„`html
Die EU-Kommission hat die Übergangsfrist für Hochrisiko-KI-Systeme im HR-Bereich verschoben – eigenständige Hochrisiko-KI-Systeme müssen ab dem 2. Dezember 2027 vollständig compliant sein, für in Produkte integrierte Systeme gilt der 2. August 2028. Dennoch gelten bereits seit Februar 2025 Verbote für inakzeptable KI-Praktiken. HR-Systeme zur Leistungsbewertung, Einstellungsentscheidung und Personalüberwachung fallen unter die Hochrisiko-Kategorie des AI Acts. Unternehmen, die jetzt nicht mit der Compliance-Vorbereitung beginnen, riskieren Bußgelder von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.
Inhaltsverzeichnis
Was der EU AI Act regelt – und was bereits gilt
Der EU AI Act – offiziell die Verordnung (EU) 2024/1689 – ist das erste umfassende Regelwerk der Europäischen Union zur Regulierung künstlicher Intelligenz. Er trat am 1. August 2024 in Kraft und wird schrittweise angewendet. Das Gesetz verfolgt einen risikobasierten Ansatz: Je größer das Schadenspotenzial eines KI-Systems, desto strenger die Anforderungen.
Bereits seit dem 2. Februar 2025 sind bestimmte KI-Praktiken vollständig verboten. Dazu zählen Systeme, die Menschen unterschwellig manipulieren, soziale Scores erstellen oder biometrische Kategorisierungen nach sensiblen Merkmalen wie Rasse oder politischer Überzeugung vornehmen. Diese Verbote gelten ohne Übergangsfrist – auch für HR-relevante Anwendungen. Wer heute ein KI-gestütztes Screening-Tool einsetzt, das Bewerber nach Persönlichkeitsprofilen filtert, die auf geschützten Merkmalen basieren, bewegt sich bereits in einer Grauzone, die das Gesetz klar adressiert.
Warum HR-Systeme als Hochrisiko eingestuft werden
Der EU AI Act klassifiziert KI-Systeme, die im Beschäftigungskontext eingesetzt werden, explizit als hochriskant. Anhang III der Verordnung listet Anwendungsfelder auf, die besondere Anforderungen auslösen. Für HR-Abteilungen betrifft das unter anderem:
- KI-gestützte Auswahl und Sortierung von Bewerbungen
- Automatisierte Leistungs- und Verhaltensüberwachung von Beschäftigten
- Systeme zur Entscheidungsunterstützung bei Beförderungen oder Kündigungen
- KI-Tools zur Bewertung von Arbeitsleistung und Kompetenzentwicklung
Die Einstufung als Hochrisiko-KI bedeutet nicht, dass diese Systeme verboten sind. Sie dürfen weiter genutzt werden – jedoch nur unter Einhaltung eines umfangreichen Pflichtenkatalogs, der Transparenz, menschliche Aufsicht und technische Robustheit verlangt.
Die verschobene Frist: Was hat sich geändert?
Ursprünglich sollten die vollen Pflichten für Hochrisiko-KI-Systeme nach einer 24-monatigen Übergangsfrist ab August 2026 greifen. Durch den Digital Omnibus Act (März 2026) wurden die Fristen angepasst: Eigenständige Hochrisiko-KI-Systeme müssen ab dem 2. Dezember 2027 vollständig compliant sein. Für Hochrisiko-KI, die in umfassendere Produkte integriert ist, gilt eine Frist bis zum 2. August 2028.
Diese Differenzierung erzeugt in der Praxis erhebliche Unsicherheit. Viele Unternehmen wissen nicht genau, in welche Kategorie ihre eingesetzten Tools fallen. Das Ergebnis: Abwarten. Dabei ist Abwarten die riskanteste aller Strategien. Denn die Vorbereitungszeit für eine vollständige AI-Act-Compliance ist erheblich – Analysen gehen von 12 bis 18 Monaten aus.
Pflichten für HR-Verantwortliche im Überblick
Wer Hochrisiko-KI-Systeme im HR einsetzt oder beschafft, trägt als sogenannter Betreiber (Deployer) konkrete gesetzliche Pflichten. Diese unterscheiden sich von den Pflichten der Anbieter (Provider), also der Hersteller solcher Systeme. Die folgende Tabelle gibt einen strukturierten Überblick:
| Pflicht | Betrifft | Frist |
|---|---|---|
| Technische Dokumentation erstellen | Anbieter (Provider) | Ab Dezember 2027 |
| Konformitätsbewertung durchführen | Anbieter (Provider) | Ab Dezember 2027 |
| Risikomanagementsystem implementieren | Anbieter & Betreiber | Ab Dezember 2027 |
| Beschäftigte über KI-Einsatz informieren | Betreiber (Deployer) | Ab Dezember 2027 |
| Menschliche Aufsicht sicherstellen | Betreiber (Deployer) | Ab Dezember 2027 |
| Protokollierung und Aufzeichnung | Betreiber (Deployer) | Ab Dezember 2027 |
| Verbot inakzeptabler KI-Praktiken beachten | Alle | Bereits seit Februar 2025 |
Für Betreiber gilt zusätzlich: Wenn ein KI-System im Beschäftigungskontext eingesetzt wird, müssen Betriebsräte und – soweit vorhanden – Datenschutzbeauftragte frühzeitig eingebunden werden. Das ergibt sich nicht allein aus dem AI Act, sondern auch aus § 87 Abs. 1 Nr. 6 BetrVG sowie der DSGVO.
