Art. 5 KI-VO 2026: Diese 8 KI-Praktiken sind verboten (und was das für KMU heißt)

Auf einen Blick: Art. 5 EU AI Act verbietet seit dem 02.02.2025 acht KI-Praktiken vollständig, unabhängig vom Risiko. Für den Mittelstand am wichtigsten ist das Verbot der Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen sowie manipulativer und täuschender KI-Systeme. Verstöße sind seit 02.08.2025 bußgeldbewehrt mit bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

Die meisten Diskussionen über die KI-Verordnung drehen sich um Hochrisiko-Systeme und um Fristen, die irgendwann 2027 oder 2028 greifen. Art. 5 KI-VO ist die Ausnahme. Er ist seit dem 02.02.2025 anwendbar, die Bußgelder laufen seit dem 02.08.2025, und er gilt für jedes Unternehmen, vom Solo-Selbstständigen bis zum Konzern. Acht KI-Praktiken sind komplett verboten, ohne Übergangsfrist und ohne Risikobewertung. Wer eine davon einsetzt, ist nicht im risikobehafteten Bereich. Er ist im rechtswidrigen.

Was Art. 5 KI-VO verbietet und seit wann

Art. 5 KI-VO definiert eine kleine, abschließende Liste von KI-Anwendungen, die in der EU unter keinen Umständen erlaubt sind. Der Gedanke dahinter: Manche Einsatzformen verletzen Grundrechte so klar, dass man sie nicht mit Auflagen, Dokumentation oder Aufsicht in den Griff bekommt. Sie sind schlicht raus.

Das unterscheidet Art. 5 fundamental vom Rest der Verordnung. Bei Hochrisiko-KI nach Anhang III geht es um Bedingungen, unter denen ein System erlaubt ist. Bei Art. 5 geht es um ein vollständiges Verbot. Es gibt keine Anbieter-Dokumentation, kein Risikomanagement und keine notifizierte Stelle, die ein verbotenes System nachträglich konform macht.

Die zeitliche Lage ist eindeutig. Die Verbote sind seit dem 02.02.2025 unmittelbar anwendbar. Die Bußgeldvorschriften nach Art. 99 KI-VO greifen seit dem 02.08.2025. Das Omnibus-Paket vom 07.05.2026 hat zwar mehrere Hochrisiko-Fristen verschoben, aber Art. 5 war davon nie betroffen. Wer heute ein verbotenes System betreibt, kann sich auf keine Schonfrist berufen.

Die EU-Kommission hat im Februar 2025 zusätzlich Leitlinien zu den verbotenen Praktiken veröffentlicht. Sie konkretisieren, wie die acht Verbote auszulegen sind, und sind die wichtigste Auslegungshilfe, wenn unklar ist, ob ein konkreter Anwendungsfall darunterfällt.

Die acht verbotenen Praktiken im Überblick

Die folgende Tabelle listet alle acht Verbote. Die meisten betreffen Behörden, Strafverfolgung oder sehr spezielle Anwendungen. Drei davon sind für den normalen Mittelstand wirklich relevant, sie sind in der Tabelle markiert.

Verbot 4 und Verbot 8 sind reine Behörden-Themen, da kommt ein KMU praktisch nie hin. Verbot 3 (Social Scoring) und Verbot 5 (Gesichtsbild-Scraping) sind theoretisch möglich, aber für die meisten Betriebe abwegig. Bleiben drei Verbote, an denen ein Mittelständler tatsächlich entlangschrammen kann: Manipulation im Marketing, biometrische Kategorisierung sensibler Merkmale und, am häufigsten, Emotionserkennung am Arbeitsplatz.

Emotionserkennung am Arbeitsplatz im Detail

Das für den Mittelstand wichtigste Verbot steht in Art. 5 Abs. 1 lit. f KI-VO. Es untersagt KI-Systeme, die Emotionen oder Absichten von Mitarbeitern aus biometrischen Daten ableiten, am Arbeitsplatz und in Bildungseinrichtungen.

