Ursprünglich veröffentlicht am 3. Mai 2026. Die Hochrisiko-Pflichten des EU AI Act wurden durch die Digital-Omnibus-Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026, auf den 2. Dezember 2027 verschoben. Zwei Teile des AI Act gelten trotzdem schon heute: das Verbot der Emotionserkennung am Arbeitsplatz seit Februar 2025, die Transparenz- und Erläuterungspflichten seit August 2026. Dazu kommen DSGVO, AGG und die Mitbestimmung, die ohnehin gelten.
Der EU AI Act stuft KI in der Personalauswahl als Hochrisiko ein. Screening-Tools und Matching-Algorithmen fallen darunter, ein reiner Auskunfts-Chatbot in der Regel nicht. Die Hochrisiko-Pflichten wurden auf den 2. Dezember 2027 verschoben. Das Verbot der Emotionserkennung, die Transparenzpflichten, DSGVO, AGG und die Mitbestimmung greifen schon heute. Wer sein Tool-Set jetzt nicht prüft, riskiert nicht erst 2027 ein Problem, sondern beim nächsten Bewerber, der nachfragt, warum er aussortiert wurde.
Was gilt und ab wann
Der EU AI Act ist seit August 2024 in Kraft. Recruiting ist darin explizit als Hochrisiko-Bereich definiert (Anhang III). Die Übergangsfristen für Hochrisiko-Systeme sollten ursprünglich am 2. August 2026 auslaufen. Über den Digital Omnibus wurden sie auf den 2. Dezember 2027 verschoben. Die Verordnung (EU) 2026/1744 wurde am 8. Juli 2026 angenommen, am 24. Juli veröffentlicht und ist seit dem 27. Juli 2026 in Kraft. Verschoben wurden die Anforderungen an Hochrisiko-Systeme und die Pflichten der Akteure, nicht der gesamte AI Act.
Seit dem 29. Juli 2026 gibt es dazu ein deutsches Durchführungsgesetz, das KI-MIG. Es macht die Bundesnetzagentur zur Marktüberwachungsbehörde, für Kreditinstitute im Zusammenhang mit einer regulierten Finanztätigkeit die BaFin. Und es stellt eine Lücke unter Bußgeld, die im AI Act selbst keine ist: Wer einer betroffenen Person die Erläuterung nach Art. 86 nicht gibt, begeht eine Ordnungswidrigkeit, Rahmen bis 50.000 Euro. Gegen Behörden und sonstige öffentliche Stellen werden nach § 17 Abs. 2 KI-MIG keine Geldbußen verhängt. Ob Sparkassen als Anstalten des öffentlichen Rechts darunter fallen, ist bislang nicht geklärt, und der Ausschluss beträfe ohnehin nur die Geldbuße, nicht die Aufsicht.
Das klingt nach Luft. Ist es nicht. Denn die Pflichten, die 2027 greifen, verlangen Dinge, die Sie nicht in drei Wochen nachrüsten: dokumentierte Kriterien, erklärbare Entscheidungen, geprüfte Anbieter. Und der Teil, der wirklich zählt, gilt heute schon. Dazu gleich mehr.
Hochrisiko ist in der Regel ein KI-System, das …
Stellenanzeigen gezielt ausspielt
Bewerbungen filtert oder vorsortiert
Kandidat:innen bewertet oder rankt
Automatisierte Empfehlungen für Einstellungsentscheidungen gibt
Nicht jedes Tool mit KI-Funktion fällt darunter. Art. 6 Abs. 3 nimmt Systeme aus, die nur eine eng gefasste Verfahrensaufgabe oder eine vorbereitende Aufgabe erfüllen und das Ergebnis der Entscheidung nicht wesentlich beeinflussen. Eine Grenze hat diese Ausnahme: Sobald ein System ein Profiling natürlicher Personen vornimmt, gilt es ausnahmslos als Hochrisiko.
Was „Hochrisiko" praktisch bedeutet
Es bedeutet nicht, dass Sie keine KI mehr nutzen dürfen. Es bedeutet, dass Sie Regeln einhalten müssen. Sechs Artikel sind dafür besonders relevant. Zwei davon richten sich an den Anbieter, nicht an Sie, und drei gelten erst ab Dezember 2027. Sie laufen alle auf dieselbe Frage hinaus: welche vier Dinge Sie konkret dokumentieren müssen.
Art. 5
Verbotene Praktiken. Gilt seit 2. Februar 2025, Ihre Pflicht. Verboten ist die Ableitung von Emotionen am Arbeitsplatz, also die Auswertung von Mimik oder Stimme im Interview. Ausnahmen nur aus medizinischen oder Sicherheitsgründen. Eine Einwilligung hilft nicht. Das ist die schärfste Regel im ganzen Text, und sie gilt seit anderthalb Jahren.
