EU AI Act: Was die KI-Verordnung für Unternehmen und HR bedeutet

Die KI-Verordnung legt harmonisierte Regeln für das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen in der EU fest. Sie adressiert die gesamte Wertschöpfungskette: Anbieter (wer ein KI-System entwickelt und auf den Markt bringt), Betreiber (wer es in eigener Verantwortung einsetzt), Einführer und Händler — auch Unternehmen außerhalb der EU, wenn die Ausgaben ihrer Systeme hier verwendet werden (Art. 2).

Für Arbeitgeber ist die Rollenabgrenzung entscheidend: Wer eine KI-HR-Software einkauft und bestimmungsgemäß nutzt, ist Betreiber. Wer ein System wesentlich verändert oder unter eigenem Namen anbietet, rückt in die deutlich umfangreichere Anbieterrolle ein (Art. 25).

Anhang III Nr. 4 stuft zwei Gruppen von HR-Systemen als Hochrisiko ein. Erstens (Buchst. a): KI-Systeme für die Einstellung oder Auswahl natürlicher Personen — insbesondere für gezielte Stellenanzeigen, das Sichten und Filtern von Bewerbungen und die Bewertung von Bewerberinnen und Bewerbern. Zweitens (Buchst. b): KI-Systeme für Entscheidungen über Beschäftigungsbedingungen, Beförderung oder Kündigung, für die Aufgabenzuweisung aufgrund individuellen Verhaltens oder persönlicher Merkmale sowie für die Leistungsüberwachung und -bewertung von Beschäftigten.

Damit fällt praktisch jedes ernstzunehmende KI-Recruiting-Werkzeug — vom CV-Parser mit Ranking über Matching-Algorithmen bis zur algorithmischen Vorauswahl — in die Hochrisikoklasse. Die Einstufung bedeutet kein Verbot, sondern eine Compliance-Pflicht: Der Einsatz ist zulässig, wenn Anbieter und Betreiber die Anforderungen erfüllen.

Bereits seit dem 2. Februar 2025 gilt Art. 4: Anbieter und Betreiber müssen Maßnahmen ergreifen, um nach besten Kräften sicherzustellen, dass ihr Personal über ausreichende KI-Kompetenz verfügt — abgestuft nach Kenntnissen, Erfahrung, Ausbildung und Einsatzkontext. Für HR-Teams heißt das: Wer KI-Systeme bedient oder deren Ergebnisse bewertet, muss Funktionsweise, Grenzen und Risiken (etwa Bias) einschätzen können. Die Pflicht gilt unabhängig von der Risikoklasse und ist über Schulungskonzepte und Rollenprofile umzusetzen.

Die Bußgeldrahmen der KI-Verordnung (Art. 99) liegen über denen der DSGVO: Verstöße gegen die verbotenen Praktiken des Art. 5 kosten bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Verstöße gegen die meisten übrigen Pflichten, einschließlich Art. 26, bis zu 15 Mio. Euro oder 3 %; falsche Angaben gegenüber Behörden bis zu 7,5 Mio. Euro oder 1 %. Für KMU und Start-ups gilt jeweils der niedrigere Betrag als Obergrenze.

NOBA Experts setzt KI-gestütztes Matching im eigenen Recruiting-Prozess ein und behandelt es bewusst als Hochrisiko-Anwendung im Sinne von Anhang III Nr. 4. Dafür betreibt NOBA Experts eine eigene lokale KI-Infrastruktur und hat im Rahmen eines eigenen, staatlich geförderten Forschungs- und Entwicklungsvorhabens eine systematische experimentelle Evaluierung von mehr als zehn Sprachmodellen durchgeführt. Kernkriterien waren Reproduzierbarkeit, Rang-Stabilität und Nachvollziehbarkeit der Bewertungen — genau die Eigenschaften, auf die es bei DSGVO Art. 22 und AGG ankommt, wenn KI-gestützte Einschätzungen über Menschen erklärbar sein müssen.

Zwei Erkenntnisse aus dieser Arbeit: Lokal betriebene Modelle können bei der Reproduzierbarkeit mit Cloud-Modellen mithalten oder sie übertreffen. Und Modelleignung ist aufgabenspezifisch — dasselbe Modell, das eine Aufgabe zuverlässig löst, kann bei einer anderen unbrauchbar sein. NOBA Experts setzt deshalb auf aufgabendifferenziertes Modell-Routing: Sensible personenbezogene Verarbeitung läuft ausschließlich lokal auf eigener Infrastruktur, nicht-personenbezogene Aufgaben dürfen in der Cloud laufen. Die finale Entscheidung trifft in jedem Fall ein Mensch — menschliche Aufsicht ist hier kein Compliance-Feigenblatt, sondern Kern des Prozesses.