What are the prohibited AI practices under the EU AI Act?

Article 5 of the EU AI Act bans eight categories of AI practices outright: social scoring by public authorities, real-time remote biometric identification in public spaces (with narrow exceptions), subliminal manipulation causing harm, exploitation of vulnerabilities of specific groups, emotion recognition in workplaces and education, untargeted scraping for facial recognition databases, biometric categorisation inferring sensitive attributes, and predictive policing based solely on profiling. Violations carry fines up to €35 million or 7% of global annual turnover.

When did the EU AI Act prohibited practices take effect?

The prohibited practices provisions under Article 5 of the EU AI Act took effect on February 2, 2025, as specified in Article 113. This was the first enforcement milestone of the regulation, which entered into force on August 1, 2024.

What are the penalties for deploying a prohibited AI system?

Under Article 99(3) of the EU AI Act, deploying a prohibited AI practice can result in fines of up to €35 million or 7% of global annual turnover, whichever is higher. These are the highest penalty tier in the regulation, exceeding even the GDPR's maximum fines.

How does the EU AI Act differ from the GDPR regarding AI?

The GDPR regulates personal data processing and applies to AI systems that handle personal data. The EU AI Act takes a risk-based approach to AI systems themselves, categorising them as prohibited, high-risk, limited-risk, or minimal-risk regardless of whether personal data is involved. Both regulations apply simultaneously — an AI system processing personal data must comply with both the GDPR and the AI Act.

Does the EU AI Act apply to companies outside the EU?

Yes. Article 2 of the EU AI Act has extraterritorial scope similar to the GDPR. It applies to providers placing AI systems on the EU market and deployers located within the EU, as well as providers and deployers in third countries where the output of their AI system is used in the EU.

What is the difference between prohibited and high-risk AI under the EU AI Act?

Prohibited AI practices (Article 5) are banned outright with no compliance pathway — they simply cannot be deployed. High-risk AI systems (Articles 6–49) are permitted but subject to strict requirements including conformity assessments, risk management systems, data governance, technical documentation, human oversight, and registration in the EU database. The distinction is critical for compliance teams assessing their AI inventory.

Verbotene KI-Praktiken nach dem EU AI Act: Was untersagt ist und was Sie jetzt tun müssen

Zentrale Produktfunktionen

Wie Priverion die EU-AI-Act-Compliance in Ihrer gesamten Gruppe operationalisiert

Die Bestimmungen zu verbotenen Praktiken sind bereits durchsetzbar. Diese Funktionen helfen Organisationen mit mehreren Einheiten, in wenigen Wochen vom Bewusstsein zur dokumentierten Compliance zu gelangen . über jede Tochtergesellschaft hinweg.

KI-Register für die EU-AI-Act-Readiness

Katalogisieren Sie jedes in Ihrer Gruppe eingesetzte KI-System . einschliesslich der Tools von Drittanbietern, die in HR-, Sicherheits- und Kundenbindungsplattformen eingebettet sind. Bilden Sie jedes System gegen die Liste der verbotenen Praktiken aus Artikel 5 ab und kennzeichnen Sie Expositionen, bevor es die Aufsichtsbehörden tun. Ein zentralisiertes Register, sichtbar über alle Tochtergesellschaften hinweg.

100 % Abdeckung der Lieferanten-Risikobeurteilung erreicht

Zurzach Care . vollständiges KI-Inventar von Drittanbietern über alle Einheiten hinweg

KI-gestützte Risikobewertung und DSFA-Automatisierung

Wenn ein KI-System sich in der Grauzone zwischen verboten und hochriskant bewegt, benötigen Sie eine sorgfältige Dokumentation. Die KI-gestützte DSFA-Erstellung von Priverion hilft Compliance-Teams, Folgenabschätzungen schneller zu erstellen . mit einer Risikobewertung, die Indikatoren für verbotene Praktiken berücksichtigt. Die KI unterstützt das Urteilsvermögen Ihres Teams; sie ersetzt es nie. Es werden keine Kundendaten für das Modelltraining verwendet.

