EU AI Act Artikel 5 einfach erklärt: Bedeutung für Unternehmen
Artikel 5 des EU AI Act markiert eine klare rote Linie: Bestimmte KI-Praktiken sind nicht nur besonders riskant, sondern verboten. Für Unternehmen ist das wichtig, weil die Vorschrift nicht allein klassische KI-Anbieter betrifft. Auch wer KI-Systeme in Marketing, Personal, Kundenservice, Sicherheit oder internen Prozessen einsetzen will, sollte früh prüfen, ob der geplante Zweck in einen untersagten Bereich geraten kann.
Dieser Beitrag erklärt ausschließlich Artikel 5 der Verordnung (EU) 2024/1689. Er fasst den Wortlaut verständlich zusammen, ordnet typische Unternehmensfragen ein und zeigt, wie sich eine erste interne Prüfung strukturieren lässt. Maßgeblich bleibt der veröffentlichte Gesetzestext. Abrufstand der Primärquelle: 11.09.2026.
Was regelt Artikel 5 des EU AI Act?
Artikel 5 trägt die Überschrift „Verbotene KI-Praktiken“. Er beschreibt mehrere Einsatzarten, bei denen die EU wegen möglicher Eingriffe in Grundrechte, Selbstbestimmung und faire Behandlung besonders strenge Grenzen zieht. Die Vorschrift richtet sich dabei je nach Fall an Anbieter, Betreiber und andere Akteure entlang der Bereitstellung oder Nutzung eines KI-Systems.
Wichtig ist die begriffliche Trennung: Artikel 5 verbietet nicht „KI“ als Technologie und auch nicht jede automatisierte Entscheidung. Entscheidend sind Zweck, Funktionsweise, Kontext und die konkreten Voraussetzungen des jeweiligen Verbots. Eine Anwendung darf deshalb nicht vorschnell als zulässig eingestuft werden, nur weil sie keine offensichtliche Gesichtserkennung nutzt oder weil ein Mensch formal am Prozess beteiligt ist.
Für den Mittelstand folgt daraus ein praktischer Grundsatz: Nicht erst bei der technischen Beschaffung prüfen. Bereits bei der Idee für einen KI-Anwendungsfall sollte dokumentiert werden, welche Personen betroffen sein können, welche Daten verwendet werden, welchen Einfluss das System auf Entscheidungen hat und ob eine der in Artikel 5 beschriebenen Praktiken berührt sein könnte.
Die verbotenen Praktiken verständlich erklärt
Manipulation, Täuschung und Ausnutzung besonderer Schutzbedürftigkeit
Artikel 5 Absatz 1 Buchstabe a betrifft KI-Systeme, die unterschwellige Techniken, absichtlich manipulative oder täuschende Techniken einsetzen. Das Verbot greift nicht bei jeder überzeugenden Gestaltung oder jeder automatisierten Empfehlung. Der Wortlaut verlangt unter anderem, dass die Fähigkeit einer Person oder Personengruppe zu einer informierten Entscheidung wesentlich beeinträchtigt wird und dadurch ein erheblicher Schaden entsteht oder vernünftigerweise entstehen kann.
Ein Unternehmen sollte daher besonders genau hinsehen, wenn ein System Verhalten nicht nur unterstützen, sondern gezielt in eine Richtung drängen soll. Kritisch wären etwa Konzepte, die Täuschung oder verdeckte psychologische Einflussnahme als Mittel einsetzen und dabei erhebliche Nachteile für Betroffene in Kauf nehmen.
Buchstabe b ergänzt dies für Systeme, die eine Schutzbedürftigkeit aufgrund von Alter, Behinderung oder sozialer beziehungsweise wirtschaftlicher Situation ausnutzen. Auch hier kommt es nicht auf eine bloße Zielgruppenansprache an. Entscheidend sind die gesetzlichen Voraussetzungen: Ausnutzung der Schutzbedürftigkeit, wesentliche Verhaltensbeeinflussung und erheblicher Schaden oder eine entsprechende Wahrscheinlichkeit.
Social Scoring: Menschen nicht zu einem allgemeinen Punktwert verdichten
Artikel 5 Absatz 1 Buchstabe c verbietet bestimmte KI-Systeme zur Bewertung oder Klassifizierung natürlicher Personen oder Personengruppen über einen bestimmten Zeitraum anhand ihres sozialen Verhaltens oder bekannter, abgeleiteter oder vorhergesagter persönlicher beziehungsweise Persönlichkeitsmerkmale. Gemeint ist das oft als Social Scoring bezeichnete Vorgehen.
Der Artikel nennt zwei problematische Folgen: eine nachteilige oder ungünstige Behandlung in sozialen Kontexten, die nicht mit den Kontexten zusammenhängen, in denen die Daten ursprünglich erzeugt oder erhoben wurden, oder eine Behandlung, die ungerechtfertigt oder unverhältnismäßig ist. Für Unternehmen ist das ein Hinweis, Gesamtscores mit großer Vorsicht zu betrachten. Ein einzelner, intransparenter Verhaltensindex für Kundinnen, Kunden oder Beschäftigte kann rechtlich und organisatorisch eine völlig andere Qualität haben als eine nachvollziehbare, zweckgebundene Kennzahl.
