EU AI Act & Regulierung
Sortiert eine KI Ihre Bewerbungen vor, betreiben Sie ein Hochrisiko-System – ganz gleich, welches Tool Sie nutzen. Der Leitfaden zu Anhang III des EU AI Act für HR.
Sortiert eine KI Ihre Bewerbungen vor, betreiben Sie ein Hochrisiko-System nach EU AI Act. Ganz gleich, ob Sie ein teures Recruiting-Tool gekauft haben oder einfach ChatGPT mit dem Prompt „Finde mir die zehn besten Kandidaten" gefüttert haben. Der EU AI Act stuft Personalarbeit in Anhang III als eine von acht besonders sensiblen Kategorien ein – auf einer Stufe mit Kreditvergabe, Strafverfolgung und kritischer Infrastruktur. Der Grund: An einer Bewerbung hängt Einkommen und Existenz eines Menschen.
Der Digital Omnibus hat im Juni 2026 die Frist für die vollen Hochrisiko-Pflichten von August 2026 auf Dezember 2027 verschoben. Viele HR-Abteilungen haben deshalb aufgeatmet. Zu Unrecht: Verschoben hat sich der Stichtag, nicht die Verantwortung. Wer heute schon eine KI über Menschen entscheiden lässt, braucht heute schon Risikomanagement, menschliche Aufsicht und Dokumentation. Dieser Leitfaden zeigt, wann aus einem harmlosen Assistenten ein Hochrisiko-System wird, mit welchen vier Fragen Sie das selbst prüfen – und wie Sie KI im Personalwesen nutzen, ohne in die Falle zu tappen.
Der EU AI Act stuft KI nicht pauschal ein. Entscheidend ist der Einsatzzweck. Anhang III der Verordnung nennt konkret KI-Systeme, die bei der Personalauswahl mitwirken, Bewerber bewerten oder bei Beförderung und Kündigung eine Rolle spielen. HR landet damit in der gleichen Gewichtsklasse wie Strafverfolgung und Kreditvergabe.
Für Sie heißt das konkret: Der Kollege im Marketing tippt bedenkenlos Textentwürfe in ChatGPT. Sie greifen im Recruiting zum selben Tool und stehen plötzlich in der höchsten Risikoklasse, mit allem, was das an Verpflichtungen mit sich bringt. Gleiche Software, ganz anderer rechtlicher Rahmen. Kaum eine Abteilung hat so viele alltägliche Anwendungsfälle, die in Anhang III fallen, wie die Personalabteilung. KI steckt heute im ganzen Prozess, vom ersten Entwurf der Ausschreibung bis zur personalisierten Absage nach dem Gespräch. An einigen dieser Stationen ist die Hochrisiko-Schwelle näher, als die meisten ahnen.
Kommt diese Verantwortung zur Unzeit? Definitiv, ja. Personalabteilungen stehen ohnehin unter Druck von mehreren Seiten: Der demografische Wandel leert die Bewerber-Pipelines, HR soll strategischer werden und mehr leisten, die Budgets bleiben knapp. Gleichzeitig steigen die Erwartungen, endlich KI einzusetzen und effizienter zu werden. In genau diese Gemengelage platzt nun eine weitere Aufgabe: KI im Tagesgeschäft rechtssicher einzuordnen. Nicht nur aus Perspektive der DSGVO, sondern auch mit Blick darauf, welcher Einsatz harmlos bleibt und welcher in der Hochrisiko-Klasse liegt.
Dazu kommt ein Effekt, den ich in Schulungen ständig erlebe: Schatten-KI. Die Leute nutzen ChatGPT oder Gemini längst auf eigene Faust, weil es den Alltag leichter macht. Die Führung weiß davon oft nichts, oder schaut weg. Und wenn dann jemand still und leise Bewerbungen vorsortieren lässt, steht plötzlich ein Hochrisiko-System im Haus, von dem niemand etwas ahnt. Solange es nicht auffällt, bleibt diese Doppelbelastung unsichtbar. Spürbar wird sie erst, wenn ein abgelehnter Bewerber nachfragt, warum ausgerechnet er nicht eingeladen wurde. Niemand möchte dann sagen: „Weil das der Copilot so entschieden hat."
Ein Szenario aus dem alltäglichen HR-Wahnsinn: Auf eine Stelle kommen 200 Bewerbungen. Niemand hat Zeit, alles zu lesen. Also lädt jemand die Lebensläufe in Microsoft Copilot und lässt sie mit der Ausschreibung abgleichen. Die KI schlägt die zehn stärksten Kandidaten vor, genau diese zehn werden eingeladen. Modern, schnell, entlastend.
Trotzdem betreibt dieses Unternehmen jetzt ein Hochrisiko-KI-System. Ausgelöst hat die Falle nicht das Tool, sondern die Art, wie es benutzt wurde. Spezialisierte Bewerber-Software erkennt man leicht als Hochrisiko, das Warnschild hängt quasi außen an der Packung. Universell einsetzbare KI-Assistenten wie ChatGPT, Copilot oder Claude kommen dagegen ohne Warnschild. Sie schreiben die Ausschreibung, formulieren Absagen, fassen Gesprächsprotokolle zusammen – alles unkritisch. Bis Sie dieselbe KI die Bewerbungen sortieren und eine Vorauswahl treffen lassen. Genau in dem Moment, in dem sie vorentscheidet, wer eine Chance bekommt, schnappt die Falle zu.
