Die KI-Verordnung ist das europ\u00e4ische Gesetz f\u00fcr k\u00fcnstliche Intelligenz, international bekannt als AI Act (Verordnung (EU) 2024\/1689). Sie regelt, welche KI-Systeme in der EU erlaubt sind, und teilt sie nach ihrem Risiko ein. F\u00fcr HR ist die KI-VO besonders relevant: KI-Systeme im Recruiting und in der Leistungsbewertung gelten als Hochrisiko-KI, und Emotionserkennung am Arbeitsplatz ist verboten.<\/p>\n
Die KI-Verordnung der EU ist eine Verordnung, die einheitliche Regeln f\u00fcr die Entwicklung, das Inverkehrbringen und die Nutzung von KI-Systemen in allen Mitgliedstaaten festlegt. Sie gilt als weltweit erstes umfassendes KI-Gesetz. Das Europ\u00e4ische Parlament und der Rat der Europ\u00e4ischen Union haben die KI-Verordnung 2024 beschlossen. Am 12. Juli 2024 erschien sie im Amtsblatt der EU, am 1. August 2024 trat sie in Kraft.<\/p>\n
Im Deutschen hei\u00dft das Gesetz KI-Verordnung oder kurz KI-VO, im Englischen AI Act oder EU AI Act. Gemeint ist immer dasselbe Regelwerk. Als Verordnung gilt die KI-VO in jedem Mitgliedstaat direkt, ohne dass Deutschland sie erst in ein eigenes Gesetz \u00fcbertragen muss. Erg\u00e4nzende nationale Regeln betreffen vor allem Aufsicht und Durchf\u00fchrung.<\/p>\n
Das Ziel der KI-Verordnung ist ein Ausgleich zwischen Innovation und Schutz. Unternehmen sollen KI nutzen und entwickeln k\u00f6nnen, ohne dass Grundrechte, Gesundheit oder Sicherheit von Personen gef\u00e4hrdet werden. Daf\u00fcr verfolgt die KI-Verordnung einen risikobasierten Ansatz: Je h\u00f6her das Risiko eines KI-Systems, desto strenger die Pflichten. Das betrifft auch Unternehmen, die k\u00fcnstliche Intelligenz nur \u00fcber eine bestehende HR-Software<\/a> oder ein Office-Tool nutzen. Einen allgemeinen \u00dcberblick \u00fcber KI im HR-Alltag gibt unser Beitrag zu KI im Personalwesen<\/a>.<\/p>\n Ein KI-System ist nach Artikel 3 der KI-Verordnung ein maschinengest\u00fctztes System, das mit einem gewissen Grad an Autonomie arbeitet und aus Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erzeugt. Die Definition ist bewusst weit gefasst. Sie umfasst Chatbots, Systeme zur Analyse von Bewerbungen und KI-Modelle f\u00fcr Texte oder Bilder.<\/p>\n Nicht jede Software ist ein KI-System. Eine klassische Regel in einer Software, etwa \u201esende eine Erinnerung drei Monate vor Vertragsende\u201c, f\u00e4llt nicht darunter, weil das System nichts selbst ableitet. Ein Tool, das aus Lebensl\u00e4ufen eine Rangliste von Kandidatinnen und Kandidaten erstellt, ist dagegen ein KI-System.<\/p>\n Die KI-Verordnung unterscheidet au\u00dferdem nach Rollen. Anbieter entwickeln ein KI-System und bringen es auf den Markt. Betreiber nutzen ein KI-System in eigener Verantwortung, etwa ein Unternehmen, das ein KI-Tool im Recruiting einsetzt. Die meisten HR-Abteilungen sind Betreiber. F\u00fcr sie gelten andere Pflichten als f\u00fcr Anbieter.<\/p>\n Wer die KI-VO im Unternehmen umsetzt, begegnet immer wieder denselben Begriffen. Diese Begriffe aus dem AI Act sind f\u00fcr HR besonders wichtig:<\/p>\n<\/p>\n \n Ein Unternehmen kann \u00fcbrigens vom Betreiber zum Anbieter werden. Das passiert, wenn es ein Hochrisiko-KI-System wesentlich ver\u00e4ndert oder unter eigenem Namen anbietet. F\u00fcr die meisten KMU bleibt es aber bei der Rolle als Betreiber. Typische Beispiele sind Tools im Bewerbermanagement<\/a> oder in einem ATS-System<\/a>, die KI-Funktionen zur Vorauswahl enthalten. Wer solche Systeme nutzt, sollte genau wissen, welche Funktionen aktiv sind.