Seit August 2024 ist der EU AI Act in Kraft. Die meisten Pflichten für HR-Abteilungen greifen ab dem 2. August 2026 – also in wenigen Monaten. Wer heute KI-Tools im Recruiting, in der Personalentwicklung oder im Performance-Management einsetzt, kommt am Thema nicht vorbei. Dieser Artikel zeigt dir, was der EU AI Act für HR konkret bedeutet, welche Systeme als „Hochrisiko“ gelten und wie dein Fahrplan für 2026 aussehen sollte.
Warum der EU AI Act jetzt für HR-Verantwortliche relevant ist
Der AI Act ist die erste umfassende KI-Regulierung der Welt. Für HR ist er besonders brisant, weil die Verordnung KI-Systeme im Beschäftigungskontext ausdrücklich als Hochrisiko einstuft. Das gilt nicht nur für komplexe Recruiting-Tools großer Konzerne – auch kleinere Lösungen wie automatisiertes CV-Screening, KI-gestützte Interview-Auswertungen oder algorithmische Leistungsbewertungen fallen darunter.
Die gute Nachricht: Der Gesetzgeber hat Übergangsfristen eingebaut. Die Pflichten für Hochrisiko-KI im HR-Bereich werden erst ab dem 2. August 2026 scharf gestellt. Wer jetzt aufräumt, ist entspannt. Wer wartet, läuft in ein Compliance-Problem mit Bußgeldern von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.
Der EU AI Act in 90 Sekunden erklärt
Der AI Act (Verordnung (EU) 2024/1689) ist seit 1. August 2024 in Kraft. Er teilt KI-Systeme in vier Risikoklassen ein:
- Verboten: Systeme, die soziale Bewertungen erstellen, Emotionen am Arbeitsplatz auswerten (mit engen Ausnahmen) oder Menschen manipulieren. Seit 2. Februar 2025 untersagt.
- Hochrisiko: Alle KI-Systeme im Beschäftigungs- und Bildungskontext. Hier liegt der Schwerpunkt für HR. Ab 2. August 2026 voll anwendbar.
- Begrenztes Risiko: Chatbots, generative KI-Outputs – müssen transparent als KI erkennbar sein.
- Minimales Risiko: Spam-Filter, Produktempfehlungen. Keine besonderen Pflichten.
Für HR-Teams ist relevant: Wenn ihr ein KI-Tool nicht selbst entwickelt, sondern einkauft (was 95 Prozent der Fälle sind), seid ihr „Betreiber“ (Deployer) im Sinne der Verordnung. Euch treffen geringere, aber trotzdem klare Pflichten.
Welche HR-Tools als Hochrisiko gelten
Anhang III Nr. 4 des AI Act listet die Hochrisiko-Anwendungen im HR-Bereich explizit auf. Das umfasst:
- Recruiting und Auswahl: Systeme, die Stellenanzeigen zielgruppenspezifisch ausspielen, Bewerbungen filtern oder Kandidat:innen bewerten. Klassisch: CV-Parser, Matching-Algorithmen, Video-Interview-Analyse.
- Entscheidungen im Arbeitsverhältnis: Tools, die bei Beförderungen, Kündigungen, Aufgabenverteilung oder Vertragsbedingungen unterstützen – insbesondere wenn sie auf Persönlichkeit, Verhalten oder Leistung abzielen.
- Leistungsüberwachung und -bewertung: Algorithmische Auswertung von Produktivitätsdaten, automatisierte Performance-Reviews, Monitoring-Systeme.
Nicht jede KI im HR ist automatisch Hochrisiko. Ein ChatGPT-Prompt, mit dem du eine Stellenanzeige entwirfst, fällt in der Regel nicht darunter – weil du als Mensch die finale Kontrolle behältst und keine Personen-Entscheidung automatisiert wird. Kritisch wird es, sobald das System Bewerbungen filtert oder Kandidat:innen rankt.
Die 6 konkreten Pflichten für HR als Betreiber
Wenn du ein Hochrisiko-KI-System einsetzt (z.B. einen KI-Recruiting-Filter), trifft dich als Arbeitgeber nach Artikel 26 des AI Act folgende Pflichten:
1. Betrieb nach Anbieter-Anweisung
Du musst das System genau so einsetzen, wie der Hersteller es vorsieht. Workarounds, Zweckentfremdungen oder eigenmächtige Anpassungen der Schwellwerte sind tabu. Dokumentiere die Nutzung.