Was ein Emotionserkennungssystem überhaupt ist, definiert Art. 3 Nr. 39 KI-VO. Es ist ein KI-System zur Erkennung oder Ableitung von Emotionen oder Absichten natürlicher Personen auf Basis biometrischer Daten. Biometrische Daten sind Daten zu Gesicht, Stimme, Mimik, Tonfall, Augenbewegung und ähnlichen körperbezogenen Merkmalen.

Der Knackpunkt liegt in der Kombination aus zwei Bedingungen. Erstens muss es um Emotionen oder Absichten gehen, also Stimmung, Stress, Müdigkeit, Aufmerksamkeit, Frustration. Zweitens muss die Ableitung aus biometrischen Daten erfolgen. Beide Bedingungen müssen erfüllt sein, damit das Verbot greift.

Es gibt eine enge Ausnahme. Emotionserkennung ist erlaubt, wenn sie aus medizinischen oder Sicherheitsgründen erfolgt. Ein System, das einen Fahrer vor Sekundenschlaf warnt, ist von der Ausnahme gedeckt, weil es um Sicherheit geht. Ein System, das im Großraumbüro misst, wie engagiert die Belegschaft wirkt, ist es nicht.

Wichtig ist die Reichweite. Das Verbot bezieht sich auf den Arbeitsplatz und auf Bildungseinrichtungen, nicht auf den Kundenkontakt im engeren Sinn. Trotzdem ist Vorsicht geboten, denn viele Anwendungen vermischen beides. Ein Callcenter, das die Stimmlage des Agenten analysiert, fällt unter das Verbot. Eines, das die Stimmlage des anrufenden Kunden analysiert, bewegt sich in einer Grauzone, die zusätzlich datenschutzrechtlich kritisch ist.

Abgrenzung: erlaubt versus verboten

Hier entsteht in der Praxis die meiste Verunsicherung. Viele Geschäftsführer hören "Emotionserkennung verboten" und glauben, sie dürften gar keine KI mehr im Kundenkontakt oder im Feedback einsetzen. Das ist falsch. Die Grenze verläuft nicht entlang des Themas Emotion, sondern entlang der Datenquelle.

Sentiment-Analyse von Kundentexten ist erlaubt. Wer Bewertungen, E-Mails oder Chat-Nachrichten von KI auf Tonalität analysieren lässt, verarbeitet Text, keine biometrischen Daten. Das fällt nicht unter Art. 5 Abs. 1 lit. f KI-VO. Ein Bewerbungs-Chatbot, der freie Textantworten auswertet, ist nicht automatisch Emotionserkennung. Erst die Ableitung von Emotionen aus Stimme oder Gesicht macht den Unterschied.

Verboten wird es, sobald biometrische Signale ins Spiel kommen. Ein System, das aus der Stimmaufnahme eines Mitarbeiters dessen Stresslevel berechnet, ist verboten. Eines, das aus der Webcam die Aufmerksamkeit von Schulungsteilnehmern misst, ebenfalls. Die Datenquelle Biometrie ist der Auslöser, nicht das Wort Emotion.

Ein praktischer Merksatz für den Alltag: Solange die KI nur Text liest, der freiwillig geschrieben wurde, ist man im Bereich der Sentiment-Analyse und damit zulässig. Sobald die KI Gesicht, Stimme oder Körpersignale auswertet, um auf den Gemütszustand zu schließen, ist man bei der verbotenen Emotionserkennung und muss aufhören, falls Arbeitsplatz oder Bildung betroffen sind.

Was bei Verstoß droht

Art. 99 KI-VO setzt den Bußgeldrahmen, und für Verstöße gegen Art. 5 ist er der höchste in der ganzen Verordnung. Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bei einem mittelständischen Unternehmen mit zweistelligem Millionenumsatz ist die Prozent-Variante schnell teurer als der Festbetrag wirkt.

Diese Höhe ist kein Zufall. Der Gesetzgeber stellt verbotene Praktiken bewusst über die Hochrisiko-Verstöße, die nach Art. 99 KI-VO nur mit bis zu 15 Millionen Euro oder 3 Prozent belegt sind. Wer in den Bereich des Art. 5 hineinläuft, hat eine andere Kategorie von Problem als jemand, der eine Dokumentationspflicht bei Hochrisiko-KI verletzt.

