte Massenerfassung von Gesichtsbildern aus dem Internet oder aus CCTV-Material zum Aufbau oder zur Erweiterung von Gesichtserkennungsdatenbanken
6. Emotionserkennung an Arbeitsplätzen und in Bildungseinrichtungen
7. Biometrische Kategorisierung zur Ableitung bestimmter geschützter Merkmale
8. Biometrische Echtzeit-Fernidentifizierung zu Strafverfolgungszwecken in öffentlich zugänglichen Räumen

Wie die Kommission die Umsetzung unterstützt

Zur praktischen Anwendung dieser Verbote hat die Europäische Kommission zwei Schlüsseldokumente veröffentlicht: Leitlinien zu verbotenen KI-Praktiken, die rechtliche Erläuterungen und praktische Beispiele bieten, sowie ergänzende FAQ-Dokumente zur Governance und Durchsetzung. Ziel ist es, Unternehmen, Behörden und anderen Interessenträgern ein klares Verständnis der Anforderungen zu vermitteln.

Der Rechtsrahmen gilt sowohl für öffentliche als auch für private Akteure innerhalb und außerhalb der EU, sofern sie ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck auf dem EU-Markt in Verkehr bringen, in Betrieb nehmen oder in der EU nutzen.

Praktische Implikationen

1. Kein Social Scoring durch Arbeitgeber oder Dienstleister Unternehmen, die Bewertungssysteme für das Verhalten von Mitarbeitenden oder Kunden betreiben, müssen prüfen, ob ihre Systeme unter das Verbot des sozialen Scorings fallen. Pauschale Verhaltensprofile mit negativen Konsequenzen für Betroffene sind nicht mehr zulässig.

2. Emotionserkennung am Arbeitsplatz ist untersagt Arbeitnehmerinnen und Arbeitnehmer sind vor KI-Systemen geschützt, die emotionale Zustände erfassen und auswerten, etwa zur Leistungsbewertung. Unternehmen müssen entsprechende Tools deaktivieren oder aus dem Betrieb nehmen.

3. Gesichtserkennungsdatenbanken aus öffentlichen Quellen sind illegal Das anlasslose Abkratzen von Gesichtsbildern aus sozialen Netzwerken oder Überwachungskameras zum Aufbau kommerzieller oder staatlicher Datenbanken ist verboten. Betroffene können sich bei nationalen Aufsichtsbehörden beschweren.

4. Hochrisiko-KI bleibt unter strengen Auflagen erlaubt Nicht jede sensible KI-Anwendung ist verboten. Hochrisiko-Systeme, etwa in der Personalauswahl oder im Kreditwesen, können weiterhin eingesetzt werden, unterliegen jedoch umfangreichen Pflichten. Anbieter müssen laut Artikel 17 des KI-Gesetzes ein dokumentiertes Qualitätsmanagementsystem einrichten, das Entwurfs-, Entwicklungs- und Validierungsverfahren sowie Konformitätsbewertungen systematisch abdeckt.

Quellen

• KI-Gesetz: Ein risikobasierter Ansatz, Europäische Kommission
• Navigieren im KI-Gesetz, Europäische Kommission
• AI Act Service Desk, Artikel 17: Qualitätsmanagementsystem, Europäische Kommission

Häufige Fragen

Welche KI-Praktiken sind seit Februar 2025 im Rahmen des EU AI Act verboten?

Seit Februar 2025 verbietet der EU AI Act acht konkrete Praktiken, die als inakzeptables Risiko eingestuft werden. Dazu zählen KI-basierte Manipulation und Täuschung, die Ausnutzung von Schwachstellen, soziales Scoring, die individuelle Vorhersage von Straftaten, das ungezielte Abkratzen von Internet- oder CCTV-Material zum Aufbau von Gesichtserkennungsdatenbanken, Emotionserkennung an Arbeitsplätzen und in Bildungseinrichtungen, biometrische Kategorisierung zur Ableitung geschützter Merkmale sowie biometrische Echtzeit-Fernidentifizierung für Strafverfolgungszwecke in öffentlichen Räumen.

Welche Unternehmen und Organisationen sind vom EU AI Act betroffen?

Der Rechtsrahmen gilt für öffentliche und private Akteure innerhalb und außerhalb der EU, die ein KI-System oder ein KI-Modell mit allgemeinem Verwendungszweck auf dem EU-Markt in Verkehr bringen, in Betrieb nehmen oder in der EU nutzen. Damit sind sowohl europäische Unternehmen als auch internationale Anbieter erfasst, deren Systeme auf dem EU-Markt eingesetzt werden.

Was versteht der EU AI Act unter einem KI-Modell mit allgemeinem Verwendungszweck, und warum ist es reguliert?

KI-Modelle mit allgemeinem Verwendungszweck können für eine Vielzahl von Aufgaben eingesetzt werden und bilden die Grundlage für viele KI-Systeme innerhalb der EU. Da ihre besonderen Eigenschaften in bestimmten Fällen neue Risiken für die physische Sicherheit der Nutzer und für Grundrechte mit sich bringen können, erfasst der EU AI Act diese Modelle ausdrücklich in seinem Regelungsbereich.

Welche Compliance-Pflichten gelten für Anbieter von Hochrisiko-KI-Systemen laut Artikel 17 des EU AI Act?

Anbieter von Hochrisiko-KI-Systemen sind nach Artikel 17 des EU AI Act verpflichtet, ein dokumentiertes Qualitätsmanagementsystem einzurichten. Dieses muss schriftliche Regeln, Verfahren und Anweisungen umfassen und mindestens ein Konzept zur Einhaltung der Regulierungsvorschriften, Methoden für Entwurf und Entwurfsprüfung, Maßnahmen zur Qualitätskontrolle sowie Untersuchungs-, Test- und Validierungsverfahren beinhalten. Auch die anzuwendenden technischen Spezifikationen und Normen sind darin festzuhalten.

Welche Unterstützung bietet die EU-Kommission zur praktischen Umsetzung der Verbote?

Die EU-Kommission hat zwei Schlüsseldokumente veröffentlicht, um die Anwendung der verbotenen KI-Praktiken zu erleichtern. Dazu gehören Leitlinien zu verbotenen KI-Praktiken im Rahmen des EU AI Act, die rechtliche Erläuterungen und praktische Beispiele enthalten. Diese Dokumente sollen Interessenträgern dabei helfen, die Verbote korrekt zu verstehen und in der Praxis anzuwenden.