KI-gestütztes Recruiting ist seit zwei Jahren der heimliche Standard in deutschen Personalabteilungen. CV-Parsing, Matching-Algorithmen, automatisches Vorranking. Was kaum jemand auf dem Schirm hat: Der EU AI Act stuft diese Anwendungen als Hochrisiko ein. Und ab dem 2. August 2026 greifen die zugehörigen Pflichten. Stand April 2026 ist das in den meisten HR-Teams noch nicht angekommen.

Auf einen Blick: Stand April 2026 plant die EU-Kommission über den Digital Omnibus eine Verschiebung, beschlossen ist nichts. Wer KI im Recruiting einsetzt, fällt unter Annex III des AI Acts und braucht ab 02.08.2026 Konformitätsbewertung, Transparenz, menschliche Aufsicht. Bußgelder bis 35 Mio. EUR.

Annex III, Punkt 4: Beschäftigung

Der EU AI Act listet acht Bereiche, in denen KI-Systeme automatisch als Hochrisiko gelten. Punkt 4 ist Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit. Wer KI einsetzt für:

fällt automatisch in die Hochrisiko-Kategorie. Das ist nicht verhandelbar. Es spielt keine Rolle, ob das HR-Tool aus Deutschland, den USA oder Indien kommt. Es spielt auch keine Rolle, ob die Personalabteilung das Tool selbst entwickelt oder als SaaS bezieht.

Was unter den Begriff "KI-System" fällt, ist im Art. 3 AI Act geregelt. Eine simple Excel-Auswertung mit IF-Formeln ist kein KI-System. Ein Tool, das mit Machine Learning auf Lebenslauf-Daten trainiert wurde und Vorschläge generiert, schon. Die meisten modernen Bewerbermanagementsysteme erfüllen die Definition.

Was Art. 5 verbietet, nicht nur reguliert

Bevor wir zu den Hochrisiko-Pflichten kommen, ein wichtiger Hinweis. Manche KI-Anwendungen im HR-Kontext sind nicht reguliert, sondern komplett verboten. Art. 5 AI Act zählt dazu unter anderem:

Emotionserkennung am Arbeitsplatz. Wer in Video-Interviews die Mimik der Bewerber automatisch auswerten lässt, macht sich seit Februar 2025 strafbar. Es gibt schmale Ausnahmen für medizinische und Sicherheitskontexte, aber Standard-Recruiting fällt eindeutig nicht darunter. Tools, die "Soft Skills durch Gesichtsausdruck" oder "Authentizität durch Sprachanalyse" versprechen, sind in der EU nicht mehr legal einsetzbar.

Social Scoring im weiteren Sinn. Wenn ein Algorithmus aus Social-Media-Aktivität, Kreditbewertung oder anderen unverwandten Datenquellen ein Profil baut, das dann in Personalentscheidungen einfließt, ist das problematisch.

Biometrische Kategorisierung zur Ableitung sensibler Merkmale (Religion, sexuelle Orientierung, politische Meinung) ist ebenfalls verboten.

Wer ein HR-Tool im Einsatz hat, das eine dieser Kategorien streift, hat kein Compliance-Problem im engeren Sinne. Er hat ein Strafrechtsproblem.

Die sieben Hochrisiko-Pflichten konkret

Für die zulässigen KI-Recruiting-Anwendungen gelten ab 02.08.2026 sieben Hauptpflichten. Stand April 2026 plant die EU-Kommission über den Digital Omnibus eine Verschiebung um 16 bis 24 Monate. Beschlossen ist das aber noch nicht. HR-Teams, die jetzt nicht starten, haben im Worst Case keine 24 Monate Vorlaufzeit, sondern drei.

Konformitätsbewertung. Vor dem Inverkehrbringen oder vor der Nutzung eines Hochrisiko-Systems ist ein Konformitätsbewertungsverfahren durchzuführen. Bei Recruiting-Tools macht das in der Regel der Anbieter, aber der Anwender muss die Dokumentation einsehen und prüfen können.

