Der EU AI Act klassifiziert KI-Systeme zur Bewerberauswahl und Leistungsbewertung im HR-Bereich als Hochrisiko-Systeme und verpflichtet Anbieter sowie Betreiber zu Risikomanagement, technischer Dokumentation und menschlicher Aufsicht – erste Abschnitte des Gesetzes gelten seit Februar 2025. Unternehmen, die KI im Personalwesen einsetzen, fallen mit hoher Wahrscheinlichkeit in den Geltungsbereich des EU AI Act, da das Gesetz eine breite Palette von Anwendungsfällen abdeckt (Fraunhofer IKS). Wer Hochrisiko-KI betreibt, muss umfangreiche Konformitätspflichten erfüllen: von Schulungsmaßnahmen über Risikomanagement bis hin zu technischer Dokumentation und menschlicher Aufsicht. Da erste Regelungen bereits seit Februar 2025 verbindlich sind, besteht für Personalverantwortliche und Compliance-Teams unmittelbarer Handlungsdruck. Verstöße können mit erheblichen Sanktionen geahndet werden.

EU AI Act: Hochrisiko-KI in Rekrutierung und Personalmanagement – Pflichten, Konformitätsanforderungen und Audit-Standards 2025

KI-Systeme, die im Personalwesen für die Bewerberauswahl oder Leistungsbewertung eingesetzt werden, fallen laut EU AI Act in die Kategorie der Hochrisiko-KI-Systeme und unterliegen damit besonders strengen gesetzlichen Anforderungen. Erste Abschnitte des Gesetzes greifen bereits seit Februar 2025.

Der risikobasierte Rahmen des EU AI Act

Der EU AI Act ist das erste umfassende KI-Gesetz weltweit und betrifft alle Unternehmen, die KI-Systeme entwickeln, vertreiben oder nutzen. Grundlage der Regulierung ist ein risikobasierter Ansatz: Je nach Risikoeinstufung eines Systems gelten abgestufte rechtliche und technische Verpflichtungen, wie das Fraunhofer Institut für Kognitive Systeme (IKS) erläutert.

Die Risikostufen reichen von minimal über begrenzt und hoch bis hin zu unannehmbarem Risiko. KI-Anwendungen der letzten Kategorie, etwa zur Verhaltensmanipulation oder für Social Scoring, werden vollständig verboten. Für Systeme mit begrenztem Risiko, darunter Large Language Models (LLMs), gelten Transparenz- und Kennzeichnungspflichten.

Hochrisiko-KI im HR-Bereich: Was konkret darunter fällt

Systeme zur automatisierten Bewerberauswahl, zur Leistungsbewertung von Beschäftigten oder zur Personalentscheidungsunterstützung werden vom Gesetz ausdrücklich als Hochrisiko-KI eingestuft. Das bedeutet: Sie können eine erhebliche Bedrohung für Grundrechte darstellen und müssen vor dem Einsatz eingehend geprüft und bewertet werden, so das Fraunhofer IKS.

Wichtig: Die Konformitätsbewertung dieser Systeme führt der Anbieter zunächst selbst durch. Eine externe Zertifizierungspflicht besteht nicht in allen Fällen, jedoch muss die Selbstbewertung dokumentiert und nachvollziehbar sein.

Pflichten für Anbieter und Betreiber im Überblick

Unternehmen, die Hochrisiko-KI im Personalwesen einsetzen, müssen laut EU AI Act folgende Anforderungen erfüllen:

• Risikomanagement: Vor dem Einsatz muss ein systematisches Risikomanagementverfahren etabliert werden.
• Technische Dokumentation: Sämtliche relevanten technischen Eigenschaften des Systems sind zu dokumentieren.
• Schulungsmaßnahmen: Mitarbeitende, die mit Hochrisiko-KI arbeiten, müssen entsprechend geschult werden.
• Menschliche Aufsicht: Hochrisiko-Systeme dürfen nicht vollständig autonom entscheiden. Menschliche Kontrolle muss strukturell verankert sein.

Diese Anforderungen gelten sowohl für Anbieter, die solche Systeme entwickeln und vertreiben, als auch für Betreiber, die sie in ihrer Organisation einsetzen.

4 praktische Implikationen für Unternehmen

1. Bestandsaufnahme jetzt durchführen: Da erste Teile des EU AI Act seit Februar 2025 gelten und weitere Abschnitte zeitversetzt in Kraft treten, sollten Unternehmen ihre bestehenden HR-KI-Systeme umgehend auf ihre Risikokategorie hin prüfen. Nach Einschätzung des Fraunhofer IKS ist es wahrscheinlich, dass ein Unternehmen mit KI-Einsatz in den Geltungsbereich des Gesetzes fällt.

