KI im Recruiting: Hochrisiko-Einstufung nach Anhang III EU AI Act – was HR jetzt beachten muss

Immer mehr Unternehmen setzen KI-Systeme ein, um Bewerbungen zu filtern, Kandidaten zu ranken oder Einstellungsentscheidungen zu unterstützen. Was viele HR-Verantwortliche nicht wissen: Genau diese Systeme stuft der EU AI Act als Hochrisiko-KI ein – mit konkreten Pflichten, die für Betreiber ab dem 2. August 2026 gelten.

Dieser Artikel erklärt, was die Hochrisiko-Einstufung im Recruiting-Bereich bedeutet, welche Pflichten auf HR-Abteilungen zukommen, wie DSGVO und Betriebsrat ins Bild passen – und warum nachweisbare KI-Kompetenz der Mitarbeitenden jetzt besonders wichtig wird.

*Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für verbindliche rechtliche Einschätzungen wenden Sie sich bitte an eine qualifizierte Kanzlei.*

Anhang III Nr. 4: KI im Recruiting ist Hochrisiko

Der EU AI Act unterscheidet KI-Systeme nach ihrem Risiko für Grundrechte und Gesellschaft. Die höchste Risikokategorie unterhalb der verbotenen Praktiken ist die sogenannte Hochrisiko-KI – geregelt in Art. 6 i. V. m. Anhang III des EU AI Act.

Anhang III Nr. 4 listet ausdrücklich KI-Systeme im Bereich Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit als Hochrisiko ein. Konkret erfasst sind Systeme, die verwendet werden:

• zur Einstellung und Auswahl natürlicher Personen, insbesondere zum Screening, Filtern oder Bewerten von Bewerbungen
• zur Entscheidung über Beförderung und Kündigung
• zur Zuweisung von Aufgaben, Überwachung und Bewertung der Leistung oder des Verhaltens von Beschäftigten

Die Einstufung gilt unabhängig davon, ob das Unternehmen die KI selbst entwickelt hat oder ein Drittanbieter-Tool einsetzt. Als Betreiber (Deployer) eines solchen Systems tragen Sie die regulatorischen Pflichten.

Welche Systeme konkret betroffen sind

Die Einstufung greift breiter, als viele vermuten. In der Praxis können folgende Tools unter Anhang III Nr. 4 fallen:

• Applicant Tracking Systems (ATS) mit KI-gestütztem Screening (automatisches Aussortieren von Lebensläufen anhand von Schlüsselwörtern, Scores)
• KI-basierte Video-Interview-Tools, die Mimik, Sprache oder Persönlichkeitsmerkmale analysieren
• Algorithmen zur Kandidaten-Bewertung, die einen Ranking-Score berechnen und Einstellungsentscheidungen beeinflussen
• Performance-Monitoring-Systeme, die Mitarbeiterleistung automatisiert erfassen und bewerten
• KI-Systeme zur Aufgabenverteilung, die automatisch entscheiden, wer welche Arbeit bekommt

Wichtig: Nicht jedes Tool, das im HR-Bereich eingesetzt wird, ist automatisch Hochrisiko. Entscheidend ist, ob das System im Sinne von Anhang III Nr. 4 Einfluss auf Beschäftigungsentscheidungen hat. Bei Unsicherheit ist eine rechtliche Einschätzung empfehlenswert.

Was Hochrisiko-Einstufung für HR-Betreiber konkret bedeutet

Wenn Ihr Unternehmen ein als Hochrisiko eingestuftes KI-System im Recruiting oder Personalmanagement einsetzt, gilt es als Betreiber im Sinne von Art. 3 Nr. 4 EU AI Act. Für Betreiber legt Art. 26 EU AI Act eine Reihe von Pflichten fest:

1. Nutzung gemäß Gebrauchsanweisung

Hochrisiko-KI darf nur so eingesetzt werden, wie der Anbieter es in der Gebrauchsanweisung vorgesehen hat. Eigenmächtige Zweckentfremdung oder Nutzung außerhalb des bestimmungsgemäßen Einsatzes ist nicht zulässig.

2. Menschliche Aufsicht sicherstellen

Betreiber müssen sicherstellen, dass die KI-Ausgaben von einer qualifizierten Person überwacht und hinterfragt werden können – und dass Entscheidungen nicht blind der Maschine überlassen werden. Das bedeutet: Ein Mensch mit ausreichendem Verständnis muss in der Lage sein, die KI-Empfehlung zu überprüfen, zu korrigieren und bei Bedarf außer Kraft zu setzen.