Risikomanagement. Über den gesamten Lebenszyklus des Systems hinweg muss ein dokumentiertes Risikomanagement laufen. Welche Risiken bestehen für Bewerber? Wie werden sie minimiert?

Datenqualität. Die Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und möglichst frei von Verzerrungen sein. Das ist der Punkt, an dem sich für US-Anbieter die meisten Diskussionen entzünden, weil deren Trainingsdatensätze oft nicht für deutschen Arbeitsmarkt-Kontext kalibriert sind.

Technische Dokumentation und Logging. Anbieter müssen dokumentieren, wie das System funktioniert. Anwender müssen Logs vorhalten, die zeigen, welche Entscheidungen das System getroffen hat.

Transparenz gegenüber Bewerbern. Wer sich bewirbt, muss informiert werden, dass KI im Einsatz ist, in welcher Phase und wofür. Diese Informationspflicht greift unabhängig von DSGVO Art. 22 und ist neu. Kein Kleingedrucktes mehr, sondern explizite Aufklärung.

Menschliche Aufsicht. Die letzte Entscheidung muss ein Mensch treffen. Vollautonome KI-Auswahl ist nicht zulässig. Das HR-Team muss in der Lage sein, Empfehlungen des Systems zu überstimmen, und es muss klar dokumentieren, dass diese Möglichkeit besteht und genutzt wird.

Robustheit und Cybersicherheit. Das System muss gegen Manipulation und unbefugten Zugriff gesichert sein. Bei SaaS-Tools liegt diese Pflicht primär beim Anbieter, aber der Anwender muss das vertraglich absichern.

Was passiert, wenn man nichts tut

Bußgelder bis 35 Mio. Euro oder 7 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist. Das ist die Maximalgrenze und gilt für die schwersten Verstöße (verbotene Praktiken nach Art. 5).

Für Verstöße gegen Hochrisiko-Pflichten liegen die Bußgelder niedriger, aber nicht trivial: bis 15 Mio. EUR oder 3 Prozent des Jahresumsatzes.

Daneben gibt es zivilrechtliche Risiken. Wenn ein abgelehnter Bewerber nachweisen kann, dass er durch ein nicht-konformes KI-System diskriminiert wurde, drohen Schadensersatzansprüche nach AGG. Die Beweislast verschiebt sich dabei deutlich, weil der Bewerber kaum Einblick in die Algorithmen hat.

Das eigentliche Risiko ist aber subtiler. Wenn die Beschwerde eines Bewerbers eine behördliche Prüfung auslöst, kommt nicht nur das eine Tool unter die Lupe. Die ganze HR-Compliance wird durchleuchtet. Datenschutz-Folgenabschätzungen, AVVs, Trainingsdokumentation. Wenn da Lücken sind, wird es teuer.

Tool-Inventur als erster Schritt

Aus unserer Erfahrung mit HR-Teams in Mittelständlern: Niemand weiß auf Anhieb, welche KI-Komponenten in den eingesetzten Systemen stecken. SAP SuccessFactors, Personio, HRWorks, Workday, lokale Bewerbermanagement-Tools , die meisten haben in den letzten 18 Monaten KI-Features eingeführt, oft als Teil von Standard-Updates.

Eine pragmatische Tool-Inventur sieht so aus.

In Spalte eins kommen alle Tools, die HR irgendwo nutzt. Bewerbermanagement, Skill-Matching, Talent-Pool, Performance-Reviews, Interview-Plattformen, Video-Tools. In Spalte zwei steht der Hersteller. In Spalte drei eine konkrete Frage an den Hersteller: "Enthält das Tool KI-Funktionen, die unter Annex III, Punkt 4 EU AI Act fallen?" In Spalte vier die schriftliche Antwort des Herstellers. In Spalte fünf die Konformitätsbewertung des Herstellers, sofern vorhanden.

