Artikel 5 der Verordnung (EU) 2024/1689 — Verbotene KI-Praktiken. Offizieller Text, praktische Auslegung, wesentliche Pflichten und Compliance-Implikationen.
Zusammenfassung des offiziellen Textes
Artikel 5 der Verordnung (EU) 2024/1689 (das EU-KI-Gesetz) bildet den gesamten Titel II und legt eine abschließende Liste von KI-Praktiken fest, die in der gesamten Europäischen Union verboten sind. Die Verbote richten sich gegen KI-Systeme, deren Schadenpotenzial als so schwerwiegend angesehen wird, dass keine Risikomanagementmaßnahme oder Konformitätsbewertung sie akzeptabel machen kann.
Der Artikel verbietet: (1) KI-Systeme, die unterschwellige Techniken jenseits des Bewusstseins einer Person einsetzen oder psychologische Schwächen oder Anfälligkeiten gezielt ausnutzen, um das Verhalten in einer Weise materiell zu beeinflussen, die erhebliche Schäden verursacht oder wahrscheinlich verursachen wird; (2) KI-Systeme, die Alter, Behinderung oder sozioökonomische Umstände ausnutzen, um das Verhalten schädlich zu beeinflussen; (3) KI-Systeme, die von Behörden oder in deren Auftrag für ein soziales Scoring eingesetzt werden — also zur Bewertung oder Klassifizierung natürlicher Personen auf der Grundlage sozialen Verhaltens oder abgeleiteter persönlicher Eigenschaften — wenn dies zu benachteiligender oder ungünstiger Behandlung führt; (4) KI-Systeme, die das Risiko einer Einzelperson, eine Straftat zu begehen, allein auf der Grundlage von Profiling oder Persönlichkeitsmerkmalen bewerten; (5) die biometrische Echtzeit-Fernidentifizierung natürlicher Personen in öffentlich zugänglichen Räumen für Strafverfolgungszwecke, vorbehaltlich begrenzter und streng kontrollierter Ausnahmen; (6) Systeme zur biometrischen Echtzeit- oder nachträglichen Fernidentifizierung, die zur Ableitung sensibler Merkmale wie Rasse, politische Meinung, Gewerkschaftszugehörigkeit, religiöse Überzeugungen oder sexuelle Orientierung aus biometrischen Daten verwendet werden; (7) KI-Systeme, die durch ungezielte Absuche des Internets oder von CCTV-Aufnahmen Gesichtserkennungsdatenbanken erstellen oder erweitern; sowie (8) KI-Systeme, die Emotionen natürlicher Personen an Arbeitsplätzen und in Bildungseinrichtungen erschließen, außer aus Sicherheitsgründen.
Was das in der Praxis bedeutet
Artikel 5 zieht eine harte Compliance-Grenze, die jede Organisation betrifft, die KI-Systeme auf dem EU-Markt entwickelt, einsetzt oder einführt, unabhängig von Größe oder Sektor.
Für Technologieanbieter und KI-Entwickler bedeuten die Verbote, dass bestimmte Produktkategorien schlicht nicht rechtmäßig auf dem EU-Markt in Verkehr gebracht werden können. Ein Anbieter, der ein Werkzeug zur Steigerung der Mitarbeiterproduktivität vermarktet, das Emotionserkennung zur Überwachung des Mitarbeiterengagements enthält — also gestresste oder desengagierte Mitarbeiter für Vorgesetzte kennzeichnet — muss diese Funktion vor dem 2. Februar 2025 entfernen oder neu gestalten. Ebenso fällt ein Analysestart-up für den Einzelhandel, dessen System aus Gesichtsausdrücken von Kunden in einem Geschäft auf deren Stimmung schließt, unter das Verbot der Emotionsinferenz in Nicht-Sicherheitskontexten.
Für Organisationen, die KI-Tools von Drittanbietern nutzen, ist eine gleichermaßen obligatorische Due Diligence erforderlich. Eine Personalabteilung, die eine Recruiting-Plattform einsetzt, die verdecktes psychografisches Profiling zur Bewerberauswahl durchführt, riskiert als Betreiber eine Mithaftung.
Für Behörden ist das Verbot des sozialen Scorings besonders bedeutsam. Jedes KI-System, das Verhaltensdaten aggregiert — Zahlungshistorie, Mobilitätsmuster, Online-Aktivitäten — um einen Bürgerscore zu erzeugen, der dann den Zugang zu öffentlichen Dienstleistungen oder Leistungen einschränkt, ist rechtswidrig, unabhängig davon, ob das System technisch ausgereift ist.
Für Strafverfolgungsbehörden erfordert die enge Ausnahme vom Echtzeit-Biometrieverbot robuste Vorabgenehmigungsverfahren, geografische und zeitliche Grenzen, obligatorische Protokollierung und nachträgliche Berichterstattung an nationale Aufsichtsbehörden. Ein ad hoc oder kontinuierlicher Einsatz ohne vorherige gerichtliche oder behördliche Genehmigung ist selbst im Rahmen der Ausnahme rechtswidrig.