Art. 10
Daten und Bias. Ab 2. Dezember 2027, Pflicht des Anbieters. Trainingsdaten müssen geprüft und dokumentiert sein. Die Pflicht trifft den Anbieter. Für Sie ist sie trotzdem relevant, nur an anderer Stelle: Wer nicht erklären kann, womit sein System trainiert wurde, fällt bei der Anschaffung raus.
Art. 13
Transparenz. Ab 2. Dezember 2027, Pflicht des Anbieters. Das System muss so gestaltet und dokumentiert sein, dass Sie seine Ausgaben interpretieren können. Was Sie daraus machen, ist Ihre Sache, und steht in Art. 26 und Art. 86.
Art. 26
Menschliche Aufsicht. Ab 2. Dezember 2027, Ihre Pflicht. Art. 14 verpflichtet den Anbieter, Aufsicht technisch zu ermöglichen. Gemessen werden Sie an Art. 26 Abs. 2: Die Aufsicht liegt bei Personen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen. „KI schlägt vor, ich übernehme" erfüllt das nicht.
Art. 86
Erläuterung im Einzelfall. Gilt seit 2. August 2026, Ihre Pflicht. Wer von einer Entscheidung auf Grundlage eines Hochrisiko-Systems betroffen ist, kann von Ihnen eine klare und aussagekräftige Erläuterung verlangen: welche Rolle das System hatte und was für die Entscheidung ausschlaggebend war. Ob dieses Recht schon vor Dezember 2027 greift, ist juristisch nicht geklärt, weil die Einstufungsnorm erst dann gilt. Wer eine Absage nicht erklären kann, hat aber über Art. 22 DSGVO und § 22 AGG heute schon ein Problem.
Art. 50
Kennzeichnung. Gilt seit 2. August 2026. Enger, als es oft zitiert wird. Offenzulegen ist Text, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und auch das nicht, wenn eine Person die redaktionelle Verantwortung trägt. Eine Ausschreibung fällt nicht automatisch darunter. Die maschinenlesbare Kennzeichnung synthetischer Inhalte ist Pflicht des Anbieters des generierenden Systems, nicht Ihre. Beim Chatbot greift dagegen die Pflicht, erkennbar zu machen, dass man mit einer KI spricht.
Warum das Thema trotz Fristverschiebung jetzt brennt
Der EU AI Act kommt nicht isoliert. DSGVO, AGG und das Mitbestimmungsrecht greifen parallel, und die haben keine Übergangsfrist. Ein KI-Tool, das Bewerberdaten verarbeitet, ohne dass die Mitbestimmung geklärt wurde, das ältere Bewerbende systematisch rausfiltert und Daten länger speichert als nötig, verstößt nicht gegen ein Gesetz, sondern gegen drei gleichzeitig. Heute, nicht 2027.
Amazon stellte 2017 die Entwicklung eines KI-Screenings ein, weil das System Frauen systematisch schlechter bewertete; öffentlich wurde der Fall 2018. HireVue schaltete die Gesichtsanalyse in seinem Interview-Tool 2020 ab und machte das im Januar 2021 öffentlich, begründet mit der geringen zusätzlichen Vorhersagekraft der visuellen Daten. Deliveroo wurde in Italien Ende 2020 zu 50.000 Euro verurteilt, weil ein Ranking-Algorithmus Kuriere mittelbar diskriminierte. Keiner dieser Fälle wartete auf den EU AI Act.
Das Muster ist immer dasselbe: Tool eingeführt, Auswirkungen nicht geprüft, Entscheidungen nicht erklärbar, Problem erst sichtbar, als der Schaden da war.
Bußgelder unter dem EU AI Act
Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes gelten für verbotene Praktiken nach Art. 5. Für Verstöße gegen Betreiber- und Transparenzpflichten liegt der Rahmen bei bis zu 15 Millionen Euro oder 3 %. Das sind Höchstbeträge, nicht der Regelfall.
Was Sie in den nächsten 90 Tagen tun können
Sie brauchen kein Compliance-Projekt mit Lenkungsausschuss. Sie brauchen Klarheit darüber, wo Sie stehen.
1
KI-Inventar erstellen.
Welche Tools nutzen Sie, die KI-Funktionen haben? Dazu zählen auch Chatbots, Matching-Funktionen in Ihrem Bewerbermanagementsystem oder die KI-gestützte Erstellung von Ausschreibungen.
2
Risikoklasse bestimmen.