Kriminalitätsprognosen allein aus Profilen
Buchstabe d richtet sich an KI-Systeme zur Bewertung oder Vorhersage des Risikos, dass eine natürliche Person eine Straftat begeht, wenn dies ausschließlich auf Profiling oder auf Persönlichkeitsmerkmalen und -eigenschaften beruht. Die Regelung enthält eine eng beschriebene Abgrenzung für KI-Systeme, die eine menschliche Bewertung unterstützen, sofern diese auf objektiven und überprüfbaren Tatsachen beruht, die unmittelbar mit einer kriminellen Tätigkeit verbunden sind.
Dieser Bereich liegt typischerweise nicht im normalen Unternehmensalltag. Dennoch hilft er, die Logik von Artikel 5 zu verstehen: Ein KI-Ergebnis darf Menschen nicht auf eine abstrakte Risikozuschreibung reduzieren, wenn die Bewertung allein aus Profilen oder vermeintlichen Charaktermerkmalen abgeleitet wird.
Gesichtsbilder, Emotionserkennung und biometrische Kategorien
Artikel 5 Absatz 1 Buchstabe e verbietet KI-Systeme, die Datenbanken zur Gesichtserkennung durch ungezieltes Auslesen von Gesichtsbildern aus dem Internet oder aus Videoüberwachungsmaterial erstellen oder erweitern. Für Unternehmen bedeutet das: Wer Bilddaten verarbeitet oder entsprechende Dienste einkauft, sollte Herkunft, Zweck und Beschaffungsweg der verwendeten Datensätze nachvollziehen können. Ein großes Bildarchiv ist nicht automatisch problematisch; das ungezielte Scraping zum Aufbau oder zur Erweiterung einer Gesichtserkennungsdatenbank ist jedoch ausdrücklich erfasst.
Buchstabe f betrifft KI-Systeme zur Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen. Der Wortlaut nennt Ausnahmen für medizinische oder Sicherheitsgründe. Eine vermeintlich innovative Software, die Mimik, Stimme oder Verhalten von Beschäftigten auswertet, um Stimmung, Aufmerksamkeit oder Loyalität zu bestimmen, gehört deshalb in eine besonders sorgfältige Vorprüfung. Eine andere Produktbezeichnung ändert am tatsächlichen Einsatzzweck nichts.
Buchstabe g untersagt bestimmte biometrische Kategorisierungssysteme, wenn sie anhand biometrischer Daten Rückschlüsse auf Merkmale wie ethnische Herkunft, politische Anschauungen, Gewerkschaftszugehörigkeit, religiöse oder weltanschauliche Überzeugungen, Sexualleben oder sexuelle Orientierung ziehen sollen. Der Artikel enthält begrenzte Abgrenzungen für das Kennzeichnen oder Filtern rechtmäßig erlangter biometrischer Datensätze sowie für die Kategorisierung biometrischer Daten im Bereich Strafverfolgung. Daraus folgt für Unternehmen keine allgemeine Freigabe für biometrische Analysen.
Echtzeit-Fernbiometrie im öffentlichen Raum
Buchstabe h behandelt Echtzeit-Fernbiometrie zur Identifizierung in öffentlich zugänglichen Räumen für Strafverfolgungszwecke. Grundsätzlich ist diese Praxis verboten. Artikel 5 nennt nur eng begrenzte Ausnahmen, etwa für die Suche nach bestimmten Opfern schwerer Delikte oder vermissten Personen, zur Abwehr bestimmter schwerwiegender und unmittelbarer Gefahren oder zur Lokalisierung und Identifizierung von Personen, die bestimmter schwerer Straftaten verdächtig sind.
Zusätzliche Voraussetzungen und Sicherungen ergeben sich aus den weiteren Absätzen des Artikels. Dazu gehören unter anderem Anforderungen an Erforderlichkeit und Verhältnismäßigkeit, zeitliche, räumliche und personelle Begrenzungen, Folgenabschätzung für Grundrechte, Registrierung sowie grundsätzlich eine vorherige Genehmigung. Diese Regelung betrifft primär staatliche Strafverfolgung. Sie zeigt aber, wie zurückhaltend der Gesetzgeber bei besonders eingriffsintensiver biometrischer Identifizierung vorgeht.
Was Unternehmen daraus praktisch ableiten sollten
Artikel 5 ist keine Aufforderung, jede KI-Idee zu stoppen. Er verlangt aber eine belastbare Vorprüfung, bevor ein Anwendungsfall in Beschaffung, Pilotierung oder Betrieb geht. Gerade bei extern eingekauften Tools reicht es nicht, sich auf einen werblichen Hinweis des Herstellers zu verlassen. Das Unternehmen sollte den konkreten Einsatz im eigenen Kontext bewerten.
