Was geschah. Gemäß Artikel 113 der Verordnung (EU) 2024/1689 galten die allgemeinen Bestimmungen des KI-Gesetzes (Kapitel I) und die Liste der verbotenen Praktiken (Kapitel II, Artikel 5) ab dem 2. Februar 2025, sechs Monate nach Inkrafttreten der Verordnung. Am selben Tag trat auch die Pflicht zur KI-Kompetenz gemäß Artikel 4 in Kraft: Anbieter und Betreiber müssen Maßnahmen ergreifen, um ein ausreichendes Maß an KI-Kompetenz bei den Beschäftigten sicherzustellen, die in ihrem Auftrag KI-Systeme betreiben. Die Kommission veröffentlichte am 4. Februar 2025 unverbindliche Leitlinien zu den verbotenen Praktiken und zwei Tage später Leitlinien zur Definition eines „KI-Systems“.
Was verboten ist. Artikel 5 nennt acht Gruppen von Praktiken, darunter: manipulative oder täuschende Techniken, die das Verhalten wesentlich verzerren und erheblichen Schaden verursachen; die Ausnutzung von Schwachstellen aufgrund des Alters, einer Behinderung oder einer sozialen oder wirtschaftlichen Situation; Social Scoring, das zu einer nachteiligen oder unverhältnismäßigen Behandlung führt; die Bewertung des Risikos, dass eine Person eine Straftat begehen wird, ausschließlich auf der Grundlage von Profiling oder Persönlichkeitsmerkmalen; das anlasslose Scraping von Gesichtsbildern aus dem Internet oder aus Videoüberwachungssystemen zum Aufbau von Datenbanken zur Gesichtserkennung; Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen; die biometrische Kategorisierung zur Ableitung sensibler Merkmale wie politischer Ansichten oder sexueller Orientierung; sowie die biometrische Echtzeit-Fernidentifizierung in öffentlich zugänglichen Räumen zu Strafverfolgungszwecken, die nur für eng umrissene Zwecke und mit vorheriger Genehmigung zulässig bleibt.
Warum es für die Governance wichtig ist. Mehrere Verbote richten sich unmittelbar an den Staat. Das Verbot von Social Scoring gilt gleichermaßen für öffentliche und private Akteure, und das Verbot der auf Profiling beruhenden Vorhersage von Straftaten schränkt Instrumente ein, die Polizeibehörden erprobt haben. In dieser Debatte häufig angeführte Fälle wie der niederländische Kindergeldskandal oder Australiens Robodebt sind eher als Versagen bei Risikobewertung, Beweislast und Rechtsbehelfen zu verstehen denn als verbotene Praktiken; das Gesetz befasst sich mit ihnen hauptsächlich durch seine späteren Vorschriften für Hochrisiko-KI-Systeme.
Durchsetzung. Sanktionen können seit dem 2. August 2025 verhängt werden. Nach Artikel 99 können Verstöße gegen Artikel 5 mit Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist; jeder Mitgliedstaat entscheidet jedoch selbst, in welchem Umfang Geldbußen gegen seine eigenen Behörden verhängt werden können. Die Durchsetzung obliegt den nationalen Marktüberwachungsbehörden, deren Benennung in mehreren Ländern im Laufe des Jahres 2025 noch im Gange war.
Was zu beobachten ist. Die ersten Durchsetzungsentscheidungen nach Artikel 5; wie weit Behörden die Begriffe „Social Scoring“ und „Emotionserkennung“ auslegen; ob die Nutzung der Ausnahmen für Strafverfolgungszwecke bei der biometrischen Identifizierung wie im Gesetz vorgeschrieben gemeldet wird; und ob die Mitgliedstaaten ihre eigenen Verwaltungen Geldbußen aussetzen. Der Zeitplan für Hochrisiko-KI-Systeme wurde 2026 separat geändert.