KI-Verordnung: Compliance für HR-Technologie

HR-Technologie ist keine Kategorie der KI-Verordnung. Maßgeblich ist die in Anhang III Nummer 4 genannte Verwendung („Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit“).

Artikel 5 gilt ab 2. Februar 2025, mit Ausnahme von Absatz 1 Unterabsatz 1 Buchstaben ba und bb sowie den Absätzen 1a und 1b, die ab 2. Dezember 2026 gelten (Artikel 113 Buchstabe a). Die folgende Liste ist nicht vollständig; Artikel 5 enthält weitere Verbote.

• Emotionsableitung am Arbeitsplatz: Artikel 5 Absatz 1 Buchstabe f

  Verboten sind das Inverkehrbringen, die Inbetriebnahme für diesen spezifischen Zweck und die Verwendung von KI-Systemen zur Ableitung von Emotionen einer natürlichen Person am Arbeitsplatz und in Bildungseinrichtungen, es sei denn, die Verwendung des KI-Systems soll aus medizinischen Gründen oder Sicherheitsgründen eingeführt oder auf den Markt gebracht werden. Die Verordnung definiert „Arbeitsplatz“ nicht. Ob das Verbot Bewerber in Videointerviews erfasst, ist eine Auslegungsfrage, die diese Seite nicht entscheidet.

• Biometrische Kategorisierung nach sensiblen Merkmalen: Artikel 5 Absatz 1 Buchstabe g

  Verboten sind Systeme zur biometrischen Kategorisierung, mit denen natürliche Personen individuell auf der Grundlage ihrer biometrischen Daten kategorisiert werden, um ihre Rasse, ihre politischen Einstellungen, ihre Gewerkschaftszugehörigkeit, ihre religiösen oder weltanschaulichen Überzeugungen, ihr Sexualleben oder ihre sexuelle Ausrichtung abzuleiten. Das Verbot erfasst nicht das Kennzeichnen oder Filtern rechtmäßig erworbener biometrischer Datensätze, etwa von Bildern, auf der Grundlage biometrischer Daten oder die Kategorisierung biometrischer Daten im Bereich der Strafverfolgung.

• Soziale Bewertung (Social Scoring): Artikel 5 Absatz 1 Buchstabe c

  Verboten sind KI-Systeme für die Bewertung oder Klassifizierung natürlicher Personen oder Personengruppen über einen bestimmten Zeitraum auf der Grundlage ihres sozialen Verhaltens oder bekannter, abgeleiteter oder vorhergesagter persönlicher Eigenschaften oder Persönlichkeitsmerkmale, wenn die soziale Bewertung zu einer Schlechterstellung oder Benachteiligung in sozialen Zusammenhängen führt, die in keinem Zusammenhang mit den Umständen stehen, unter denen die Daten ursprünglich erzeugt oder erhoben wurden, oder zu einer Schlechterstellung oder Benachteiligung, die im Hinblick auf ihr soziales Verhalten oder dessen Gewicht ungerechtfertigt oder unverhältnismäßig ist.

• Emotionserkennung, die nicht verboten ist

  Emotionserkennungssysteme und Systeme zur biometrischen Kategorisierung, die nicht verboten sind, sind nicht von der Verordnung ausgenommen. Anhang III Nummer 1 Buchstaben b und c führen die biometrische Kategorisierung nach sensiblen oder geschützten Attributen oder Merkmalen und die Emotionserkennung als hochriskant auf, soweit ihre Verwendung nach einschlägigem Unionsrecht oder nationalem Recht zulässig ist. Betreiber eines Emotionserkennungssystems oder eines Systems zur biometrischen Kategorisierung informieren die davon betroffenen natürlichen Personen über den Betrieb des Systems und verarbeiten die personenbezogenen Daten im Einklang mit dem Datenschutzrecht (Artikel 50 Absatz 3). Ein Emotionserkennungssystem dient dem Zweck, Emotionen oder Absichten natürlicher Personen auf der Grundlage ihrer biometrischen Daten festzustellen oder daraus abzuleiten (Artikel 3 Nummer 39).

