EU AI Act: Was die KI-Verordnung für Unternehmen und HR bedeutet

Die KI-Verordnung legt harmonisierte Regeln für das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen in der EU fest. Sie adressiert die gesamte Wertschöpfungskette: Anbieter (wer ein KI-System entwickelt und auf den Markt bringt), Betreiber (wer es in eigener Verantwortung einsetzt), Einführer und Händler - auch Unternehmen außerhalb der EU, wenn die Ausgaben ihrer Systeme hier verwendet werden (Art. 2).

Für Arbeitgeber ist die Rollenabgrenzung entscheidend: Wer eine KI-HR-Software einkauft und bestimmungsgemäß nutzt, ist Betreiber. Wer ein System wesentlich verändert oder unter eigenem Namen anbietet, rückt in die deutlich umfangreichere Anbieterrolle ein (Art. 25).

Die Verordnung unterscheidet KI-Systeme nach ihrem Risiko und knüpft daran abgestufte Pflichten:

• Verbotene Praktiken (Art. 5): unannehmbares Risiko - u. a. manipulative Techniken, Social Scoring, ungezieltes Auslesen von Gesichtsbildern und Emotionserkennung am Arbeitsplatz (Ausnahme: medizinische oder Sicherheitsgründe). Gelten seit dem 2. Februar 2025.
• Hochrisiko-KI (Art. 6 i. V. m. Anhang I und III): zulässig, aber an strenge Anforderungen geknüpft - Risikomanagement, Daten-Governance, Dokumentation, Protokollierung, menschliche Aufsicht. Hierzu zählt Beschäftigung und Personalmanagement (Anhang III Nr. 4).
• Transparenzpflichten (Art. 50): begrenztes Risiko - Chatbots müssen sich als KI zu erkennen geben, KI-generierte oder manipulierte Inhalte (Deepfakes) sind zu kennzeichnen. Gelten seit dem 2. August 2026.
• Minimales Risiko: die große Mehrheit der KI-Anwendungen (z. B. Spamfilter) - keine spezifischen Pflichten.
• KI-Modelle mit allgemeinem Verwendungszweck (GPAI, Art. 51 ff.): eigene Pflichtenkategorie für Basismodelle (Transparenz, Urheberrechts-Policy, bei systemischem Risiko zusätzliche Bewertungen) - anwendbar seit dem 2. August 2025.

Anhang III Nr. 4 stuft zwei Gruppen von HR-Systemen als Hochrisiko ein. Erstens (Buchst. a): KI-Systeme für die Einstellung oder Auswahl natürlicher Personen - insbesondere für gezielte Stellenanzeigen, das Sichten und Filtern von Bewerbungen und die Bewertung von Bewerberinnen und Bewerbern. Zweitens (Buchst. b): KI-Systeme für Entscheidungen über Beschäftigungsbedingungen, Beförderung oder Kündigung, für die Aufgabenzuweisung aufgrund individuellen Verhaltens oder persönlicher Merkmale sowie für die Leistungsüberwachung und -bewertung von Beschäftigten.

Damit fällt praktisch jedes ernstzunehmende KI-Recruiting-Werkzeug - vom CV-Parser mit Ranking über Matching-Algorithmen bis zur algorithmischen Vorauswahl - in die Hochrisikoklasse. Die Einstufung bedeutet kein Verbot, sondern eine Compliance-Pflicht: Der Einsatz ist zulässig, wenn Anbieter und Betreiber die Anforderungen erfüllen.

Wer Hochrisiko-KI im Personalbereich betreibt, trifft ein eigenes Pflichtenprogramm - unabhängig davon, dass der Anbieter die Hauptlast trägt (Risikomanagement nach Art. 9, Daten-Governance nach Art. 10, Protokollierungsfähigkeit nach Art. 12). Die wichtigsten Betreiberpflichten aus Art. 26:

• Bestimmungsgemäße Nutzung: Einsatz strikt nach der Betriebsanleitung des Anbieters (Abs. 1).
• Menschliche Aufsicht durch Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis (Abs. 2) - keine rein formale „Abnick-Instanz“.
• Eingabedaten: Soweit der Betreiber sie kontrolliert, müssen sie für die Zweckbestimmung relevant und hinreichend repräsentativ sein (Abs. 4).
• Monitoring und Meldung: Betrieb überwachen, bei Risiken oder schwerwiegenden Vorfällen Anbieter und Behörden informieren (Abs. 5).
• Logging: Automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren (Abs. 6).
• Beschäftigteninformation: Vor Inbetriebnahme sind Arbeitnehmervertretung und betroffene Beschäftigte zu informieren (Abs. 7); in Deutschland sind zusätzlich Mitbestimmungsrechte des Betriebsrats zu beachten.
• Transparenz gegenüber Bewerbern: Betroffene sind über den Einsatz des Hochrisiko-KI-Systems zu informieren (Abs. 11); bei Entscheidungen mit erheblicher Wirkung besteht ein Anspruch auf Erläuterung der Rolle des KI-Systems (Art. 86).

Art. 4 gilt seit dem 2. Februar 2025 und wurde durch den Digital Omnibus neu gefasst: Anbieter und Betreiber müssen Maßnahmen ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer in ihrem Auftrag mit KI-Systemen befasster Personen zu unterstützen - abgestuft nach Kenntnissen, Erfahrung, Ausbildung und Einsatzkontext. Ein bestimmtes Kompetenzniveau einzelner Personen schreibt die Verordnung nicht vor. Für HR-Teams heißt das: Wer KI-Systeme bedient oder deren Ergebnisse bewertet, sollte Funktionsweise, Grenzen und Risiken (etwa Bias) einschätzen können. Die Pflicht gilt unabhängig von der Risikoklasse und lässt sich über Schulungskonzepte und Rollenprofile umsetzen.