- Zweck beschreiben: Welche Entscheidung, Empfehlung oder Handlung soll die KI beeinflussen?
- Betroffene bestimmen: Geht es um Beschäftigte, Bewerbende, Kundschaft, Schülerinnen und Schüler oder andere Personengruppen?
- Datenfluss erfassen: Werden Bild-, Stimm-, Verhaltens- oder biometrische Daten verarbeitet?
- Einfluss prüfen: Soll das System Verhalten durch Täuschung, Druck oder das Ausnutzen besonderer Schutzbedürftigkeit verändern?
- Scores hinterfragen: Werden Menschen über Kontexte hinweg bewertet oder aus Scores heraus benachteiligt?
- Entscheidung festhalten: Die Prüfung, offene Fragen und Verantwortlichkeiten nachvollziehbar dokumentieren.
Diese Checkliste ersetzt keine Einzelfallprüfung. Sie hilft jedoch, kritische Muster früh zu erkennen und Entscheidungen nicht erst dann zu klären, wenn ein Tool bereits im Einsatz ist.
Damit solche Prüfungen im Alltag funktionieren, brauchen Fachbereiche, Führungskräfte und IT gemeinsame Begriffe, Zuständigkeiten und ein realistisches Verständnis der Grenzen von KI. Wer diese Grundlage systematisch entwickeln möchte, kann KI-Kompetenz nach Art. 4 EU AI Act praxisnah aufbauen.
Praxisbeispiel: KI-gestützte Analyse im Personalbereich
Ein mittelständisches Unternehmen erwägt ein Tool, das Bewerbungsvideos und Gesprächsaufzeichnungen analysiert. Der Anbieter verspricht Hinweise auf „Motivation“, „Stressresistenz“ und „kulturelle Passung“. Für die erste Prüfung genügt es nicht, auf die allgemeine Aussage des Anbieters zu vertrauen, die Lösung unterstütze lediglich Recruiterinnen und Recruiter.
Das Unternehmen sollte konkret klären: Werden Emotionen aus Stimme, Mimik oder Verhalten abgeleitet? Erfolgt die Nutzung am Arbeitsplatz oder im Zusammenhang mit Beschäftigten? Wird aus verschiedenen Datenpunkten ein Persönlichkeits- oder Verhaltensscore gebildet? Welche Folgen hat das Ergebnis für Auswahl, Ansprache oder Behandlung der betroffenen Personen? Und ist der beschriebene Zweck mit einer in Artikel 5 verbotenen Praxis vergleichbar?
Die Antwort kann je nach Produktgestaltung und Einsatzfall unterschiedlich ausfallen. Gerade deshalb ist eine dokumentierte Vorprüfung sinnvoll. Ist der Sachverhalt nicht eindeutig, sollte das Projekt nicht mit einer bloßen Bauchentscheidung fortgesetzt werden. Ein klarer Prüfpfad schafft mehr Sicherheit als nachträgliche Korrekturen.
Wortlaut, Einordnung und nächste Schritte sauber trennen
Der Wortlaut von Artikel 5 enthält konkrete Verbote und zum Teil eng begrenzte Ausnahmen. Die praktische Einordnung übersetzt diese Kategorien in Fragen für Produktverantwortliche, Einkauf, HR, IT und Compliance. Empfehlungen wie eine interne Checkliste oder ein Freigabeprozess sind dagegen organisatorische Maßnahmen. Sie stehen nicht wörtlich als einzelne Umsetzungsschritte in Artikel 5, können Unternehmen aber helfen, die gesetzlichen Verbote frühzeitig zu berücksichtigen.
Für eine belastbare Bewertung sollte immer die offizielle Fassung konsultiert werden: Verordnung (EU) 2024/1689 auf EUR-Lex. Besonders bei biometrischen Anwendungen, HR-Tools, Verhaltensanalysen und automatisierten Bewertungen lohnt es sich, Funktion, Datenbasis und tatsächliche Folgen präzise zu beschreiben.
Fazit: Artikel 5 setzt klare Stoppsignale
Artikel 5 des EU AI Act betrifft Ausnahmefälle mit hohem Schadens- und Grundrechtsrisiko. Für die meisten Unternehmen steht nicht die Frage im Mittelpunkt, ob sie solche Systeme bewusst entwickeln wollen. Entscheidend ist vielmehr, ob ein eingekauftes oder selbst konzipiertes Tool durch seinen tatsächlichen Zweck und Einsatz in eine verbotene Kategorie fallen könnte.
Die beste erste Maßnahme ist daher schlicht, aber wirksam: KI-Anwendungsfälle vor dem Rollout fachlich, technisch und organisatorisch beschreiben, kritische Funktionen sichtbar machen und bei Unsicherheit qualifiziert prüfen lassen. Das verhindert, dass problematische Konzepte durch unklare Produktversprechen oder unpräzise Zuständigkeiten unbemerkt in den Betrieb gelangen.
Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar.
