techport HR Suite

KI-Verordnung im Personalwesen: Hochrisiko-KI, Pflichten und Fristen

Die EU-KI-Verordnung (VO (EU) 2024/1689) behandelt KI im Personalwesen besonders streng. Der Grund: Entscheidungen über Einstellung, Beförderung oder Kündigung prägen Lebensläufe und Lebensgrundlagen. Mit dem KI-Omnibus, der seit 27. Juli 2026 geltenden Verordnung (EU) 2026/1744, haben sich die Fristen verschoben.

Dieser Ratgeber erklärt, welche HR-KI als Hochrisiko gilt, wer Anbieter und wer Betreiber ist, welche Pflichten Arbeitgeber haben und wer die Aufsicht führt. Er ersetzt keine Rechtsberatung. Wie Sie KI im Personalbereich strategisch einordnen, beschreibt unsere Beratungsseite KI im HR mit Governance.

Kurz gesagt

KI für Einstellung, Auswahl, Beförderung, Kündigung, Aufgabenzuweisung und Leistungsbewertung ist Hochrisiko-KI (Anhang III Nr. 4).
Arbeitgeber, die solche KI nutzen, sind Betreiber, die Hersteller sind Anbieter.
Die Hochrisiko-Pflichten für HR gelten ab dem 2. Dezember 2027.
Seit dem 2. Februar 2025 ist Emotionserkennung am Arbeitsplatz verboten.
Seit dem 2. August 2026 gelten die Transparenzpflichten, etwa der Hinweis auf einen KI-Assistenten.
Zuständige Aufsicht in Deutschland ist die Bundesnetzagentur.

Was ein KI-System ist

Die Verordnung definiert ein KI-System als maschinengestütztes System, das in unterschiedlichem Grad autonom arbeitet und aus Eingaben ableitet, wie es Ausgaben erzeugt, etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen (Art. 3 Nr. 1). Software, die nur von Menschen festgelegte Regeln ausführt, fällt nach Erwägungsgrund 12 nicht darunter. Ein Bewerbermanagement mit festen Filtern ist daher in der Regel kein KI-System, eine KI-gestützte Bewertung von Lebensläufen schon.

Wann KI im Personalwesen als Hochrisiko gilt

Anhang III Nr. 4 nennt zwei Gruppen:

a) Einstellung und Auswahl: KI, um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten.
b) Beschäftigung: KI für Entscheidungen über Arbeitsbedingungen, Beförderung und Kündigung, für die Zuweisung von Aufgaben nach individuellem Verhalten oder persönlichen Merkmalen und für die Beobachtung und Bewertung von Leistung und Verhalten.

Eine Ausnahme sieht Art. 6 Abs. 3 vor: Ein System ist nicht hochriskant, wenn es kein erhebliches Risiko birgt, etwa weil es nur eine eng gefasste Verfahrensaufgabe erledigt oder eine menschliche Bewertung vorbereitet. Die Ausnahme gilt aber nie, wenn das System ein Profiling natürlicher Personen vornimmt. Eine automatisierte Bewertung der Eignung von Bewerberinnen und Bewerbern ist nach unserer Einschätzung Profiling im Sinne von Art. 4 Nr. 4 DSGVO.

Einsatz	Einordnung
Lebensläufe nach Kriterien bewerten oder in eine Rangfolge bringen	Hochrisiko (Nr. 4 a)
Bewerbungen automatisch vorsortieren oder ausfiltern	Hochrisiko (Nr. 4 a)
Leistung oder Verhalten von Beschäftigten auswerten	Hochrisiko (Nr. 4 b)
Lebenslaufdaten nur in Felder übertragen	Einzelfall, Ausnahme nach Art. 6 Abs. 3 möglich
KI-Assistent für Fragen zu internen Richtlinien	in der Regel kein Hochrisiko, aber Transparenzpflicht (Art. 50)
Emotionen von Beschäftigten aus Stimme oder Mimik ableiten	verboten (Art. 5 Abs. 1 f)

Die Einordnung von reiner Datenübertragung und KI-Assistent ist unsere Einschätzung und hängt vom tatsächlichen Einsatz ab.

