Die KI-Verordnung für HR- & Recruiting-KI

Wenn Sie KI für Einstellung, Beförderung oder Personalmanagement bauen oder einsetzen, behandelt die KI-Verordnung Sie anders als fast jede andere Softwarekategorie. Beschäftigung steht ganz oben in Anhang III, Nummer 4 - das heißt, ernsthafte HR-KI ist im Regelfall hochriskant, mit dem schwersten Pflichtensatz der gesamten Verordnung im Gepäck.

Das ist die Schlagzeile. Nützlich wird es bei der Frage, ob das auf Sie zutrifft: was Ihr System einer bewerbenden oder beschäftigten Person tatsächlich antut, und ob Sie es gebaut oder lizenziert haben.

Was in HR als hochriskant gilt

Anhang III 4(a)-(b) erfasst KI-Systeme, die für Recruiting oder Auswahl bestimmt sind - Stellenanzeigen ausspielen, Bewerbungen sichten oder filtern, Kandidatinnen und Kandidaten bewerten - und für Entscheidungen, die das Arbeitsverhältnis betreffen: Beförderung, Kündigung, Aufgabenzuweisung anhand von Verhalten oder Eigenschaften sowie Überwachung und Bewertung der Leistung.

Die Linie, die die meisten Fälle entscheidet: Bewertet das System die Person oder etwas anderes? Ein Dokument zu parsen ist unproblematisch. Den Menschen zu bewerten, der es geschrieben hat, ist Profiling - und Profiling beseitigt die Ausnahme aus Artikel 6(3) vollständig.

Anbieter oder Arbeitgeber - wessen Pflichten sind das?

Hier unterscheidet sich HR-KI am stärksten von anderen Kategorien, denn es sitzen immer zwei Unternehmen im Raum.

Wenn Sie das Werkzeug bauen und verkaufen, sind Sie Anbieter: Risikomanagement (Art. 9), auf Verzerrungen geprüfte Daten-Governance (Art. 10), technische Dokumentation, Protokollierung, Gestaltung der menschlichen Aufsicht, Konformitätsbewertung und CE-Kennzeichnung, Registrierung - bis zum 2. Dezember 2027. Ihre Betriebsanleitung nach Artikel 13 ist zugleich die Compliance-Abhängigkeit Ihrer Kundschaft: Deren Rechtsabteilungen können ihre eigenen Pflichten ohne Ihre Dokumentation nicht erfüllen, was frühes Liefern zu einem Vertriebsargument macht und nicht zu einem Kostenposten.

Wenn Sie das Werkzeug lizenzieren und einsetzen, sind Sie Betreiber - Artikel 26: kompetente menschliche Aufsicht, relevante Eingabedaten, Information von Beschäftigten und Bewerbenden darüber, dass KI auf sie angewendet wird. Keine Konformitätsbewertung, keine CE-Kennzeichnung. Aber Achtung: Wenn Sie das System des Anbieters wesentlich ändern - oder es für etwas nutzen, das der Anbieter nicht vorgesehen hat -, kann Sie das stillschweigend zum Anbieter machen. Die vollständige Rollenprüfung.

Was heute durchsetzbar ist (nicht 2027)

• Artikel 50 - Bewerbende müssen wissen, dass KI im Spiel ist. Ein Hinweis, vergraben in der Datenschutzerklärung einer Kundin, erreicht die bewerbende Person nicht. Sichtbar im Moment der Bewerbung, seit dem 2. August 2026.
• Artikel 5 - Emotionserkennung am Arbeitsplatz ist verboten, nicht hochriskant. Wenn irgendein Teil Ihrer Verarbeitungskette den Gefühlszustand von Beschäftigten oder Bewerbenden ableitet, ist das eine Produktentscheidung für diese Woche.
• Artikel 4 - KI-Kompetenz für die Menschen, die das System bedienen: Eine protokollierte Schulung von einem halben Tag ist die gesamte Compliance.

Die Überschneidungen, die Ihnen Arbeit sparen

Drei Regelwerke treffen HR-KI gleichzeitig, und sie teilen sich die Nachweise. Artikel 22 DSGVO gibt Bewerbenden ein Recht auf menschliches Eingreifen bei erheblichen automatisierten Entscheidungen - stimmen Sie das mit Ihrer Aufsichtsgestaltung nach Artikel 14 ab, statt es zweimal zu lösen. Eine DSFA (Art. 35 DSGVO) ist mit an Sicherheit grenzender Wahrscheinlichkeit erforderlich - und sie speist direkt Ihre Risikomanagement-Akte nach Artikel 9. Nationales Antidiskriminierungsrecht (das deutsche AGG und seine Entsprechungen) gilt für Ihre Ergebnisse bereits heute, ohne Schonfrist bis 2027 - deshalb ist ein Bias-Audit der Ergebnisse der wertvollste einzelne Posten auf der Liste.

Wo Sie anfangen

Machen Sie den kostenlosen Zwei-Minuten-Check, um Ihre Risikoklasse zu bestätigen, und arbeiten Sie dann die Reihenfolge ab: Offenlegung gegenüber Bewerbenden diese Woche (das ist geltendes Recht und dauert einen Nachmittag), die Rollenfrage schriftlich, die 6(3)-Analyse, falls Sie sich für die Ausnahme halten - dokumentiert, denn eine undokumentierte Ausnahme ist keine Position -, danach DSFA und Bias-Audit. Unser Beispielreport (auf Englisch) ist ein echter HR-Tech-Fall: ein Berliner Start-up mit 11 Personen im Kandidaten-Screening, veröffentlicht mit Zustimmung, das genau zeigt, was die vollständige Bewertung zurückgibt.