Über 200 Stunden bei der Compliance-Dokumentation eingespart

Medtec . ISO-27001-Vorbereitung, erstes Jahr der Zusammenarbeit

Gruppenweite Compliance-Dashboards und Audit-Nachweise

Wenn eine Aufsichtsbehörde Nachweise verlangt, dass Ihre Organisation verbotene KI-Praktiken über alle Tochtergesellschaften hinweg beurteilt hat, müssen Sie diese in Minuten vorlegen können . und nicht über 47 Tabellen hinweg zusammenkratzen. Vorstandstaugliche Dashboards zeigen die Compliance-Lage pro Einheit in Echtzeit. Erstellen Sie auf Abruf auditfertige Nachweispakete für jede Rechtsordnung.

60 % weniger Zeitaufwand für Compliance-Verwaltung

Flugzeughersteller . erste 6 Monate des Einsatzes

Automatisierte Rezertifizierung des Verarbeitungsverzeichnisses über alle Einheiten hinweg

KI-Systeme, die Personendaten verarbeiten, erfordern ein aktuelles Verzeichnis von Verarbeitungstätigkeiten. Priverion automatisiert die Rezertifizierung über jede Tochtergesellschaft Ihrer Gruppe hinweg . sodass Sie eine verbotene Praktik in der Verarbeitungstätigkeit eines Lieferanten während der routinemässigen Rezertifizierung erkennen, nicht erst während einer behördlichen Untersuchung.

100 % Rezertifizierungsrate des Verarbeitungsverzeichnisses, vollständig automatisiert

AXA . automatisiert über alle Gruppeneinheiten hinweg

Lieferanten-Risikobeurteilungen für KI von Drittanbietern

Die meisten Expositionen gegenüber verbotenen KI-Praktiken verbergen sich in Tools von Drittanbietern . die Emotionserkennungsfunktion, vergraben in Ihrer Videokonferenzplattform, die biometrische Kategorisierung in Ihrem Rekrutierungstool. Die Workflows zur Lieferanten-Risikobeurteilung von Priverion prüfen jedes KI-System von Drittanbietern systematisch gegen die Kriterien für verbotene Praktiken, bevor es in Ihr Ökosystem gelangt.

24/7-Unterstützung durch den Datenschutzbeauftragten über mehrere Einheiten hinweg

Tapeze . kontinuierliche Aufsicht für gruppenweite Lieferanten-Compliance

Schweizer Datensouveränität . by Design, nicht durch Marketing

Ihre KI-Compliance-Daten . Risikobeurteilungen, Audit-Nachweise, Verarbeitungsverzeichnisse . verdienen denselben Schutz wie die Personendaten, die sie dokumentieren. Priverion ist in der Schweiz entwickelt und in der Schweiz gehostet. Sämtliche Datenverarbeitung erfolgt innerhalb der Schweizer Infrastruktur. In einer Welt nach Schrems II ist das kein Marketing-Häkchen. Es ist eine rechtliche Grundlage für Vertrauen bei der grenzüberschreitenden Compliance.

In wenigen Wochen einsatzbereit, nicht in Monaten

Durchschnittliche Time-to-Value bei der Priverion-Einführung über Mid-Market- und Enterprise-Kunden hinweg

Wir decken weder ESG, Ethik-Hotlines noch Cookie-Einwilligung ab. Unsere Stärke ist das gruppenweite Datenschutz- und KI-Compliance-Management . tiefgreifend, nicht breit.

Priverion vs. OneTrust

Warum Mid-Market-Teams wechseln

Enterprise-Datenschutzplattformen wurden nicht für Sie entwickelt. Sie wurden für die Beschaffungszyklen von Fortune-500-Unternehmen, sechsstellige Budgets und 18-monatige Implementierungen gebaut. Das ändert sich, wenn Ihre Plattform tatsächlich zu Ihrer Realität passt.

Das OneTrust-Erlebnis

Preise, die sich aufblähen

Preise pro Nutzer und pro Modul bedeuten, dass die Kosten mit wachsendem Team explodieren. Eine Tochtergesellschaft hinzufügen? Das ist ein weiterer Posten. Die Budgetplanbarkeit verschwindet in dem Moment, in dem Sie mit dem Onboarding beginnen.

In den USA gehostete Infrastruktur

Daten, die in US-basierten Cloud-Umgebungen verarbeitet werden. In einer Welt nach Schrems II entsteht dadurch ein fortlaufendes Übermittlungsrisiko und zusätzlicher Dokumentationsaufwand für europäische Organisationen.

Für die Fortune 500 gebaut

Funktionsreich bis zur Lähmung. ESG-Module, Ethik-Hotlines, Cookie-Einwilligung . Sie bezahlen für Funktionen, die Ihr Datenschutzteam nie anrühren wird. Die Implementierungszeiträume erstrecken sich über Monate.