2. Menschliche Aufsicht sicherstellen
Eine qualifizierte Person muss die KI-Ergebnisse überprüfen können. Das heißt konkret: Kein automatisches „Nein“ zu Bewerbungen, ohne dass ein Recruiter die Entscheidung nachvollziehen und gegebenenfalls korrigieren kann. Die aufsichtsführende Person muss über Kompetenz, Schulung und Autorität verfügen, das System tatsächlich zu stoppen.
3. Input-Daten kontrollieren
Die Daten, die ihr in das System einspeist, müssen relevant und ausreichend repräsentativ sein. Beispiel: Wenn euer KI-Matching-Tool ausschließlich mit Daten aus männerdominierten Berufen trainiert wurde, darf es nicht für diverse Recruiting-Prozesse eingesetzt werden, ohne vorherige Prüfung.
4. Logs aufbewahren
Falls das System automatische Protokolle erzeugt, müsst ihr sie mindestens sechs Monate speichern. Diese Logs dienen der Nachvollziehbarkeit bei Beschwerden oder Behörden-Prüfungen.
5. Betriebsrat und Mitarbeitende informieren
Artikel 26 Absatz 7 verpflichtet euch, vor dem Einsatz eines Hochrisiko-KI-Systems die betroffenen Arbeitnehmenden und ihre Vertretungen (Betriebsrat) zu informieren. In Deutschland kommt die Mitbestimmung nach § 87 BetrVG hinzu – KI-gestützte Leistungs- oder Verhaltenskontrollsysteme sind mitbestimmungspflichtig.
6. DPIA durchführen (indirekt)
Im Beschäftigungskontext ist eine Datenschutz-Folgenabschätzung (DSFA / DPIA) nach Artikel 35 DSGVO fast immer nötig. Der AI Act verweist hierauf und verlangt von Betreibern öffentlicher Stellen zusätzlich eine gesonderte „Fundamental Rights Impact Assessment“. Private Arbeitgeber sollten die DSFA dringend mit dem Datenschutzbeauftragten abstimmen.
Was passiert bei Verstößen
Die Bußgelder des AI Act sind gestaffelt und orientieren sich am GDPR-Modell:
- Verbotene Praktiken: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.
- Verletzung anderer Pflichten (z.B. Betreiberpflichten wie menschliche Aufsicht): bis zu 15 Millionen Euro oder 3 Prozent.
- Falsche Angaben an Behörden: bis zu 7,5 Millionen Euro oder 1 Prozent.
Für KMU und Start-ups gilt jeweils der niedrigere Betrag. Zusätzlich können betroffene Bewerber:innen oder Mitarbeitende zivilrechtliche Ansprüche geltend machen, wenn sie durch ein fehlerhaftes Hochrisiko-KI-System benachteiligt wurden.
KI-HR-Briefing: Jede zweite Woche gratis in dein Postfach.
Die wichtigsten KI-Tools und Cases für HR-Profis – kurz, praktisch, ohne Hype. Jederzeit abbestellbar.
So prüfst du deine aktuellen HR-Tools – in 5 Schritten
Bevor 2. August 2026 kommt, solltest du dein aktuelles Tool-Setup einmal sauber auditieren. Das geht mit einem pragmatischen 5-Schritte-Vorgehen:
Schritt 1: Tool-Inventar aufstellen
Liste alle Systeme, die Personalentscheidungen unterstützen: ATS, HRIS, Learning Platforms, Performance-Tools, Chatbots, Scheduling-Tools. Auch Excel-Makros mit KI-Plugins zählen.
Schritt 2: KI-Komponenten identifizieren
Frag beim Anbieter direkt nach: „Enthält euer System KI-Komponenten im Sinne der EU-KI-Verordnung?“ Seriöse Anbieter haben darauf inzwischen eine vorbereitete Antwort. Wenn nicht – Warnsignal.
Schritt 3: Risikoklasse bestimmen
Nutzt ihr das Tool für Auswahl, Bewertung oder Überwachung von Personen? Dann Hochrisiko. Nur für Admin (z.B. Urlaubsplanung)? Meist minimales Risiko.
Schritt 4: Dokumentation anfordern
Bei Hochrisiko-Systemen: Anbieter muss technische Dokumentation, Konformitätserklärung und CE-Kennzeichnung vorlegen. Fehlt etwas, setz dem Anbieter eine Frist.
Schritt 5: Interne Prozesse anpassen
Rollen für menschliche Aufsicht definieren, Logging einrichten, Betriebsrat einbinden, DSFA ergänzen, Mitarbeitenden-Information vorbereiten.
