EU AI Act Frist 2. Februar 2025: Verbotene KI-Praktiken

Art. 5 Abs. 1 EU AI Act listet acht verbotene Kategorien:

• lit. a: Manipulative KI (sublime, unterhalb der Bewusstseinsschwelle, mit substanziellem Schaden)
• lit. b: Ausnutzung von Vulnerabilitäten (Alter, Behinderung, sozio-ökonomische Situation)
• lit. c: Social Scoring durch Behörden mit Diskriminierung in unverwandten Kontexten
• lit. d: Predictive Policing rein basierend auf Profiling
• lit. e: Untargeted Scraping von Gesichtsdaten aus dem Internet oder CCTV
• lit. f: Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• lit. g: Biometrische Kategorisierung nach sensiblen Kategorien (Rasse, Religion, sexuelle Orientierung)
• lit. h: Real-Time Remote Biometric Identification im öffentlichen Raum (Strafverfolgung, mit engen Ausnahmen)

Art. 4 EU AI Act fordert: Provider und Deployer müssen Massnahmen ergreifen, um sicherzustellen, dass ihr Personal mit KI-Systemen "ausreichende KI-Kompetenz" besitzt. Konkret:

• Wer ist betroffen: Alle Mitarbeiter, die KI-Systeme bedienen oder den Output operativ nutzen — nicht nur Tech-Teams
• Tiefe variabel: Abhängig vom KI-Typ (LLM-Chatbot ≠ Hochrisiko-Recruiting-KI), Risikoklasse und Aufgabenkontext
• Dokumentation: Schulungs-Logs, Inhalte, Anwesenheits-Liste — empfohlen für Audit-Trail
• Praxis: Generische Online-Module (1-2 Stunden) reichen für Basis-Anwender; rollenspezifische Schulungen für Hochrisiko-Operatoren

EDPB und Kommission haben mehrfach klargestellt: Art. 4 ist kein Bürokratie-Theater. Die Schulung muss zur tatsächlichen KI-Nutzung im Unternehmen passen.

Art. 99 EU AI Act regelt drei Bussgeld-Tiers:

1. **Art. 5 Verstösse (verbotene Praktiken):** bis zu **35 Mio. EUR oder 7 % weltweiter Jahresumsatz** — der höhere Wert gilt
2. **Sonstige AI-Act-Verstösse (Hochrisiko, GPAI, Transparenz):** bis zu 15 Mio. EUR oder 3 % Umsatz
3. **Falsche Informationen an Behörden:** bis zu 7,5 Mio. EUR oder 1 % Umsatz

Für KMU werden Bussgelder durch Art. 99 Abs. 7 reduziert (proportional zur Grösse), aber nicht aufgehoben. Die Aufsicht erfolgt durch die nationale Aufsichtsbehörde (DE: BNetzA + BfDI; AT: RTR; CH: keine direkte Aufsicht, EU-Marktzugang via DSGVO).

Selbst wenn Sie keine Hochrisiko-KI einsetzen, gelten Art. 4 und Art. 5 für alle Unternehmen. Sofort-Prüfung:

• KI-Inventar erstellen (Liste aller eingesetzten KI-Systeme inkl. ChatGPT, Copilot, embedded AI in SaaS)
• Pro System: Liegt eine Art. 5-Praktik vor? Bei Verdacht: Anwalts-Review oder Abschalten
• KI-Schulung dokumentieren (Datum, Inhalt, Teilnehmer)
• Bei Emotionserkennungs-Tools (am Arbeitsplatz): sofort prüfen — meist verboten
• Bei Real-Time-Gesichtserkennung im Retail/Sicherheit: Konformitäts-Risiko hoch

Die meisten KMU sind von Art. 5 nicht direkt betroffen, weil sie keine biometrischen Systeme oder Social-Scoring-Tools einsetzen. Aber Art. 4 (KI-Kompetenz) trifft jedes Unternehmen, das ChatGPT, Copilot oder ähnliche Tools nutzt.