EU AI Act im Recruiting: Was Arbeitgeber bis Dezember 2027 tun müssen

Anhang III des AI Act nennt die Einsatzbereiche, die die EU als hochriskant einstuft. Nummer 4 betrifft Beschäftigung, darunter KI-Systeme für die Einstellung oder Auswahl von Personen, insbesondere für gezielte Stellenanzeigen, das Sichten und Filtern von Bewerbungen und die Bewertung von Kandidaten.

Der Grund ist einfach: Diese Systeme beeinflussen, wer Zugang zu Arbeit bekommt. Fehler oder Verzerrungen können Karrieren prägen. Deshalb verlangt der AI Act von denen, die solche Systeme bauen, und von denen, die sie einsetzen, dass sie diese Risiken steuern.

• 2. Februar 2025: verbotene Praktiken, darunter Emotionserkennung am Arbeitsplatz (Artikel 5 Abs. 1 lit. f), und KI-Kompetenz (Artikel 4).
• 2. August 2025: Regeln für KI-Modelle mit allgemeinem Verwendungszweck.
• 27. Juli 2026: Der Digital Omnibus zur KI tritt in Kraft und verschiebt die Hochrisiko-Fristen.
• 29. Juli 2026: Das deutsche Gesetz zur Durchführung des AI Act tritt in Kraft und benennt die Bundesnetzagentur als zuständige Aufsichtsbehörde.
• 2. August 2026: Transparenz-Pflichten (Artikel 50): Menschen müssen erfahren, wenn sie mit einem KI-System interagieren.
• 2. Dezember 2027: Hochrisiko-Pflichten für Systeme nach Anhang III, also auch KI im Recruiting.

• Das System gemäß der Betriebsanleitung des Anbieters verwenden.
• Die menschliche Aufsicht Personen übertragen, die die nötige Kompetenz, Schulung und Befugnis haben.
• Sicherstellen, dass die Eingabedaten, die Du steuerst, etwa die Stellenkriterien, für den Zweck relevant und hinreichend repräsentativ sind.
• Das System überwachen und schwerwiegende Vorfälle und Risiken dem Anbieter und der Behörde melden.
• Die automatisch erzeugten Protokolle mindestens sechs Monate aufbewahren.
• Arbeitnehmervertretung und betroffene Beschäftigte informieren, bevor ein Hochrisiko-System am Arbeitsplatz eingesetzt wird.
• Kandidaten informieren, dass bei Entscheidungen über sie ein Hochrisiko-KI-System eingesetzt wird.
• Die Informationen des Anbieters für die Datenschutz-Folgenabschätzung nach der DSGVO nutzen.

Außerdem haben Personen, die von einer Entscheidung auf Basis eines Hochrisiko-KI-Systems betroffen sind, ein Recht auf Erläuterung der Rolle der KI (Artikel 86).

Der Anbieter, also das Unternehmen, das die Recruiting-KI baut, trägt den größeren Teil: ein Risikomanagement-System, Daten-Governance, technische Dokumentation, automatische Protokollierung, eine Betriebsanleitung, ein Design, das menschliche Aufsicht ermöglicht, Genauigkeit und Robustheit, eine Konformitätsbewertung, CE-Kennzeichnung und die Registrierung in der EU-Datenbank. Frag Deinen Anbieter, wie weit er ist, und nach den Unterlagen, die Du brauchst.

• Keine Emotionserkennung. Emotionen von Kandidaten aus Stimme oder Gesicht im Interview abzuleiten, ist verboten.
• KI offenlegen. Kandidaten müssen spätestens zu Beginn des Gesprächs erfahren, dass sie mit einer KI sprechen.
• KI-Kompetenz. Arbeitgeber müssen Maßnahmen ergreifen, um die KI-Kompetenz der Beschäftigten zu fördern, die KI-Systeme nutzen.

• DSGVO: Keine Entscheidung mit rechtlicher Wirkung darf ausschließlich auf automatisierter Verarbeitung beruhen (Artikel 22), und für KI im Screening ist meist eine Datenschutz-Folgenabschätzung nötig (Artikel 35).
• Betriebsrat: Technische Systeme, die Verhalten oder Leistung überwachen können, sind mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG), ebenso Auswahlrichtlinien (§ 95 BetrVG).
• AGG: Abgelehnte Kandidaten können Diskriminierung innerhalb von zwei Monaten geltend machen. Auswahl-Entscheidungen müssen sich deshalb begründen lassen.

1. Alle KI-Tools im Recruiting auflisten und prüfen, ob sie unter Anhang III fallen.
2. Sicherstellen, dass kein Tool Emotionen, Stimme oder Mimik von Kandidaten analysiert.
3. Prüfen, dass Kandidaten erfahren, wenn sie mit einer KI sprechen.
4. Die Personen benennen und schulen, die die Ergebnisse der KI beaufsichtigen.
5. Prüfen, dass ein Mensch jede Einstellungs-Entscheidung trifft und sie sich begründen lässt.
6. Die Datenschutz-Folgenabschätzung durchführen oder aktualisieren.
7. Den Betriebsrat früh einbinden.
8. Den Anbieter nach der Betriebsanleitung und seinem Plan für die Konformität bis zum 2. Dezember 2027 fragen.

Hurraay ist für diese Regeln gebaut: Jeder Anruf beginnt mit dem Hinweis auf die KI und der Zustimmung zur Aufnahme, bewertet wird nur das Transkript ohne Analyse von Stimme oder Emotionen, die KI lehnt keinen Kandidaten ab, jede Bewertung zitiert ihre Belege, und Hosting und KI-Verarbeitung laufen in der EU. Für Deine Datenschutz-Folgenabschätzung stellen wir die Unterlagen bereit. Mehr zur KI-Recruiting-Software von Hurraay.