Nimmt das Tool ein Profiling vor? Dann ist es ausnahmslos Hochrisiko. Beeinflusst es die Auswahl oder Bewertung wesentlich? Dann ebenfalls. Erfüllt es nur eine eng gefasste Verfahrensaufgabe oder bereitet es eine Bewertung lediglich vor, greift die Ausnahme in Art. 6 Abs. 3. Nur interne Textentwürfe ohne Bewerberbezug fallen ganz heraus. Beim KI-Tool-Check prüfen Sie jedes Tool vorab in drei Filtern.
3
Drei Fragen an Ihren Anbieter.
Mit welchen Daten wurde trainiert? Wie wird auf Diskriminierung getestet? Können Sie erklären, wie Empfehlungen zustande kommen?
4
Mitbestimmung klären.
In Sparkassen als Anstalten des öffentlichen Rechts gilt das BetrVG nicht (§ 130 BetrVG). Zuständig ist der Personalrat nach dem Personalvertretungsgesetz Ihres Landes. In privatrechtlich organisierten Häusern, darunter alle Genossenschaftsbanken, gilt das BetrVG mit dem Betriebsrat; in Betracht kommen § 87 Abs. 1 Nr. 6, §§ 94, 95 und 99. Welche Rechte greifen, hängt von Funktion und Einsatz des Systems ab. Lieber jetzt klären als später korrigieren.
5
Dokumentation starten.
Welche Tools, wofür, wer verantwortet die Entscheidungen. Klingt bürokratisch, ist aber genau das, was im Ernstfall schützt.
Schritt 3 und 5 erledigen Sie am Schreibtisch. Der schwierigste Teil ist die menschliche Aufsicht nach Art. 26. Die funktioniert nur, wenn Ihr Team eine Bewertung überhaupt begründen kann. Genau das trainiert der Inhouse-Workshop „Bewerbungen sicher bewerten im KI-Zeitalter". Ohne diese Kompetenz im Team bleibt „Human in the Loop" ein Häkchen auf dem Papier.
Die Frist ist verschoben. „Wir warten mal ab" bleibt trotzdem die teuerste Strategie, wenn es schiefgeht.
Workbook · Kostenlos
KI im Recruiting richtig einsetzen
Die drei Praxis-Regeln für den Alltag, der Rechtsrahmen im Detail, ein Bias-Audit für Ihren eigenen Prozess und ein Entscheidungs-Framework für den Tool-Einsatz. Kein Juristendeutsch, alles mit Recruiting-Brille.
Was ist der EU AI Act und warum betrifft er Recruiting?
Der EU AI Act ist die europäische Verordnung zur Regulierung von Künstlicher Intelligenz, in Kraft seit August 2024. Die Personalauswahl ist in Anhang III Nummer 4 ausdrücklich als Hochrisiko-Bereich genannt, weil KI-gestützte Entscheidungen dort direkte Auswirkungen auf Menschen haben. Betroffen sind KI-Systeme, die Bewerbungen filtern, Kandidat:innen bewerten oder Einstellungsempfehlungen geben.
Ab wann gelten die Pflichten für KI im Recruiting?
Die Hochrisiko-Pflichten gelten seit der Digital-Omnibus-Verordnung (EU) 2026/1744 ab dem 2. Dezember 2027. Ursprünglich war der 2. August 2026 vorgesehen. Zwei Teile des AI Act gelten aber bereits: das Verbot der Emotionserkennung am Arbeitsplatz seit dem 2. Februar 2025 sowie die Transparenzpflichten nach Art. 50 und das Recht auf Erläuterung nach Art. 86 seit dem 2. August 2026. Unabhängig davon greifen DSGVO, AGG und das Mitbestimmungsrecht.
Welche KI-Tools im Recruiting gelten als Hochrisiko?
Systeme, die Stellenanzeigen gezielt ausspielen, Bewerbungen vorsortieren oder filtern, Kandidat:innen bewerten oder ranken oder automatisierte Empfehlungen für Einstellungsentscheidungen geben. Dazu zählen CV-Screening-Tools, Matching-Algorithmen im Bewerbermanagementsystem und automatisierte Interview-Bewertungssysteme. Nicht jedes Tool mit KI-Funktion fällt darunter: Art. 6 Abs. 3 nimmt Systeme aus, die nur eine eng gefasste Verfahrensaufgabe oder eine vorbereitende Aufgabe erfüllen und das Ergebnis nicht wesentlich beeinflussen. Sobald ein System ein Profiling natürlicher Personen vornimmt, gilt es ausnahmslos als Hochrisiko.
Was ist im Recruiting mit KI verboten?