Diese Tabelle ist die Grundlage für alles Weitere. Tools ohne KI-Komponenten brauchen kein AI-Act-Compliance-Verfahren. Tools mit KI-Komponenten müssen geprüft werden.

Erfahrungsgemäß stellt sich bei dieser Übung heraus: Etwa die Hälfte der HR-Tools hat in den letzten zwei Jahren KI-Features bekommen, von denen das eigene Team nichts wusste. Bei einem Mittelständler aus dem Maschinenbau, mit dem wir gesprochen haben, lagen am Ende sieben Tools auf dem Tisch , vier davon in Annex III.

Was Bewerber konkret zu lesen bekommen

Die Transparenzpflicht ist neu und wird in Praxisleitfäden oft unterschätzt. Es reicht nicht, im Kleingedruckten der Stellenanzeige zu erwähnen, dass "KI-gestützte Verfahren zum Einsatz kommen können". Bewerber haben Anspruch auf eine konkrete, verständliche Information.

Ein Mustertext, der den Anforderungen von TÜV Rheinland Consulting nahekommt:

"Im Rahmen unseres Bewerbungsprozesses setzen wir ein KI-gestütztes Tool zur Vorabauswertung von Lebensläufen ein. Das Tool extrahiert Qualifikationen, Berufserfahrung und Sprachkenntnisse aus Ihren Bewerbungsunterlagen und gleicht sie mit den Anforderungen der Stelle ab. Die Vorabauswertung dient ausschließlich der Vorbereitung der Auswahlentscheidung. Die Entscheidung über Einladung zum Gespräch und Einstellung trifft ausschließlich unser HR-Team. Sie haben das Recht, einer KI-gestützten Auswertung zu widersprechen. In diesem Fall wird Ihr Lebenslauf ausschließlich manuell geprüft."

So ein Text gehört in die Stellenanzeige, in die Eingangsbestätigung und in die Datenschutzerklärung des Bewerbungsportals. Ohne diesen Text fehlt eine Pflichtinformation.

Die menschliche Aufsicht ist der ehrlichste Knackpunkt

Auf dem Papier sagen alle HR-Teams: Klar, die endgültige Entscheidung trifft natürlich der Mensch. In der Praxis sieht es oft anders aus. Wenn ein Tool 200 Lebensläufe auf 20 reduziert, schaut der Recruiter nur auf diese 20. Die anderen 180 sind faktisch durch die KI aussortiert, und kein Mensch hat sie je gesehen.

Genau das ist das Problem. Menschliche Aufsicht heißt nicht, dass am Ende ein Mensch im Loop ist. Es heißt, dass dieser Mensch real in der Lage sein muss, die Empfehlung der KI zu überstimmen, und zwar mit Zugang zu den Rohdaten.

Was das praktisch bedeutet:

Ohne diese Strukturen ist die menschliche Aufsicht eine Behauptung, keine Praxis. Und im Streitfall hält sie nicht.

Wir sehen in der Praxis: Die zweite Welle der Compliance

Die meisten HR-Teams haben sich 2024 und 2025 mit DSGVO-Themen rund um KI auseinandergesetzt. Das war Welle eins. Was jetzt kommt, ist anders. Der EU AI Act fragt nicht: Hast du eine Rechtsgrundlage für die Datenverarbeitung? Sondern: Funktioniert dein System fair, robust, transparent und überprüfbar?

Das ist ein anderer Prüfmaßstab. Datenschutz-Folgenabschätzungen reichen nicht. Es braucht eine zusätzliche, AI-Act-spezifische Risikobewertung. Bei vielen Mittelständlern ist diese Erkenntnis noch nicht angekommen, weil HR-Compliance traditionell stark datenschutzgetrieben ist und der Datenschutzbeauftragte nicht automatisch der KI-Beauftragte ist.

