Wann verbotene KI-Praktiken gelten und was als Nachstes zu tun ist

Verbotene KI-Praktiken gelten, wenn ein SaaS-Team ein KI-System baut, kauft, einbettet, konfiguriert, verkauft oder intern nutzt und der Use Case in Article 5 des EU AI Act fallen konnte. Die praktische Antwort ist ein fruher Screen: klare unzulassige Nutzungen stoppen, riskante Workflows neu gestalten und unklare Falle eskalieren, bevor Produkt, Vendor-Vertrag oder interner Prozess schwer zu andern sind.

Article 5 ist kein allgemeines KI-Verbot. Er adressiert bestimmte unannehmbare Praktiken wie schadliche Manipulation, Ausnutzung von Vulnerabilitaten, bestimmte Formen von Social Scoring, einige strafrechtliche Risikobewertungen, ungezieltes Scraping von Gesichtsbildern, Emotionserkennung am Arbeitsplatz und in Bildung, sensible biometrische Kategorisierung und Echtzeit-Fernidentifizierung in offentlich zuganglichen Raumen fur Strafverfolgung mit engen Ausnahmen. Die ersten AI-Act-Regeln zu verbotenen Praktiken gelten seit dem 2. Februar 2025.

Wann es relevant wird

Prufen Sie Use Case und Kontext. Beeinflusst das System Entscheidungen oder Verhalten einer Person? Nutzt es verdeckte, manipulative oder tauschende Techniken? Exploitiert es Alter, Behinderung oder eine soziale oder wirtschaftliche Lage? Bewertet es Personen uber Kontexte hinweg? Nutzt es biometrische Daten, Emotionserkennung, Face-Scraping oder sensible Inferenz?

Der Modellname reicht nicht. Zweck, Daten, betroffene Personen, Output und Konsequenz entscheiden. Ein internes Tool kann ebenso relevant sein wie ein Customer-Facing Feature, wenn es Mitarbeitende, Bewerber, Kunden oder andere Personen beeinflusst.

Wann es wahrscheinlich nicht greift

Ein Zusammenfassungs-Tool, Code Helper, Knowledge Search oder Support-Draft-Generator kann ausserhalb von Article 5 liegen, wenn er keine Personen manipuliert, keine Vulnerabilitaten ausnutzt, keine sensiblen Eigenschaften inferiert und keine verbotenen biometrischen oder Emotionserkennungsfunktionen nutzt. Dann ist der Fall nicht compliance-frei; er geht nur in normale AI-Klassifizierung, Privacy, Security und Vendor Review.

Was zuerst zu tun ist

Bauen Sie einen Intake in Product Discovery, Vendor Onboarding, Privacy Review, Security Review, Kundenkonfiguration und Genehmigung interner Tools ein. Erfassen Sie System, Owner, Zweck, betroffene Personen, AI-Act-Rolle, Vendor oder Modell, Datenkategorien, Geografie und Konfigurationsoptionen.

Nutzen Sie drei Routen. Klare No-Red-Flag-Falle gehen in normale Review. Klare Red Flags stoppen bis Redesign oder Fachfreigabe. Unklare Falle gehen an einen benannten Reviewer mit Frist und Evidenz.

Evidenz und Ownership

Bewahren Sie Intake, Produkt- oder Vendor-Beschreibung, Data Flow, Konfiguration, Analyse betroffener Personen, Entscheidung, Begrundung, Reviewer, Datum, Restriktionen und Re-Review-Trigger auf. Bei Vendors gehoren KI-Dokumentation, Vertrage und Aussagen zu Biometrie, Emotionserkennung, Profiling, Gesichtsdatenquellen und Kundenkonfiguration dazu.

Product besitzt Zweck und User Journey. Engineering besitzt Datenfluss und Modellintegration. Security besitzt Vendor und Zugriff. Legal oder Compliance besitzt die Article-5-Analyse. Ein AI-Governance-Owner halt Intake, Entscheidungen und Launch Gate zusammen.

Nutzen Sie den Screen zusammen mit AI-Governance-Erwartungen fur SaaS-Vendors, dem Compliance-Owner-Modell, interner KI-Tool-Prufung und der EU-AI-Act-Analyse fur SaaS-Provider.

FAQ

Was ist der praktische Zweck?

KI-Nutzungen erkennen, die blockiert, neu gestaltet oder eskaliert werden mussen, bevor sie Teil von Produkt, Vendor-Workflow, Kundenkonfiguration oder internem Prozess werden.

Wann gilt das fur SaaS-Teams?

Wenn ein Team KI baut, kauft, einbettet, verkauft, konfiguriert oder nutzt und dabei Article-5-Kategorien beruhrt sein konnten.

Was zuerst dokumentieren?

Intake, Entscheidungsroute, benannten Reviewer, Release-Regeln und Mindest-Evidenz, verbunden mit Product, Vendor, Privacy, Security und Customer Trust.

Sources

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission guidelines on prohibited artificial intelligence practices.
• European Commission note on the first AI Act rules becoming applicable.