<\/p>\n Die KI-Verordnung ist dabei Teil eines gr\u00f6\u00dferen Rahmens. Sie steht neben DSGVO, Arbeitsrecht und Mitbestimmung. Eine strukturierte Compliance hilft, alle Anforderungen zusammen im Blick zu behalten. Wie das gelingt, zeigt der Beitrag zu den Elementen des Compliance-Managements<\/a>.<\/p>\n Die KI-VO teilt KI-Systeme in vier Risikoklassen ein. Von der Risikoklasse h\u00e4ngt ab, ob ein KI-System erlaubt ist und welche Pflichten f\u00fcr Anbieter und Betreiber gelten.<\/p>\n<\/p>\n \n Hinzu kommen eigene Regeln f\u00fcr KI-Modelle mit allgemeinem Verwendungszweck, also gro\u00dfe Sprachmodelle wie die Modelle hinter ChatGPT, Claude oder Copilot. F\u00fcr diese Modelle gelten Pflichten zu technischer Dokumentation, Urheberrecht und Transparenz. Diese Pflichten treffen aber vor allem die Anbieter der Modelle, nicht die Unternehmen, die sie nutzen.<\/p>\n Verboten sind nach Artikel 5 der KI-Verordnung KI-Praktiken, die ein unannehmbares Risiko f\u00fcr Grundrechte und Werte der EU darstellen. Die Verbote gelten bereits seit dem 2. Februar 2025. F\u00fcr HR sind vor allem diese verbotenen Praktiken relevant:<\/p>\n<\/p>\n \n Ein Beispiel aus der Praxis: Ein Unternehmen nimmt Teammeetings auf, l\u00e4sst sie per KI transkribieren und fragt die KI anschlie\u00dfend nach der \u201eStimmung im Team\u201c. Wertet das System dabei Emotionen einzelner Personen aus, bewegt es sich im Bereich der verbotenen Emotionserkennung. Eine Zusammenfassung mit Aufgaben aus dem Gespr\u00e4ch ist dagegen unproblematisch, ebenso ein Protokoll von 1:1-Gespr\u00e4chen<\/a> mit Absprachen und n\u00e4chsten Schritten. Entscheidend ist also, was die KI mit den Daten macht.<\/p>\n Verst\u00f6\u00dfe gegen die Verbote sind teuer. Die KI-Verordnung sieht daf\u00fcr Bu\u00dfgelder von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag h\u00f6her ist.<\/p>\n Als Hochrisiko-KI gelten nach Anhang III der KI-Verordnung viele KI-Systeme, die Entscheidungen \u00fcber Besch\u00e4ftigung und Arbeitsverh\u00e4ltnisse vorbereiten oder treffen. Der Grund: Solche Systeme beeinflussen Karrieren und Lebensgrundlagen von Menschen erheblich. Zu den Hochrisiko-KI-Systemen im Personalbereich geh\u00f6ren:<\/p>\n<\/p>\n \n Nicht jede KI im HR ist damit automatisch Hochrisiko-KI. Ein KI-System, das nur eine eng begrenzte Hilfsaufgabe \u00fcbernimmt und keine Entscheidung \u00fcber Personen vorbereitet, kann ausgenommen sein. Eine KI, die eine Stellenanzeige formuliert oder ein Gespr\u00e4chsprotokoll zusammenfasst, geh\u00f6rt in der Regel nicht in diese Kategorie. Eine KI, die Bewerbungen automatisch aussortiert, dagegen schon.<\/p>\n Wichtig f\u00fcr die Praxis: L\u00e4sst du eine KI eine Vorauswahl treffen, ist das bereits eine relevante Verarbeitung. Die Entscheidung muss bei einem Menschen bleiben, und dieser Mensch muss die Vorschl\u00e4ge der KI wirklich pr\u00fcfen k\u00f6nnen. Mehr zum Ablauf einer guten Auswahl liest du unter Recruiting-Prozess<\/a>.<\/p>\n Unternehmen, die Hochrisiko-KI-Systeme im HR einsetzen, haben als Betreiber nach Artikel 26 der KI-Verordnung eine Reihe konkreter Pflichten. Diese Pflichten gelten zus\u00e4tzlich zu den Regeln der DSGVO. Die wichtigsten Pflichten im \u00dcberblick:<\/p>\n<\/p>\n \n F\u00fcr Anbieter gelten noch weitergehende Pflichten, etwa ein Risikomanagementsystem, technische Dokumentation, Konformit\u00e4tsbewertung und Registrierung in einer EU-Datenbank. Kauft ein Unternehmen ein KI-Tool f\u00fcr das Recruiting ein, sollte es deshalb pr\u00fcfen, ob der Anbieter diese Anforderungen erf\u00fcllt. Fragen an den Anbieter geh\u00f6ren in jede Auswahl.