Der EU AI Act ist seit August 2024 in Kraft. Seine Anforderungen gelten jedoch nicht alle gleichzeitig: Verbote für inakzeptable Risiken sind seit Februar 2025 anwendbar, Pflichten für Hochrisiko-KI-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, für bestimmte produktbezogene Hochrisiko-Systeme ab dem 2. August 2028. Für HR-Verantwortliche bedeutet das: Die Vorbereitungszeit läuft, aber sie ist begrenzt. Wer KI-Systeme im Personalwesen einsetzt oder plant einzusetzen, sollte jetzt verstehen, welche Pflichten auf ihn zukommen. Dieser Artikel führt durch die wichtigsten Grundlagen, erklärt, welche HR-Systeme betroffen sind, und zeigt, wie ein strukturierter Vorbereitungsprozess aussehen kann.
Das Ziel ist nicht, Unsicherheit zu erzeugen, sondern Orientierung zu geben. Der AI Act ist komplex, aber mit dem richtigen Überblick lässt er sich systematisch angehen.
Was der EU AI Act ist und wen er im HR betrifft
Der EU AI Act (Verordnung (EU) 2024/1689) ist die weltweit erste umfassende gesetzliche Regulierung für Künstliche Intelligenz. Er klassifiziert KI-Systeme nach ihrem Risikograd und legt fest, welche Anforderungen Anbieter und Betreiber erfüllen müssen. Das Gesetz gilt für alle Unternehmen, die KI-Systeme in der EU einsetzen, unabhängig davon, ob sie in der EU ansässig sind oder nicht.
Für HR-Verantwortliche ist der AI Act relevant, weil bestimmte Systeme im Personalwesen unter seine strengeren Regelungen fallen können. Entscheidend ist dabei nicht, ob eine Software generell „KI nutzt“, sondern ob ihr konkreter Einsatzzweck unter die Hochrisiko-Definition fällt. Das gilt für Großkonzerne genauso wie für mittelständische Unternehmen.
Der AI Act unterscheidet vereinfacht gesagt vier Risikostufen: inakzeptables Risiko (verboten), hohes Risiko (streng reguliert), begrenztes Risiko (Transparenzpflichten) und minimales Risiko (weitgehend unreguliert). Diese Kategorien dienen als erste Orientierung. Die genaue Einordnung eines Systems ergibt sich aus Artikel 6 in Verbindung mit Anhang III des AI Acts und hängt vom tatsächlichen Verwendungszweck ab. Für HR ist vor allem die Kategorie der Hochrisiko-KI relevant.
Welche HR-Systeme als Hochrisiko-KI eingestuft werden
Der AI Act listet in Anhang III Bereiche auf, in denen KI-Systeme als Hochrisiko gelten können. Im HR-Kontext betrifft das Systeme, die im Zusammenhang mit Beschäftigung, Personalmanagement und Zugang zu Selbstständigkeit eingesetzt werden — insbesondere wenn sie für die Bewerberbewertung und Personalauswahl vorgesehen sind. Maßgeblich ist der vorgesehene Einsatzzweck, nicht allein die technischen Fähigkeiten eines Systems.
Typische HR-Anwendungen, die unter diese Kategorie fallen können:
- KI-gestützte Bewerbungsscreening-Tools, die Lebensläufe automatisch sortieren oder für die Personalauswahl bewerten
- Scoring-Verfahren, die Kandidat:innen oder Mitarbeitende nach Eignung oder Potenzial ranken und damit Auswahlentscheidungen vorbereiten
- KI-Systeme zur Überwachung und Bewertung von Arbeitsleistung oder Verhalten, soweit sie Entscheidungen über Beschäftigte vorbereiten oder beeinflussen
Nicht jede KI-Anwendung im HR ist automatisch Hochrisiko-KI. Allgemeine Personalplanungstools, KI-gestützte Textassistenz oder administrative Automatisierung fallen nicht allein deshalb unter Anhang III, weil sie im HR-Kontext genutzt werden. Entscheidend ist, ob das System für einen der in Anhang III genannten Zwecke vorgesehen ist.
