Personal & Recruiting — EU AI Act Compliance

Pflichten des EU AI Act für KI im Bereich Recruiting, Mitarbeiterüberwachung und Leistungsbewertung. Annex III Kategorie 4 erfasst sämtliche KI-Systeme im Beschäftigungsbereich.

Warum der EU AI Act für HR-Technologie zentral ist

Künstliche Intelligenz ist in den Beschäftigungspraktiken der EU fest verankert – von der automatisierten Lebenslaufanalyse in Bewerbermanagementsystemen über Echtzeit-Leistungsdashboards bis hin zu Verhaltensanalysen in Callcentern. Der EU AI Act, der seit dem 1. August 2024 in Kraft ist und dessen Pflichten für Hochrisiko-KI-Systeme ab dem 2. August 2026 gelten, behandelt KI im Beschäftigungsbereich als Bereich von grundrechtlicher Sensibilität, der der strengsten regulatorischen Kontrolle bedarf.

Annex III, Kategorie 4 der Verordnung stuft KI-Systeme, die im Bereich Beschäftigung, Arbeitnehmerverwaltung und Zugang zur Selbstständigkeit eingesetzt werden, als hochriskant ein – in drei verschiedenen Unterkategorien: Recruiting und Personalauswahl (Kat. 4(a)), Entscheidungen über Beförderung, Aufgabenzuweisung und Überwachung vertraglicher Verpflichtungen (Kat. 4(b)) sowie Echtzeit-Überwachung emotionaler oder verhaltensbezogener Zustände von Beschäftigten (Kat. 4(c)). Diese Klassifizierung ist kategorisch – es gibt keine Wesentlichkeitsschwelle, keine Ausnahme für kleinere Implementierungen und keine Unterscheidung danach, ob das Tool selbst entwickelt oder von einem Drittanbieter erworben wurde.

Der Sektor steht an der Schnittstelle dreier regulatorischer Rahmenwerke: des AI Act, der GDPR (insbesondere Art. 22 zur automatisierten Entscheidungsfindung) und des nationalen Arbeitsrechts – einschließlich der Mitbestimmungsrechte bei Arbeitsplatztechnologien. Compliance erfordert einen koordinierten Ansatz unter Einbeziehung von Rechtsabteilung, HR, IT und Betriebsrat.

Hochriskante Anwendungsfälle — Alle Systeme gemäß Annex III Kategorie 4

Recruiting und Personalauswahl (Kat. 4(a))

KI-Systeme, die im Recruiting-Prozess eingesetzt werden, sind ausnahmslos hochriskant. Dazu gehören:

• CV- und Lebenslaufvorauswahltools, die in ATS-Plattformen (Workday, SAP SuccessFactors, Greenhouse, Lever, SmartRecruiters) integriert sind. Ranking-, Shortlisting- und Ablehnungslogik, die durch KI gesteuert wird, fällt eindeutig unter Kat. 4(a).
• Videointerviewanalyse-Tools, die Gesichtsausdrücke, Stimmton, Sprachmuster oder Mikrogesten auswerten, um auf die Eignung oder Persönlichkeitseigenschaften von Bewerbern zu schließen (z. B. Tools vom Typ HireVue). Diese können zudem die Transparenzpflichten nach Art. 50(2) auslösen, sofern sie eine Emotionserkennung beinhalten.
• Algorithmen für zielgerichtete Stellenanzeigen, die auf der Grundlage abgeleiteter Merkmale – einschließlich Alter, Geschlecht oder geografischer Indikatoren – bestimmen, welchen Personen Stellenangebote angezeigt werden, sind in Kat. 4(a) ausdrücklich aufgeführt und bergen besondere Risiken diskriminierender Zielgruppenansprache.

Personalverwaltung und Überwachung (Kat. 4(b))

KI, die nach der Einstellung zur Steuerung des Beschäftigungsverhältnisses eingesetzt wird, ist gleichermaßen hochriskant:

• KI zur Leistungsbeurteilung, die Scores, Bewertungen oder Rankings erzeugt, die als Grundlage für Beförderungs-, Bonus- oder Kündigungsentscheidungen dienen.
• Aufgabenzuweisungsalgorithmen in Plattformen der Gig-Economy (Uber, Deliveroo, Amazon Flex), die Aufträge vergeben, Vergütungssätze festlegen und Kontodeaktivierungen veranlassen. Diese sind unabhängig vom arbeitsrechtlichen Status des Beschäftigten hochriskant nach Kat. 4(b).
• Produktivitätsüberwachungssoftware, die Tastaturaktivität, Anwendungsnutzung, Kommunikationsmetadaten oder Standortdaten aggregiert, um Leistungskennzahlen zu erzeugen. Soweit die Ergebnisse in vertragliche Entscheidungen einfließen, ist Kat. 4(b) anwendbar.