Zuständige Marktüberwachungsbehörde in Deutschland ist die Bundesnetzagentur mit ihrer KI-Servicestelle. Sie kann Verfahren einleiten, Auskünfte verlangen und Bußgelder verhängen. Hinzu kommen mögliche datenschutzrechtliche Verfahren, weil biometrische Daten besonders geschützte Daten nach Art. 9 DSGVO sind, sowie arbeitsrechtliche Konsequenzen über die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG.

Praxis: KontaktNord Service in Kiel

Ein Beispiel aus dem Beratungsalltag macht greifbar, wie schnell ein Betrieb in die Nähe eines Verbots gerät. KontaktNord Service ist ein Callcenter-Dienstleister mit 140 Mitarbeitern in Kiel. Anfang 2026 stellt ein Software-Anbieter dem Geschäftsführer ein Tool vor, das aus den laufenden Telefonaten die Stimmlage der eigenen Agenten analysiert. Versprechen: Frühwarnung bei Überlastung, automatische Coaching-Hinweise, weniger Krankenstand.

Das Tool klingt sinnvoll, denn Mitarbeiterbindung ist im Callcenter ein echtes Problem. Der Geschäftsführer ist kurz davor, einen Pilotvertrag zu unterschreiben. In einem Compliance-Termin fällt auf, dass genau dieser Anwendungsfall unter Art. 5 Abs. 1 lit. f KI-VO fällt. Die KI leitet aus der Stimme, also einem biometrischen Datum, den emotionalen Zustand der Mitarbeiter ab. Am Arbeitsplatz. Genau das ist verboten.

Die medizinische oder Sicherheitsausnahme greift nicht, weil es um Performance-Optimierung und Wohlbefinden geht, nicht um eine akute Gefahrenabwehr. Der Vertrag wird nicht unterschrieben.

Stattdessen baut KontaktNord eine erlaubte Variante. Statt biometrischer Stimmanalyse wertet eine KI nun anonymisierte Gesprächs-Transkripte und schriftliche Mitarbeiterbefragungen aus, also Text. Aus diesem Text leitet sie aggregierte Stimmungs-Tendenzen pro Team ab, ohne einzelne Personen biometrisch zu vermessen. Das ist Sentiment-Analyse auf Textbasis und fällt nicht unter das Verbot. Die Betriebsvereinbarung nach § 87 Abs. 1 Nr. 6 BetrVG wird mit dem Betriebsrat sauber aufgesetzt. Das Ziel der Frühwarnung bleibt erreichbar, der rechtliche Weg ist ein anderer.

Wo Unternehmen unbewusst in die Nähe eines Verbots geraten

In der Praxis sehen wir regelmäßig, dass kein Betrieb absichtlich ein verbotenes System einführt. Die Verbote nach Art. 5 KI-VO werden fast nie aus böser Absicht verletzt, sondern aus Unkenntnis darüber, wann ein an sich vernünftiges Tool die Grenze zur Biometrie überschreitet. Ein HR-Verantwortlicher will Bewerber fairer bewerten und kauft ein Video-Interview-Tool, das nebenbei Mimik analysiert. Ein Schulungsanbieter will Aufmerksamkeit messen und aktiviert eine Webcam-Funktion. Beides rutscht in den verbotenen Bereich, ohne dass jemand das Wort "Emotionserkennung" je in den Mund genommen hätte.

Der gefährlichste Punkt ist immer die Beschaffung. Wenn ein Anbieter ein Tool als smartes HR-Feature oder als modernes Mitarbeiter-Wellbeing-Dashboard verkauft, steht im Datenblatt selten "Emotionserkennung aus biometrischen Daten". Wer das nicht aktiv prüft, kauft sich das Verbot ins Haus, ohne es zu merken. Genau deshalb gehört bei jeder KI-Beschaffung im Personalbereich die Frage ins Lastenheft: Werden hier biometrische Daten verarbeitet, und werden daraus Emotionen oder Absichten abgeleitet? Wenn beide Antworten Ja lauten und es um Arbeitsplatz oder Bildung geht, ist das System nicht verhandelbar, sondern raus.

