8. September 2026 · Morten Babakhani · Aktualisiert am 24. September 2026
Der EU AI Act ordnet KI-Systeme, die im Beschäftigungskontext über Menschen entscheiden oder sie bewerten, als Hochrisiko ein — das betrifft Auswahl, Beförderung, Kündigung und die Zuweisung von Aufgaben.
Stand 24.09.2026: Die Fristen haben sich verschoben. Mit dem sogenannten AI Omnibus, der am 27. Juli 2026 in Kraft getreten ist, gelten die Pflichten für Hochrisiko-Systeme nach Anhang III — und damit für Beschäftigungs-KI — ab dem 2. Dezember 2027. Für Hochrisiko-KI in physischen Produkten nach Anhang I ist es der 2. August 2028. Quelle: Europäische Kommission zum AI Omnibus.
Der zusätzliche Zeitraum ändert nichts an den Anforderungen selbst. Wer ein System 2027 im Betrieb haben will, entscheidet die Fragen unten ohnehin im kommenden Jahr — und die Beschaffung dauert in der Regel länger als die Umsetzung.
Anbieter oder Betreiber — die erste Frage
Die Pflichten unterscheiden sich erheblich. Wer ein System selbst entwickelt oder unter eigenem Namen einsetzt, ist Anbieter und trägt die volle Last: Risikomanagement, technische Dokumentation, Konformitätsbewertung. Wer ein zugekauftes System nur betreibt, hat weniger Pflichten — aber keineswegs keine.
Der Fehler in der Praxis: Unternehmen halten sich für Betreiber und werden zu Anbietern, weil sie das System wesentlich verändern, unter eigenem Namen ausrollen oder für einen anderen Zweck einsetzen als vorgesehen. Ein Modul, das für die Vorauswahl gedacht war und nun Leistungsbeurteilungen unterstützt, ist ein neuer Zweck.
Was ein Betreiber vorhalten muss
Menschliche Aufsicht, benannt. Nicht „das Team schaut drüber”, sondern eine Rolle mit Namen, die die Ausgabe prüfen kann und dafür befähigt ist. Dazu gehört, dass diese Person die Ausgabe auch verwerfen darf, ohne das begründen zu müssen.
Protokolle. Die Verordnung verlangt, dass automatisch erzeugte Protokolle aufbewahrt werden — für Betreiber mindestens sechs Monate, soweit nichts anderes vorgeschrieben ist. Praktisch heißt das: Ihr System muss festhalten, welche Eingaben zu welcher Ausgabe geführt haben. In HR-Verfahren ist die gesetzliche Mindestdauer selten der richtige Maßstab, weil arbeitsrechtliche Fristen länger laufen; die Dauer gehört deshalb je Datenart festgelegt und mit dem Datenschutz abgestimmt.
Information der Betroffenen. Beschäftigte und Bewerberinnen müssen wissen, dass ein KI-System eingesetzt wird. Diese Information gehört in den Prozess, nicht in eine Datenschutzerklärung, die niemand aufruft.
Eingabedatenqualität. Sie müssen sicherstellen, dass die Daten, die Sie einspeisen, dem Zweck des Systems entsprechen. Wer Freitextfelder aus zwanzig Jahren Altbestand einspeist, kann das nicht.
Wo es in Projekten hakt
Drei Muster sehen wir wiederholt.
Erstens: Die Dokumentation existiert beim Hersteller, nicht im Haus. Fragt eine Aufsicht oder ein Betriebsrat, beginnt eine Anfrage beim Anbieter mit unklarer Laufzeit. Fordern Sie die Unterlagen vertraglich ein, bevor Sie produktiv gehen.
Zweitens: Die Protokollierung wurde als Datenschutzrisiko behandelt und deshalb minimiert. Das ist verständlich und führt dazu, dass Sie im Streitfall nichts belegen können. Beides lässt sich auflösen — mit Aufbewahrungsfristen je Datenart statt einer pauschalen Frist.
Drittens: Niemand hat den Zweck schriftlich fixiert. Ohne festgehaltenen Zweck lässt sich nicht prüfen, ob ein Einsatz noch davon gedeckt ist. Ein Satz im Betriebskonzept genügt, aber er muss existieren.
Was jetzt sinnvoll ist
Erstellen Sie ein Verzeichnis Ihrer KI-Einsätze im HR-Umfeld — inklusive der Funktionen, die als „Assistent” in einer HR-Suite mitgeliefert wurden. Ordnen Sie jedem Eintrag Rolle (Anbieter oder Betreiber), Zweck, Aufsicht und Protokollierung zu. Nach zwei Tagen wissen Sie, wo Sie stehen.
Das ist unspektakulär und erspart Ihnen die Übung, dieselbe Frage unter Zeitdruck zu beantworten.
Wer im Haus dafür zuständig ist
Die Pflichten verteilen sich auf drei Rollen, und keine kann die anderen ersetzen. Der Fachbereich legt den Zweck fest und stellt die Aufsicht, weil nur er beurteilen kann, ob eine Ausgabe fachlich vertretbar ist. Die IT verantwortet Protokolle, Zugriffe und die Aufbewahrung. Der Datenschutz prüft Rechtsgrundlage und Verhältnismäßigkeit.
Fehlt diese Zuordnung, bleibt die Aufgabe bei der Person, die zuletzt davon gehört hat — und das ist selten die, die entscheiden darf. Bewährt hat sich eine Seite je System mit vier Zeilen: Zweck, benannte Aufsicht, Protokollumfang mit Frist, Ansprechpartner beim Anbieter. Mehr braucht es zu Beginn nicht, und weniger trägt nicht.