15. Mai 202610 min
EU AI Act und Recruiting: Was HR-Teams 2026 wissen müssen
Viel Berichterstattung zum AI Act gilt General-Purpose-Modellen. Weniger Aufmerksamkeit bekommt die Kategorie, die HR direkt trifft: Hochrisiko-KI in Beschäftigung. Dieser Artikel übersetzt den Verordnungstext in praktische Konsequenzen für Recruiting-Teams.
- EU AI Act
- DSGVO
- Compliance
- KI Recruiting
- Deutschland
Was der EU AI Act zu Beschäftigungs-KI sagt
Die Verordnung (EU) 2024/1689 legt einen risikobasierten Rahmen für KI in der EU fest. Hochrisiko-Systeme treffen die strengsten Anforderungen – einschließlich Konformitätsbewertung, technischer Dokumentation, menschlicher Aufsicht und Transparenz.
- Anhang III Nr. 4 listet ausdrücklich als Hochrisiko: KI zur „Rekrutierung oder Auswahl natürlicher Personen, insbesondere zur Bekanntmachung von Stellen, zum Screening oder Filtern von Bewerbungen und zur Bewertung von Bewerbern im Rahmen von Vorstellungsgesprächen oder Tests“
- KI zu Beförderung und Beendigung arbeitsbezogener Vertragsverhältnisse ist ebenfalls Hochrisiko
- Pflichten gelten für Anbieter (wer die KI entwickelt) und Betreiber (wer sie nutzt – also Ihr HR-Team)
- Die Verordnung gilt für Systeme, die in der EU in Verkehr gebracht oder in Betrieb genommen werden – unabhängig vom Sitz des Anbieters
- Freie Open-Source-KI ist weitgehend ausgenommen, mit Ausnahmen für verbotene Praktiken
Was „Hochrisiko“ für HR-Teams praktisch heißt
Als Betreiber eines Hochrisiko-Systems entstehen Pflichten, die neben der DSGVO stehen – und sie nicht ersetzen. DSGVO-Unterlagen allein reichen nicht.
- Menschliche Aufsicht: echte operative Praxis, nicht nur ein Override-Button
- Technische Dokumentation des eingesetzten Systems: Zweck, Leistungsdaten, bekannte Grenzen
- Gebrauchsanweisung: der Anbieter muss sie liefern; sonst müssen Sie sie selbst erzeugen
- Grundrechte-Folgenabschätzung (FRIA): unter bestimmten Bedingungen für Hochrisiko in Beschäftigung
- Transparenz gegenüber Bewerber:innen, wenn KI sie erheblich betrifft
- Protokollierung, die eine nachträgliche Prüfung erlaubt
Zeitplan: was 2026 und 2027 gilt
Der AI Act ist gestaffelt. Die Hochrisiko-Frist für Recruiting wurde verschoben. Für HR zählen vor allem:
- Februar 2025: verbotene Praktiken (u. a. Emotionserkennung am Arbeitsplatz) und KI-Kompetenz (Art. 4)
- 2. August 2026: Transparenzpflichten nach Art. 50 (KI-Interaktion und KI-generierte Inhalte) — nicht verschoben
- 2. Dezember 2027: Hochrisiko-Anforderungen nach Anhang III, einschließlich Recruiting, Bewerberfilterung und Bewertung — das relevante Datum für ATS-KI (Digital Omnibus)
- AGG (§ 11) gilt unabhängig davon schon heute: Stellenanzeigen müssen diskriminierungsfrei formuliert sein
- Vorbereitung sollte jetzt starten – Konformitätsunterlagen, Vendor-Fragebögen und Folgenabschätzungen dauern länger als die Fristen suggerieren
Pflichten der Betreiber: Checkliste für HR
Der AI Act verpflichtet direkt die Organisation, die Hochrisiko-KI einsetzt – im Recruiting also das Unternehmen mit dem ATS, nicht nur den Vendor.
- Identifizieren Sie Tools unter Anhang III Nr. 4 (Recruiting- und Beschäftigungs-KI)
- Prüfen Sie, ob der Anbieter eine Konformitätsbewertung abgeschlossen hat und eine EU-Konformitätserklärung liefern kann
- Setzen Sie die Gebrauchsanweisung um – inklusive menschlicher Aufsicht
- Weisen Sie nach, dass Aufsicht operativ ist, nicht nur technisch möglich
- Aktualisieren Sie Datenschutzerklärungen: KI-Einsatz, Zweck, Recht auf Erläuterung
- Führen Sie ein Log von KI-Nutzung und Outputs
- FRIA nach Art. 27, wenn Ihr Fall die Bedingungen auslöst
- Interne Verantwortlichkeit: jemand besitzt AI-Act-Compliance für HR-Tools
Pflichten der Anbieter: was Sie den ATS-Vendor fragen
Ihr ATS- oder Recruiting-KI-Anbieter unterliegt Anbieterpflichten. Kann er das nicht mit Unterlagen beantworten, ist das ein Beschaffungsrisiko.