Über 200 oberflächliche Integrationen

Eine lange Liste von Konnektoren wirkt in einer Ausschreibung beeindruckend. In der Praxis verursachen oberflächliche Integrationen Wartungsaufwand und brechen, wenn Quellsysteme aktualisiert werden . sie schaffen Arbeit, statt sie zu beseitigen.

Komplexität als Funktion

Eine steile Lernkurve bedeutet, dass Ihr Team eine eigene Schulung und oft externe Beratende benötigt, nur um anzufangen. Das Tool, das die Compliance vereinfachen sollte, wird zu einem weiteren Projekt, das verwaltet werden muss.

Das Priverion-Erlebnis

Preise, die berechenbar bleiben

Basierend auf der Anzahl der Unternehmen und der Organisationsgrösse . nicht pro Nutzer oder pro Modul. Fügen Sie Teammitglieder über Tochtergesellschaften hinweg hinzu, ohne dass Ihre Rechnung steigt. Ihr CFO wird es bemerken.

In der Schweiz gehostet, in der Schweiz gebaut

Sämtliche Datenverarbeitung innerhalb der Schweizer Infrastruktur. Europäische Datenresidenz garantiert . nicht als Premium-Zusatz, sondern als Standard. In einer Welt nach Schrems II ist das keine Präferenz. Es ist eine rechtliche Vereinfachung.

Für gruppenweiten Datenschutz gebaut

Jede Funktion existiert, um das Datenschutzmanagement über mehrere Einheiten hinweg zu lösen. Verarbeitungsverzeichnis, DSFA, Lieferantenbeurteilungen, Incident-Management, Bearbeitung von Betroffenenanfragen . alles in einer Plattform, alles verbunden. Nichts, was Sie nie nutzen werden, nichts, was fehlt und das Sie brauchen.

Tiefe Integrationen, die zählen

Wir verbinden uns tiefgreifend mit den Systemen, die Datenschutz-Workflows antreiben . HR, Beschaffung, IT-Asset-Management. Weniger Konnektoren, keine Wartungssorgen, echte Daten, die dorthin fliessen, wo sie hingehören.

In Wochen einsatzbereit

Der Flugzeughersteller erreichte innerhalb der ersten 6 Monate eine Reduktion des Zeitaufwands für die Compliance-Verwaltung um 60 %. Nicht weil er Beratende einstellte . sondern weil die Plattform für Datenschutzfachleute konzipiert ist, nicht für IT-Abteilungen.

Flugzeughersteller . gemessen über die ersten 6 Monate des Einsatzes

Schluss mit Datenschutz in Tabellen

Holen Sie sich Ihre Freitagnachmittage zurück

Sehen Sie, wie Organisationen wie der Flugzeughersteller den Zeitaufwand für die Compliance-Verwaltung in sechs Monaten um 60 % gesenkt haben . mit automatisierter Rezertifizierung, gruppenweiter Transparenz und integrierter Schweizer Datensouveränität.

60 %

Weniger Compliance-Verwaltung . Flugzeughersteller, erste 6 Monate

200+

Stunden bei der ISO-27001-Vorbereitung eingespart . Medtec

Wochen

Nicht Monate bis zum Go-live

30-minütige Produktvorführung buchen

Kein Verkaufsgespräch. Eine echte Vorführung mit einem Datenschutzpraktiker, der Ihre Sprache spricht.

In der Schweiz entwickelt und in der Schweiz gehostet

KI-gestützt, vom Menschen entschieden

Keine Preisfallen pro Nutzer

Verstosskategorie	Höchstbusse	Umsatzprozentsatz	AI-Act-Artikel
Verbotene KI-Praktiken (Artikel 5)	35 Mio. EUR	7 % des weltweiten Jahresumsatzes	Artikel 99(3)
Pflichten für hochriskante KI-Systeme	15 Mio. EUR	3 % des weltweiten Jahresumsatzes	Artikel 99(4)
Falsche Angaben gegenüber Behörden	7,5 Mio. EUR	1 % des weltweiten Jahresumsatzes	Artikel 99(5)

