Artikel 15 für HR-Technologie: Genauigkeit, Robustheit und Cybersicherheit

Artikel 15 enthält Auslegungsanforderungen für den Anbieter. Er nennt für keinen Sektor einen Genauigkeitswert.

• Art. 15(1)
  Angemessenes Maß über den gesamten Lebenszyklus

  Hochrisiko-KI-Systeme müssen so konzipiert und entwickelt werden, dass sie ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit erreichen und in dieser Hinsicht während ihres gesamten Lebenszyklus beständig funktionieren.

• Art. 15(2)
  Benchmarks fördert die Kommission

  Die Kommission fördert gegebenenfalls in Zusammenarbeit mit Interessenträgern wie Metrologie- und Benchmarking-Behörden die Entwicklung von Benchmarks und Messmethoden. Das ist keine Pflicht des Anbieters.

• Art. 15(3)
  Maße und Metriken angeben

  Die Maße an Genauigkeit und die relevanten Genauigkeitsmetriken müssen in den beigefügten Betriebsanleitungen angegeben werden.

• Art. 15(4)
  Widerstandsfähigkeit gegen Fehler und Rückkopplungsschleifen

  Systeme müssen so widerstandsfähig wie möglich gegenüber Fehlern, Störungen oder Unstimmigkeiten im System oder in seiner Umgebung sein, insbesondere wegen der Interaktion mit natürlichen Personen oder anderen Systemen. Es sind technische und organisatorische Maßnahmen zu ergreifen; technische Redundanz, Sicherungs- oder Störungssicherheitspläne sind als Möglichkeiten genannt. Ein System, das nach dem Inverkehrbringen weiterlernt, ist so zu entwickeln, dass das Risiko verzerrter Ausgaben, die künftige Vorgänge beeinflussen (Rückkopplungsschleifen), beseitigt oder so gering wie möglich gehalten wird.

• Art. 15(5)
  Cybersicherheit gegen unbefugte Dritte

  Systeme müssen widerstandsfähig gegen Versuche unbefugter Dritter sein, ihre Verwendung, Ausgaben oder Leistung durch Ausnutzung von Schwachstellen zu verändern. Die technischen Lösungen umfassen gegebenenfalls Maßnahmen gegen Data Poisoning, Model Poisoning, Adversarial Examples oder Model Evasion, Angriffe auf vertrauliche Daten und Modellmängel.

Artikel 15 bindet nur Anbieter von Hochrisiko-KI-Systemen. Die Zeilen unten zeigen, wann HR-KI hochriskant wird.

• HR-Technologie ist keine Kategorie der Verordnung

  Die Verordnung kennt keine Kategorie „HR-Technologie“. Diese Website verwendet das Wort für KI, die über Anhang III Nummer 4 (Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit) unter die Verordnung fällt, und über das Verbot in Artikel 5 Absatz 1 Buchstabe f, Emotionen am Arbeitsplatz abzuleiten.

• Anhang III Nummer 4: Beschäftigung und Personalmanagement

  Anhang III Nummer 4 Buchstabe a erfasst KI-Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten. Buchstabe b erfasst KI-Systeme, die bestimmungsgemäß für Entscheidungen, die die Bedingungen von Arbeitsverhältnissen, Beförderungen und Kündigungen von Arbeitsvertragsverhältnissen beeinflussen, für die Zuweisung von Aufgaben aufgrund des individuellen Verhaltens oder persönlicher Merkmale oder Eigenschaften oder für die Beobachtung und Bewertung der Leistung und des Verhaltens von Personen in solchen Beschäftigungsverhältnissen verwendet werden sollen. Ein System nach Anhang III gilt nur nach Artikel 6 Absatz 3 als nicht hochriskant, und der Anbieter muss diese Bewertung dokumentieren, bevor das System in Verkehr gebracht oder in Betrieb genommen wird (Artikel 6 Absatz 4). Artikel 6 Absatz 3 gilt nie, wenn das System Profiling natürlicher Personen durchführt. Ein Anbieter, der ein System nach Anhang III für nicht hochriskant hält, unterliegt der Registrierungspflicht nach Artikel 49 Absatz 2.

• Anbieter und Betreiber

  Anbieter, zum Beispiel ein Hersteller von HR-Software, ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt (Artikel 3 Nummer 3). Ein Arbeitgeber, eine Personalvermittlung oder eine andere Stelle, die ein System in eigener Verantwortung verwendet, ist Betreiber (Artikel 3 Nummer 4). Ein Betreiber wird zum Anbieter, wenn er ein bereits in Verkehr gebrachtes Hochrisiko-KI-System mit seinem Namen oder seiner Handelsmarke versieht, eine wesentliche Veränderung vornimmt, durch die das System ein Hochrisiko-KI-System bleibt, oder die Zweckbestimmung eines nicht als hochriskant eingestuften Systems so ändert, dass es hochriskant wird (Artikel 25 Absatz 1). Die Verordnung gilt nicht für Pflichten von Betreibern, die natürliche Personen sind und KI-Systeme im Rahmen einer rein persönlichen und nicht beruflichen Tätigkeit verwenden (Artikel 2 Absatz 10).