Anbieter oder Betreiber: Wer gilt als was?

Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt (Art. 3 Nr. 3). Das ist in der Regel der Softwarehersteller. Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet (Art. 3 Nr. 4). Das ist der Arbeitgeber, der eine HR-Software mit KI einsetzt.

Die Rollen können wechseln. Ein Betreiber wird nach Art. 25 Abs. 1 selbst zum Anbieter, wenn er ein Hochrisiko-System unter eigenem Namen anbietet, es wesentlich verändert oder ein anderes KI-System so einsetzt, dass es zum Hochrisiko-System wird. Wer etwa einen allgemeinen Chatbot nutzt, um Bewerbungen zu ranken, kann dadurch Anbieterpflichten tragen.

Pflichten der Arbeitgeber als Betreiber

Ab dem 2. Dezember 2027 gilt für Betreiber von Hochrisiko-KI im Personalwesen vor allem Art. 26:

Das System nach der Betriebsanleitung des Anbieters verwenden (Abs. 1).
Die menschliche Aufsicht Personen übertragen, die die nötige Kompetenz, Ausbildung und Befugnis haben (Abs. 2).
Für passende Eingabedaten sorgen, soweit der Arbeitgeber sie kontrolliert (Abs. 4).
Den Betrieb überwachen, Risiken an Anbieter und Behörde melden und das System notfalls aussetzen (Abs. 5).
Automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren (Abs. 6).
Vor der Inbetriebnahme die Arbeitnehmervertretung und die betroffenen Beschäftigten informieren (Abs. 7). Die Mitbestimmung nach dem Betriebsverfassungsgesetz gilt daneben weiter, siehe Betriebsrat und KI.
Die Angaben des Anbieters für die Datenschutz-Folgenabschätzung nutzen (Abs. 9).
Bewerberinnen, Bewerber und andere Betroffene informieren, dass ein Hochrisiko-System eingesetzt wird (Abs. 11).

Hinzu kommt das Recht Betroffener, eine Erläuterung zur Rolle der KI in der Entscheidung zu verlangen (Art. 86). Die Datenschutz-Grundverordnung gilt parallel: Nach dem EuGH kann schon ein Score eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO sein, wenn er für die Entscheidung maßgeblich ist (C-634/21). Eine echte menschliche Prüfung ist deshalb entscheidend.

Eine Grundrechte-Folgenabschätzung (Art. 27) müssen nur öffentliche Stellen und Private machen, die öffentliche Dienste erbringen. In der EU-Datenbank registrieren müssen sich als Betreiber nur Behörden (Art. 49 Abs. 3). Für normale private Arbeitgeber entfällt beides.

Schon jetzt gilt Art. 4: Anbieter und Betreiber unterstützen die KI-Kompetenz ihres Personals, seit dem 27. Juli 2026 ohne garantiertes Kompetenzniveau.

Fristen nach dem KI-Omnibus

Datum	Was gilt
1.8.2024	KI-Verordnung in Kraft
2.2.2025	Verbote (Art. 5) und KI-Kompetenz (Art. 4)
27.7.2026	KI-Omnibus in Kraft, Art. 4 neu gefasst
29.7.2026	KI-Marktüberwachungsgesetz in Kraft, Bundesnetzagentur zuständig
2.8.2026	allgemeiner Geltungsbeginn, u. a. Transparenzpflichten (Art. 50)
2.12.2027	Hochrisiko-Pflichten für Anhang-III-Systeme, also auch HR
2.8.2028	Hochrisiko-Pflichten für KI in Produkten nach Anhang I

Ursprünglich sollten die Hochrisiko-Pflichten für HR schon ab 2. August 2026 gelten. Der Omnibus hat sie verschoben, weil Normen und Leitlinien fehlten. Systeme, die vor dem Stichtag in Verkehr gebracht wurden, erfasst sie nach Art. 111 Abs. 2 erst bei einer späteren erheblichen Änderung. Verlassen Sie sich nicht darauf, denn KI-Systeme werden laufend aktualisiert.

