Verbotene Praktiken und Risikoklassen

Stand: 27.09.2026. Die KI-Verordnung gilt in der Fassung der Verordnung (EU) 2026/1744 („AI Omnibus", in Kraft seit 27.07.2026); das deutsche Durchführungsgesetz KI-MIG gilt seit 29.07.2026. Prüf das Datum, wenn du diese Lektion später liest.

Lernziele

Nach dieser Lektion kannst du:

Was ist seit Februar 2025 verboten?

Art. 5 KI-VO verbietet acht KI-Praktiken vollständig, unabhängig von Unternehmensgröße oder Branche. Verstöße sind mit den höchsten Bußgeldern der Verordnung belegt (bis 35 Mio. € oder 7 % des Weltumsatzes; bei KMU der niedrigere Betrag). Die Verbote im Überblick:

  1. Unterschwellige Manipulation (lit. a): KI, die Menschen unbemerkt so beeinflusst, dass sie Entscheidungen treffen, die ihnen erheblich schaden.
  2. Ausnutzung von Schutzbedürftigkeit (lit. b): KI, die Alter, Behinderung oder soziale Notlagen gezielt ausnutzt.
  3. Social Scoring (lit. c): Bewertung von Personen anhand ihres Sozialverhaltens oder ihrer Persönlichkeit mit ungerechtfertigten Nachteilen in anderen Lebensbereichen.
  4. Vorhersage von Straftaten allein aufgrund von Profiling oder Persönlichkeitsmerkmalen (lit. d).
  5. Ungezieltes Sammeln von Gesichtsbildern aus Internet oder Videoüberwachung für Gesichtserkennungsdatenbanken (lit. e).
  6. Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen (lit. f); Ausnahmen nur für medizinische oder Sicherheitszwecke.
  7. Biometrische Kategorisierung nach sensiblen Merkmalen wie Herkunft, politischer Meinung, Religion oder sexueller Orientierung (lit. g).
  8. Biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken (lit. h); nur für Behörden mit engen Ausnahmen relevant.

Die Änderungsverordnung (EU) 2026/1744 hat zwei weitere Verbote eingefügt, die ab dem 2. Dezember 2026 gelten (Art. 5 Abs. 1 lit. ba und bb): KI-Systeme, die realistische intime Darstellungen einer Person ohne deren Einwilligung erzeugen, und solche, die Darstellungen sexuellen Kindesmissbrauchs erzeugen.

Welche Verbote sind im KMU-Alltag wirklich relevant?

Die meisten verbotenen Praktiken klingen nach Science-Fiction oder Staatsüberwachung, aber drei davon können auch im Mittelstand schnell zum Thema werden:

Emotionserkennung am Arbeitsplatz: Manche Callcenter-Software, Bewerbungs-Tools oder Meeting-Analysen werben mit „Stimmungsanalyse" oder „Sentiment-Erkennung" von Mitarbeitenden. Wenn ein System aus Stimme, Gesicht oder Verhalten auf Emotionen von Beschäftigten schließt, ist das am Arbeitsplatz verboten. Praxisbeispiel: Ein Vertriebsleiter möchte ein Tool einsetzen, das in Verkaufsgesprächen die „Nervosität" der eigenen Mitarbeiter misst, um Coaching-Bedarf zu erkennen. Klingt harmlos, fällt aber unter das Verbot des Art. 5 Abs. 1 lit. f KI-VO.

Social Scoring im Kleinen: Auch ein internes Punktesystem, das Beschäftigte anhand verknüpfter Verhaltensdaten (Pausenzeiten, Tonfall in E-Mails, Krankheitstage) bewertet und daran Nachteile knüpft, kann in Richtung verbotenes Scoring gehen und verstößt nebenbei fast immer gegen Datenschutz- und Arbeitsrecht.

Manipulative KI im Marketing: Aggressive „Dark Patterns" mit KI-Personalisierung, die gezielt Schwächen ausnutzen (z. B. bei überschuldeten oder sehr alten Kunden), können unter die Verbote lit. a/b fallen, neben dem Lauterkeitsrecht.

Hochrisiko-KI: die zweite Stufe

Unterhalb der Verbote liegt die Hochrisiko-Klasse (Art. 6 i. V. m. Anhang III KI-VO). Diese Systeme sind erlaubt, aber streng reguliert. Für KMU am relevantesten sind die Anhang-III-Bereiche:

Wer ein solches System betreibt, muss nach Art. 26 KI-VO u. a. menschliche Aufsicht durch geschulte Personen sicherstellen, die Betriebsanleitung einhalten, den Betrieb überwachen, Protokolle mindestens sechs Monate aufbewahren und vor der Einführung am Arbeitsplatz Betriebsrat und betroffene Beschäftigte informieren. Wichtig: Der Geltungsbeginn dieser Pflichten wurde durch die Änderungsverordnung (EU) 2026/1744 (in Kraft seit 27. Juli 2026) auf den 2. Dezember 2027 verschoben. Die Vorbereitung sollte trotzdem jetzt beginnen, denn Prozesse, Verträge und Schulungen brauchen Vorlauf.

Praxisbeispiel: Ein Mittelständler führt ein Bewerbermanagement-System ein, dessen „KI-Ranking" Bewerbungen vorsortiert. Das ist Hochrisiko-KI. Konsequenz: Kein Bewerber darf allein durch die Maschine aussortiert werden. Eine kompetente Person trifft die nachvollziehbare Letztentscheidung, der Betriebsrat wird vorab einbezogen, und der Einsatz wird im KI-Verzeichnis dokumentiert.

Was tun im Verdachtsfall?

Wenn dir in einem Werkzeug eine Funktion auffällt, die Emotionen erkennt, Menschen bewertet oder automatisch über Menschen entscheidet: Nicht aktivieren, sondern melden, und zwar an die KI-verantwortliche Person deines Unternehmens. Oft sind solche Funktionen in US-Software enthalten und lassen sich deaktivieren. Die Entscheidung über Einsatz oder Sperrung gehört in den Freigabeprozess, nicht an den einzelnen Arbeitsplatz.

Merksätze

- Acht Praktiken sind komplett verboten, ab 2. Dezember 2026 zehn. Im KMU-Alltag besonders relevant: Emotionserkennung gegenüber Beschäftigten und Verhaltens-Scoring. - Verbotsverstöße kosten am meisten: bis 35 Mio. € oder 7 % Weltumsatz (KMU: der niedrigere Betrag). - HR-Tools sind der häufigste Hochrisiko-Fall im Mittelstand: Bewerbungsfilter und Leistungsbewertung erfordern menschliche Letztentscheidung und Dokumentation. - Verdächtige Funktion entdeckt? Nicht nutzen, melden.

Quellen