KI-Verordnung: Was der AI Act für HR bedeutet

Die KI-Verordnung ist das europäische Gesetz für künstliche Intelligenz, international bekannt als AI Act (Verordnung (EU) 2024/1689). Sie regelt, welche KI-Systeme in der EU erlaubt sind, und teilt sie nach ihrem Risiko ein. Für HR ist die KI-VO besonders relevant: KI-Systeme im Recruiting und in der Leistungsbewertung gelten als Hochrisiko-KI, und Emotionserkennung am Arbeitsplatz ist verboten.

Was ist die KI-Verordnung der EU?

Die KI-Verordnung der EU ist eine Verordnung, die einheitliche Regeln für die Entwicklung, das Inverkehrbringen und die Nutzung von KI-Systemen in allen Mitgliedstaaten festlegt. Sie gilt als weltweit erstes umfassendes KI-Gesetz. Das Europäische Parlament und der Rat der Europäischen Union haben die KI-Verordnung 2024 beschlossen. Am 12. Juli 2024 erschien sie im Amtsblatt der EU, am 1. August 2024 trat sie in Kraft.

Im Deutschen heißt das Gesetz KI-Verordnung oder kurz KI-VO, im Englischen AI Act oder EU AI Act. Gemeint ist immer dasselbe Regelwerk. Als Verordnung gilt die KI-VO in jedem Mitgliedstaat direkt, ohne dass Deutschland sie erst in ein eigenes Gesetz übertragen muss. Ergänzende nationale Regeln betreffen vor allem Aufsicht und Durchführung.

Das Ziel der KI-Verordnung ist ein Ausgleich zwischen Innovation und Schutz. Unternehmen sollen KI nutzen und entwickeln können, ohne dass Grundrechte, Gesundheit oder Sicherheit von Personen gefährdet werden. Dafür verfolgt die KI-Verordnung einen risikobasierten Ansatz: Je höher das Risiko eines KI-Systems, desto strenger die Pflichten. Das betrifft auch Unternehmen, die künstliche Intelligenz nur über eine bestehende HR-Software oder ein Office-Tool nutzen. Einen allgemeinen Überblick über KI im HR-Alltag gibt unser Beitrag zu KI im Personalwesen.

Was gilt nach der KI-Verordnung als KI-System?

Ein KI-System ist nach Artikel 3 der KI-Verordnung ein maschinengestütztes System, das mit einem gewissen Grad an Autonomie arbeitet und aus Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt. Die Definition ist bewusst weit gefasst. Sie umfasst Chatbots, Systeme zur Analyse von Bewerbungen und KI-Modelle für Texte oder Bilder.

Nicht jede Software ist ein KI-System. Eine klassische Regel in einer Software, etwa „sende eine Erinnerung drei Monate vor Vertragsende“, fällt nicht darunter, weil das System nichts selbst ableitet. Ein Tool, das aus Lebensläufen eine Rangliste von Kandidatinnen und Kandidaten erstellt, ist dagegen ein KI-System.

Die KI-Verordnung unterscheidet außerdem nach Rollen. Anbieter entwickeln ein KI-System und bringen es auf den Markt. Betreiber nutzen ein KI-System in eigener Verantwortung, etwa ein Unternehmen, das ein KI-Tool im Recruiting einsetzt. Die meisten HR-Abteilungen sind Betreiber. Für sie gelten andere Pflichten als für Anbieter.

Welche Begriffe der KI-VO sollte HR kennen?

Wer die KI-VO im Unternehmen umsetzt, begegnet immer wieder denselben Begriffen. Diese Begriffe aus dem AI Act sind für HR besonders wichtig:

• KI-System: ein System, das aus Eingaben selbst ableitet, welche Ausgaben es erzeugt, etwa Texte, Bewertungen oder Empfehlungen.
• Anbieter: das Unternehmen, das ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt.
• Betreiber: das Unternehmen, das ein KI-System in eigener Verantwortung nutzt, zum Beispiel im Recruiting.
• Hochrisiko-KI-System: ein KI-System mit erheblichem Einfluss auf Gesundheit, Sicherheit oder Grundrechte, etwa bei Entscheidungen über Beschäftigung.
• KI-Modell mit allgemeinem Verwendungszweck: ein großes Modell, das für viele Aufgaben einsetzbar ist, wie die Sprachmodelle hinter bekannten Chatbots.
• KI-Kompetenz: die Fähigkeiten und Kenntnisse, die Personen für einen sachkundigen Umgang mit KI brauchen.

