EU AI Act im Recruiting: Was Personalabteilungen jetzt wissen müssen

Die europäische KI-Verordnung, meist EU AI Act genannt, ordnet KI-Systeme nach ihrem Risiko ein¹. Software, die bei der Einstellung oder Auswahl von Menschen mitwirkt, steht dabei ausdrücklich auf der Liste der Hochrisiko-Anwendungen. Genannt sind unter anderem Systeme, die Bewerbungen sichten oder filtern und Bewerberinnen und Bewerber einschätzen².

Das überrascht viele. Ein Tool, das Lebensläufe nach Passung sortiert, fühlt sich an wie eine bessere Suchfunktion. Rechtlich ist es etwas anderes, und für dich als Arbeitgeber folgen daraus eigene Pflichten.

Warum gerade Recruiting als Hochrisiko gilt

Die Begründung ist nachvollziehbar. Eine Fehlentscheidung im Bewerbungsprozess trifft Menschen an einer empfindlichen Stelle: beim Zugang zu Arbeit. Wer aussortiert wird, erfährt meist nicht warum. Und wenn ein System bestimmte Gruppen systematisch benachteiligt, fällt das ohne gezielte Prüfung lange niemandem auf.

Genau hier liegt die Schwäche vieler klassischer Screening-Werkzeuge. Sie liefern eine Zahl, aber keine Begründung. Warum eine Person auf 82 kommt und eine andere auf 61, lässt sich hinterher oft nicht mehr nachvollziehen.

Anbieter und Anwender haben unterschiedliche Pflichten

Die Verordnung unterscheidet zwischen dem Anbieter, der ein System entwickelt und in Verkehr bringt, und dem Betreiber, der es einsetzt. Wenn du eine Recruiting-Software nutzt, bist du in der Regel Betreiber. Die aufwendigen Pflichten rund um Risikomanagement, technische Dokumentation und Konformitätsbewertung liegen beim Anbieter. Deine Pflichten sind überschaubarer, aber nicht verhandelbar³:

• Das System nach der Gebrauchsanweisung des Anbieters einsetzen, nicht für Zwecke, für die es nicht gedacht ist.
• Die menschliche Aufsicht Personen übertragen, die dafür fachlich geeignet, geschult und befugt sind.
• Die Eingabedaten, soweit du sie kontrollierst, auf Relevanz für den Zweck prüfen. Eine Stellenbeschreibung mit diskriminierenden Kriterien wird nicht besser, weil eine KI sie auswertet.
• Den Betrieb überwachen und bei Auffälligkeiten den Anbieter informieren.
• Die automatisch erzeugten Protokolle mindestens sechs Monate aufbewahren, soweit sie unter deiner Kontrolle stehen.
• Beschäftigte und ihre Vertretung vor dem Einsatz am Arbeitsplatz informieren.
• Bewerberinnen und Bewerber darüber informieren, dass ein Hochrisiko-System bei Entscheidungen über sie eingesetzt wird.

Dazu kommt ein Recht, das oft übersehen wird: Wer von einer Entscheidung auf Grundlage eines solchen Systems betroffen ist, kann eine klare und aussagekräftige Erläuterung verlangen, welche Rolle das System bei der Entscheidung gespielt hat⁴. Spätestens hier zeigt sich, ob dein Werkzeug Gründe liefern kann oder nur Zahlen.

Was schon heute gilt

Zwei Regeln gelten bereits seit dem 2. Februar 2025⁵. Erstens müssen Unternehmen, die KI einsetzen, dafür sorgen, dass die damit befassten Personen über ausreichende KI-Kompetenz verfügen⁶. Für die Personalabteilung heißt das: Wer mit einem Matching-System arbeitet, sollte verstehen, was es kann, wo es irren kann und wann man ihm nicht folgen sollte.

Zweitens sind bestimmte Praktiken verboten. Dazu gehört, Emotionen von Menschen am Arbeitsplatz mit KI zu erkennen, abgesehen von medizinischen oder Sicherheitsgründen⁷. Werkzeuge, die aus Videointerviews Begeisterung, Nervosität oder Ehrlichkeit ablesen wollen, haben im europäischen Recruiting damit keinen Platz mehr.