Die KI-Verordnung gilt zusätzlich zum Datenschutzrecht. Nach Art. 22 DSGVO haben Bewerberinnen und Bewerber das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung unterworfen zu werden - eine vollautomatische Bewerbungsabsage ohne menschliche Letztentscheidung ist regelmäßig unzulässig. Menschliche Aufsicht nach dem AI Act und das Automatisierungsverbot der DSGVO greifen ineinander: Ein Mensch muss die Entscheidung tragen können und tatsächlich tragen.

Daneben steht das Allgemeine Gleichbehandlungsgesetz (AGG): Diskriminiert ein algorithmisches Auswahlsystem nach Merkmalen wie Alter, Geschlecht oder Herkunft, haftet der Arbeitgeber - die Verantwortung lässt sich nicht auf den Softwareanbieter delegieren. Die Beweislasterleichterung des § 22 AGG macht statistisch auffällige, nicht erklärbare Auswahlmuster zum realen Prozessrisiko; Nachvollziehbarkeit und Dokumentation der KI-gestützten Auswahl sind deshalb auch arbeitsrechtliche Selbstverteidigung.

Die Bußgeldrahmen der KI-Verordnung (Art. 99) sind gestaffelt; der höchste liegt über dem höchsten DSGVO-Rahmen (20 Mio. Euro oder 4 %): Verstöße gegen die verbotenen Praktiken des Art. 5 kosten bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes - je nachdem, welcher Betrag höher ist. Verstöße gegen die meisten übrigen Pflichten, einschließlich Art. 26, bis zu 15 Mio. Euro oder 3 %; falsche Angaben gegenüber Behörden bis zu 7,5 Mio. Euro oder 1 %. Für KMU und Start-ups gilt jeweils der niedrigere Betrag als Obergrenze; seit dem Digital Omnibus gilt das für die beiden niedrigeren Stufen auch für kleine Midcap-Unternehmen.

Der ursprüngliche Stufenplan sah den allgemeinen Geltungsbeginn - einschließlich der Hochrisiko-Pflichten für Anhang-III-Systeme wie HR-KI - für den 2. August 2026 vor. Mit dem „Digital Omnibus“ wurden die Fristen für die Hochrisiko-Pflichten jedoch verschoben: Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Der Überblick:

• 1. August 2024: Inkrafttreten der Verordnung (EU) 2024/1689.
• 2. Februar 2025: Verbotene Praktiken (Art. 5) und KI-Kompetenzpflicht (Art. 4) - gelten.
• 2. August 2025: Pflichten für GPAI-Modelle, Governance-Strukturen (AI Office, nationale Behörden) und Sanktionsvorschriften - gelten.
• 2. August 2026: Transparenzpflichten nach Art. 50 (Chatbot-Hinweis, Kennzeichnung KI-generierter Inhalte) - gelten; für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, ist die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 bis zum 2. Dezember 2026 umzusetzen.
• 2. Dezember 2027 (per Omnibus verschoben, vorher 2. August 2026): Hauptpflichten für eigenständige Hochrisiko-Systeme nach Anhang III - einschließlich KI im Personalwesen.
• 2. August 2028 (per Omnibus verschoben, vorher 2. August 2027): Hochrisiko-Pflichten für KI in regulierten Produkten nach Anhang I (z. B. Medizinprodukte, Spielzeug, Aufzüge).
• Hinweis: Dieser Guide dient der Einordnung und ersetzt keine Rechtsberatung im Einzelfall.

NOBA Experts setzt KI-gestütztes Matching im eigenen Recruiting-Prozess ein und behandelt es bewusst als Hochrisiko-Anwendung im Sinne von Anhang III Nr. 4. Dafür betreibt NOBA Experts eine eigene lokale KI-Infrastruktur und hat im Rahmen eines eigenen, von der Bescheinigungsstelle Forschungszulage (BSFZ) als förderfähig bescheinigten Forschungs- und Entwicklungsvorhabens eine systematische experimentelle Evaluierung von mehr als zehn Sprachmodellen durchgeführt. Kernkriterien waren Reproduzierbarkeit, Rang-Stabilität und Nachvollziehbarkeit der Bewertungen - genau die Eigenschaften, auf die es bei DSGVO Art. 22 und AGG ankommt, wenn KI-gestützte Einschätzungen über Menschen erklärbar sein müssen.

Zwei Erkenntnisse aus dieser Arbeit: Lokal betriebene Modelle können bei der Reproduzierbarkeit mit Cloud-Modellen mithalten oder sie übertreffen. Und Modelleignung ist aufgabenspezifisch - dasselbe Modell, das eine Aufgabe zuverlässig löst, kann bei einer anderen unbrauchbar sein. NOBA Experts setzt deshalb auf aufgabendifferenziertes Modell-Routing: Sensible personenbezogene Verarbeitung läuft ausschließlich lokal auf eigener Infrastruktur, nicht-personenbezogene Aufgaben dürfen in der Cloud laufen. Die finale Entscheidung trifft in jedem Fall ein Mensch - menschliche Aufsicht ist hier kein Compliance-Feigenblatt, sondern Kern des Prozesses.