Ihr KI-Recruiting-Tool könnte nach dem AI Act ein Hochrisiko-System sein. Das bedeutet es für Sie.

KI im HR ist nicht automatisch Hochrisiko

Ein ATS, das Lebensläufe speichert, Interviews plant oder einen neutralen Anzeigentext entwirft, ist nicht automatisch ein Hochrisiko-KI-System. Maßgeblich sind Zweckbestimmung und konkrete Nutzung. Anhang III erfasst unter anderem zielgerichtete Stellenanzeigen, Analyse oder Filterung von Bewerbungen, Kandidatenbewertung sowie Entscheidungen über Arbeitsbedingungen, Beförderung, Kündigung, Aufgabenverteilung oder Arbeitnehmerüberwachung. Die Regeln hierfür gelten ab 2. Dezember 2027. Der AI Omnibus trat am 27. Juli 2026 in Kraft. Der 2. August 2028 betrifft regulierte Produkte und Sicherheitskomponenten nach Anhang I, nicht gewöhnliche Recruiting-Software.

AI Act, European Commission.

Artikel 6 Absatz 3 schafft nur eine enge Ausnahme: Das System darf kein erhebliches Risiko schaffen und eine Entscheidung nicht wesentlich beeinflussen. Genannt sind eine eng begrenzte Verfahrensaufgabe, die Verbesserung einer bereits abgeschlossenen menschlichen Tätigkeit, Mustererkennung ohne Ersatz oder Beeinflussung einer überprüften menschlichen Beurteilung oder eine vorbereitende Aufgabe. Ein System nach Anhang III, das natürliche Personen profiliert, bleibt unabhängig von diesen Ausnahmen ein Hochrisiko-System. Dokumentieren Sie Zweck, Eingaben, Ausgaben, Übersteuerungsmöglichkeit und die Begründung der Ausnahme.

Fragen an ATS-Anbieter und eigenes Team

Was tut das Modell? Ordnet, filtert oder empfiehlt es Bewerbende? Welche Daten und Proxymerkmale nutzt es? Liegt Profiling vor? Kann Recruiting Gründe sehen, Daten korrigieren und das Ergebnis vor einer folgenreichen Entscheidung überstimmen? Welche Bias-Tests, Änderungs- und Incident-Prozesse gibt es? Der Anbieter kann Provider sein, der Arbeitgeber ist meist Deployer. Die Pflichten unterscheiden sich.

Der Provider trägt bei einem Hochrisiko-System Verantwortung für Systemkontrollen, Dokumentation, Risikomanagement und Logs unter seiner Kontrolle. Artikel 19 verlangt eine zweckangemessene Aufbewahrung von mindestens sechs Monaten, sofern anderes Recht nichts anderes bestimmt. Der Deployer muss Anweisungen befolgen, den Betrieb überwachen, wirksame menschliche Aufsicht zuweisen und Betroffene informieren, soweit das Gesetz es verlangt. Menschliche Aufsicht ist keine Unterschrift ohne Prüfung. GDPR Artikel 22 hat einen eigenen Test für ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung. Er verbietet nicht jede KI-gestützte HR-Entscheidung.

Artikel 27 verlangt keine FRIA von jedem privaten Arbeitgeber. Er richtet sich an öffentliche Stellen, private Erbringer öffentlicher Dienste sowie bestimmte Kredit- und Lebens- oder Krankenversicherungsfälle. Eine DPIA kann dennoch nach GDPR nötig sein. Prüfen Sie bei Vergütung aktuelle nationale Regeln und unseren Artikel zur Entgelttransparenz. Starten Sie mit einem technischen Audit: Tools und Zwecke erfassen, Lieferantennachweise einholen, Workflows testen und den menschlichen Entscheidungsweg dokumentieren. Kontaktieren Sie uns, wenn Sie Ihr ATS oder HR-System prüfen lassen möchten.