Nach dem ursprünglichen Text der Verordnung gelten die Pflichten für Hochrisiko-Systeme ab dem 2. August 2026⁵. Dieser Zeitplan ist politisch in Bewegung: Die EU-Kommission hat vorgeschlagen, die Anwendung der Hochrisiko-Regeln zu verschieben. Prüfe deshalb vor einer Entscheidung den aktuellen Stand im Amtsblatt. Für die Auswahl einer Software ändert das wenig, denn ein System, das du heute einführst, wirst du auch nach dem Stichtag noch nutzen.

DSGVO und AI Act greifen ineinander

Die KI-Verordnung ersetzt die Datenschutz-Grundverordnung nicht, sie kommt dazu. Bewerberdaten sind personenbezogene Daten, und die bekannten Grundsätze gelten weiter: Zweckbindung, Datenminimierung, Speicherbegrenzung, Auskunftsrecht⁸.

Besonders wichtig ist das Verbot rein automatisierter Entscheidungen mit erheblicher Wirkung⁹. Eine Absage, die ein System ohne menschliche Prüfung verschickt, ist genau so ein Fall. Ein Matching darf vorsortieren und begründen, entscheiden muss ein Mensch, und zwar mit echter Prüfung und nicht als reiner Klick auf „bestätigen“.

Praktisch relevant wird auch der Ort der Verarbeitung. Schickt ein Anbieter Lebensläufe an ein Modell außerhalb der EU, ist das eine Übermittlung in ein Drittland mit allen Anforderungen, die daran hängen. Bei Anbietern mit europäischer Infrastruktur entfällt diese Diskussion weitgehend.

Betriebsrat früh einbinden

Gibt es in deinem Unternehmen einen Betriebsrat, gehört er früh an den Tisch. In Deutschland unterliegt die Einführung technischer Systeme, die Verhalten oder Leistung von Beschäftigten erfassen können, der Mitbestimmung¹⁰. In Österreich regelt das Arbeitsverfassungsgesetz, wann für Systeme mit Personaldaten eine Betriebsvereinbarung nötig ist¹¹. Recruiting-Software betrifft zwar zuerst Bewerber, wird aber von deinen Beschäftigten bedient und protokolliert deren Arbeit mit.

Was das für die Auswahl einer Software heißt

Wenn du ein Recruiting-Tool prüfst, ist die entscheidende Frage nicht, wie hoch die Trefferquote laut Hersteller ist. Sie lautet: Kann das System jede einzelne Einschätzung begründen, und zwar mit Belegen aus den Bewerbungsunterlagen?

Ein praktischer Test für die Demo: Lass dir eine Bewerbung mit mittlerem Ergebnis zeigen und frag, warum es nicht mehr geworden ist. Bekommst du eine konkrete Antwort mit Bezug auf den Lebenslauf, ist das ein gutes Zeichen. Bekommst du eine Erklärung über Algorithmen und Gewichtungen, wirst du dasselbe Problem haben, wenn ein Bewerber sein Recht auf Erläuterung geltend macht.

Sechs Fragen für den Anbietertermin

• Gibt es eine Gebrauchsanweisung für Betreiber, die beschreibt, wofür das System gedacht ist und wo seine Grenzen liegen?
• Können wir zu jeder Einschätzung die Begründung samt Belegstellen einsehen und exportieren?
• Wird protokolliert, wer wann welche Entscheidung getroffen hat?
• Wo werden die Bewerberdaten verarbeitet, und liegt ein Vertrag zur Auftragsverarbeitung vor?
• Werden unsere Bewerberdaten zum Training von Modellen für andere Kunden verwendet?
• Wie lange werden Daten gespeichert, und läuft die Löschung automatisch?

Wer eine Absage nur mit einer Zahl begründen kann, hat sie nicht begründet.

Wo du anfangen solltest

Wenn du bereits KI in der Auswahl einsetzt, nimm dir einen echten Fall aus den letzten Wochen und versuch, die Absage schriftlich zu erklären. Fällt das schwer, ist das kein Grund zur Panik, aber ein guter Zeitpunkt, die Prozesse anzupassen.

Danach drei Schritte: Ergänze deinen Datenschutzhinweis für Bewerber um den Einsatz von KI. Lege fest, wer die menschliche Aufsicht übernimmt, und sorge dafür, dass diese Personen geschult sind. Und dokumentiere, wie eine Entscheidung zustande kommt. Bewerber merken den Unterschied übrigens auch: Eine Absage mit nachvollziehbarem Grund kommt deutlich besser an als ein Textbaustein.