Ein Unternehmen kann übrigens vom Betreiber zum Anbieter werden. Das passiert, wenn es ein Hochrisiko-KI-System wesentlich verändert oder unter eigenem Namen anbietet. Für die meisten KMU bleibt es aber bei der Rolle als Betreiber. Typische Beispiele sind Tools im Bewerbermanagement oder in einem ATS-System, die KI-Funktionen zur Vorauswahl enthalten. Wer solche Systeme nutzt, sollte genau wissen, welche Funktionen aktiv sind.

Die KI-Verordnung ist dabei Teil eines größeren Rahmens. Sie steht neben DSGVO, Arbeitsrecht und Mitbestimmung. Eine strukturierte Compliance hilft, alle Anforderungen zusammen im Blick zu behalten. Wie das gelingt, zeigt der Beitrag zu den Elementen des Compliance-Managements.

Welche Risikoklassen kennt die KI-VO?

Die KI-VO teilt KI-Systeme in vier Risikoklassen ein. Von der Risikoklasse hängt ab, ob ein KI-System erlaubt ist und welche Pflichten für Anbieter und Betreiber gelten.

• Unannehmbares Risiko: Diese KI-Praktiken sind verboten, etwa Social Scoring oder Emotionserkennung am Arbeitsplatz.
• Hohes Risiko: Hochrisiko-KI-Systeme sind erlaubt, unterliegen aber strengen Anforderungen. Dazu gehören viele KI-Anwendungen im Personalbereich.
• Begrenztes Risiko: Für diese Systeme gelten vor allem Transparenzpflichten, zum Beispiel muss ein Chatbot als KI erkennbar sein.
• Minimales Risiko: Für Spamfilter oder KI in Textverarbeitungen gelten keine besonderen Pflichten aus der KI-Verordnung.

Hinzu kommen eigene Regeln für KI-Modelle mit allgemeinem Verwendungszweck, also große Sprachmodelle wie die Modelle hinter ChatGPT, Claude oder Copilot. Für diese Modelle gelten Pflichten zu technischer Dokumentation, Urheberrecht und Transparenz. Diese Pflichten treffen aber vor allem die Anbieter der Modelle, nicht die Unternehmen, die sie nutzen.

Welche KI-Praktiken sind verboten?

Verboten sind nach Artikel 5 der KI-Verordnung KI-Praktiken, die ein unannehmbares Risiko für Grundrechte und Werte der EU darstellen. Die Verbote gelten bereits seit dem 2. Februar 2025. Für HR sind vor allem diese verbotenen Praktiken relevant:

• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen.
• Social Scoring, also die Bewertung von Personen anhand ihres sozialen Verhaltens mit nachteiligen Folgen in anderen Zusammenhängen.
• Biometrische Kategorisierung, um sensible Merkmale wie politische Einstellung, Religion oder sexuelle Orientierung abzuleiten.
• Manipulative Techniken, die Menschen unbewusst beeinflussen und ihnen schaden können.

Ein Beispiel aus der Praxis: Ein Unternehmen nimmt Teammeetings auf, lässt sie per KI transkribieren und fragt die KI anschließend nach der „Stimmung im Team“. Wertet das System dabei Emotionen einzelner Personen aus, bewegt es sich im Bereich der verbotenen Emotionserkennung. Eine Zusammenfassung mit Aufgaben aus dem Gespräch ist dagegen unproblematisch, ebenso ein Protokoll von 1:1-Gesprächen mit Absprachen und nächsten Schritten. Entscheidend ist also, was die KI mit den Daten macht.

Verstöße gegen die Verbote sind teuer. Die KI-Verordnung sieht dafür Bußgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.

Welche KI-Systeme im HR gelten als Hochrisiko-KI?