Aspekt	EU AI Act	DSGVO
Anwendungsbereich	KI-Systeme (risikobasiert)	Verarbeitung von Personendaten
Höchstbusse	35 Mio. EUR / 7 % Umsatz	20 Mio. EUR / 4 % Umsatz
Extraterritoriale Reichweite	Ja (Artikel 2)	Ja (Artikel 3)
Durchsetzungsbeginn	Feb. 2025 (verboten); Aug. 2026 (hochriskant)	Mai 2018
Folgenabschätzung	Konformitätsbewertung (hochriskant)	DSFA (Artikel 35)
Registrierungspflicht	EU-Datenbank für hochriskante KI	Kein zentrales Register

Verbotene KI-Praktiken nach dem EU AI Act: Was jedes Compliance-Team 2025 wissen muss

Wie Priverion die EU-AI-Act-Compliance in Ihrer gesamten Gruppe operationalisiert

KI-Register für die EU-AI-Act-Readiness

KI-gestützte Risikobewertung und DSFA-Automatisierung

Gruppenweite Compliance-Dashboards und Audit-Nachweise

Automatisierte Rezertifizierung des Verarbeitungsverzeichnisses über alle Einheiten hinweg

Lieferanten-Risikobeurteilungen für KI von Drittanbietern

Schweizer Datensouveränität . by Design, nicht durch Marketing

Warum Mid-Market-Teams wechseln

Preise, die sich aufblähen

In den USA gehostete Infrastruktur

Für die Fortune 500 gebaut

Über 200 oberflächliche Integrationen

Komplexität als Funktion

Preise, die berechenbar bleiben

In der Schweiz gehostet, in der Schweiz gebaut

Für gruppenweiten Datenschutz gebaut

Tiefe Integrationen, die zählen

In Wochen einsatzbereit

Holen Sie sich Ihre Freitagnachmittage zurück

Das Wichtigste auf einen Blick: Verbotene KI-Praktiken nach dem EU AI Act

Was ist der EU AI Act?

Was verbietet Artikel 5 des EU AI Act?

Wann traten die Bestimmungen zu verbotenen Praktiken in Kraft?

Welche Bussen drohen bei verbotenen KI-Praktiken?

Gilt der EU AI Act ausserhalb der Europäischen Union?

Wie interagiert der EU AI Act mit der DSGVO?

Was ist der Unterschied zwischen verbotenen und hochriskanten KI-Systemen?

Wie sollten Organisationen ihr KI-Inventar auf verbotene Praktiken hin beurteilen?

Statistiken und Quellen

Vergleich: Bussenstufen des EU AI Act

Vergleich: EU AI Act vs. DSGVO

Wie Priverion die EU-AI-Act-Compliance in Ihrer gesamten Gruppe operationalisiert

KI-Register für die EU-AI-Act-Readiness

KI-gestützte Risikobewertung und DSFA-Automatisierung

Gruppenweite Compliance-Dashboards und Audit-Nachweise

Automatisierte Rezertifizierung des Verarbeitungsverzeichnisses über alle Einheiten hinweg

Lieferanten-Risikobeurteilungen für KI von Drittanbietern

Schweizer Datensouveränität . by Design, nicht durch Marketing

Warum Mid-Market-Teams wechseln

Preise, die sich aufblähen

In den USA gehostete Infrastruktur

Für die Fortune 500 gebaut

Über 200 oberflächliche Integrationen

Komplexität als Funktion

Preise, die berechenbar bleiben

In der Schweiz gehostet, in der Schweiz gebaut

Für gruppenweiten Datenschutz gebaut

Tiefe Integrationen, die zählen

In Wochen einsatzbereit

Holen Sie sich Ihre Freitagnachmittage zurück

The Privacy Compliance Briefing

Das Wichtigste auf einen Blick: Verbotene KI-Praktiken nach dem EU AI Act

Was ist der EU AI Act?

Was verbietet Artikel 5 des EU AI Act?

Wann traten die Bestimmungen zu verbotenen Praktiken in Kraft?

Welche Bussen drohen bei verbotenen KI-Praktiken?

Gilt der EU AI Act ausserhalb der Europäischen Union?

Wie interagiert der EU AI Act mit der DSGVO?

Was ist der Unterschied zwischen verbotenen und hochriskanten KI-Systemen?

Wie sollten Organisationen ihr KI-Inventar auf verbotene Praktiken hin beurteilen?

Statistiken und Quellen

Vergleich: Bussenstufen des EU AI Act

Vergleich: EU AI Act vs. DSGVO