Ein gesonderter Hinweis zur Videointerviewanalyse: Hier ist zu unterscheiden. Die automatische Transkription von Gesprächen ist etwas anderes als eine KI-gestützte Eignungsbewertung auf Basis von Sprache oder Verhalten — letztere kann als Hochrisiko-System einzustufen sein. Davon zu trennen ist die biometrisch gestützte Emotionserkennung: Der AI Act verbietet den Einsatz von KI-Systemen zur Erkennung von Emotionen am Arbeitsplatz grundsätzlich (Artikel 5 Absatz 1 Buchstabe f), mit eng begrenzten Ausnahmen für medizinische oder sicherheitsbezogene Zwecke. Solche Funktionen sind daher keine zulässige HR-Anwendung.
Ein KI-gestützter Chatbot, der Standardfragen von Bewerber:innen beantwortet, ohne Entscheidungen über Personen zu treffen oder vorzubereiten, fällt in der Regel nicht unter Hochrisiko-KI. Allerdings können je nach Ausgestaltung Transparenzpflichten nach Artikel 50 des AI Acts gelten — etwa die Pflicht, Nutzer:innen darüber zu informieren, dass sie mit einem KI-System interagieren.
Welche Pflichten HR-Verantwortliche konkret erfüllen müssen
Der AI Act unterscheidet zwischen Anbietern (die ein KI-System entwickeln oder in Verkehr bringen) und Betreibern (die ein KI-System in eigener Verantwortung einsetzen). HR-Abteilungen, die eingekaufte Systeme nutzen, sind in der Regel Betreiber. Sie müssen nicht die technische Dokumentation des Herstellers selbst erstellen — das ist Aufgabe des Anbieters. Betreiber haben jedoch eigene Pflichten, die ab dem 2. Dezember 2027 für Hochrisiko-Systeme nach Anhang III gelten.
Bestimmungsgemäße Nutzung
Betreiber müssen Hochrisiko-KI-Systeme entsprechend der Gebrauchsanweisung des Anbieters einsetzen. Wer ein System für einen anderen als den vorgesehenen Zweck nutzt, kann selbst in die Anbieterpflichten hineinwachsen. Es ist daher wichtig zu prüfen, wofür ein System laut Anbieter vorgesehen ist — und ob der geplante Einsatz im eigenen Unternehmen damit übereinstimmt.
Menschliche Aufsicht
Betreiber müssen sicherstellen, dass qualifizierte Personen die Ausgaben des Systems überwachen und in der Lage sind, diese zu verstehen, kritisch zu hinterfragen und gegebenenfalls nicht anzuwenden. Das bedeutet in der Praxis: HR-Verantwortliche müssen aktiv in Entscheidungsprozesse eingebunden bleiben und KI-Empfehlungen kompetent bewerten können. Die menschliche Aufsicht muss wirksam sein — nicht nur formal vorhanden.
Ergänzend dazu gilt nach Artikel 22 DSGVO bereits heute: Betroffene Personen haben das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Diese Anforderung besteht unabhängig vom AI Act und ist für HR-Entscheidungen wie Einstellungen oder Kündigungen unmittelbar relevant.
Protokollierung und Überwachung
Betreiber sind verpflichtet, den Betrieb des Systems zu überwachen und — soweit sie Zugang zu den entsprechenden Protokolldaten haben — diese aufzubewahren. Ziel ist es, nachvollziehen zu können, wie das System im konkreten Einsatz funktioniert hat. Welche Protokollierungspflichten im Einzelfall gelten, hängt von der Systemarchitektur und den vertraglichen Vereinbarungen mit dem Anbieter ab.
Information betroffener Personen und Arbeitnehmervertretungen
Betreiber müssen betroffene Beschäftigte und Bewerber:innen darüber informieren, dass ein Hochrisiko-KI-System eingesetzt wird. Darüber hinaus sind Arbeitnehmervertretungen entsprechend den geltenden arbeitsrechtlichen Regelungen einzubeziehen. Wer Mitarbeitende und Bewerber:innen nicht informiert, riskiert nicht nur rechtliche Probleme, sondern auch Vertrauensverlust.