Diese Grenze wird oft übersehen, wegen eines hartnäckigen Irrtums: Viele denken, alles sei gut, solange am Ende ein Mensch klickt. Passt es nicht. Die menschliche Aufsicht ist im Gesetz eine Pflicht für Hochrisiko-Systeme, keine Vermeidungsstrategie. Wenn die KI rankt und der Mensch nur noch die fertige Top-Ten-Liste abnickt, bleibt es ein Hochrisiko-System. Das Nicken am Schluss ändert daran nichts.
Mit dem Status als Betreiber kommen handfeste Pflichten: Die Aufsicht muss durch geschulte Personen laufen, die Systemaktivität wird protokolliert, betroffene Bewerber sind zu informieren. Fragt ein abgelehnter Kandidat nach, warum die KI ihn aussortiert hat, wird fehlende Dokumentation schnell zur Beweislastfalle.
Ich bin kein Jurist, sondern Praktiker. Aus der Praxis heraus reicht meist ein kurzer Selbsttest, bevor Sie ein KI-Tool im Personalbereich einsetzen.
Ein einziges Ja bei einer der ersten drei Fragen heißt: Hier handelt es sich mit hoher Wahrscheinlichkeit um einen Hochrisiko-Fall. Beim Profiling nach Anhang III gibt es überhaupt keinen Spielraum – das ist immer Hochrisiko. Überraschend sind dabei selten die offensichtlichen Recruiting-Systeme. Es sind die beiläufig genutzten Assistenten. Zum Beispiel eine KI, die Bewerbungsgespräche transkribiert, zusammenfasst und daraus für jeden Bewerber einen „Fit-Score" errechnet. Klingt nach harmloser Fleißarbeit, ist aber eine Bewertung von Menschen und damit ein klarer Hochrisiko-Kandidat.
Die gute Nachricht: KI kann Sie in der Personalarbeit trotzdem kräftig unterstützen, wenn Sie sauber zwischen Vorbereitung und Entscheidung trennen. Eine KI, die nur eng umgrenzte, vorbereitende Aufgaben übernimmt und keine Menschen bewertet, fällt aus dem Hochrisiko-Regime heraus. Reine Lebenslauf-Parser führt die EU-Kommission in ihren Leitlinien sogar ausdrücklich als Beispiel an.
Ein Freifahrtschein ist das aber nicht. Je nach Rolle im System, insbesondere als Anbieter oder öffentlicher Betreiber, können Dokumentations-, Registrierungs- und Informationspflichten trotzdem greifen. Und die Grenze bleibt hart: Sobald die KI anfängt zu bewerten, zu ranken oder Profile zu bilden, sind Sie zurück im Hochrisiko-Bereich. Wie ein funktionierendes Setup konkret aussieht, welche Tools sich eignen und wo genau Vorbereitung aufhört, zeige ich im Detail im Beitrag KI im Recruiting rechtssicher einsetzen.
Verschoben hat sich der Stichtag, nicht der Inhalt. Risikomanagement, menschliche Aufsicht, Protokollierung und Registrierung in einer EU-Datenbank stehen unverändert im Gesetz.
Im Hochrisiko-Bereich sind Bußgelder bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes möglich. Was genau sich durch den Digital Omnibus geändert hat und warum die gewonnene Zeit trotzdem keine Verschnaufpause ist, erkläre ich ausführlich im Beitrag Digital Omnibus: Was sich beim EU AI Act ändert.
Der Digital Omnibus hat Ihnen Zeit geschenkt. Aber geschenkte Zeit hilft nur denen, die sie nutzen. Die Falle wartet nicht bis Dezember 2027. Sie schnappt in dem Moment zu, in dem Sie die KI entscheiden lassen.
Ist ChatGPT im Recruiting automatisch ein Hochrisiko-System? Nein. Entscheidend ist die Nutzung, nicht das Tool. Formuliert ChatGPT eine Stellenausschreibung oder eine Absage, ist das unkritisch. Sortiert, rankt oder bewertet es Bewerber, wird es zum Hochrisiko-System – unabhängig davon, ob es sich um ein spezialisiertes Recruiting-Tool oder einen universellen Assistenten handelt.
Reicht es, wenn am Ende ein Mensch die Entscheidung trifft? Nicht automatisch. Wenn die KI bereits gerankt oder vorgefiltert hat und der Mensch nur noch die fertige Liste abnickt, bleibt es ein Hochrisiko-System. Menschliche Aufsicht ist eine Pflicht innerhalb des Hochrisiko-Regimes, keine Möglichkeit, diesem zu entgehen.
Welche Strafen drohen bei Verstößen? Im Hochrisiko-Bereich sind Bußgelder bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes möglich. Die AI-Literacy-Pflicht selbst ist nicht bußgeldbewehrt, wohl aber die Hochrisiko-Pflichten aus Anhang III.
Muss ich mein KI-Tool registrieren, auch wenn ich es für nicht hochriskant halte? Wer sein System für nicht hochriskant hält, muss diese Einschätzung künftig dokumentieren und registrieren. Eine reine Bauchentscheidung reicht nicht mehr aus.
Was bedeutet die Verschiebung durch den Digital Omnibus konkret für HR? Die vollen Hochrisiko-Pflichten für eigenständige Anhang-III-Systeme greifen erst ab Dezember 2027 statt August 2026. Der Inhalt der Pflichten ist gleich geblieben. Details dazu finden Sie im Beitrag zum Digital Omnibus.
"Ich schicke regelmäßig kostenlose Updates zum Thema KI, Sicherheit und Anwendungen."
Wählen Sie direkt einen freien Slot in meinem Kalender.
Schreiben Sie mir Ihr Anliegen — ich melde mich zeitnah.