- Ist das System in der EU-Datenbank für Hochrisiko-KI registriert (Anhang-III-Fälle)?
- Gibt es eine Konformitätsbewertung und eine EU-Konformitätserklärung?
- Welche technische Dokumentation deckt Zweck, Trainingsdaten, Metriken und Grenzen ab?
- Welche Bias-Tests, welche Gruppen, wann zuletzt?
- Welche Gebrauchsanweisung zu Aufsicht und Betriebsgrenzen?
- Welche Datenpraxis gilt für Training und Modellverbesserung – besonders zu Bewerberdaten?
Überlappung mit der DSGVO: was gedeckt ist und was nicht
Viele HR-Teams nehmen an, DSGVO decke den AI Act. Die Schnittmenge ist real, aber unvollständig.
- Beide verlangen: Transparenz zum KI-Einsatz, menschliche Aufsicht (Art. 22 DSGVO / Art. 14 AI Act), Dokumentation der Verarbeitung
- Die DSGVO verlangt nicht: Konformitätsbewertung, Registrierung in der AI-Act-Datenbank, die spezifische technische Dokumentation des AI Act
- Der AI Act ersetzt die DSGVO nicht: beide gelten parallel
- Der praktischste Zusatzschritt: Datenschutzerklärung aktualisieren und AI-Act-Unterlagen vom ATS-Vendor anfordern
- Betriebsräte können zusätzlich eine Betriebsvereinbarung verlangen
Was Sie in diesem Quartal tun
Für Teams, die noch nicht gestartet haben, eine realistische 90-Tage-Liste:
- Inventar: jedes Tool, das KI zum Screenen, Scoren, Ranken oder Bewerten nutzt
- Risikoklasse: fällt etwas unter Anhang III Nr. 4? (Wenn es rankt oder scored: sehr wahrscheinlich ja)
- Vendor-Fragebogen: Konformität, Bias-Tests, Gebrauchsanweisung
- Bewerberhinweise: kurzer Satz in der Datenschutzerklärung zu KI-Einsatz und Zweck
- Aufsicht dokumentieren: wie das Team Outputs prüft und überschreibt – nicht nur annehmen
- DPO oder Legal einbinden: AI Act parallel zur DSGVO-Review
Wie Virkla Ihre AI-Act-Pflichten stützt
Virkla ist gebaut, um Pflichten von Anbieter und Betreiber zu stützen. Die Infrastruktur ist Default, kein Add-on.
- Human-in-the-loop: niemand wird allein aufgrund eines KI-Outputs abgelehnt, weitergeleitet oder eingestellt
- Erklärbares Scoring: jeder Score hängt an Kriterien, die Recruiter:innen definieren
- „Warum dieser Score“: vorhandene Skills, Lücken und der Beleg aus dem Profil
- Disclosure-Texte für Datenschutzerklärung und Anzeige
- Entscheidungshistorie: KI-Empfehlung und Recruiter-Entscheidung bleiben am Kandidatendatensatz
- Wir behaupten keine abgeschlossenen externen Bias-Bewertungen und kein zertifiziert bias-freies Modell — siehe unsere Responsible-AI-Erklärung
Häufig gestellte Fragen
Gilt der AI Act für Nicht-EU-ATS-Anbieter, die EU-Unternehmen nutzen?
Ja. Der Act gilt für Systeme, die in der EU in Verkehr gebracht oder in Betrieb genommen werden, unabhängig vom Sitz. Ein US-ATS, das EU-Arbeitgeber nutzen, unterliegt den Anbieterpflichten.
Ist ein CV-Ranking immer Hochrisiko?
Wenn das System im Recruiting screen, filtert oder rankt, ist die Default-Einstufung nach Anhang III Nr. 4 Hochrisiko. Enge Ausnahmen (reine Keyword-Suche ohne prädiktives Scoring) gibt es; zweckgebaute KI-Scores fallen fast immer darunter.
Was ist eine Grundrechte-Folgenabschätzung – brauchen wir eine?
Nach Art. 27 müssen Behörden und private Betreiber öffentlicher Dienste vor dem Einsatz von Hochrisiko-KI eine FRIA machen. Für die meisten privaten Arbeitgeber ist sie nicht zwingend – gilt aber als Good Practice, besonders bei großem oder KI-intensivem Hiring.
Was sagen wir Bewerber:innen zum KI-Einsatz?
Die Datenschutzerklärung sollte sagen: dass KI im Screening oder in der Bewertung genutzt wird, was sie tut (z. B. Ranking gegen Rollenkriterien), die Rechtsgrundlage, und dass Auskunft zu KI-gestützten Entscheidungen möglich ist. Kurz und klar am Bewerbungsformular schlägt einen langen Anhang.