Echtzeit-Überwachung emotionaler und verhaltensbezogener Zustände (Kat. 4(c))

Annex III Kat. 4(c) zielt spezifisch auf Systeme ab, die den emotionalen oder verhaltensbezogenen Zustand von Beschäftigten in Echtzeit überwachen. Gängige Einsatzfelder:

• Emotionstransparenzanalyse in Callcentern, die während laufender Gespräche die Stimmung von Anrufern und Agenten auswertet und Leistungshinweise generiert.
• Biometrische Wellbeing-Plattformen, die auf der Grundlage physiologischer oder verhaltensbezogener Signale auf Stress, Ermüdung oder Engagement schließen.
• Aufmerksamkeits- und Engagementüberwachung beim Homeoffice mittels kamerabasierter Inferenz.

Diese Systeme lösen zusätzlich Art. 50(2) aus: Jeder Betreiber, der Emotionserkennung bei Beschäftigten einsetzt, muss diese Beschäftigten darüber in Kenntnis setzen, dass sie dem System unterworfen sind. Diese Informationspflicht gilt unabhängig davon, ob die übergeordneten Fristen für die Hochrisiko-Compliance eingehalten wurden.

Pflichten von Anbieter und Betreiber — Die Stellung des Arbeitgebers

Nach dem AI Act nehmen die meisten Arbeitgeber die Rolle des Betreibers ein – sie beschaffen hochriskante KI-Systeme von Anbietern (Softwareanbietern) und setzen sie in ihren HR-Prozessen ein. Die Unterscheidung zwischen Anbieter und Betreiber ist rechtlich bedeutsam, da die Pflichten unterschiedlich ausgestaltet sind.

Pflichten des Anbieters (Pflichten des Softwareanbieters)

Anbieter – HR-Softwareanbieter – müssen vor dem Inverkehrbringen von Hochrisiko-KI-Systemen auf dem EU-Markt:

• Ein Qualitätsmanagementsystem (Art. 9) einrichten und aufrechterhalten, das Risikomanagement, Data Governance, technische Dokumentation und Marktüberwachung umfasst.
• Eine technische Dokumentation gemäß Annex IV erstellen, die Design, Verwendungszweck, Leistungsmetriken, Trainingsdaten und bekannte Einschränkungen des Systems nachweist.
• Eine Konformitätsbewertung nach Art. 43 durchführen und das System in der EU-Datenbank (Art. 49) registrieren.
• Die CE-Kennzeichnung anbringen und eine EU-Konformitätserklärung ausstellen.
• Betreibern Gebrauchsanweisungen (Art. 13) bereitstellen, einschließlich Informationen über Einschränkungen, vorgesehene Nutzerprofile und Aufsichtsanforderungen.

Pflichten des Betreibers (Pflichten des Arbeitgebers)

Arbeitgeber müssen:

• Konformität des Anbieters prüfen, bevor das System eingesetzt wird: CE-Kennzeichnung, Konformitätserklärung und angemessene Gebrauchsanweisungen überprüfen.
• Einsatz gemäß den Anweisungen umsetzen: Betreiber dürfen das System nicht für Zwecke verwenden, die über den erklärten Verwendungszweck hinausgehen (Art. 25(1)).
• Aussagekräftige menschliche Aufsicht sicherstellen (Art. 25(2)): Mitarbeiter, die zur Aufsicht über KI-Ergebnisse benannt wurden, müssen über die Befugnis, die fachliche Kompetenz und die Zeit verfügen, die Systemausgaben zu verstehen und diese bei Bedarf außer Kraft zu setzen. Eine bloß formale menschliche Überprüfung – ein Häkchen ohne echte Auswertung – genügt dieser Anforderung nicht.
• Eine Grundrechte-Folgenabschätzung (FRIA) durchführen (Art. 27): für Betreiber des öffentlichen Sektors verpflichtend; für private Arbeitgeber, die Systeme der Kat. 4 einsetzen, dringend empfohlen, insbesondere wenn die Ergebnisse geschützte Merkmale betreffen.
• Risiken nach dem Einsatz überwachen: Identifiziert ein Betreiber Risiken, die der Anbieter nicht vorhergesehen hat, muss er den Anbieter und gegebenenfalls die Marktüberwachungsbehörde informieren.
• Den Einsatz aussetzen, sofern schwerwiegende Vorfälle auftreten oder das System im Betrieb als nicht konform eingestuft wird.