Die häufigsten Mythen – und warum sie falsch sind
„Wir nutzen nur ChatGPT, da gilt der AI Act nicht.“
Falsch. ChatGPT-artige General-Purpose-KI (GPAI) hat eigene Regeln – die Anbieter (OpenAI, Anthropic, Google) tragen die Hauptlast. Als HR-Abteilung müsst ihr aber sicherstellen, dass eure Mitarbeitenden keine personenbezogenen Daten in Prompts eingeben (DSGVO-Pflicht) und dass ihr KI-generierte Inhalte als solche kennzeichnet, wo es vorgeschrieben ist.
„Kleine Firmen sind ausgenommen.“
Nein. Der AI Act gilt unabhängig von der Unternehmensgröße. KMU bekommen reduzierte Bußgelder und vereinfachte Dokumentationspflichten, sind aber nicht befreit.
„Wir warten, bis unser Anbieter reagiert.“
Riskant. Als Betreiber habt ihr eigene Pflichten, die ihr nicht delegieren könnt – menschliche Aufsicht, Betriebsrat-Information, DSFA. Auch wenn der Anbieter liefert, musst ihr intern handeln.
Dein Fahrplan 2026
Damit du nicht am 2. August 2026 in Hektik verfällst, hier ein realistischer Quartals-Plan:
- Q2 2026: Tool-Inventar + KI-Identifikation, erste Gespräche mit Anbietern und Betriebsrat.
- Q3 2026 (bis Ende Juli): Prozesse, Rollen, Dokumentation, DSFA finalisiert. Schulung für aufsichtsführende Personen durchgeführt.
- Q3 2026 (ab 2. August): Go-Live – alle Hochrisiko-KI-Systeme werden unter neuem Rahmen betrieben.
- Q4 2026: Review, Audit der ersten Log-Auswertungen, Nachschärfungen.
FAQ: EU AI Act im HR
Ab wann gelten die AI-Act-Regeln für HR-Tools?
Hochrisiko-Systeme nach Anhang III (das betrifft praktisch alle relevanten HR-KI-Tools) fallen ab dem 2. August 2026 unter die vollen Pflichten. Verbotene Praktiken (z.B. Emotionserkennung am Arbeitsplatz) sind bereits seit 2. Februar 2025 untersagt.
Brauchen wir eine eigene KI-Beauftragte:n?
Der AI Act schreibt keine formale „KI-Beauftragten“-Rolle vor. In der Praxis hat sich aber bewährt, die Verantwortung klar bei einer Person zu bündeln – oft beim Datenschutzbeauftragten oder einer HR-IT-Schnittstellen-Rolle.
Reicht die DSGVO-Dokumentation aus?
Nein. Die DSGVO regelt den Umgang mit personenbezogenen Daten, der AI Act die Funktionsweise der KI selbst. Beide Regelwerke ergänzen sich, ersetzen sich aber nicht. Eine DSFA muss um AI-Act-spezifische Risikoaspekte ergänzt werden.
Was ist, wenn wir eine KI-Lösung aus den USA einsetzen?
Der AI Act gilt extraterritorial: Sobald das System in der EU eingesetzt wird oder sich der Output auf EU-Personen auswirkt, greifen die Regeln – unabhängig vom Sitz des Anbieters. Prüft zusätzlich, ob eure Datentransfers DSGVO-konform sind.
Muss jede Bewerberin über den KI-Einsatz informiert werden?
Ja – sowohl nach AI Act (Art. 26) als auch nach DSGVO (Art. 22, automatisierte Einzelentscheidungen). Ein kurzer, verständlicher Hinweis im Bewerbungsprozess („Wir setzen KI-Unterstützung bei der Vorauswahl ein – eine finale Entscheidung trifft immer ein Mensch.“) ist Pflicht.
Fazit
Der EU AI Act ist weder Hexenwerk noch Anlass zur Panik. Für HR-Teams, die KI pragmatisch und mit klaren Prozessen einsetzen, bedeutet er vor allem eines: saubere Dokumentation und bewusste Verantwortlichkeiten. Wer jetzt – in den Monaten vor August 2026 – sein Tool-Portfolio durchleuchtet, kommt mit überschaubarem Aufwand in die Compliance. Wer wartet, riskiert nicht nur Bußgelder, sondern auch Vertrauen von Bewerbenden und Belegschaft. Beides lässt sich schwer wiederherstellen.
↓ NÄCHSTER SCHRITT ↓
Bleib am Puls: KI im Personalwesen, alle 2 Wochen in dein Postfach.
Verständliche Erklärungen, echte Use-Cases und Tools, die im HR-Alltag wirklich helfen. Kostenlos, jederzeit abbestellbar.
