EU AI Act: KI im Recruiting ist jetzt Hochrisiko

Seit dem 2. August 2026 ist KI-gestütztes Recruiting offiziell Hochrisiko im Sinne der EU-KI-Verordnung. Wer Bewerber per Algorithmus filtert, rankt oder bewertet, muss nun Konformitätsbewertungen nachweisen, den Betriebsrat informieren und menschliche Aufsicht sicherstellen. Verstöße können Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des globalen Jahresumsatzes auslösen. Nach einer Branchenumfrage vom April 2026 hatte die überwältigende Mehrheit der deutschen HR-Abteilungen von dem Stichtag keine Kenntnis.

Was am 2. August 2026 in Kraft trat

Die EU-KI-Verordnung durchläuft seit ihrer Verabschiedung im Mai 2024 einen Stufenplan. Verbote für besonders gefährliche KI-Praktiken, etwa biometrische Kategorisierung im öffentlichen Raum, galten bereits seit Februar 2025. Am 2. August 2026 traten die Pflichten für Hochrisiko-Systeme nach Anhang III in Kraft. Diese Kategorie umfasst ausdrücklich KI-Systeme in Personalentscheidungen: Bewerbervorauswahl und Rankingsysteme, automatisierte Leistungsbewertung sowie Entscheidungen über Beförderung und Entlassung. Was in HR-Abteilungen als 'ATS' oder 'Bewerbermanagementsystem' läuft, fällt fast immer darunter, sofern es KI-Funktionen enthält.

Entscheidend: Die Verordnung unterscheidet nicht nach Unternehmensgröße. Ein 30-Personen-Unternehmen, das ein kommerzielles Recruiting-Tool mit KI-Matching nutzt, hat dieselben Pflichten wie ein Dax-Konzern. Das ist insofern bemerkenswert, als der EU AI Act in anderen Bereichen für kleine Unternehmen Ausnahmen kennt, bei Hochrisiko-Systemen nicht.

Was Unternehmen schulden

Die Verordnung verpflichtet Betreiber von Hochrisiko-KI zur Registrierung ihres Systems in der EU-Datenbank sowie zum Nachweis einer Konformitätsbewertung: entweder durch eigene technische Prüfung oder durch das CE-Zeichen des Systemanbieters. Daneben müssen ein laufendes Risikomanagementsystem eingerichtet und Protokolle aufbewahrt werden. Bewerber müssen aktiv darüber informiert werden, dass KI bei ihrer Bewerbung eingesetzt wurde. Und: Entscheidungen mit erheblicher Wirkung für eine Person, also Absagen oder Weiterleitungen auf Basis eines Algorithmus, müssen durch Menschen nachvollziehbar verantwortet werden.

Hinzu kommen neue Pflichten gegenüber dem Betriebsrat. Artikel 26 der Verordnung verpflichtet Arbeitgeber, den Betriebsrat vor der Einführung eines Hochrisiko-Systems umfassend zu unterrichten. Der Betriebsrat kann auf dieser Grundlage externe KI-Experten auf Kosten des Unternehmens hinzuziehen und Betriebsvereinbarungen zur Begrenzung unverhältnismäßiger Überwachung schließen. Das übersteigt das, was das Betriebsverfassungsgesetz bisher in diesem Bereich hergegeben hat.

Bei Verstößen gegen Hochrisiko-Pflichten drohen Bußgelder von bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes, je nachdem was höher ist. Für den Einsatz verbotener KI-Praktiken nach Artikel 5, etwa unzulässige biometrische Kategorisierung, sind es bis zu 35 Millionen Euro oder sieben Prozent.

Die versteckte Lücke: Rechte, die Betriebsräte kaum kennen

Betriebsräte sind die praktischen Gewinner des 2. August, wenn sie ihre neuen Rechte kennen. Eine Auswertung des Fachportals activate-hr aus dem April 2026 zeigte, dass der Stichtag bei der Mehrheit der deutschen HR-Verantwortlichen unbekannt war und entsprechend keine Vorbereitung stattgefunden hatte. Das Magazin Personalwirtschaft berichtete, dass Betriebsräte die Informationspflichten bislang kaum eingefordert hatten, teils weil die Materie technisch komplex ist, teils weil das nötige Fachwissen fehlt.

Für eine stärkere individuelle Schutzebene bräuchte es das Beschäftigtendatengesetz, das Bundesarbeitsministerin Bärbel Bas (SPD) vorbereitet. Der Koalitionsvertrag unter Kanzler Friedrich Merz nennt das Gesetz im Sofortprogramm, ein Kabinettsbeschluss liegt nicht vor. Die IG Metall hat wiederholt gefordert, die Mitbestimmungsrechte bei KI-Einführungen gesetzlich zu stärken, bevor Unternehmen weitreichende Systeme einführten. Die praktische Folge des Stillstands: Beschäftigte ohne aktiven Betriebsrat haben wenig unmittelbaren Hebel gegenüber KI-Entscheidungen, die sie betreffen.

Eine weitere Lücke liegt auf Anbieterseite. Welche HR-Tech-Anbieter haben ihre Produkte tatsächlich CE-zertifiziert oder für Hochrisiko-Compliance qualifiziert? Anwaltskanzlei Elsner stellte im Juli 2026 fest, dass viele kleinere und mittelgroße Anbieter sich noch nicht positioniert hatten. Wer als Unternehmenskunde einen solchen Anbieter nutzt und keine Dokumentation erhält, muss die Konformitätsbewertung selbst durchführen, ein aufwändiger Prozess, der Fachwissen und Zeit erfordert.

Erste Prüfwellen ab Herbst 2026

Deutschland hat fristgerecht nationale Aufsichtsbehörden für den EU AI Act benannt. Formelle Prüfungen im Personalbereich werden nach Einschätzung von IT-Rechtsexperten im Herbst 2026 beginnen, zunächst bei größeren Unternehmen und Branchen mit hoher KI-Durchdringung im Recruiting: IT, Finanzdienstleistungen und Gesundheitswesen. Eigenanzeigen können in diesem frühen Stadium der Durchsetzung bußgeldmindernd wirken, sofern die Behörden noch keine eigene Ermittlung eingeleitet haben.

Für Unternehmen, die noch nicht compliant sind, empfehlen Rechtsexperten eine pragmatische Reihenfolge: Zunächst feststellen, welche eingesetzten Systeme als Hochrisiko einzustufen sind. Dann prüfen, ob der Anbieter eine CE-Dokumentation vorlegen kann. Den Betriebsrat proaktiv informieren, bevor er selbst eine formelle Anfrage stellt. Die EU-Kommission hat angekündigt, bis Ende 2026 Leitlinien zu veröffentlichen, wie menschliche Aufsicht bei automatisierten Bewerbungsverfahren konkret aussehen muss. Diese Leitlinien kommen nach dem Stichtag und sind keine Entschuldigung dafür, bis dahin zu warten.