Zusammenspiel mit GDPR Artikel 22 und dem Arbeitsrecht

GDPR Artikel 22 — Automatisierte Entscheidungsfindung

GDPR Art. 22 bleibt neben dem AI Act vollumfänglich anwendbar und gilt unmittelbar für KI im HR-Bereich. Er untersagt Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und rechtliche Wirkungen oder ähnlich erhebliche Beeinträchtigungen für die betroffene Person erzeugen. Im Beschäftigungskontext sind folgende Entscheidungen eindeutig erfasst: Einstellung und Ablehnung, Kündigung, Beförderung und Rückstufung, Vergütungsfestsetzung sowie Disziplinarmaßnahmen.

Compliance erfordert:

• Aussagekräftige menschliche Intervention vor jeder folgenreichen Entscheidung – die prüfende Person muss Zugang zu den zugrunde liegenden Daten und der Entscheidungslogik haben, nicht lediglich zu einer zusammenfassenden Empfehlung.
• Recht auf menschliche Überprüfung jeder automatisierten Entscheidung auf Anfrage, mit echter Neubewertungskapazität.
• Eine Rechtsgrundlage für die Verarbeitung nach Art. 6 sowie – soweit besondere Kategorien personenbezogener Daten betroffen sind (Gesundheit, Ethnizität, biometrische Daten, die aus der Gesichtsanalyse abgeleitet werden) – nach Art. 9.

Der AI Act und die GDPR sind komplementär, nicht gegenseitig ausschließend. Art. 2(7) des AI Act bestätigt, dass er unbeschadet der GDPR gilt. Arbeitgeber müssen beide Regelwerke gleichzeitig erfüllen.

Nationales Arbeitsrecht — Betriebsräte und Mitbestimmung

In mehreren EU-Mitgliedstaaten verleiht das nationale Arbeitsrecht Mitbestimmungsrechte bei Arbeitsplatztechnologien, die für KI-Systeme unabhängig vom AI Act gelten:

• Deutschland — Betriebsverfassungsgesetz §87(1) Nr. 6: Der Betriebsrat hat ein bindendes Mitbestimmungsrecht bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Der Einsatz von KI-Überwachungs- oder Bewertungstools ohne vorherige Betriebsvereinbarung kann vor dem Arbeitsgericht angefochten und untersagt werden.
• Niederlande — Wet op de ondernemingsraden (WOR) Art. 27: Die Ondernemingsraad hat Zustimmungsrechte in Bezug auf Personalsysteme und Überwachungsregelungen.
• Österreich — Arbeitsverfassungsgesetz §96: Bindendes Mitbestimmungsrecht bei Überwachungsmaßnahmen, die die Menschenwürde berühren.
• Frankreich — Code du Travail L. 2312-38: Das Comité Social et Économique muss vor dem Einsatz automatisierter Tools, die die Arbeitsbedingungen beeinflussen, informiert und konsultiert werden.

Betriebsratsrechte erfordern in der Regel eine vorherige Ankündigung, die Dokumentation der Funktionsweise des Systems und in vielen Fällen eine förmliche Vereinbarung oder Betriebsvereinbarung vor dem Einsatz. Diese Pflichten entstehen bereits vor den Fristen des AI Act und können nicht aufgeschoben werden.

Richtlinie 2002/14/EG über Unterrichtung und Anhörung der Arbeitnehmer bietet zudem einen Rahmen für Europäische Betriebsräte multinationaler Unternehmensgruppen, die KI-Tools in mehreren Mitgliedstaaten einsetzen.

Durchsetzung — Datenschutzbehörden, Gleichstellungsstellen und Arbeitsaufsichtsbehörden

Die Durchsetzung der AI Act-Pflichten im HR-Sektor wird mehrere zuständige Behörden umfassen:

• Datenschutzbehörden (DSBs): In vielen Mitgliedstaaten wird die primäre Marktüberwachungsbehörde bei der oder neben der DSB angesiedelt sein. DSBs sind nach GDPR Art. 22 für Verstöße bei der automatisierten Entscheidungsfindung parallel zuständig. Die EDPB-Leitlinien zu KI und Beschäftigung bleiben die maßgebliche Auslegungsinstanz auf EU-Ebene.
• Nationale Gleichstellungsstellen: Wo KI-Systeme diskriminierende Ergebnisse beim Recruiting oder bei Beförderungen erzeugen – etwa eine disparate Auswirkung auf Frauen, ethnische Minderheiten oder ältere Beschäftigte – verfügen Gleichstellungsstellen (z. B. ECRI, Défenseur des droits, Equinet-Mitglieder) über Untersuchungs- und Durchsetzungsbefugnisse nach den Gleichbehandlungsrichtlinien (2000/43/EG, 2000/78/EG, 2006/54/EG).
• Arbeitsaufsichtsbehörden: In Mitgliedstaaten mit starken Arbeitsaufsichtsregimen können Inspektoren KI-bezogene Verstöße gegen Arbeitsbedingungen, Überwachungsbeschränkungen und Betriebsratsrechte untersuchen. Frankreich (DREETS), Deutschland (Gewerbeaufsicht) und Spanien (Inspección de Trabajo) sind Beispiele für aktive Durchsetzungsbehörden.