Verboten seit Februar 2025

Seit dem 2. Februar 2025 sind KI-Systeme verboten, die Emotionen von Personen am Arbeitsplatz ableiten, außer aus medizinischen oder Sicherheitsgründen (Art. 5 Abs. 1 f). Ebenso verboten ist die biometrische Kategorisierung, um etwa Gewerkschaftszugehörigkeit oder religiöse Überzeugungen abzuleiten (Art. 5 Abs. 1 g). Bei Verstößen gegen die Verbote drohen Geldbußen bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes (Art. 99 Abs. 3).

Transparenz seit August 2026

Seit dem 2. August 2026 gilt Art. 50. KI-Systeme, die direkt mit Menschen interagieren, müssen so gestaltet sein, dass die Nutzenden erkennen, dass sie mit einer KI sprechen, sofern das nicht offensichtlich ist. Im Personalwesen betrifft das etwa Bewerber-Chatbots und KI-Assistenten für Beschäftigte, auch wenn sie kein Hochrisiko sind.

Aufsicht in Deutschland: die Bundesnetzagentur

Nach § 2 Abs. 1 des KI-Marktüberwachungsgesetzes (KI-MIG) ist die Bundesnetzagentur die zuständige Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt. Sie nennt KI-Systeme im Personalmanagement ausdrücklich als einen ihrer Aufsichtsbereiche. Ihr KI-Service-Desk bietet ein Online-Werkzeug zur ersten Einordnung von KI-Systemen.

Verstöße gegen Betreiberpflichten nach Art. 26 oder die Transparenzpflichten nach Art. 50 können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden (Art. 99 Abs. 4). Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag (Art. 99 Abs. 6).

Was Arbeitgeber jetzt tun sollten

Alle KI-Funktionen in HR-Systemen erfassen, auch in bestehender Software.
Jede Funktion einordnen: Hochrisiko, Transparenzpflicht, verboten oder nicht erfasst.
Den Betriebsrat früh einbinden und eine Betriebsvereinbarung schließen, siehe Betriebsvereinbarung KI.
Personen für die menschliche Aufsicht benennen und schulen.
Anbieter nach Gebrauchsanweisung, Protokollierung und ihrem Plan für die Konformitätsbewertung fragen.
Datenschutz-Folgenabschätzung erstellen oder aktualisieren.
Informationstexte für Beschäftigte sowie Bewerberinnen und Bewerber vorbereiten.

So hilft die techport HR Suite

Die techport HR Suite ist entwickelt für die Anforderungen der EU-KI-Verordnung. Konkret heißt das für die KI-Bewerberbewertung:

Die KI schlägt vor, ein Mensch entscheidet. Das System ändert keinen Bewerbungsstatus, sortiert niemanden automatisch aus und verschickt keine Absagen. Übersteuern ist je Kriterium möglich, mit Pflicht zur Begründung.
Protokoll jeder KI-Anfrage und jeder menschlichen Handlung, Kriterien und Protokoll lassen sich exportieren.
Versionierte Kriterien: Die KI schlägt Kriterien aus dem Stellentext vor, ein Mensch prüft und gibt sie frei. Jede Freigabe ist eine unveränderliche Version.
Kriterien nach AGG geprüft, persönliche Merkmale vor der Bewertung abgetrennt: Name, Kontakt, Geburtsdatum, Familienstand, Nationalität, Religion und Foto fließen nicht in die Bewertung ein.
Nachvollziehbare Ergebnisse: je Kandidat eine Erklärung mit Rechenweg, Fakten und wörtlichen Zitaten, die gegen den Lebenslauf geprüft werden. Nicht bewertbare Lebensläufe erscheinen getrennt mit Grund.
Schutz vor Manipulation: Unsichtbarer Text und versteckte Anweisungen im Lebenslauf werden erkannt, entfernt und gemeldet.
Unterlagen für Betreiber: Gebrauchsanweisung und Vorlage „Information für Bewerberinnen und Bewerber“.
Einblick für den Betriebsrat: Über den Betriebsrat-Assistenten sieht er freigegebene Kriterien, Versionen und Protokolle.
Lebensläufe bleiben in der Installation: Das Sprachmodell der Bewerberbewertung läuft auf den Servern der Installation. Lebensläufe gehen an keinen externen KI-Dienst.

