KI im Recruiting 2026: Art. 6 KI-VO Hochrisiko konkret angewandt

HR-Teams nutzen 2026 fast alle KI. Der Spagat: Einige dieser Use-Cases sind nach KI-Verordnung Hochrisiko-KI, andere nicht. Der Unterschied entscheidet darüber, ob du nur ein paar Transparenz-Hinweise brauchst oder ein komplettes Risk-Management-System aufbauen musst. Wer das falsch einschätzt, riskiert Bußgelder, Schadensersatzklagen nach AGG und einen Imageschaden, der sich nicht mit einer Pressemitteilung lösen lässt.

Die Rechtslage 2026 im Überblick

Die KI-Verordnung (Verordnung (EU) 2024/1689) regelt KI-Systeme nach Risikoklassen. Für HR relevant sind vor allem zwei Teile:

• Art. 4: KI-Kompetenzpflicht, seit 02.02.2025 in Kraft. Alle Mitarbeiter, die KI einsetzen, müssen verstehen, was die Systeme tun, wo ihre Grenzen liegen und wie man mit ihnen verantwortungsvoll arbeitet. Das gilt auch für HR.
• Art. 6 ff.: Hochrisiko-KI-Systeme. Diese Pflichten greifen ab 02.08.2026. Der Digital-Omnibus-Trilog Ende April 2026 kann eine Verschiebung auf 2027 bringen, aber die Vorbereitung sollte jetzt laufen.

Anhang III der KI-VO listet die Hochrisiko-Anwendungsbereiche. Nr. 4 betrifft HR explizit: KI-Systeme, die für Einstellung, Beurteilung, Fortbildung oder Beendigung von Arbeitsverhältnissen eingesetzt werden, wenn sie dort Entscheidungen treffen oder maßgeblich beeinflussen.

Die Einstufung in der Praxis: Typische HR-KI-Tools

Was Hochrisiko-Status konkret bedeutet

Wenn ein HR-KI-System unter Art. 6 fällt, greifen die Pflichten aus Kap. III der KI-VO. Sie treffen primär den Anbieter (Vendor), aber auch den Betreiber (Arbeitgeber) hat klare Pflichten.

Pflichten des Anbieters (Art. 8 bis 22)

• Risk-Management-System über den gesamten Lebenszyklus
• Datenqualitaets-Anforderungen, speziell Bias-Prüfung
• Technische Dokumentation nach Anhang IV
• Automatisches Logging
• Transparenz für den Nutzer
• Menschliche Aufsicht wird ermöglicht (Art. 14)
• Genauigkeit, Robustheit, Cybersicherheit (Art. 15)
• Konformitätsbewertung und CE-Kennzeichnung

Pflichten des Betreibers (Art. 26)

• System nur bestimmungsgemäß nutzen
• Menschliche Aufsicht durch qualifiziertes Personal
• Input-Daten im Rahmen der Zweckbindung
• Logs aufbewahren (mind. 6 Monate, typisch länger je nach nationalem Recht)
• Betroffene informieren (Art. 26 Abs. 11)
• Betriebsrat einbinden (BetrVG §87 Abs. 1 Nr. 6)

Das AGG-Thema: Diskriminierungsschutz

Parallel zur KI-VO gilt das Allgemeine Gleichbehandlungsgesetz (AGG). Zwei Paragrafen sind zentral:

• §11 AGG: Ausschreibungen müssen diskriminierungsfrei sein. Das betrifft auch KI-generierte Stellenanzeigen.
• §22 AGG: Beweislast-Umkehr. Wenn ein Bewerber Indizien für Diskriminierung vorträgt, muss der Arbeitgeber beweisen, dass keine Diskriminierung vorlag. Bei einer KI-Black-Box, die du nicht erklären kannst, wird diese Beweislast zum Problem.

Konkret: Wenn ein KI-Screener systematisch weibliche Bewerberinnen über 45 Jahren niedriger rankt, wirst du im Zweifel zeigen müssen, woran das liegt. Ohne auditierbare Logs und Trainings-Daten ist das kaum möglich.

Mitbestimmung nach BetrVG §87 Abs. 1 Nr. 6

Jede KI, die Verhalten oder Leistung von Mitarbeitern oder Bewerbern überwachen oder bewerten kann, ist eine technische Einrichtung im Sinne des Paragraphen. Der Betriebsrat hat ein echtes Mitbestimmungsrecht, nicht nur ein Anhörungsrecht.

Typische Konstellation: HR will ein Video-Interview-Tool einführen, IT hat es schon beschafft, Betriebsrat wurde nicht gefragt. Ergebnis: Das Tool darf nicht eingesetzt werden, bis eine Betriebsvereinbarung vorliegt. Zeit- und Geldverlust vermeidbar.