2. Dokumentationspflichten ernst nehmen: Die technische Dokumentation ist keine Formsache, sondern Voraussetzung für die rechtskonforme Nutzung. Fehlt sie, drohen Sanktionen. Der EU AI Act sieht gestaffelte Bußgelder je nach Schwere des Verstoßes vor.

3. HR-Prozesse auf menschliche Aufsicht überprüfen: Wer im Recruiting oder bei Leistungsbeurteilungen auf algorithmische Unterstützung setzt, muss sicherstellen, dass finale Entscheidungen stets von Menschen getroffen und verantwortet werden.

4. LLMs im HR-Kontext gesondert bewerten: Werden Large Language Models etwa für die Analyse von Bewerbungsunterlagen eingesetzt, greifen zusätzlich Transparenz- und Kennzeichnungspflichten. KI-generierte Inhalte müssen in bestimmten Kontexten als solche ausgewiesen werden.

Ausblick: Compliance als laufender Prozess

Das Ziel des EU AI Act besteht laut EU-Kommission darin, vertrauenswürdige KI zu fördern, ohne Innovationen zu blockieren. Für Unternehmen bedeutet das in der Praxis: Compliance ist kein einmaliges Projekt, sondern ein fortlaufender Prozess, der Risikomanagement, Dokumentation und interne Kontrolle dauerhaft integriert. Wer jetzt handelt, vermeidet Nachbesserungsdruck unter Zeitdruck, wenn weitere Abschnitte des Gesetzes wirksam werden.

Quellen

• KI rechtssicher einsetzen – Teil 1: EU AI Act | heise shop
• Das KI-Gesetz der EU und Hochrisiko-KI-Systeme – Fraunhofer IKS
• EU AI Act: Neue Regeln für den Einsatz von KI verstehen und umsetzen – heise online

Häufige Fragen

Gilt der EU AI Act auch für Unternehmen, die KI-Systeme im HR-Bereich lediglich nutzen und nicht selbst entwickeln?

Ja. Der EU AI Act betrifft ausdrücklich alle Unternehmen, die KI-Systeme entwickeln, vertreiben oder nutzen. Auch reine Betreiber von KI-Lösungen, etwa im Personalwesen, unterliegen den gesetzlichen Pflichten. Da das Gesetz eine breite Palette von Anwendungsfällen abdeckt, ist es laut Fraunhofer IKS wahrscheinlich, dass die meisten Unternehmen in den Geltungsbereich fallen.

Warum werden KI-Systeme zur Bewerberauswahl oder Leistungsbewertung als Hochrisiko eingestuft?

Der EU AI Act folgt einem risikobasierten Ansatz: KI-Systeme, die erhebliche Auswirkungen auf die Grundrechte von Personen haben können, werden als Hochrisiko eingestuft. KI-gestützte Anwendungen im HR-Bereich, etwa für die Bewerberauswahl oder Leistungsbewertung, fallen in diese Kategorie, weil sie unmittelbare Konsequenzen für Beschäftigte und Bewerberinnen und Bewerber haben können.

Welche konkreten Pflichten haben Anbieter und Betreiber von Hochrisiko-KI im Personalbereich?

Für Hochrisiko-KI-Systeme gelten strenge Auflagen. Dazu zählen nachweisbare Schulungsmaßnahmen, die Einführung eines Risikomanagements, die Erstellung technischer Dokumentation sowie die Sicherstellung menschlicher Aufsicht über die KI-Entscheidungen. Anbieter sind zudem verpflichtet, eine Konformitätsbewertung selbst durchzuführen, bevor das System eingesetzt oder auf den Markt gebracht wird.

Ab wann müssen sich Unternehmen konkret an den EU AI Act halten?

Der EU AI Act tritt gestaffelt in Kraft. Erste Abschnitte des Gesetzes gelten bereits seit Februar 2025. Unternehmen sollten daher nicht auf spätere Umsetzungsfristen warten, sondern ihre KI-Systeme und internen Prozesse bereits jetzt auf Konformität prüfen und entsprechende Maßnahmen einleiten.

Welche Sanktionen drohen bei Verstößen gegen den EU AI Act, und was gilt für verbotene KI-Anwendungen?

Der EU AI Act sieht bei Verstößen Sanktionen vor, deren Höhe sich nach der Schwere des Verstoßes richtet. KI-Anwendungen mit unannehmbarem Risiko, etwa zur Verhaltensmanipulation oder für Social Scoring, sind vollständig verboten. Für Hochrisiko-Systeme, die ohne die vorgeschriebenen Auflagen betrieben werden, drohen ebenfalls empfindliche Strafen. Die genaue Sanktionshöhe ist in der gestaffelten Timeline des AI Acts festgelegt.

Dieser Artikel wurde von einem KI-System automatisiert erstellt. Kennzeichnung gemäß Art. 50 der EU-KI-Verordnung.