Als Hochrisiko-KI gelten nach Anhang III der KI-Verordnung viele KI-Systeme, die Entscheidungen über Beschäftigung und Arbeitsverhältnisse vorbereiten oder treffen. Der Grund: Solche Systeme beeinflussen Karrieren und Lebensgrundlagen von Menschen erheblich. Zu den Hochrisiko-KI-Systemen im Personalbereich gehören:

• KI-Systeme, die Stellenanzeigen gezielt schalten oder Bewerbungen analysieren und filtern.
• KI-Systeme, die Bewerberinnen und Bewerber bewerten, etwa in Videointerviews oder Tests.
• KI-Systeme, die Entscheidungen über Beförderung oder Kündigung beeinflussen.
• KI-Systeme, die Aufgaben auf Basis von Verhalten oder persönlichen Merkmalen zuweisen.
• KI-Systeme, die Leistung und Verhalten von Beschäftigten überwachen und bewerten.

Nicht jede KI im HR ist damit automatisch Hochrisiko-KI. Ein KI-System, das nur eine eng begrenzte Hilfsaufgabe übernimmt und keine Entscheidung über Personen vorbereitet, kann ausgenommen sein. Eine KI, die eine Stellenanzeige formuliert oder ein Gesprächsprotokoll zusammenfasst, gehört in der Regel nicht in diese Kategorie. Eine KI, die Bewerbungen automatisch aussortiert, dagegen schon.

Wichtig für die Praxis: Lässt du eine KI eine Vorauswahl treffen, ist das bereits eine relevante Verarbeitung. Die Entscheidung muss bei einem Menschen bleiben, und dieser Mensch muss die Vorschläge der KI wirklich prüfen können. Mehr zum Ablauf einer guten Auswahl liest du unter Recruiting-Prozess.

Welche Pflichten haben Unternehmen als Betreiber von Hochrisiko-KI?

Unternehmen, die Hochrisiko-KI-Systeme im HR einsetzen, haben als Betreiber nach Artikel 26 der KI-Verordnung eine Reihe konkreter Pflichten. Diese Pflichten gelten zusätzlich zu den Regeln der DSGVO. Die wichtigsten Pflichten im Überblick:

• Das KI-System nach der Gebrauchsanweisung des Anbieters verwenden.
• Eine menschliche Aufsicht durch kompetente, geschulte Personen sicherstellen.
• Dafür sorgen, dass Eingabedaten relevant und ausreichend repräsentativ sind.
• Den Betrieb des Systems überwachen und Risiken an den Anbieter melden.
• Automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren.
• Beschäftigte und Arbeitnehmervertretungen vor dem Einsatz am Arbeitsplatz informieren.
• Betroffene Personen informieren, wenn ein Hochrisiko-KI-System Entscheidungen über sie trifft oder vorbereitet.

Für Anbieter gelten noch weitergehende Pflichten, etwa ein Risikomanagementsystem, technische Dokumentation, Konformitätsbewertung und Registrierung in einer EU-Datenbank. Kauft ein Unternehmen ein KI-Tool für das Recruiting ein, sollte es deshalb prüfen, ob der Anbieter diese Anforderungen erfüllt. Fragen an den Anbieter gehören in jede Auswahl.

Ab wann gilt die KI-Verordnung?

Die KI-Verordnung gilt seit dem 1. August 2024, ihre Regeln treten aber stufenweise in Kraft. Durch den Digital Omnibus, die Verordnung (EU) 2026/1744, hat die EU die Fristen für Hochrisiko-KI im Juli 2026 verschoben. Der aktuelle Stand:

• 2. Februar 2025: Verbote nach Artikel 5 und die Regeln zur KI-Kompetenz nach Artikel 4 gelten.
• 2. August 2025: Pflichten für KI-Modelle mit allgemeinem Verwendungszweck, Regeln zu Behörden und Sanktionen gelten.
• 2. August 2026: Die KI-Verordnung gilt allgemein, inklusive Transparenzpflichten nach Artikel 50.
• 2. Dezember 2027: Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III, also auch für HR-Systeme.
• 2. August 2028: Pflichten für Hochrisiko-KI in regulierten Produkten nach Anhang I.

