KI im Recruiting: Warum Ihr HR-Tool plötzlich Hochrisiko ist

KI im Personalwesen ist längst Alltag. Bewerbungen vorfiltern, Stellenausschreibungen optimieren, Leistung bewerten, Gehälter benchmarken — in vielen Unternehmen erledigt das inzwischen ein Algorithmus. Effizient, schnell, skalierbar.

Und ab sofort: hochriskant.

Der EU AI Act stuft KI-Systeme im Bereich Beschäftigung und Personalmanagement explizit als Hochrisiko ein (Annex III, Punkt 4). Das bedeutet: strengste Auflagen, umfassende Dokumentation, menschliche Aufsicht — und empfindliche Strafen bei Verstößen. Für Unternehmen, die gleichzeitig die EU-Entgelttransparenzrichtlinie umsetzen müssen, entsteht eine doppelte Compliance-Herausforderung.

Dieser Artikel erklärt, welche HR-Systeme betroffen sind, was auf Arbeitgeber zukommt und wie Sie beide Regulierungen gemeinsam angehen.

Was genau ist „Hochrisiko" im HR-Bereich?

Annex III des AI Acts listet acht Bereiche auf, in denen KI-Systeme als hochriskant gelten. Punkt 4 — „Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit" — ist für Arbeitgeber der wichtigste. Er erfasst zwei Kategorien:

Kategorie (a): Recruiting und Auswahl

• KI für gezielte Stellenausschreibungen (z.B. algorithmische Ausspielung auf LinkedIn)
• KI zum Analysieren und Filtern von Bewerbungen (CV-Screening)
• KI zur Bewertung von Kandidaten (Assessment-Tools, Video-Interview-Analyse)

Kategorie (b): Beschäftigungsentscheidungen und Monitoring

• KI für Beförderungs- und Kündigungsentscheidungen
• KI zur Aufgabenzuweisung basierend auf individuellem Verhalten oder Persönlichkeitsmerkmalen
• KI zur Überwachung und Bewertung von Leistung und Verhalten

Wichtig: Es geht nicht nur um spezialisierte HR-Software. Wenn Sie ChatGPT nutzen, um Bewerbungen zu bewerten, oder ein Excel-Makro mit KI-Unterstützung zur Gehaltsanalyse — auch das kann unter Hochrisiko fallen, wenn es Entscheidungen über Personen beeinflusst.

Gibt es Ausnahmen?

Ja — aber sie sind eng. Art. 6 Abs. 3 sieht vier Ausnahmen vor, bei denen ein System trotz Annex-III-Einordnung nicht als hochriskant gilt:

• Es führt nur eine enge Verfahrensaufgabe aus (z.B. automatische Terminplanung)
• Es verbessert ein bereits abgeschlossenes menschliches Ergebnis (z.B. Rechtschreibprüfung in Stellenausschreibungen)
• Es erkennt Muster oder Abweichungen, ersetzt aber die menschliche Entscheidung nicht
• Es führt eine vorbereitende Aufgabe für eine menschliche Bewertung aus

Aber Achtung: Sobald ein System Profiling betreibt — also automatisiert personenbezogene Daten verarbeitet, um Aspekte wie Arbeitsleistung, Zuverlässigkeit oder Verhalten zu bewerten — ist es immer Hochrisiko. Ohne Ausnahme.

Was müssen Arbeitgeber als Betreiber (Deployer) tun?

Die Pflichten für Betreiber von Hochrisiko-KI im HR-Bereich sind umfassend (Art. 26). Hier die wichtigsten:

1. Einsatz gemäß Gebrauchsanweisung

Sie dürfen das System nur so einsetzen, wie es der Anbieter vorgesehen hat. Wenn ein Tool zur „Unterstützung bei der Vorauswahl" gedacht ist, dürfen Sie damit keine automatisierten Ablehnungsentscheidungen treffen.

2. Menschliche Aufsicht

Sie müssen natürliche Personen benennen, die das System beaufsichtigen — und diese müssen die Kompetenz, Schulung und Befugnis haben, KI-Entscheidungen zu verstehen, zu hinterfragen und zu überstimmen. Das ist keine Formalität: Der AI Act nennt explizit die Gefahr des „Automation Bias" — die Tendenz, KI-Ergebnisse unkritisch zu übernehmen.

3. Arbeitnehmer informieren

Vor Inbetriebnahme müssen Arbeitnehmervertreter und betroffene Mitarbeiter informiert werden. In Deutschland: der Betriebsrat. In Luxemburg: die Personaldelegation. Das ist keine Empfehlung — das ist Pflicht.

4. Logs aufbewahren

Automatisch erzeugte Protokolle des Systems müssen mindestens 6 Monate aufbewahrt werden. Bei einer Prüfung oder einem Rechtsstreit müssen Sie nachweisen können, wie das System funktioniert hat.