Dokumentations-Checkliste für HR-Leiter

1. Bestandsaufnahme: Welche KI-Tools werden im HR-Bereich aktuell eingesetzt, auch inoffiziell.
2. Einstufung: Welche davon sind Hochrisiko, welche nicht. Tabelle mit Begründung pflegen.
3. Anbieter-Dokumentation: Für jede Hochrisiko-KI die Anbieter-Dokumentation (technische Doku nach Anhang IV, CE-Konformitätserklärung) einholen und prüfen.
4. Eigene Risikoanalyse: Was sind die spezifischen Risiken im Einsatzkontext?
5. Bias-Test: Wenn möglich, eigene Stichprobe gegen historische Daten testen. Rankt das Tool systematisch nach Alter, Geschlecht, Herkunft?
6. Menschliche Aufsicht: Wer prüft die KI-Empfehlungen, mit welcher Qualifikation?
7. Logging: Welche Entscheidungen werden wo wie lange protokolliert?
8. Transparenz: Wie werden Bewerber und Mitarbeiter informiert?
9. Betriebsrat: Betriebsvereinbarung vorhanden?
10. Datenschutzfolgenabschätzung (Art. 35 DSGVO) bei hohem Risiko, oft Pflicht bei HR-KI.
11. Schulung: Nachweis der Art.-4-KI-Kompetenz für alle HR-Anwender.
12. Jährlicher Review.

Pilotierung von Hochrisiko-KI

Wer ein Hochrisiko-KI-System einführt, sollte nicht gleich voll ausrollen. Sinnvolle Pilotierung:

1. Phase 1 (4-6 Wochen): Shadow-Mode. KI läuft parallel zum menschlichen Prozess, Ergebnisse werden protokolliert, aber nicht genutzt. Vergleich: Wo weicht KI vom Menschen ab, wo sind die Abweichungen sinnvoll, wo sind sie riskant?
2. Phase 2 (4-6 Wochen): Assistiv. KI liefert Empfehlungen, Mensch entscheidet. Logging aller Abweichungen.
3. Phase 3 (dauerhaft): Kontrollierter Einsatz. KI entscheidet mit, menschliche Aufsicht bleibt. Quartalsweiser Bias-Review.

Risiken bei Fehleinsatz

Konkretes Praxis-Beispiel: Video-Interview-Analyse

Das Beispiel zeigt, wie viele Ebenen sich gleichzeitig öffnen.

• KI-VO: Hochrisiko-System. Vollständige Compliance-Pflichten auf Anbieter- und Betreiber-Seite.
• DSGVO: Biometrische Daten (Mimik), besondere Kategorie nach Art. 9. Rechtsgrundlage Einwilligung, freiwillig und widerrufbar.
• AGG: Hohes Bias-Risiko. Gesichtsanalysen zeigen in Studien systematisch schlechtere Trefferraten bei Frauen und Personen of Color.
• BetrVG: Betriebsvereinbarung Pflicht.
• DSFA: Notwendig wegen hohem Risiko.

Viele Mittelständler kommen bei dieser Liste zum Schluss, dass der Aufwand im Verhältnis zum Nutzen nicht passt. Das ist eine legitime Entscheidung.

90-Tage-Plan für sauberen HR-KI-Rollout

Tage 1-30: Inventur und Einstufung

• Alle HR-KI-Tools auflisten, auch kleine Experimente
• Jedes Tool nach KI-VO einstufen
• Datenschutzbeauftragten einbinden
• Erste Gespräche mit Betriebsrat

Tage 31-60: Dokumentation und Prozesse

• Anbieter-Dokumentation anfordern und prüfen
• DSFAs für Hochrisiko-Systeme starten
• Betriebsvereinbarung-Entwurf erarbeiten
• Bias-Test mit eigenen Daten für mindestens ein Tool
• Art.-4-Schulung planen und dokumentieren

Tage 61-90: Pilot und Entscheidung

• Bei Hochrisiko-Tools: Shadow-Mode aktivieren oder Einsatz pausieren
• Transparenz-Hinweise für Bewerber und Mitarbeiter formulieren
• Betriebsvereinbarung unterschreiben
• Jährlichen Review-Termin in den Kalender

Was HR diese Woche tun sollte

1. Liste der aktuell eingesetzten KI-Tools im HR erstellen (inklusive Shadow-IT).
2. Für jedes Tool die Frage stellen: Beeinflusst es eine Entscheidung über eine Person?
3. Datenschutzbeauftragten über den KI-VO-Scope informieren.
4. Termin mit Betriebsrat vereinbaren.
5. Anbieter der kritischsten Tools anschreiben: "Schickt uns eure KI-VO-Dokumentation und CE-Erklärung."

Wer diese fünf Schritte diese Woche geht, hat 80 % der hektischen Projekt-Rettungen vermieden, die im Herbst 2026 typischerweise kommen, wenn die Hochrisiko-Pflichten scharf werden.