<\/p>\n Die KI-Verordnung gilt seit dem 1. August 2024, ihre Regeln treten aber stufenweise in Kraft. Durch den Digital Omnibus, die Verordnung (EU) 2026\/1744, hat die EU die Fristen f\u00fcr Hochrisiko-KI im Juli 2026 verschoben. Der aktuelle Stand:<\/p>\n<\/p>\n \n F\u00fcr HR hei\u00dft das: Die Verbote gelten schon heute, ebenso die Transparenzpflichten. F\u00fcr Hochrisiko-KI im Recruiting und in der Leistungsbewertung bleibt bis Dezember 2027 Zeit. Diese Zeit ist aber kein Grund, abzuwarten. Viele Anforderungen, etwa menschliche Aufsicht und Information der Besch\u00e4ftigten, sind schon heute gute Praxis und ergeben sich teilweise aus der DSGVO. Viele Leitf\u00e4den aus 2025 nennen noch August 2026 als Termin f\u00fcr Hochrisiko-KI. Dieser Stand ist durch den Omnibus \u00fcberholt.<\/p>\n KI-Kompetenz bedeutet nach Artikel 4 der KI-Verordnung, dass Personen, die KI-Systeme im Unternehmen bedienen oder nutzen, \u00fcber ausreichende Kenntnisse verf\u00fcgen. Sie sollen Chancen und Risiken verstehen und KI-Ergebnisse kritisch pr\u00fcfen k\u00f6nnen. Die Regel gilt f\u00fcr Anbieter und Betreiber, also f\u00fcr fast jedes Unternehmen, das KI nutzt.<\/p>\n Mit dem Digital Omnibus hat die EU die Pflicht etwas abgeschw\u00e4cht formuliert: Unternehmen m\u00fcssen Ma\u00dfnahmen ergreifen, um die KI-Kompetenz ihres Personals zu unterst\u00fctzen. An der Erwartung \u00e4ndert das wenig. Wer KI-Tools im Unternehmen zul\u00e4sst, sollte Mitarbeitende schulen und das dokumentieren. Schulungen m\u00fcssen kein gro\u00dfes Programm sein. Oft reicht eine Einf\u00fchrung in die Grundlagen: KI macht Fehler, Ergebnisse m\u00fcssen gepr\u00fcft werden, und personenbezogene Daten geh\u00f6ren nicht in frei verf\u00fcgbare Tools. Mehr dazu liest du in unserem Beitrag zur Weiterbildung<\/a>.<\/p>\n F\u00fcr HR ist die KI-Kompetenz eine doppelte Aufgabe, die gut zu bestehenden Programmen wie Upskilling<\/a> passt. HR nutzt selbst KI, etwa f\u00fcr Stellenanzeigen oder Gespr\u00e4chsnotizen. Gleichzeitig organisiert HR oft die Schulungen f\u00fcr das gesamte Unternehmen. Eine einfache \u00dcbersicht, wer welche KI-Tools nutzt und wer geschult wurde, hilft bei beidem.<\/p>\n Die KI-Verordnung und die DSGVO gelten nebeneinander und erg\u00e4nzen sich. Die KI-Verordnung regelt das KI-System, die DSGVO die Verarbeitung personenbezogener Daten. Sobald ein KI-System mit Daten von Besch\u00e4ftigten arbeitet, gelten beide Gesetze.<\/p>\n F\u00fcr die Praxis bedeutet das: Auch beim Einsatz von KI brauchst du eine Rechtsgrundlage f\u00fcr die Datenverarbeitung, musst Betroffene informieren und Daten auf das N\u00f6tige begrenzen. Nutzt du HR-Daten f\u00fcr einen Zweck, f\u00fcr den du sie ohnehin verarbeitest, etwa f\u00fcr die Verwaltung des Arbeitsverh\u00e4ltnisses, passt der KI-Einsatz meist zum urspr\u00fcnglichen Zweck. F\u00fcr neue Zwecke pr\u00fcfst du die Zul\u00e4ssigkeit gesondert.<\/p>\n Wichtig ist au\u00dferdem der Vertrag mit dem Anbieter. Mit jedem KI-Anbieter, der personenbezogene Daten verarbeitet, schlie\u00dft du einen Vertrag zur Auftragsverarbeitung. Werden Daten au\u00dferhalb der EU verarbeitet, brauchst du zus\u00e4tzliche Garantien, etwa Standardvertragsklauseln. Mehr dazu liest du unter DSGVO<\/a> und im Beitrag zum Datenschutz<\/a>.