• Der Entwickler der Software ist Anbieter, der Arbeitgeber, der sie verwendet, ist Betreiber

  Anbieter ist die natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer Handelsmarke in Verkehr bringt oder in Betrieb nimmt (Artikel 3 Nummer 3). Anbieter von Hochrisiko-KI-Systemen müssen sicherstellen, dass ihre Systeme die Anforderungen des Abschnitts 2 (Artikel 8 bis 15) erfüllen (Artikel 16 Buchstabe a). Betreiber ist eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System in eigener Verantwortung verwendet, es sei denn, das System wird im Rahmen einer persönlichen und nicht beruflichen Tätigkeit verwendet (Artikel 3 Nummer 4). Ein Arbeitgeber, der ein HR-System verwendet, ist Betreiber mit den Pflichten des Artikels 26. Ein Betreiber wird zum Anbieter, wenn er seinen Namen oder seine Handelsmarke auf einem bereits in Verkehr gebrachten Hochrisiko-KI-System anbringt, eine wesentliche Veränderung daran vornimmt oder die Zweckbestimmung eines Systems so ändert, dass es zu einem Hochrisiko-KI-System wird (Artikel 25 Absatz 1).

• Schritte des Anbieters vor dem Inverkehrbringen

  Vor dem Inverkehrbringen oder der Inbetriebnahme eines in Anhang III aufgeführten Hochrisiko-KI-Systems (mit Ausnahme von Nummer 2) registriert der Anbieter sich und sein System in der EU-Datenbank (Artikel 49 Absatz 1). Bei Systemen nach den Nummern 2 bis 8 des Anhangs III folgt der Anbieter dem Konformitätsbewertungsverfahren auf der Grundlage einer internen Kontrolle (Anhang VI), das keine Beteiligung einer notifizierten Stelle vorsieht (Artikel 43 Absatz 2). Ein Anbieter, der zu dem Schluss gelangt ist, dass sein System nach Anhang III gemäß Artikel 6 Absatz 3 nicht hochriskant ist, dokumentiert die Bewertung (Artikel 6 Absatz 4) und registriert sich und das System vor dem Inverkehrbringen oder der Inbetriebnahme in der EU-Datenbank (Artikel 49 Absatz 2).

• Pflichten des Arbeitgebers als Betreiber

  Betreiber von Hochrisiko-KI-Systemen treffen geeignete technische und organisatorische Maßnahmen, um sie entsprechend der Betriebsanleitung zu verwenden (Artikel 26 Absatz 1), übertragen die menschliche Aufsicht natürlichen Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis (Artikel 26 Absatz 2), überwachen den Betrieb des Systems anhand der Betriebsanleitung (Artikel 26 Absatz 5) und bewahren die ihrer Kontrolle unterliegenden Protokolle mindestens sechs Monate auf, sofern nicht anderes Recht etwas anderes vorsieht (Artikel 26 Absatz 6). Arbeitgeber informieren Arbeitnehmervertreter und betroffene Arbeitnehmer, bevor sie das System am Arbeitsplatz verwenden (Artikel 26 Absatz 7), gegebenenfalls im Einklang mit den Vorschriften und Gepflogenheiten auf Unionsebene und nationaler Ebene in Bezug auf die Unterrichtung von Arbeitnehmern und ihren Vertretern. Betreiber von Systemen nach Anhang III, die Entscheidungen in Bezug auf natürliche Personen treffen oder dabei Unterstützung leisten, informieren diese Personen darüber, dass sie der Verwendung des Systems unterliegen (Artikel 26 Absatz 11). Betroffene haben in den in Artikel 86 Absatz 1 beschriebenen Fällen ein Recht auf Erläuterung. Anbieter und Betreiber von KI-Systemen ergreifen außerdem Maßnahmen, um die KI-Kompetenz ihres Personals und anderer Personen zu fördern, die in ihrem Auftrag mit dem Betrieb und der Nutzung der Systeme befasst sind; sie müssen dabei kein bestimmtes Niveau an KI-Kompetenz einzelner Personen garantieren (Artikel 4 Absatz 1).

• Öffentliche Arbeitgeber haben weitere Pflichten

  Betreiber, die Behörden oder Organe, Einrichtungen oder sonstige Stellen der Union sind, erfüllen die Registrierungspflichten nach Artikel 49 (Artikel 26 Absatz 8). Vor der Inbetriebnahme eines Hochrisiko-KI-Systems nach Artikel 6 Absatz 2, mit Ausnahme von Systemen in dem in Nummer 2 des Anhangs III aufgeführten Bereich, führen Betreiber, die Einrichtungen des öffentlichen Rechts sind oder private Einrichtungen, die öffentliche Dienste erbringen, eine Grundrechte-Folgenabschätzung durch (Artikel 27 Absatz 1). Ein Arbeitgeber, der weder eine Einrichtung des öffentlichen Rechts noch eine private Einrichtung ist, die öffentliche Dienste erbringt, fällt für Anhang III Nummer 4 nicht unter Artikel 27 Absatz 1.