Organisationen sollten ein Inventar aller im Einsatz oder in der Entwicklung befindlichen KI-Systeme erstellen, jedes anhand der Kriterien des Artikels 5 prüfen und verbotene Tätigkeiten unverzüglich einstellen.
Wesentliche Pflichten
- Einstellen oder nie einsetzen von KI-Systemen, die unterschwellige, manipulative oder auf Schwachstellen abzielende Techniken einsetzen, um das menschliche Verhalten in einer Weise zu beeinflussen, die wahrscheinlich erhebliche Schäden verursacht, ohne Ausnahme oder Verhältnismäßigkeitsabwägung.
- Soziales Scoring durch Behörden oder in deren Auftrag handelnde Stellen verbieten: KI nicht zur Bewertung oder Klassifizierung natürlicher Personen anhand sozialen Verhaltens oder abgeleiteter Persönlichkeitsmerkmale verwenden, wenn das Ergebnis zu benachteiligender oder diskriminierender Behandlung führt.
- Vorhersagende Polizeitools außer Betrieb nehmen, die das individuelle Kriminalitätsrisiko ausschließlich auf der Grundlage von Profiling, Persönlichkeitsmerkmalen oder vergangenen Assoziationen ohne konkrete Verhaltensbeweise bewerten.
- Vom Scraping biometrischer Daten aus dem Internet, CCTV oder anderen Quellen zur Erstellung oder Erweiterung von Gesichtserkennungsdatenbanken absehen; auf diese Weise aufgebaute bestehende Datenbanken dürfen nicht genutzt werden.
- Keine KI-Systeme einsetzen, die sensible personenbezogene Merkmale — rassische oder ethnische Herkunft, politische Meinungen, Gewerkschaftszugehörigkeit, religiöse oder weltanschauliche Überzeugungen, sexuelle Orientierung — aus biometrischen oder Verhaltensdaten ableiten.
- Strenge Vorabgenehmigungen und Protokollierungskontrollen anwenden, wenn als Strafverfolgungsbehörde die enge Ausnahme gemäß Artikel 5(2)–(5) für die biometrische Echtzeit-Fernidentifizierung in Anspruch genommen wird; jeder Einsatz muss zeitlich begrenzt, geografisch eingegrenzt und einer nachträglichen Berichterstattung unterworfen sein.
Verhältnis zu anderen Artikeln
Artikel 5 ist als Spitze der risikobasierten Hierarchie des EU-KI-Gesetzes zu lesen. Er wirkt zusammen mit den Definitionen in Artikel 3, der festlegt, was ein „KI-System", ein „Anbieter" und ein „Betreiber" sind — die Akteure, die den Verboten unterliegen. Die Unterscheidung zwischen verbotenen Praktiken gemäß Artikel 5 und Hochrisiko-KI-Systemen gemäß Artikel 6 und Annex III ist grundlegend: Verbotene Systeme können überhaupt nicht rechtmäßig eingesetzt werden, während Hochrisikosysteme vorbehaltlich Konformitätsbewertungen, Registrierung und fortlaufender Überwachungspflichten eingesetzt werden dürfen.
Artikel 9 (Risikomanagementsysteme) und Artikel 10–15 (Daten-Governance, Transparenz, menschliche Aufsicht) gelten nachgelagert für zulässige Hochrisikosysteme, haben aber keine Abhilfefunktion für Verbote gemäß Artikel 5. Artikel 99 legt die Sanktionsstruktur fest, einschließlich des höchsten Bußgeldrahmens für Verstöße gegen Artikel 5. Artikel 85 und die Bestimmungen zur Marktüberwachung (Artikel 74–78) regeln die Durchsetzung. Die nach Artikel 70 benannten nationalen zuständigen Behörden sind für die Überwachung der Einhaltung der Verbote auf Mitgliedstaatenebene zuständig.
Zeitplan für die Compliance
- 1. August 2024 — Verordnung (EU) 2024/1689 trat in Kraft, zwanzig Tage nach der Veröffentlichung im Amtsblatt der Europäischen Union.
- 2. Februar 2025 — Die Verbote des Artikels 5 wurden in allen EU-Mitgliedstaaten unmittelbar anwendbar. Dies war der erste inhaltliche Anwendungstermin im Rahmen des phasenweisen Zeitplans gemäß Artikel 113. Ab diesem Datum stellt jeder Einsatz, jedes Inverkehrbringen oder jede Inbetriebnahme eines verbotenen KI-Systems einen Regulierungsverstoß dar, der Sanktionen gemäß Artikel 99 unterliegt.
- 2. August 2025 — Vorschriften zu KI-Modellen mit allgemeinem Verwendungszweck (Titel VIII, Artikel 51–56) wurden anwendbar.