Im Firmenwissen ist jede Antwort als KI-Antwort erkennbar (Art. 50). Betrieb auf Servern in Deutschland, auf Wunsch als eigene Installation bei Ihnen im Haus.

Die KI-Bewerberbewertung ist nach unserer Einschätzung ein Hochrisiko-KI-System nach Anhang III Nr. 4 der KI-Verordnung. Wir bereiten die Konformitätsbewertung bis zum 2. Dezember 2027 vor. Für HR-KI erfolgt sie nach Art. 43 Abs. 2 als interne Kontrolle ohne benannte Stelle, ein Prüfzertifikat einer externen Stelle gibt es dafür nicht. Demo anfragen

Häufige Fragen

Welche KI-Systeme im Personalwesen sind Hochrisiko?

Hochrisiko sind KI-Systeme für Einstellung und Auswahl sowie für Entscheidungen im Arbeitsverhältnis (Anhang III Nr. 4 KI-VO). Dazu zählt KI, die Bewerbungen sichtet, filtert oder bewertet, über Beförderung oder Kündigung mitentscheidet, Aufgaben nach persönlichen Merkmalen zuweist oder Leistung und Verhalten bewertet. Nimmt ein System Profiling vor, greift die Ausnahme nach Art. 6 Abs. 3 nicht.

Wer gilt laut KI-Verordnung als Betreiber von KI-Systemen?

Betreiber ist, wer ein KI-System in eigener Verantwortung beruflich verwendet (Art. 3 Nr. 4 KI-VO). Im Personalwesen ist das der Arbeitgeber, der Hersteller ist Anbieter. Ein Betreiber wird selbst zum Anbieter, wenn er ein Hochrisiko-System wesentlich verändert, unter eigenem Namen anbietet oder ein System für einen Hochrisiko-Zweck umwidmet (Art. 25).

Ab wann gelten die Hochrisiko-Pflichten im Personalwesen?

Die Hochrisiko-Pflichten für HR-KI gelten ab dem 2. Dezember 2027. Ursprünglich war der 2. August 2026 vorgesehen. Der KI-Omnibus, Verordnung (EU) 2026/1744, hat die Frist für alle Anhang-III-Systeme verschoben. Unabhängig davon gelten die Verbote seit 2. Februar 2025 und die Transparenzpflichten nach Art. 50 seit 2. August 2026.

Welche Anforderungen gibt es an Hochrisiko-KI-Systeme?

Anbieter brauchen ein Risikomanagement, geprüfte Daten, technische Dokumentation, automatische Protokollierung, eine Gebrauchsanweisung, menschliche Aufsicht sowie angemessene Genauigkeit, Robustheit und Cybersicherheit (Art. 9 bis 15 KI-VO). Dazu kommen ein Qualitätsmanagement, eine Konformitätsbewertung und die Registrierung. Betreiber müssen das System nach Anleitung nutzen, beaufsichtigen, Protokolle aufbewahren und Betroffene informieren (Art. 26).

Müssen Arbeitgeber eine Grundrechte-Folgenabschätzung durchführen?

Normale private Arbeitgeber müssen keine Grundrechte-Folgenabschätzung nach Art. 27 KI-VO durchführen. Die Pflicht trifft öffentliche Stellen, Private, die öffentliche Dienste erbringen, und bestimmte Finanzanwendungen. Eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist bei KI-Bewerberbewertung dagegen regelmäßig nötig, weil persönliche Aspekte systematisch bewertet werden. Dafür nutzen Arbeitgeber die Angaben des Anbieters (Art. 26 Abs. 9 KI-VO).

Wer überwacht die KI-Verordnung in Deutschland?

In Deutschland überwacht die Bundesnetzagentur die KI-Verordnung, soweit das Gesetz nichts anderes bestimmt (§ 2 Abs. 1 KI-MIG, in Kraft seit 29. Juli 2026). Sie nennt KI im Personalmanagement ausdrücklich als Aufsichtsbereich, nimmt Beschwerden an und berät über ihren KI-Service-Desk. Für Datenschutzfragen bleiben die Datenschutzaufsichtsbehörden zuständig.

Quellen

Abgerufen am 23.10.2026.