Siesta AI
KI im HR-Bereich entwickelt sich in der EU von „interessantem Experimentieren“ zu voller rechtlicher Verantwortlichkeit. Der EU AI Act macht diesen Wandel konkret, und für viele HR-Anwendungsfälle ist das entscheidende Datum der 2. August 2026, ab dem die strengsten Pflichten gelten. Wenn Ihr Unternehmen KI im Recruiting oder im Workforce Management einsetzt, besteht das praktische Ziel darin, erklären zu können, was Sie nutzen, warum Sie es nutzen und welche Kontrollen darum herum existieren – nicht nur zu sagen: „Der Anbieter ist compliant“.
Warum HR im EU AI Act besonders unter Beobachtung steht
Der EU AI Act klassifiziert KI-Systeme nach Risiko, und HR steht besonders im Fokus, weil HR-Systeme die Karriere, das Einkommen und die Privatsphäre einer Person beeinflussen können. Deshalb können viele Tools, die sich innerhalb von Unternehmen nach Routine anfühlen, dennoch in die Kategorie Hochrisiko fallen, sobald sie Recruiting, Auswahl, Beförderung, Kündigung, Aufgabenverteilung oder Leistungsüberwachung beeinflussen. Ein nicht offensichtlicher Punkt ist, dass „Hochrisiko“ oft weniger mit Modell-Komplexität zu tun hat, sondern damit, wo das Ergebnis in der Entscheidungskette landet. Selbst eine einfache Ranking- oder Scoring-Funktion kann erhebliche Pflichten auslösen, wenn sie Kandidaten filtert oder Entscheidungen über Mitarbeitende prägt.
Aus operativer Sicht werden die meisten Unternehmen nicht nur ein einzelnes „KI im HR“-System haben. Sie werden eine Kette haben: ATS-Funktionen, Assessment-Anbieter, Analytics-Layer und manchmal Add-ons in breiteren Plattformen. Compliance-Probleme entstehen typischerweise in den Lücken zwischen diesen Tools, wenn niemand klar beantworten kann, welche Teile automatisiert sind, welche Daten sie nutzen und wer für die Aufsicht verantwortlich ist.
Was sich am 2. August 2026 ändert – und was vorher bereits gilt
Laut APČR gelten ab dem 2. August 2026 die strengsten Regeln für die Hochrisiko-Kategorie. Dazu gehören gängige HR-Szenarien wie automatisiertes Sortieren von Lebensläufen, Bewertung von Video-Interviews, Online-Kandidatentests und Systeme für das Management von Beschäftigten (Beförderung, Kündigung, Aufgabenverteilung, Leistungsüberwachung). Praktisch bedeutet das: Unternehmen sollten August 2026 als Deadline verstehen, um Governance etabliert zu haben – nicht als Deadline, um die Verordnung erst zu lesen. Wer wartet, wird Risikoklassifizierung, Anbieter-Due-Diligence, interne Dokumentation und Schulungen parallel durchführen müssen, was meist zu schwacher Evidenz und überhasteten Entscheidungen führt.
APČR hebt außerdem hervor, dass einige Anforderungen bereits seit Februar 2025 wirksam sind. Ein Beispiel: Emotionserkennungssysteme am Arbeitsplatz werden als strikt verboten beschrieben. Wenn also irgendetwas in Ihrem Stack Emotionserkennung ähnelt, ist das kein „später mal prüfen“-Thema, sondern ein Stop-and-Fix-Thema. APČR betont zudem die Pflicht, KI-Kompetenz bei Mitarbeitenden sicherzustellen, die mit diesen Technologien arbeiten. Das wird oft unterschätzt, weil es konsistente Praxis über HR, Hiring Manager, Legal und IT hinweg erfordert – nicht nur eine einmalige Schulung. Schließlich weist APČR darauf hin, dass Betreiber ggf. Arbeitnehmervertretungen vor der Inbetriebnahme eines Hochrisiko-Systems informieren und konsultieren müssen (unter Verweis auf Artikel 26(11)). Das bedeutet: Der Rollout-Plan selbst kann ein Compliance-Risiko erzeugen, wenn die Konsultation erst nach Go-live stattfindet.
Was Arbeitgeber in der Praxis gewährleisten müssen – und wie man startet
APČR fasst vier Säulen zusammen, die Arbeitgeber beim Einsatz von Hochrisiko-KI-Tools gewährleisten können müssen: menschliche Aufsicht, Transparenz, Audit und Fairness sowie Dokumentation. Menschliche Aufsicht muss real sein: Die Maschine darf keine finalen Entscheidungen ohne menschliche Kontrolle treffen, und Aufsicht darf nicht auf ein bloßes Abnicken von Ergebnissen reduziert werden. Transparenz bedeutet, dass Personen klar informiert werden müssen, wenn KI in einem relevanten Schritt beteiligt ist – und im HR betrifft das oft Kandidaten oder Mitarbeitende, nicht nur interne Nutzer, die ohnehin wissen, dass sie eine KI-Funktion angeklickt haben. Audit und Fairness erfordern regelmäßige Prüfungen, um das Risiko unbeabsichtigter Diskriminierung zu reduzieren (APČR nennt Alter und Geschlecht als Beispiele). Das ist schwer zu verteidigen, wenn Sie nicht rekonstruieren können, welches Modell, welche Konfiguration und welche Daten zu einem bestimmten Zeitpunkt ein bestimmtes Ergebnis erzeugt haben. Dokumentation ist das Rückgrat, mit dem Sie Sicherheit nachweisen und erklären können, wie Ergebnisse zustande kommen – und sie muss Ihr reales Deployment abbilden, nicht nur generische Anbieter-PDFs.
APČR empfiehlt drei praktische erste Schritte: Tools auditieren, Lieferanten verifizieren und in Weiterbildung investieren. Richtig umgesetzt ist das Audit nicht nur eine Liste von „KI-Tools“, sondern ein Inventar, wo KI HR-Workflows berührt – einschließlich Funktionen, die in Plattformen versteckt sind, die nicht als KI-Produkte vermarktet werden. Die Lieferantenprüfung sollte auf Evidenz fokussieren, die Sie operationalisieren können: klare Zuständigkeitszuordnungen, Zugang zu technischer Dokumentation sowie die Fähigkeit, Ihre Anforderungen an Aufsicht, Logging und Change Control zu unterstützen. Weiterbildung sollte kontinuierlich und rollenbasiert sein: Sie vermittelt, wie Outputs verantwortungsvoll zu nutzen sind, wo KI nicht entscheiden darf und wie Overrides und Ausnahmen zu dokumentieren sind – denn genau diese Details halten stand, wenn später Fragen kommen.