- 2. August 2026 — Pflichten für die meisten in Annex III aufgeführten Hochrisiko-KI-Systeme gelten, zusammen mit Governance- und Marktüberwachungsbestimmungen.
- 2. August 2027 — Verlängerte Übergangsfrist für Hochrisiko-KI-Systeme, die bereits vor August 2024 auf dem Markt waren und unter Annex I fallen (Sicherheitskomponente in regulierten Produkten).
Für Artikel 5 gilt ausdrücklich keine Übergangsfrist oder Übergangsregelung: Die Frist war der 2. Februar 2025, und für jede Organisation, die bisher nicht gehandelt hat, ist die Compliance nunmehr überfällig.
Official AI Act Compliance Deadline Calendar
Updated · Sources: Regulation (EU) 2024/1689 and the 2026 Digital Omnibus on AI.
| Obligation | Applies to | Original date | New date | Status | Countdown | Legal basis |
|---|---|---|---|---|---|---|
| Prohibited Practices (Art. 5) | All providers and deployers | active | — | AI Act Art. 5 | ||
| GPAI Rules (Chapter 5) | GPAI model providers | active | — | AI Act Art. 51-56 | ||
| AI-Generated Content Marking | Providers of generative GPAI systems | active | — | AI Act Art. 50(2) | ||
| Regulatory Sandboxes | National competent authorities | active | — | AI Act Art. 57 | ||
| High-risk AI — Annex III (standalone) | Providers of standalone Annex III systems | deferred | — | AI Omnibus 2026 Art. 6(2) | ||
| High-risk AI — Annex I (embedded) | AI embedded in Annex I regulated products | deferred | — | AI Omnibus 2026 Art. 6(1) |
⬇ Download JSON · CC BY 4.0
AI Act meets DORA and NIS2
Is your organisation subject to both the AI Act and DORA? The two regulations intersect on the operational resilience of financial AI systems. Our sister site regulation-dora.eu covers DORA in depth — including what the AI Act adds on top of an existing DORA programme.
The AI Act for financial institutions ↗ Explore regulation-dora.eu ↗Frequently Asked Questions
Artikel 5 verbietet KI-Systeme, die unterschwellige oder manipulative Techniken einsetzen, um das Verhalten zu beeinflussen, Schwächen bestimmter Gruppen ausnutzen, ein soziales Scoring durch Behörden ermöglichen, eine biometrische Echtzeit-Fernidentifizierung in öffentlichen Räumen durchführen (mit eingeschränkten Ausnahmen für die Strafverfolgung), aus biometrischen Daten auf sensible Merkmale schließen und ungezielte Gesichtserkennungsdatenbanken durch Scraping erstellen oder erweitern. Emotionserkennung an Arbeitsplätzen und in Bildungseinrichtungen ist ebenfalls verboten.
Die in Artikel 5 festgelegten Verbote wurden am 2. Februar 2025 anwendbar, sechs Monate nach dem Inkrafttreten des EU-KI-Gesetzes am 1. August 2024. Dies war der früheste Anwendungszeitpunkt im Rahmen des phasenweisen Umsetzungsplans der Verordnung.
Die meisten Verbote in Artikel 5 gelten für jeden Anbieter oder Betreiber von KI-Systemen, ob öffentlich oder privat. Das Verbot des sozialen Scorings richtet sich speziell an Behörden. Die Ausnahme, die eine biometrische Echtzeit-Fernidentifizierung zulässt, ist der Strafverfolgung unter strengen Bedingungen vorbehalten, aber das grundsätzliche Verbot des Einsatzes solcher Systeme gilt für alle Akteure.
Ja, aber diese sind eng gefasst und unterliegen einer vorherigen Genehmigung. Die Strafverfolgung darf in öffentlich zugänglichen Räumen eine biometrische Echtzeit-Fernidentifizierung nur zur gezielten Suche nach Opfern schwerer Straftaten, zur Verhütung spezifischer und unmittelbarer Terrorismusbedrohungen oder zur Identifizierung von Verdächtigen bei Straftaten mit einer Mindeststrafe von drei Jahren einsetzen. Jeder Einsatz erfordert eine vorherige gerichtliche oder unabhängige behördliche Genehmigung, außer in duly gerechtfertigten Dringlichkeitsfällen.
Verstöße gegen die Verbote des Artikels 5 unterliegen der höchsten Sanktionsebene gemäß Artikel 99: Verwaltungsbußgelder von bis zu 35.000.000 EUR oder, wenn der Zuwiderhandelnde ein Unternehmen ist, bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist.
Stay ahead of AI Act changes
Get compliance alerts when deadlines or obligations change.
No spam. One-click unsubscribe.
Take compliance further with the AI Act Academy
Templates, training modules, and live Q&A — everything needed to implement AI Act compliance.