<\/p>\n HR-Verantwortliche sollten die KI-Verordnung jetzt in konkrete Schritte \u00fcbersetzen, statt auf die n\u00e4chste Frist zu warten. Diese Schritte haben sich bew\u00e4hrt:<\/p>\n<\/p>\n \n Das KI-Verzeichnis funktioniert \u00e4hnlich wie das Verzeichnis von Verarbeitungst\u00e4tigkeiten nach der DSGVO. Halte darin f\u00fcr jedes Tool fest, wer es nutzt, f\u00fcr welchen Zweck, mit welchen Daten und ob ein Vertrag zur Auftragsverarbeitung besteht. Erg\u00e4nze, ob das Tool unter die KI-VO f\u00e4llt und in welche Risikoklasse es geh\u00f6rt. Diese Angaben brauchst du auch, wenn eine Aufsichtsbeh\u00f6rde oder der Betriebsrat nachfragt. Viele Unternehmen f\u00fchren beide Verzeichnisse zusammen. So entsteht ein \u00dcberblick, welche Systeme mit welchen Daten arbeiten und wo Risiken liegen. Eine gute KI-Governance beginnt mit genau diesem \u00dcberblick. Wie du Regeln im Unternehmen verankerst, zeigt auch der Beitrag zum Verhaltenskodex<\/a>.<\/p>\n Die Einhaltung der KI-Vorgaben \u00fcberwachen nationale Beh\u00f6rden in jedem Mitgliedstaat, unterst\u00fctzt durch das KI-B\u00fcro der Europ\u00e4ischen Kommission. Die Mitgliedstaaten benennen daf\u00fcr Markt\u00fcberwachungsbeh\u00f6rden. In Deutschland ist als zentrale Beh\u00f6rde die Bundesnetzagentur vorgesehen, f\u00fcr einzelne Bereiche bleiben weitere Beh\u00f6rden zust\u00e4ndig.<\/p>\n Die Beh\u00f6rden k\u00f6nnen Informationen anfordern, Systeme pr\u00fcfen und Bu\u00dfgelder verh\u00e4ngen. Neben den Strafen f\u00fcr verbotene Praktiken sieht die KI-Verordnung Bu\u00dfgelder von bis zu 15 Millionen Euro oder 3 % des Umsatzes f\u00fcr Verst\u00f6\u00dfe gegen andere Pflichten vor. F\u00fcr KMU gelten jeweils die niedrigeren Betr\u00e4ge. Die B\u00fcrgerinnen und B\u00fcrger haben au\u00dferdem das Recht, eine Beschwerde einzureichen, wenn sie einen Versto\u00df vermuten.<\/p>\n HoorayHR ist HR-Software f\u00fcr KMU, die KI einsetzt, um HR-Administration zu reduzieren, damit mehr Zeit f\u00fcr Menschen bleibt. Unsere KI trifft keine Entscheidungen \u00fcber Personen. Sie unterst\u00fctzt bei Aufgaben, die sonst viel Zeit kosten, und die Entscheidung bleibt immer beim Menschen.<\/p>\n Unser Meeting-Agent ist eine eigene KI-Notetaker-L\u00f6sung. Er nimmt ein Gespr\u00e4ch auf, erstellt ein Transkript und macht daraus eine Zusammenfassung mit Aufgaben, die direkt an der richtigen Stelle in HoorayHR landet. Mit unserem Chat stellst du eine HR-Frage und bekommst eine Antwort auf Basis deiner eigenen HoorayHR-Daten. Mit unserer MCP sprichst du mit deinen HR-Daten \u00fcber den KI-Assistenten, den du schon nutzt, etwa Claude, ChatGPT oder Copilot. Dabei arbeitet jede Person innerhalb ihrer eigenen Nutzerrechte in HoorayHR.<\/p>\n Alle Daten speichern wir DSGVO-konform und ISO-27001-zertifiziert innerhalb der EU. \u00dcber unsere HR-Workflows<\/a> organisierst du au\u00dferdem Aufgaben wie Schulungen zur KI-Kompetenz, und mit HR-Analytics<\/a> wertest du Daten aggregiert aus, statt einzelne Personen zu analysieren.<\/p>\nWas gilt nach der KI-Verordnung als KI-System?<\/h2>\n
Welche Begriffe der KI-VO sollte HR kennen?<\/h2>\n
\n
Welche Risikoklassen kennt die KI-VO?<\/h2>\n
\n
Welche KI-Praktiken sind verboten?<\/h2>\n
\n
Welche KI-Systeme im HR gelten als Hochrisiko-KI?<\/h2>\n
\n
Welche Pflichten haben Unternehmen als Betreiber von Hochrisiko-KI?<\/h2>\n
\n
Ab wann gilt die KI-Verordnung?<\/h2>\n
\n
Was bedeutet KI-Kompetenz nach Artikel 4?<\/h2>\n
Wie h\u00e4ngen KI-Verordnung und DSGVO zusammen?<\/h2>\n
Was sollten HR-Verantwortliche jetzt tun?<\/h2>\n
\n
Wer \u00fcberwacht die Einhaltung der KI-Verordnung?<\/h2>\n
So nutzt du KI in HoorayHR im Einklang mit der KI-Verordnung<\/h2>\n