Für HR heißt das: Die Verbote gelten schon heute, ebenso die Transparenzpflichten. Für Hochrisiko-KI im Recruiting und in der Leistungsbewertung bleibt bis Dezember 2027 Zeit. Diese Zeit ist aber kein Grund, abzuwarten. Viele Anforderungen, etwa menschliche Aufsicht und Information der Beschäftigten, sind schon heute gute Praxis und ergeben sich teilweise aus der DSGVO. Viele Leitfäden aus 2025 nennen noch August 2026 als Termin für Hochrisiko-KI. Dieser Stand ist durch den Omnibus überholt.

Was bedeutet KI-Kompetenz nach Artikel 4?

KI-Kompetenz bedeutet nach Artikel 4 der KI-Verordnung, dass Personen, die KI-Systeme im Unternehmen bedienen oder nutzen, über ausreichende Kenntnisse verfügen. Sie sollen Chancen und Risiken verstehen und KI-Ergebnisse kritisch prüfen können. Die Regel gilt für Anbieter und Betreiber, also für fast jedes Unternehmen, das KI nutzt.

Mit dem Digital Omnibus hat die EU die Pflicht etwas abgeschwächt formuliert: Unternehmen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu unterstützen. An der Erwartung ändert das wenig. Wer KI-Tools im Unternehmen zulässt, sollte Mitarbeitende schulen und das dokumentieren. Schulungen müssen kein großes Programm sein. Oft reicht eine Einführung in die Grundlagen: KI macht Fehler, Ergebnisse müssen geprüft werden, und personenbezogene Daten gehören nicht in frei verfügbare Tools. Mehr dazu liest du in unserem Beitrag zur Weiterbildung.

Für HR ist die KI-Kompetenz eine doppelte Aufgabe, die gut zu bestehenden Programmen wie Upskilling passt. HR nutzt selbst KI, etwa für Stellenanzeigen oder Gesprächsnotizen. Gleichzeitig organisiert HR oft die Schulungen für das gesamte Unternehmen. Eine einfache Übersicht, wer welche KI-Tools nutzt und wer geschult wurde, hilft bei beidem.

Wie hängen KI-Verordnung und DSGVO zusammen?

Die KI-Verordnung und die DSGVO gelten nebeneinander und ergänzen sich. Die KI-Verordnung regelt das KI-System, die DSGVO die Verarbeitung personenbezogener Daten. Sobald ein KI-System mit Daten von Beschäftigten arbeitet, gelten beide Gesetze.

Für die Praxis bedeutet das: Auch beim Einsatz von KI brauchst du eine Rechtsgrundlage für die Datenverarbeitung, musst Betroffene informieren und Daten auf das Nötige begrenzen. Nutzt du HR-Daten für einen Zweck, für den du sie ohnehin verarbeitest, etwa für die Verwaltung des Arbeitsverhältnisses, passt der KI-Einsatz meist zum ursprünglichen Zweck. Für neue Zwecke prüfst du die Zulässigkeit gesondert.

Wichtig ist außerdem der Vertrag mit dem Anbieter. Mit jedem KI-Anbieter, der personenbezogene Daten verarbeitet, schließt du einen Vertrag zur Auftragsverarbeitung. Werden Daten außerhalb der EU verarbeitet, brauchst du zusätzliche Garantien, etwa Standardvertragsklauseln. Mehr dazu liest du unter DSGVO und im Beitrag zum Datenschutz.

Was sollten HR-Verantwortliche jetzt tun?

HR-Verantwortliche sollten die KI-Verordnung jetzt in konkrete Schritte übersetzen, statt auf die nächste Frist zu warten. Diese Schritte haben sich bewährt:

• Schritt 1: Erstelle ein Verzeichnis aller KI-Tools im Unternehmen, mit Zweck, Nutzenden und verantwortlicher Person.
• Schritt 2: Ordne jedes Tool einer Risikoklasse zu und prüfe, ob verbotene Praktiken dabei sind.
• Schritt 3: Lege fest, wer im Unternehmen für KI verantwortlich ist, in der Geschäftsführung und in den Fachbereichen.
• Schritt 4: Formuliere eine KI-Richtlinie mit klaren Regeln für die Nutzung.
• Schritt 5: Schule Mitarbeitende und dokumentiere die Maßnahmen zur KI-Kompetenz.
• Schritt 6: Prüfe bei Recruiting- und Bewertungstools, ob sie Hochrisiko-KI sind, und kläre die Anforderungen mit dem Anbieter.