Datenschutz und Datenqualität
Der AI Act ergänzt die DSGVO und stellt Anforderungen an die Qualität der Trainingsdaten — primär auf Anbieterseite. Anbieter müssen sicherstellen, dass Trainingsdaten repräsentativ sind und Maßnahmen zur Erkennung und Verringerung von Verzerrungen ergriffen werden. Vollständige Fehlerfreiheit ist kein realistischer Maßstab; gefordert ist angemessene Sorgfalt. Als Betreiber sollten HR-Verantwortliche bei Anbietern nachfragen, wie Trainingsdaten zusammengestellt wurden und ob regelmäßige Überprüfungen stattfinden — und diese Informationen bei der Entscheidung für oder gegen ein System berücksichtigen.
KI-Kompetenz im Team
Artikel 4 des AI Acts verpflichtet Betreiber, dafür zu sorgen, dass Personen, die mit KI-Systemen arbeiten, über ausreichende KI-Kompetenz verfügen. Das bedeutet nicht, dass ein bestimmter Kurs oder ein Zertifikat vorgeschrieben wäre. Gemeint ist, dass HR-Verantwortliche und andere Beteiligte die Funktionsweise, die Grenzen und die Risiken der eingesetzten Systeme verstehen müssen — in einem Maß, das eine kompetente Aufsicht ermöglicht. Diese Pflicht gilt bereits seit Februar 2025.
Typische Stolperfallen bei der AI-Act-Umsetzung im HR
Viele Unternehmen unterschätzen den Vorbereitungsaufwand oder setzen an den falschen Stellen an. Die folgenden Punkte zeigen, wo häufig Fehler entstehen.
Stolperfalle 1: KI-Verantwortung wird delegiert, nicht gestaltet. Viele Unternehmen übergeben das Thema KI-Compliance an die IT-Abteilung oder eine einzelne Person. Der AI Act berührt jedoch HR-Prozesse, rechtliche Anforderungen und Unternehmenskultur gleichzeitig. Eine isolierte Zuständigkeit führt zu Lücken.
Stolperfalle 2: Bestehende Systeme werden nicht überprüft. Viele Unternehmen haben bereits KI-Funktionen in ihren HR-Softwarelösungen aktiv, ohne es zu wissen. Automatische Ranking-Funktionen in Bewerbermanagementsystemen oder KI-gestützte Auswertungen in Performance-Tools können unter den AI Act fallen. Eine Bestandsaufnahme aller eingesetzten Systeme ist der erste notwendige Schritt.
Stolperfalle 3: Anbieterverantwortung wird überschätzt. Wer ein KI-System von einem Anbieter kauft, ist nicht automatisch aus der Pflicht entlassen. Als Betreiber tragen Unternehmen eigene Verantwortung für den konformen Einsatz. Verträge mit Anbietern sollten die jeweiligen Pflichten klar regeln — das ist eine praktische Empfehlung, keine allgemeine gesetzliche Vorgabe zu einer bestimmten Vertragsform.
Stolperfalle 4: Mitarbeitende und Arbeitnehmervertretungen werden nicht einbezogen. Der AI Act schreibt Transparenz gegenüber betroffenen Personen vor. Wer Mitarbeitende und Bewerber:innen nicht informiert und Arbeitnehmervertretungen nicht einbezieht, riskiert rechtliche Probleme und Vertrauensverlust.
Einen strukturierten Vorbereitungsprozess aufbauen
Mit dem Wissen aus den vorangegangenen Abschnitten lässt sich ein strukturierter Ansatz entwickeln, um KI im HR vorzubereiten. Die folgenden Schritte sind eine praktische Orientierung — sie ersetzen keine rechtliche Einzelfallprüfung.
- Bestandsaufnahme: Erfassen Sie alle KI-Systeme, die im HR-Bereich eingesetzt werden oder geplant sind. Dazu gehören auch Funktionen innerhalb bestehender Software, die KI-gestützt arbeiten.
- Risikobewertung: Ordnen Sie jedes System einer Risikokategorie zu. Prüfen Sie anhand von Artikel 6 und Anhang III, ob der vorgesehene Einsatzzweck unter die Hochrisiko-Definition fällt. Ziehen Sie bei Unklarheiten rechtliche Fachpersonen hinzu.