Wer das ernst nehmen will, braucht ab Q3 2026 einen klaren Verantwortlichen für KI-Compliance. Das kann eine bestehende Rolle sein (DSB, Compliance Officer), aber die zusätzliche Qualifikation muss da sein. In unserem Digitalisierungsmanager-Kurs ist genau dieser Bereich eines der zwölf Module. Teilnehmer kommen mit einem Werkzeugkasten heraus, mit dem sie eine HR-Tool-Inventur, eine AI-Act-Risikobewertung und eine Tool-Auswahl strukturiert durchführen können.

Was HR jetzt konkret tun sollte

Drei Schritte, die in den nächsten 60 Tagen sinnvoll sind.

Tool-Inventur durchführen. Welche Systeme nutzen wir? Welche enthalten KI? Welche fallen unter Annex III?

Anbieter schriftlich anfragen. Das eigene Bewerbermanagementsystem: Welche Konformitätsbewertung gibt es? Liegt eine Erklärung vor? Bis wann gibt es eine? Schriftliche Anfrage, schriftliche Antwort, Aufnahme in die Compliance-Akte.

Bewerberkommunikation anpassen. Stellenanzeigen, Eingangsbestätigungen, Datenschutzerklärung um die Transparenzpflicht ergänzen. Das ist der schnellste Compliance-Win, weil er nicht von externen Anbietern abhängt.

Wer diese drei Schritte vor dem 1. Juli 2026 erledigt, hat die größte Compliance-Lücke schon geschlossen. Alles weitere (Risikomanagement-System, technische Dokumentation, Logging) läuft parallel und ist eher Aufgabe der Compliance-Stabsstelle.

Häufige Fragen

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Der AI Act unterscheidet nicht nach Unternehmensgröße. Auch ein 30-Mitarbeiter-Betrieb, der ein KI-Recruiting-Tool einsetzt, ist Anwender im Sinne des Gesetzes und fällt unter die Hochrisiko-Pflichten. Es gibt schmale Erleichterungen für KMU im Bereich der Konformitätsbewertung, aber die Grundpflichten bleiben.

Was ist mit ChatGPT, wenn ich es zum Lebenslauf-Sortieren nutze?

Die Nutzung eines General-Purpose-Modells wie ChatGPT durch einen HR-Mitarbeiter zur Sortierung von Lebensläufen ist eine Grauzone. Wenn das systematisch passiert, etabliert sich faktisch ein KI-Recruiting-Prozess, und der unterliegt den Annex-III-Pflichten. Wenn es nur gelegentlich als Hilfsmittel zum Verstehen eines komplizierten Lebenslaufs genutzt wird, eher nicht. Die Grenze liegt bei Systematik und Entscheidungsrelevanz.

Wer haftet, wenn das Tool diskriminiert?

In erster Linie haftet das Unternehmen, das das Tool einsetzt, gegenüber dem Bewerber (AGG, BGB). Im Innenverhältnis kann das Unternehmen Regress beim Anbieter nehmen, wenn dieser zugesichert hat, dass das Tool den AI-Act-Anforderungen entspricht und das nachweislich nicht der Fall ist. AVV und Vertragsklauseln sind hier entscheidend.

Wie hoch sind die Bußgelder realistisch?

Die Maximalgrenzen (35 Mio. EUR / 7 Prozent) gelten nur für vorsätzliche Verstöße gegen verbotene Praktiken. Für Hochrisiko-Pflichtverletzungen liegen die Maxima bei 15 Mio. / 3 Prozent. In der Praxis erwarten Aufsichtsbehörden bei einem ersten Verstoß zunächst eine Auflage zur Abhilfe, danach kommt das Bußgeld. Ein gut dokumentiertes, gutgläubiges Bemühen mildert die Sanktion deutlich.

Quellen

Bereit für deinen nächsten Karriereschritt?

Lass dich kostenlos beraten. Wir finden die passende Weiterbildung und Förderung für dich.

Weiterbildung ansehen WhatsApp