Verboten ist nach Art. 5 Abs. 1 Buchstabe f die Ableitung von Emotionen am Arbeitsplatz, also die Auswertung von Mimik oder Stimme im Interview. Ausnahmen gibt es nur aus medizinischen oder Sicherheitsgründen, eine Einwilligung hilft nicht. Das Verbot gilt seit dem 2. Februar 2025. Verhaltensanalyse ist von diesem Verbot nicht erfasst. Vollautomatische Einstellungs- oder Absageentscheidungen verbietet nicht der AI Act, sondern Art. 22 DSGVO beschränkt sie: Er kennt drei Ausnahmen und verlangt in diesen Fällen mindestens das Eingreifen einer Person, die Darlegung des eigenen Standpunkts und die Anfechtung.
Welche Bußgelder drohen bei Verstößen gegen den EU AI Act?
Der Rahmen ist gestaffelt. Für verbotene Praktiken nach Art. 5 liegt er bei bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, für Verstöße gegen Betreiber- und Transparenzpflichten bei bis zu 15 Millionen Euro oder 3 %, für falsche Auskünfte an Behörden bei bis zu 7,5 Millionen Euro oder 1 %. Das sind Höchstbeträge, nicht der Regelfall. In Deutschland kommt das KI-MIG hinzu: Wer die Erläuterung nach Art. 86 nicht gibt, begeht eine Ordnungswidrigkeit mit einem Rahmen bis 50.000 Euro. Gegen Behörden und sonstige öffentliche Stellen werden nach § 17 Abs. 2 KI-MIG keine Geldbußen verhängt. Daneben greifen DSGVO und AGG.
Was bedeutet Human-in-the-Loop im Recruiting konkret?
Art. 14 verpflichtet den Anbieter, menschliche Aufsicht technisch zu ermöglichen. Ihre eigene Pflicht steht in Art. 26 Abs. 2: Die Aufsicht wird natürlichen Personen übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen. Praktisch heißt das: den Vorschlag verstehen, die Kriterien prüfen, die eigene Entscheidung begründen können und bei Bedarf abweichen. Die Top 3 der KI zu übernehmen, reicht nicht. Diese Pflicht gilt ab dem 2. Dezember 2027.
Nicht pauschal. Art. 50 Abs. 4 verpflichtet Betreiber, KI-erzeugten Text offenzulegen, der veröffentlicht wird, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren. Eine Ausschreibung fällt nicht automatisch darunter, und die Pflicht entfällt zusätzlich, wenn der Inhalt eine menschliche Überprüfung durchlaufen hat und eine Person die redaktionelle Verantwortung trägt. Die maschinenlesbare Kennzeichnung synthetischer Inhalte nach Art. 50 Abs. 2 ist eine Pflicht des Anbieters des generierenden Systems, nicht des Hauses, das damit einen Text schreibt. Beim Chatbot greift dagegen Art. 50 Abs. 1: Es muss erkennbar sein, dass man mit einer KI interagiert.
Muss ich einer abgelehnten Person erklären, wie die KI entschieden hat?
Art. 86 des AI Act gibt betroffenen Personen ein Recht auf eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems im Entscheidungsprozess und zu den wichtigsten Elementen der Entscheidung. Der Artikel gilt seit dem 2. August 2026 und wurde vom Digital Omnibus nicht verschoben. Ob er vor Dezember 2027 durchsetzbar ist, ist juristisch nicht geklärt, weil die Einstufungsnorm für Hochrisiko-Systeme erst dann gilt. Unabhängig davon verlangen Art. 22 Abs. 3 DSGVO und die Beweislastregel des § 22 AGG schon heute, dass eine Ablehnung nachvollziehbar begründet werden kann.
Wie kann ich prüfen, ob mein Recruiting-Tool EU AI Act konform ist?
Stellen Sie Ihrem Anbieter drei Fragen: Mit welchen Daten wurde das System trainiert? Wie wurde auf Diskriminierung getestet? Kann der Anbieter erklären, wie Empfehlungen oder Scores zustande kommen? Wenn er keine klaren Antworten liefert, ist das Tool wahrscheinlich nicht konform. Erstellen Sie zusätzlich ein KI-Inventar aller eingesetzten Tools und bestimmen Sie die Risikoklasse für jedes einzelne.
Rechtsstand: 24. August 2026. Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744, dazu das KI-MIG vom 22. Juli 2026. Dieser Artikel ist keine Rechtsberatung.
Audina Kamboua ist Gründerin von HiringLab und Recruiting-Architektin.
Sie arbeitet mit Sparkassen, Regionalbanken und mittelständischen Finanzdienstleistern an der Architektur ihres Recruitings: wie Prozesse, Rollen, Entscheidungen, Daten und Technologie zusammenspielen. Zuvor war sie sieben Jahre lang im HR der Sparkassen-Finanzgruppe tätig.