- Prüfen, welche Folgenabschätzungen im konkreten Fall erforderlich sind: Eine Grundrechte-Folgenabschätzung nach Artikel 27 des AI Acts ist nicht für alle Betreiber von Hochrisiko-Systemen verpflichtend, sondern gilt nur für bestimmte Einrichtungen — insbesondere Behörden und öffentliche Stellen. Davon zu unterscheiden ist die Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO, die bei bestimmten Verarbeitungen personenbezogener Daten erforderlich sein kann und unabhängig vom AI Act gilt. Klären Sie im Einzelfall, welche Pflichten für Ihr Unternehmen zutreffen.
- Stakeholder einbeziehen: Identifizieren Sie, wer von den KI-Systemen betroffen ist, welche Sorgen bestehen und wie Mitarbeitende sowie Arbeitnehmervertretungen in den Prozess eingebunden werden können.
- Transparenz herstellen: Informieren Sie Mitarbeitende und Bewerber:innen aktiv darüber, wo und wie KI eingesetzt wird. Schaffen Sie klare Anlaufstellen für Fragen und Einwände.
- Menschliche Aufsicht verankern: Definieren Sie verbindlich, wer welche KI-Empfehlungen überprüft und wie Entscheidungen dokumentiert werden. Sorgen Sie dafür, dass die zuständigen Personen die nötige KI-Kompetenz nach Artikel 4 besitzen.
- Laufende Überwachung planen: Betreiber sind zur Überwachung des Systembetriebs verpflichtet. Darüber hinaus ist es sinnvoll, regelmäßig zu prüfen, ob Systeme weiterhin bestimmungsgemäß eingesetzt werden und ob neue Entwicklungen — etwa Änderungen am System oder am Rechtsrahmen — Anpassungen erfordern. Regelmäßige Audits sind eine praktische Empfehlung; ob und in welcher Form sie gesetzlich vorgeschrieben sind, hängt vom Einzelfall ab.
Ein strukturierter Vorbereitungsprozess erfordert Zeit und Ressourcen. Er schafft jedoch die Grundlage dafür, KI im HR verantwortungsvoll einzusetzen und rechtliche Risiken frühzeitig zu erkennen.
Wie wir Sie bei der Vorbereitung auf den AI Act im HR begleiten
Der EU AI Act stellt HR-Verantwortliche vor reale Herausforderungen, die strategisches Know-how, Prozesskenntnis und Organisationsverständnis gleichzeitig erfordern. Genau hier setzen wir an. Als HR-Werkstatt begleiten wir mittelständische Unternehmen dabei, KI im Personalwesen strukturiert und durchdacht einzuführen.
Was wir konkret für Sie tun:
- Bestandsaufnahme der eingesetzten HR-Systeme und Einordnung nach Einsatzzweck im Hinblick auf den AI Act
- Gestaltung von HR-Prozessen mit klarer menschlicher Aufsicht über KI-gestützte Empfehlungen
- Entwicklung von Transparenz- und Kommunikationskonzepten für Mitarbeitende, Bewerber:innen und Arbeitnehmervertretungen
- Aufbau interner Strukturen zur Überwachung und bestimmungsgemäßen Nutzung von KI-Systemen
- Befähigung von HR-Teams im kritischen Umgang mit KI-Empfehlungen und zur Erfüllung der Kompetenzanforderungen nach Artikel 4
- Flexible Projektbegleitung on demand, ohne langfristige Bindung
Für rechtliche Einzelfallprüfungen — etwa zur genauen Einordnung eines Systems oder zur Frage, welche Folgenabschätzungen erforderlich sind — empfehlen wir, qualifizierte Rechtsberatung hinzuzuziehen. Wir arbeiten dabei gerne mit Ihren rechtlichen Ansprechpersonen zusammen.
Wenn Sie wissen möchten, wo Ihr Unternehmen beim Thema AI Act im HR aktuell steht, nehmen Sie gerne ein Beratungsgespräch mit uns auf. Wir schauen gemeinsam, was Sie konkret brauchen.