Konkrete Maßnahmen: So bereiten Sie sich vor
Der erste Schritt ist eine vollständige Bestandsaufnahme aller im Unternehmen eingesetzten KI-Systeme mit HR-Bezug. Viele Unternehmen unterschätzen, wie viele Tools bereits KI-Komponenten enthalten – von ATS-Systemen über Leistungsmanagement-Software bis hin zu Chatbots im Bewerbungsprozess. Erst wer den Überblick hat, kann priorisieren.
Auf dieser Grundlage folgt die Risikobewertung: Welche Systeme fallen unter die Hochrisiko-Kategorie des AI Acts? Welche sind lediglich als allgemeine KI-Modelle einzustufen? Für diese Einordnung empfiehlt sich die Zusammenarbeit mit Legal- und Compliance-Abteilungen sowie – bei komplexen Systemlandschaften – externen Experten.
Parallel dazu sollten Unternehmen ihre Vertragsbeziehungen mit KI-Anbietern prüfen. Der AI Act verpflichtet Anbieter zu umfangreicher Dokumentation und Transparenz. Wer als Betreiber diese Unterlagen nicht erhält, kann die eigene Compliance nicht nachweisen. Verträge müssen entsprechende Auskunfts- und Nachweispflichten der Anbieter ausdrücklich regeln.
Schließlich braucht es interne Strukturen: Wer ist im Unternehmen verantwortlich für AI-Governance? Gibt es klare Prozesse für die menschliche Überprüfung KI-gestützter Entscheidungen? Werden Beschäftigte geschult, um KI-Empfehlungen kritisch zu hinterfragen? Diese Fragen lassen sich nicht kurzfristig klären – sie erfordern strukturelle Veränderungen, die Zeit brauchen.
Der EU AI Act: Frist verschoben bedeutet nicht, dass der Handlungsdruck sinkt. Das Gegenteil ist der Fall: Wer die gewonnene Zeit nicht nutzt, steht vor unlösbaren Aufgaben.
FAQ: Häufige Fragen zum EU AI Act im HR
Ab wann gilt der EU AI Act für HR-Systeme verbindlich?
Für eigenständige Hochrisiko-KI-Systeme im HR-Bereich gilt der vollständige Pflichtenkatalog ab dem 2. Dezember 2027. Für Hochrisiko-KI, die in umfassendere Produkte integriert ist, gilt eine verlängerte Frist bis zum 2. August 2028. Die Verbote für inakzeptable KI-Praktiken sind bereits seit dem 2. Februar 2025 in Kraft.
Welche HR-Tools fallen unter die Hochrisiko-Kategorie?
Laut Anhang III der Verordnung (EU) 2024/1689 gelten KI-Systeme als hochriskant, wenn sie zur Einstellungsentscheidung, Leistungsbewertung, Beförderung, Kündigung oder zur Überwachung von Beschäftigten eingesetzt werden. Dazu zählen u. a. automatisierte Bewerbungsscreening-Tools, KI-gestützte Videointerviews mit Verhaltensanalyse sowie Workforce-Analytics-Plattformen mit Entscheidungsunterstützung.
Was droht bei Verstößen gegen den EU AI Act?
Bei Verstößen gegen die Verbote für inakzeptable KI-Praktiken drohen Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes. Bei sonstigen Verstößen gegen die Hochrisiko-Pflichten liegen die Bußgelder bei bis zu 15 Millionen Euro oder 3 % des Jahresumsatzes. Nationale Marktüberwachungsbehörden sind für die Durchsetzung zuständig.
Muss der Betriebsrat beim KI-Einsatz im HR einbezogen werden?
Ja. Unabhängig vom AI Act besteht nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht des Betriebsrats bei der Einführung und Anwendung von technischen Einrichtungen, die geeignet sind, das Verhalten oder die Leistung von Arbeitnehmern zu überwachen. KI-Systeme im HR erfüllen dieses Kriterium in der Regel. Zusätzlich verlangt der AI Act eine proaktive Information der Beschäftigten über den KI-Einsatz.
Gilt der EU AI Act auch für kleine und mittelständische Unternehmen?
Ja, der AI Act gilt grundsätzlich für alle Unternehmen, die KI-Systeme in der EU einsetzen oder auf den EU-Markt bringen – unabhängig von der Unternehmensgröße. Für KMU gibt es jedoch erleichterte Anforderungen bei der technischen Dokumentation sowie Unterstützungsangebote durch die nationalen Behörden. Die inhaltlichen Pflichten – etwa menschliche Aufsicht und Transparenzanforderungen – gelten aber auch für kleinere Betriebe.
Was bedeutet „menschliche Aufsicht“ konkret im HR-Kontext?
Menschliche Aufsicht bedeutet, dass KI-gestützte Entscheidungen im HR nicht vollautomatisch und ohne menschliche Überprüfung umgesetzt werden dürfen. Eine Führungskraft oder HR-Verantwortliche muss in der Lage sein, die KI-Empfehlung zu verstehen, zu hinterfragen und gegebenenfalls zu übersteuern. Das setzt voraus, dass Mitarbeitende entsprechend geschult sind und die KI-Systeme ausreichend erklärbar gestaltet werden.
Wie verhält sich der EU AI Act zur DSGVO im HR?
Beide Regelwerke ergänzen sich, stellen aber eigenständige Anforderungen. Die DSGVO regelt den Umgang mit personenbezogenen Daten und enthält in Art. 22 ein Recht auf Nichtunterworfenheit unter vollautomatisierte Entscheidungen. Der AI Act fügt technische und organisatorische Anforderungen an KI-Systeme selbst hinzu. In der Praxis müssen HR-Abteilungen beide Regelwerke parallel beachten und ihre Datenschutz-Folgenabschätzungen um KI-spezifische Aspekte erweitern.
„`
