Der Stichtag (2. Februar 2025) rückt näher. Doch welche Vorgaben sind einzuhalten?
Künstliche Intelligenz (KI, im Englischen auch AI) hat unseren Alltag und insbesondere den Wirtschaftssektor grundlegend verändert. Doch wie jede bahnbrechende Technologie birgt KI auch Risiken. Mit dem AI-Act (Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz) wurde erstmals auf europäischer Ebene ein Rechtsrahmen geschaffen, der in diesem Zusammenhang den Schutz von Grundrechten sicherstellen soll.
Der AI-Act stuft KI-Systeme nach ihrem Risiko ein und listet in Art. 5 unannehmbare und damit verbotene KI-Praktiken auf. Diese gelten für jede Organisation – unabhängig von ihrer Größe – und treten ab dem 2. Februar 2025 in Kraft.
Bei Nichteinhaltung drohen hohe Geldbußen, deren konkrete Höhe jedoch erst am 2. August 2025 festgelegt wird. Dennoch sollten sich Unternehmen bereits jetzt ihrer Risiken bewusst sein, da Sanktionen auch rückwirkend gelten können.
Wir empfehlen daher eine Überprüfung, ob im eigenen Unternehmen KI-Systeme eingesetzt werden, die gegen europäische Normen und Grundwerte verstoßen – insbesondere solche, die Grundrechte missachten. Zu den unzulässigen Praktiken gemäß Artikel 5 des AI-Acts gehören unter anderem:

1. Unterschwellige Beeinflussung
Verboten ist der Einsatz manipulativer oder täuschender Techniken, die das Verhalten von Menschen beeinflussen und ihre bewusste Entscheidungsfindung beeinträchtigen. Dazu gehören subtile psychologische Mechanismen, die beispielsweise Kaufentscheidungen von Konsumenten unbewusst lenken. Unternehmen müssen sicherstellen, dass ihre KI-gestützten Marketingstrategien nicht nur rechtlich einwandfrei, sondern auch ethisch vertretbar sind.

2. Ausnutzung von Vulnerabilität
Unzulässig ist die gezielte Ausnutzung von Schwachstellen im Zusammenhang mit Alter, Behinderung oder sozioökonomischen Verhältnissen, um das Verhalten zu beeinflussen und erheblichen Schaden zu verursachen. Unternehmen dürfen beispielsweise keine KI-gestützten Marketingstrategien entwickeln, die Kinder gezielt ansprechen oder Senioren durch irreführende Angebote benachteiligen.

3. Soziale Bewertung (Social Scoring)
Die Bewertung oder Klassifizierung von Personen oder Gruppen basierend auf ihrem Sozialverhalten oder persönlichen Eigenschaften ist untersagt, wenn sie zu einer benachteiligenden Behandlung führt. Social Scoring kann in wirtschaftlichen Kontexten wie Kreditentscheidungen zu Diskriminierung führen. Unternehmen müssen sicherstellen, dass ihre KI-Systeme ausschließlich auf objektiven und rechtlich zulässigen Kriterien basieren.

4. Biometrische Kategorisierung
Systeme, die biometrische Daten zur Kategorisierung sensibler Merkmale (z. B. Rasse, politische Meinung, religiöse Überzeugung oder sexuelle Orientierung) verwenden, sind verboten. Ausnahmen gelten für bestimmte Anwendungen der Strafverfolgung. Unternehmen müssen sicherstellen, dass derartige Daten weder gespeichert noch verarbeitet werden.

5. Prädiktive Polizeiarbeit
KI-Systeme, die das Risiko einer Straftat allein auf Basis von Profilen oder Persönlichkeitsmerkmalen bewerten, sind unzulässig. Zulässig sind solche Systeme nur als Ergänzung menschlicher Bewertungen und auf Basis objektiver, überprüfbarer Fakten, die in direktem Zusammenhang mit kriminellen Handlungen stehen.

6. Ungezielte Sammlung von Gesichtsbildern
Der Aufbau von Gesichtserkennungsdatenbanken durch massenhaftes, ungezieltes Sammeln von Bildern aus dem Internet oder aus Videoaufnahmen ist strikt verboten. Unternehmen, die Gesichtserkennungstechnologien nutzen, müssen sicherstellen, dass diese ausschließlich auf rechtmäßig erhobenen Daten basieren und klare Regeln für Speicherung, Nutzung und Löschung existieren.

7. Emotionserkennung
Der Einsatz von KI zur Emotionserkennung ist nur unter strengen Voraussetzungen erlaubt. Insbesondere am Arbeitsplatz oder in Bildungseinrichtungen sind derartige Technologien nur aus medizinischen oder sicherheitsrelevanten Gründen zulässig.

8. Biometrische Echtzeit-Fernidentifizierung
Die Nutzung biometrischer Echtzeit-Fernidentifizierungssysteme (RBI) in öffentlich zugänglichen Räumen ist grundsätzlich verboten, mit wenigen Ausnahmen, etwa:

• Bei der Suche nach vermissten Personen oder Opfern von Menschenhandel.
• Zur Verhinderung einer unmittelbaren Bedrohung (z. B. terroristischer Angriff).
• Zur Identifizierung von Verdächtigen bei schweren Straftaten (z. B. Mord, Vergewaltigung, Drogenhandel).

Auswirkungen auf Unternehmen
Mit diesen Verboten möchte die EU sicherstellen, dass KI-Anwendungen ethischen Standards genügen und nicht missbraucht werden. Unternehmen sollten daher möglichst frühzeitig prüfen, ob ihre KI-Lösungen den neuen Regeln entsprechen. Eine klare Compliance-Strategie und eventuell die Beratung durch Experten sind hilfreich, um rechtliche und finanzielle Risiken zu vermeiden.