Das KI-Verzeichnis funktioniert ähnlich wie das Verzeichnis von Verarbeitungstätigkeiten nach der DSGVO. Halte darin für jedes Tool fest, wer es nutzt, für welchen Zweck, mit welchen Daten und ob ein Vertrag zur Auftragsverarbeitung besteht. Ergänze, ob das Tool unter die KI-VO fällt und in welche Risikoklasse es gehört. Diese Angaben brauchst du auch, wenn eine Aufsichtsbehörde oder der Betriebsrat nachfragt. Viele Unternehmen führen beide Verzeichnisse zusammen. So entsteht ein Überblick, welche Systeme mit welchen Daten arbeiten und wo Risiken liegen. Eine gute KI-Governance beginnt mit genau diesem Überblick. Wie du Regeln im Unternehmen verankerst, zeigt auch der Beitrag zum Verhaltenskodex.

Wer überwacht die Einhaltung der KI-Verordnung?

Die Einhaltung der KI-Vorgaben überwachen nationale Behörden in jedem Mitgliedstaat, unterstützt durch das KI-Büro der Europäischen Kommission. Die Mitgliedstaaten benennen dafür Marktüberwachungsbehörden. In Deutschland ist als zentrale Behörde die Bundesnetzagentur vorgesehen, für einzelne Bereiche bleiben weitere Behörden zuständig.

Die Behörden können Informationen anfordern, Systeme prüfen und Bußgelder verhängen. Neben den Strafen für verbotene Praktiken sieht die KI-Verordnung Bußgelder von bis zu 15 Millionen Euro oder 3 % des Umsatzes für Verstöße gegen andere Pflichten vor. Für KMU gelten jeweils die niedrigeren Beträge. Die Bürgerinnen und Bürger haben außerdem das Recht, eine Beschwerde einzureichen, wenn sie einen Verstoß vermuten.

So nutzt du KI in HoorayHR im Einklang mit der KI-Verordnung

HoorayHR ist HR-Software für KMU, die KI einsetzt, um HR-Administration zu reduzieren, damit mehr Zeit für Menschen bleibt. Unsere KI trifft keine Entscheidungen über Personen. Sie unterstützt bei Aufgaben, die sonst viel Zeit kosten, und die Entscheidung bleibt immer beim Menschen.

Unser Meeting-Agent ist eine eigene KI-Notetaker-Lösung. Er nimmt ein Gespräch auf, erstellt ein Transkript und macht daraus eine Zusammenfassung mit Aufgaben, die direkt an der richtigen Stelle in HoorayHR landet. Mit unserem Chat stellst du eine HR-Frage und bekommst eine Antwort auf Basis deiner eigenen HoorayHR-Daten. Mit unserer MCP sprichst du mit deinen HR-Daten über den KI-Assistenten, den du schon nutzt, etwa Claude, ChatGPT oder Copilot. Dabei arbeitet jede Person innerhalb ihrer eigenen Nutzerrechte in HoorayHR.

Alle Daten speichern wir DSGVO-konform und ISO-27001-zertifiziert innerhalb der EU. Über unsere HR-Workflows organisierst du außerdem Aufgaben wie Schulungen zur KI-Kompetenz, und mit HR-Analytics wertest du Daten aggregiert aus, statt einzelne Personen zu analysieren.

Die KI-Verordnung bremst KI im HR nicht aus, sie setzt einen Rahmen. Wer verbotene Praktiken meidet, den Menschen in der Entscheidung hält und offen über den KI-Einsatz informiert, nutzt KI rechtssicher. Unternehmen, die jetzt ein Verzeichnis anlegen und ihre Teams schulen, sind auf die nächsten Fristen gut vorbereitet.