5. Überwachung und Meldepflicht

Sie müssen den Betrieb überwachen. Wenn Sie Risiken erkennen, müssen Sie den Einsatz sofort aussetzen und Anbieter sowie Behörden informieren.

6. Datenschutz-Folgenabschätzung

Für Hochrisiko-KI im HR-Bereich ist in der Regel eine DSFA nach Art. 35 DSGVO erforderlich. Der AI Act und die DSGVO greifen hier ineinander.

Die Doppel-Falle: AI Act + Entgelttransparenz

Hier wird es für viele Unternehmen besonders relevant: Wer KI für Gehaltsanalysen, Vergütungs-Benchmarks oder Leistungsbewertungen einsetzt, steht vor einer doppelten Regulierung:

• Der EU AI Act stuft KI in Beschäftigungsentscheidungen als Hochrisiko ein
• Die EU-Entgelttransparenzrichtlinie (Frist: 7. Juni 2026) verlangt transparente, geschlechtsneutrale Vergütungskriterien und Gap-Assessments

Wenn Ihr Vergütungssystem auf KI-gestützten Analysen basiert, müssen Sie gleichzeitig nachweisen, dass:

• Die KI korrekt und diskriminierungsfrei arbeitet (AI Act)
• Die Vergütungskriterien geschlechtsneutral und transparent sind (Entgelttransparenz)
• Menschliche Aufsicht gewährleistet ist (beide Regulierungen)
• Betroffene Personen informiert sind (beide Regulierungen)

Die gute Nachricht: Viele Maßnahmen adressieren beide Anforderungen gleichzeitig. Ein geschlechtsneutrales Stellenbewertungssystem mit dokumentierten Kriterien erfüllt sowohl die Transparenzanforderungen der Richtlinie als auch die Nachvollziehbarkeitsanforderungen des AI Acts.

Emotionserkennung: Die rote Linie

Ein Sonderfall verdient besondere Aufmerksamkeit: Emotionserkennung am Arbeitsplatz ist verboten (Art. 5 Abs. 1 lit. f). Seit Februar 2025.

Das betrifft jedes System, das Emotionen oder Absichten von Mitarbeitern auf Basis biometrischer Daten ableitet — sei es Gesichtserkennung, Stimmanalyse oder Körpersprachauswertung. Einige HR-Tools und Video-Interview-Plattformen nutzen solche Technologien. Prüfen Sie Ihre eingesetzten Systeme.

Einzige Ausnahme: Medizinische Gründe (z.B. Ermüdungserkennung bei Berufskraftfahrern) oder Sicherheitsgründe.

Was Sie jetzt tun sollten — eine Checkliste

1. HR-KI-Inventur: Listen Sie alle KI-Systeme auf, die in Ihrem HR-Bereich eingesetzt werden — auch die „kleinen" Tools.
2. Hochrisiko-Check: Prüfen Sie für jedes System: Fällt es unter Annex III Punkt 4? Greift eine Ausnahme? Betreibt es Profiling?
3. Anbieter prüfen: Erfüllt der Anbieter seine Provider-Pflichten? (Technische Dokumentation, CE-Kennzeichnung, EU-Datenbank-Registrierung)
4. Human Oversight einrichten: Benennen Sie kompetente Personen für die Aufsicht. Schulen Sie sie. Dokumentieren Sie die Befugnisse.
5. Betriebsrat / Personaldelegation informieren: Jetzt — nicht erst wenn das System schon läuft.
6. Emotionserkennung prüfen: Setzt eines Ihrer Systeme Emotionserkennung ein? Wenn ja: sofort einstellen.
7. DSFA durchführen: Für jedes HR-Hochrisiko-System eine Datenschutz-Folgenabschätzung erstellen oder aktualisieren.
8. Equal Pay verknüpfen: Wenn KI in der Vergütung eingesetzt wird — beide Regulierungen gemeinsam angehen.

Fazit: HR ist die Hochrisiko-Zone Nr. 1

Von allen Hochrisiko-Bereichen des AI Acts betrifft keiner so viele Unternehmen wie der HR-Bereich. KI im Recruiting, in der Leistungsbewertung und in der Vergütung — das ist Alltag in deutschen und luxemburgischen Unternehmen. Die Kombination aus AI Act und Entgelttransparenzrichtlinie macht koordinierte Compliance zur Notwendigkeit.

Die Fristen mögen sich verschieben. Die Pflichten tun es nicht.

Sie setzen KI im HR-Bereich ein und wollen wissen, was auf Sie zukommt? Wir helfen bei der Bestandsaufnahme — für AI Act und Equal Pay gleichermaßen. Vereinbaren Sie ein kostenloses Erstgespräch.