3. KI-Kompetenz des Personals (Brücke zu Art. 4)

Art. 26 Abs. 2 EU AI Act verpflichtet Betreiber dazu, sicherzustellen, dass die Personen, die mit der Aufsicht über Hochrisiko-KI beauftragt sind, über ausreichende KI-Kompetenz verfügen. Das ist die direkte Verbindung zu Art. 4 EU AI Act: HR-Mitarbeitende, die KI-Systeme im Recruiting einsetzen oder überwachen, brauchen nachweisbare Kenntnisse über Funktionsweise, Grenzen und Risiken dieser Systeme.

Hinweis: Art. 4 enthält keinen eigenen Bußgeldtatbestand. Die Verpflichtung zur KI-Kompetenz ist dennoch ernst zu nehmen, weil sie im Zusammenhang mit der Hochrisiko-Compliance und allgemeinen Haftungsregeln relevant wird – nicht weil Verstöße gegen Art. 4 selbst mit Millionenbußen belegt wären.

4. Betroffene Personen informieren

Bewerberinnen und Bewerber sowie Beschäftigte haben das Recht zu wissen, dass ein Hochrisiko-KI-System zur Beurteilung ihrer Bewerbung oder ihrer Leistung eingesetzt wird. Die Information muss klar und verständlich erfolgen – vor oder spätestens bei Einsatz des Systems.

5. Überwachung im Betrieb

Betreiber müssen das KI-System im laufenden Betrieb beobachten und auf Abweichungen, unerwartetes Verhalten oder Auffälligkeiten reagieren. Dazu gehört auch, dem Anbieter schwerwiegende Vorfälle zu melden.

6. Grundrechte-Folgenabschätzung (für bestimmte Betreiber)

Für Betreiber, die Hochrisiko-KI-Systeme in bestimmten Bereichen einsetzen und öffentliche Einrichtungen sind oder in öffentlich zugänglichen Bereichen tätig sind, sieht Art. 27 EU AI Act eine Grundrechte-Folgenabschätzung vor. Für private Unternehmen gilt dies eingeschränkt – die konkrete Anwendbarkeit sollte rechtlich geprüft werden.

Die Frist: Ab 2. August 2026 – jetzt ist der Moment

Die Hochrisiko-Pflichten aus Kapitel III des EU AI Act (einschließlich der Betreiberpflichten aus Art. 26) gelten ab dem 2. August 2026 – zwei Jahre nach Inkrafttreten der Verordnung. Dieser Termin ist unmittelbar. Eine vollständige Übersicht aller Fristen finden Sie in unserem Artikel Fahrplan EU AI Act: Alle Fristen 2025, 2026 und 2027.

Unternehmen, die bereits jetzt Hochrisiko-KI im HR-Bereich einsetzen, sollten die folgenden Schritte priorisieren:

• Inventur: Welche KI-Systeme werden in Recruitment und Personalmanagement genutzt?
• Klassifikation: Fallen sie unter Anhang III Nr. 4?
• Anbieter-Prüfung: Hat der Anbieter das System für den EU-Markt konform gestaltet (Konformitätserklärung, CE-Kennzeichnung)?
• Betreiberpflichten umsetzen: Aufsicht, Information, Dokumentation, Schulung
• Schulungsnachweise: KI-Kompetenz des HR-Personals sicherstellen und dokumentieren

DSGVO-Bezug: Art. 22 und automatisierte Einzelentscheidungen

Parallel zum EU AI Act greift im HR-Kontext auch die DSGVO. Art. 22 DSGVO verbietet grundsätzlich vollständig automatisierte Entscheidungen, die erhebliche rechtliche oder ähnlich bedeutsame Auswirkungen auf eine Person haben – also auch Einstellungsentscheidungen, die ausschließlich durch einen Algorithmus getroffen werden.

Das bedeutet in der Praxis:

• Eine KI darf unterstützen, sortieren und ranken – die finale Entscheidung muss jedoch von einem Menschen getroffen werden
• Bewerber haben das Recht, nicht ausschließlich einer automatisierten Entscheidung unterworfen zu sein
• Bei Einsatz automatisierter Bewertungssysteme müssen Betroffene informiert werden und einen menschlichen Ansprechpartner verlangen können

DSGVO-konforme Transparenz und menschliche Aufsicht sind damit nicht nur eine EU-AI-Act-Anforderung, sondern bereits seit Jahren datenschutzrechtlich geboten. Wie Sie KI-Tools datenschutzrechtlich korrekt einsetzen, erklärt unser Artikel DSGVO und KI-Tools: Was Unternehmen beim Einsatz beachten müssen.

Betriebsrat: Mitbestimmungsrecht bei KI im Recruiting

Soweit in einem Unternehmen ein Betriebsrat vorhanden ist, hat dieser bei der Einführung und Nutzung von KI-Systemen im Personalbereich nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht – insbesondere wenn technische Einrichtungen zur Überwachung von Verhalten oder Leistung der Arbeitnehmer eingesetzt werden. Das gilt für viele Recruiting- und Performance-KI-Systeme.