• Termine

  Systeme nach Anhang III Nummer 4 müssen diese Pflichten ab dem 2. Dezember 2027 erfüllen (Artikel 113 Buchstabe c Ziffer i). Ein System, das vor diesem Termin in Verkehr gebracht oder in Betrieb genommen wurde, ist nur erfasst, wenn es danach erheblichen Veränderungen in Bezug auf seine Konzeption unterliegt; in jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030 (Artikel 111 Absatz 2). Das Verbot nach Artikel 5 Absatz 1 Buchstabe f gilt seit dem 2. Februar 2025; die Ausnahme in Artikel 113 Buchstabe a betrifft es nicht.

• Geldbußen

  Verstöße gegen die Anbieterpflichten nach Artikel 16 und die Betreiberpflichten nach Artikel 26 können mit Geldbußen von bis zu 15 Mio. EUR oder, wenn der Verstoßende ein Unternehmen ist, bis zu 3 % seines gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Für KMU, einschließlich Start-up-Unternehmen, gilt jede Geldbuße bis zum jeweils niedrigeren Betrag (Artikel 99 Absatz 6); dasselbe gilt für kleine Midcap-Unternehmen (Artikel 3 Nummer 14b, Artikel 99 Absatz 6a). Jeder Mitgliedstaat legt fest, inwieweit gegen Behörden und Einrichtungen seines Hoheitsgebiets Geldbußen verhängt werden können (Artikel 99 Absatz 8).

• Grenzen des Anwendungsbereichs

  Die Verordnung gilt nicht für Bereiche, die nicht in den Anwendungsbereich des Unionsrechts fallen (erster Satz von Artikel 2 Absatz 3), nicht für KI-Systeme oder KI-Modelle, einschließlich ihrer Ausgabe, die eigens und ausschließlich für wissenschaftliche Forschung und Entwicklung entwickelt und in Betrieb genommen werden (Artikel 2 Absatz 6), und nicht für Forschungs-, Test- und Entwicklungstätigkeiten, bevor ein System in Verkehr gebracht oder in Betrieb genommen wird; Tests unter Realbedingungen fallen nicht unter diese Ausnahme (Artikel 2 Absatz 8). Sie gilt nicht für KI-Systeme, die unter freien und quelloffenen Lizenzen bereitgestellt werden, es sei denn, sie werden als Hochrisiko-KI-Systeme oder als KI-System nach Artikel 5 oder 50 in Verkehr gebracht oder in Betrieb genommen (Artikel 2 Absatz 12).

• Kein Genauigkeitswert und keine Fairness-Metrik

  Artikel 15 nennt für keinen Sektor eine Genauigkeitsmetrik, einen Mindestwert, ein Prüfverfahren oder eine Norm, und die Verordnung nennt keine Fairness-Metrik für HR-Systeme. Der Anbieter gibt die Genauigkeitsgrade und relevanten Metriken an (Artikel 15 Absatz 3). Die technische Dokumentation muss außerdem die Metriken beschreiben, mit denen Genauigkeit, Robustheit und Einhaltung der Anforderungen gemessen werden, sowie potenziell diskriminierende Auswirkungen (Anhang IV Nummer 2 Buchstabe g).

• Konformitätsvermutungen

  Die Verordnung selbst nennt keine Norm. Systeme, die harmonisierten Normen entsprechen, deren Fundstellen im Amtsblatt veröffentlicht sind, gelten als konform mit den Anforderungen des Abschnitts 2, soweit die Normen diese abdecken (Artikel 40 Absatz 1). Eine im Amtsblatt veröffentlichte Cybersicherheitszertifizierung oder Konformitätserklärung nach der Verordnung (EU) 2019/881 begründet die Vermutung für die Cybersicherheitsanforderungen des Artikels 15 (Artikel 42 Absatz 2); Systeme im Anwendungsbereich der Verordnung (EU) 2024/2847, die deren Artikel 12 Absatz 1 erfüllen, gelten als konform (Artikel 42 Absatz 3). Die Kommission arbeitet Leitlinien zur Anwendung der Anforderungen und Pflichten nach den Artikeln 8 bis 15 sowie den Artikeln 25 und 26 aus (Artikel 96 Absatz 1 Buchstabe a).

• Beispiel: Rückkopplungsschleifen bei einem Ranking-Werkzeug

  Beispiel, keine Vorgabe der Verordnung: Der Anbieter eines Werkzeugs zur Bewerberrangfolge, das nach dem Inverkehrbringen weiterlernt, könnte prüfen, ob seine früheren Rangfolgen die Eingaben beeinflussen, aus denen es später lernt; genau das soll der Anbieter nach Artikel 15 Absatz 4 zu Rückkopplungsschleifen angehen.

• Artikel 15 KI-Verordnung: Genauigkeit, Robustheit und Cybersicherheit

  Artikel 15 für alle Sektoren: Anforderungen, Termine und Geldbußen.

• KI-Verordnung: Compliance für HR-Technologie

  Die HR-Technologie-Übersicht: wie die Verordnung KI für Personalgewinnung und Personalmanagement erfasst.

• Artikel 26 für HR-Technologie: Pflichten der Betreiber

  HR-KI und Artikel 26: Information der Beschäftigten, menschliche Aufsicht, Überwachung und Protokolle.

• Anhang III im Detail: Alle 8 Hochrisiko-Kategorien

  Wie Anhang III KI-Systeme zu Hochrisiko-KI-Systemen macht, einschließlich Beschäftigung und Personalmanagement.