Sanktionen nach dem AI Act betragen bis zu 30 Mio. EUR oder 6 % des weltweiten Jahresumsatzes bei verbotenen Praktiken und 15 Mio. EUR oder 3 % des Umsatzes bei anderen Hochrisiko-Verstößen. GDPR-Bußgelder nach Art. 83 kommen kumulativ hinzu. Reputationsrisiken und Klagen von Arbeitnehmern nach nationalem Arbeitsrecht stellen zusätzliche Haftungsrisiken dar.

Compliance-Fahrplan für HR-Fachleute

Ein strukturiertes Compliance-Programm für Arbeitgeber, die KI im HR-Bereich einsetzen, sollte folgende Schritte der Reihe nach umfassen:

1. KI-System-Inventur: Katalogisierung aller KI-Tools, die über den gesamten Beschäftigungslebenszyklus hinweg eingesetzt werden – Recruiting, Onboarding, Leistungsmanagement, Personalplanung und Austritt. Für jedes Tool ist die Annex-III-Kategorie zu identifizieren und die Hochrisikoeinstufung zu bestätigen.

2. Anbieter-Due-Diligence: Vor dem 2. August 2026 (oder bei der nächsten Vertragsverlängerung) sind von jedem Anbieter folgende Unterlagen anzufordern: CE-Kennzeichnung, EU-Konformitätserklärung, Zusammenfassung der technischen Dokumentation und Gebrauchsanweisungen. Anbieter, die diese nicht vorlegen können, sind als nicht konform zu behandeln.

3. Betriebsratskonsultation: Einleitung von Mitbestimmungs- oder Konsultationsverfahren nach dem anwendbaren nationalen Recht für alle KI-Systeme, die noch nicht Gegenstand einer förmlichen Vereinbarung sind. Ergebnisse sind in einer Betriebsvereinbarung oder einem gleichwertigen Instrument zu dokumentieren.

4. GDPR Art. 22 Audit: Erfassung aller HR-Entscheidungen mit rechtlichen oder erheblichen Auswirkungen und Prüfung, ob keine Entscheidung ausschließlich auf automatisierten Ergebnissen beruht. Einführung menschlicher Aufsichtsprotokolle mit dokumentierter Prüfkompetenz und Interventionsnachweisen.

5. Grundrechte-Folgenabschätzung: Durchführung einer FRIA nach Art. 27 für alle Einsätze nach Annex III Kat. 4. Für Betreiber des öffentlichen Sektors ist dies verpflichtend; für private Arbeitgeber gilt es als erwarteter Sorgfaltsmaßstab und als Verteidigungsmittel gegenüber Durchsetzungsmaßnahmen.

6. Transparenzpflichten: Umsetzung der Arbeitnehmerbenachrichtigung nach Art. 50(2) für alle Systeme zur Emotionserkennung. Sicherstellung, dass Stellenbewerber über die KI-gestützte Vorauswahl gemäß den GDPR-Transparenzanforderungen (Art. 13–14) informiert werden.

7. Kapazität zur menschlichen Aufsicht: Prüfung, ob die für die Überprüfung von KI-Ergebnissen im HR-Bereich benannten Mitarbeiter tatsächlich über die Befugnis zur Übersteuerung von Empfehlungen, ausreichend Zeit für eine aussagekräftige Überprüfung und eine dokumentierte Schulung verfügen, die der Komplexität des Systems angemessen ist.

8. Verfahren zur Vorfallreaktion: Einrichtung von Verfahren zur Protokollierung, Untersuchung und Meldung schwerwiegender Vorfälle im Zusammenhang mit KI-Systemen im HR-Bereich, in Übereinstimmung mit den Anbieterpflichten nach Art. 73, die durch vertragliche Vereinbarungen auf Betreiber übertragen werden.

Compliance in diesem Sektor ist kein einmaliges Projekt. Das Zusammenspiel aus AI Act-Pflichten, sich entwickelnden DSB-Leitlinien zu GDPR Art. 22 und aktiver Betriebsratseinbindung erfordert eine kontinuierliche Governance-Struktur mit dedizierter Verantwortung innerhalb der Bereiche HR, Recht und Datenschutz.