Damit dieser Reflex im Unternehmen überhaupt entsteht, braucht es Menschen, die wissen, woran sie ein verbotenes System erkennen. Die KI-Kompetenzpflicht nach Art. 4 KI-VO, die seit dem 02.02.2025 in Kraft ist, verlangt genau das: Mitarbeiter, die mit KI arbeiten oder über KI-Anschaffungen entscheiden, müssen ausreichende KI-Kompetenz haben. Wer im Einkauf oder in der Personalabteilung nicht weiß, was ein Emotionserkennungssystem ist, kann das Verbot aus Art. 5 KI-VO gar nicht erkennen, bevor der Vertrag unterschrieben ist.

Häufige Fragen

Gilt Art. 5 KI-VO auch für kleine Firmen?

Ja, ohne Ausnahme. Art. 5 KI-VO macht keinen Unterschied nach Unternehmensgröße. Die acht verbotenen Praktiken sind für den Solo-Selbstständigen genauso untersagt wie für den Konzern. Es gibt auch keine Bagatellgrenze, ab der eine verbotene Praktik erlaubt wäre. Das unterscheidet Art. 5 von vielen anderen Pflichten der Verordnung, die Erleichterungen für kleine und mittlere Unternehmen vorsehen.

Ist KI im Kundenservice durch Art. 5 verboten?

Nein, in der Regel nicht. Ein KI-Chatbot, der Kundenanfragen beantwortet, und eine Sentiment-Analyse, die geschriebene Kundennachrichten auf Tonalität auswertet, fallen nicht unter Art. 5 KI-VO, weil sie keine Emotionen aus biometrischen Daten ableiten. Kritisch wird es erst, wenn ein System aus Stimme oder Gesicht den Gemütszustand berechnet. Das Verbot der Emotionserkennung nach Art. 5 Abs. 1 lit. f KI-VO bezieht sich zudem ausdrücklich auf Arbeitsplatz und Bildung, nicht auf den allgemeinen Kundenkontakt.

Wer kontrolliert die Einhaltung von Art. 5 KI-VO?

In Deutschland ist die Bundesnetzagentur mit ihrer KI-Servicestelle die zuständige Marktüberwachungsbehörde. Sie kann Verfahren einleiten, Auskünfte verlangen und Bußgelder verhängen. Bei biometrischen Daten kommen parallel die Datenschutzaufsichtsbehörden ins Spiel, weil biometrische Daten nach Art. 9 DSGVO besonders geschützt sind. Im Betrieb selbst kann auch der Betriebsrat über die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG ein verbotenes Überwachungssystem stoppen.

Wie hoch ist die Strafe bei einem Verstoß gegen Art. 5?

Der Bußgeldrahmen nach Art. 99 KI-VO ist für Verstöße gegen Art. 5 der höchste der Verordnung: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bei einem mittelständischen Unternehmen kann die Umsatz-Variante schnell schwerer wiegen als der Festbetrag. Hinzu kommen mögliche datenschutzrechtliche Bußgelder und arbeitsrechtliche Konsequenzen.

Über den Autor

Dr. Jens Aichinger ist promovierter Wirtschaftspädagoge und Inhaber von SkillSprinters, einem DEKRA-zertifizierten Bildungsträger. Er entwickelt seit 2024 KI-gestützte Weiterbildungs- und Prozessautomatisierungslösungen für den Mittelstand. Über Skill-Sprinters läuft auch der Digitalisierungsmanager, eine 4-monatige geförderte Weiterbildung.

30 Minuten Klarheit kosten nichts. Wenn Du KI im Betrieb einsetzt oder überlegst einzusetzen, kommt es nicht auf das Tool an. Es kommt auf die Frage: wo entstehen Risiken, wo Hebel? In 30 Minuten gehen wir Deine konkrete Lage durch und Du weißt, wo Du anfangen solltest. Termin reservieren oder kostenlosen KI-Schnupperkurs starten.

Zuletzt geprüft am 28. Mai 2026.