Verstöße gegen Artikel 5 werden mit Geldbußen von bis zu 35 Mio. EUR oder, bei Unternehmen, bis zu 7 % ihres gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs belegt, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 3). Verstöße gegen die Pflichten der Anbieter (Artikel 16), der Betreiber (Artikel 26) und die Transparenzpflichten nach Artikel 50 werden mit Geldbußen von bis zu 15 Mio. EUR oder, bei Unternehmen, bis zu 3 % belegt, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Für KMU, einschließlich Start-ups, gilt jeweils der niedrigere Betrag von Prozentsatz und Betrag als Obergrenze (Artikel 99 Absatz 6); für kleine Midcap-Unternehmen (Artikel 3 Nummer 14b) gilt dies für die Geldbußen nach Artikel 99 Absätze 4 und 5 (Artikel 99 Absatz 6a). Jeder Mitgliedstaat legt fest, in welchem Umfang gegen Behörden und Einrichtungen mit Sitz in diesem Mitgliedstaat Geldbußen verhängt werden können (Artikel 99 Absatz 8). Die Sanktionsvorschriften des Kapitels XII gelten ab 2. August 2025, mit Ausnahme von Artikel 101 (Artikel 113 Buchstabe b).

• Art. 9
  Risikomanagementsystem

  Ein Risikomanagementsystem wird als kontinuierlicher iterativer Prozess über den gesamten Lebenszyklus eingerichtet, angewandt, dokumentiert und aufrechterhalten (Artikel 9 Absätze 1 und 2).

• Art. 10
  Daten und Daten-Governance

  Trainings-, Validierungs- und Testdatensätze erfüllen die Qualitätskriterien und unterliegen Daten-Governance-Praktiken, zu denen die Prüfung auf mögliche Verzerrungen gehört (Artikel 10 Absätze 2 bis 4).

• Art. 12
  Aufzeichnungspflichten

  Hochrisiko-KI-Systeme ermöglichen technisch die automatische Aufzeichnung von Ereignissen (Protokollierung) über die gesamte Lebensdauer des Systems (Artikel 12 Absatz 1).

• Art. 13
  Transparenz und Bereitstellung von Informationen für die Betreiber

  Der Betrieb ist hinreichend transparent, damit Betreiber die Ausgabe interpretieren und angemessen verwenden können, und dem System liegt eine Betriebsanleitung bei (Artikel 13 Absätze 1 bis 3).

• Art. 14
  Menschliche Aufsicht

  Systeme sind so konzipiert, dass natürliche Personen sie während der Nutzung wirksam beaufsichtigen können (Artikel 14 Absatz 1).

• Art. 15
  Genauigkeit, Robustheit und Cybersicherheit

  Systeme erreichen ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit und arbeiten in dieser Hinsicht während ihres gesamten Lebenszyklus konsistent; Genauigkeitsgrade und Metriken werden in der Betriebsanleitung angegeben (Artikel 15 Absätze 1 und 3).

• Art. 26
  Pflichten der Betreiber

  Betreiber verwenden das System entsprechend der Betriebsanleitung, übertragen die menschliche Aufsicht, überwachen den Betrieb anhand der Betriebsanleitung, bewahren die ihrer Kontrolle unterliegenden Protokolle auf und informieren von Entscheidungen betroffene Personen (Artikel 26 Absätze 1, 2, 5, 6 und 11). Arbeitgeber informieren Arbeitnehmervertreter und betroffene Arbeitnehmer, gegebenenfalls im Einklang mit den Vorschriften und Gepflogenheiten auf Unionsebene und nationaler Ebene in Bezug auf die Unterrichtung von Arbeitnehmern und ihren Vertretern (Artikel 26 Absatz 7).

• Art. 50
  Transparenzpflichten

  Anbieter stellen sicher, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, diese darüber informieren, dass sie mit einem KI-System interagieren, es sei denn, das ist offensichtlich (Artikel 50 Absatz 1). Betreiber von Emotionserkennungssystemen oder Systemen zur biometrischen Kategorisierung informieren die ihnen ausgesetzten Personen (Artikel 50 Absatz 3).

• Artikel 9: Risikomanagement für HR-Tech-KI — EU AI Act

  Risikomanagement über den Lebenszyklus für HR-Technologie.

• Artikel 14: Menschliche Aufsicht für HR-Tech-KI — EU-AI-Gesetz

  Maßnahmen der menschlichen Aufsicht für HR-Technologie.

• Verbotene KI-Praktiken nach Artikel 5 der KI-Verordnung

  Alle Verbote des Artikels 5 und ihre Ausnahmen.

• Anhang III im Detail: Alle 8 Hochrisiko-Kategorien

  Alle Bereiche des Anhangs III, einschließlich Nummer 4 zur Beschäftigung.