Eine frühzeitige Einbindung des Betriebsrats schützt vor rechtlichen Risiken und sorgt für innerbetriebliche Akzeptanz. Eine ausführliche Darstellung der Mitbestimmungsrechte finden Sie in unserem Artikel KI im Betrieb und Betriebsrat: Mitbestimmungsrechte.

Transparenz gegenüber Bewerbern: Was HR kommunizieren muss

Kandidaten haben ein berechtigtes Interesse zu wissen, wie ihre Bewerbung bewertet wird. Aus EU AI Act und DSGVO ergibt sich eine klare Linie:

Was zu kommunizieren ist:

• Dass ein KI-System zur Vorauswahl oder Bewertung eingesetzt wird
• Welcher Anbieter das System bereitstellt (im Rahmen der Datenschutzerklärung)
• Dass die endgültige Entscheidung durch einen Menschen getroffen wird
• Wie Bewerber ihr Recht auf menschliche Überprüfung wahrnehmen können

Was zu vermeiden ist:

• Suggerieren, dass das KI-Urteil objektiv oder final ist
• KI-Entscheidungen ohne menschliche Prüfung umsetzen
• Bewerber im Unklaren lassen, ob und welche KI eingesetzt wird

Do/Don't für HR-Abteilungen im Überblick

Was HR jetzt tun sollte:

• KI-Systeme im Recruiting und Personalbereich inventarisieren und auf Hochrisiko-Relevanz prüfen
• Anbieter-Dokumentation (Gebrauchsanweisung, Konformitätserklärung) einholen und prüfen
• Menschliche Aufsicht strukturell sicherstellen – keine rein automatisierten Ablehnungen
• Bewerber und Beschäftigte über KI-Einsatz informieren (z. B. in Stellenausschreibung und Datenschutzhinweis)
• Betriebsrat frühzeitig einbinden
• KI-Kompetenz des HR-Personals schulen und dokumentieren

Was HR vermeiden sollte:

• KI-Systeme ohne Prüfung der Hochrisiko-Einordnung weiterbetreiben
• Bewerbungen ausschließlich auf Basis eines KI-Scores ablehnen, ohne menschliche Prüfung
• Mitarbeitende ohne Schulung mit der Aufsicht über Hochrisiko-KI beauftragen
• Davon ausgehen, dass die Compliance-Verantwortung beim Anbieter liegt

Art. 4 EU AI Act: KI-Kompetenz für HR ist Pflicht, nicht Kür

Wer in HR-Teams arbeitet und KI-gestützte Recruiting-Tools einsetzt oder deren Ergebnisse bewertet, ist in einer der sensibelsten Rollen des EU AI Act. Art. 4 verpflichtet Unternehmen, nach besten Kräften für ausreichende KI-Kompetenz zu sorgen – und Art. 26 verlangt sie für alle, die Hochrisiko-Systeme überwachen.

Das bedeutet: HR-Mitarbeitende müssen verstehen, wie KI-Systeme funktionieren, wo ihre Grenzen liegen, wie Verzerrungen (Bias) entstehen können und wie sie eine KI-Empfehlung kritisch hinterfragen. Dieses Wissen lässt sich schulen – und der Nachweis lässt sich dokumentieren.

Was eine KI-Schulung für Mitarbeitende inhaltlich leisten muss, erklärt unser Artikel KI-Schulung für Mitarbeiter: Anforderungen, Inhalte, Nachweis. Wer noch unsicher ist, ob und in welchem Umfang die Art.-4-Pflicht das eigene Unternehmen trifft, findet eine Einordnung in Wen betrifft Art. 4 EU AI Act konkret?.

Fazit: KI im Recruiting ist kein Randthema – August 2026 ist jetzt

Recruiting-KI ist nicht regulierungsfrei. Sie ist Hochrisiko – mit klaren Pflichten für Betreiber, die ab dem 2. August 2026 gelten. HR-Abteilungen, die jetzt handeln, können Compliance-Risiken vermeiden, Vertrauen bei Bewerbern aufbauen und intern die Grundlage schaffen, dass Mitarbeitende KI verantwortlich einsetzen.

Die drei wichtigsten Schritte zum Einstieg:

1. Inventarisieren: Welche KI-Tools nutzt HR, und fallen sie unter Anhang III Nr. 4?
2. Transparenz herstellen: Bewerber informieren, menschliche Aufsicht organisieren, Betriebsrat einbinden
3. Kompetenz aufbauen: HR-Team schulen, Nachweis dokumentieren – gemäß Art. 4 und Art. 26

Wie Sie die Art.-4-Kompetenz-Dokumentation rechtssicher aufstellen, zeigt unsere Checkliste zur KI-Kompetenz-Dokumentation.

*Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Die genaue Einordnung Ihrer KI-Systeme und die Umsetzung der Betreiberpflichten sollten mit juristischer Unterstützung erfolgen.*