KI-VO für Arbeitgeber: Hochrisiko-KI im Personalbereich
28. Oktober 2026
Ob Bewerbermanagement mit Matching-Score oder Software zur Leistungsauswertung: Viele Arbeitgeber setzen KI längst im Personalbereich ein. Die KI-VO stuft genau diese Anwendungen als Hochrisiko-KI ein und knüpft daran strenge Betreiber- und Informationspflichten. Der Gesetzgeber hat die Fristen zwar verschoben. Wer Bewerber und Beschäftigte aber nicht oder falsch informiert, verstößt gegen die KI-VO.
Lesedauer: 4 Minuten (ca. 910 Wörter)
Ein KI-Tool rankt Lebensläufe nach Eignung, ein anderes wertet die Abschlussquote im Vertrieb aus – solche Anwendungen gehören in vielen Personalabteilungen mittlerweile zum Alltag. Rechtlich wird der Arbeitgeber dabei zum sog. Betreiber, also zu demjenigen, der ein KI-System in eigener Verantwortung beruflich einsetzt (Art. 3 Nr. 4 KI-VO). Die Pflichten treffen damit nicht nur die Softwarehersteller bzw. Lizenzgeber, sondern auch Unternehmen, die ein fertiges Bewerbermanagementsystem erwerben und für die eigenen geschäftlichen Zwecke einsetzt.
Das Gute vorweg: Was die zeitlichen Vorgaben angeht, hat die Europäische Union einen Aufschub gewährt. Nach dem sog. KI-Omnibus (EU-Verordnung 2026/1744) gelten die Regeln für Hochrisiko-Systeme nach Anhang III, wozu auch KI-Tools im Personalmanagement zählen, erst ab dem 2. Dezember 2027. Einiges gilt allerdings schon heute: Die Emotionserkennung am Arbeitsplatz ist bereits verboten (Art. 5 Abs. 1 lit. f KI-VO). Zudem greifen bereits heute die Transparenzpflichten nach Art. 50 KI-VO – Recruiting-Chatbots etwa müssen offenlegen, dass Bewerber mit einer KI kommunizieren. Ich halte den Aufschub für eine Vorbereitungszeit, und nicht für eine Schonfrist.
Wann KI im Personalbereich zur Hochrisiko-KI wird
Nicht jede KI im Unternehmen wird als Hochrisiko-KI eingestuft. Bei z. B. Microsoft Copilot oder Sprachmodellen wie ChatGPT und Claude liegt kein Betrieb eines Hochrisiko-KI-Systems vor, wenn sie nicht gezielt zur Bewertung von Bewerbern oder Beschäftigten eingesetzt werden.
Für den speziellen Einsatz von KI im Personalbereich ist Anhang III Nr. 4 KI-VO der Ausgangspunkt. Als Hochrisiko-KI gelten zum einen KI-Systeme zur Auswahl von Bewerbern – vom Schalten gezielter Stellenanzeigen über das Filtern von Bewerbungen bis zur Bewertung von Kandidaten. Zum anderen sind KI-Systeme für Entscheidungen über Beförderungen, Kündigungen und Aufgabenzuweisung oder zur Bewertung von Leistung und Verhalten erfasst.
Die Ausnahme, wonach ein KI-System kein Hochrisiko-KI-System ist, wenn es für rein vorbereitende Aufgaben eingesetzt wird, hilft nicht weiter. Denn Profiling – die automatisierte Bewertung persönlicher Aspekte wie der Arbeitsleistung – macht ein System stets hochriskant (Art. 6 Abs. 3 UAbs. 3 KI-VO).
„Wer Leistung und Verhalten per KI bewertet, betreibt Profiling und kann sich auf keine Ausnahme berufen.„
Pflichten bei Hochrisiko-KI im Überblick
Als Betreiber treffen Arbeitgeber nach Art. 26 KI-VO insbesondere folgende Pflichten:
- Einsatz nur gemäß der Gebrauchsanweisung des Anbieters
- menschliche Aufsicht durch geschulte Personen
- relevante und repräsentative Eingabedaten, soweit der Arbeitgeber sie kontrolliert – also etwa kein Foto, wenn es für die Stelle keine Rolle spielt
- Überwachung des Betriebs der KI und Meldung von Risiken
- Aufbewahrung der Protokolle über Nutzung, Eingaben und Ergebnisse für min. 6 Monate
- Datenschutz-Folgenabschätzung
Verstöße können mit bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden. Die hohen Sanktionen sind bereits aus der DSGVO bekannt.
Informationspflichten gegenüber Bewerbern
Bei den Informationspflichten wird zwischen Arbeitnehmern und Bewerbern unterschieden. Bemerkenswert ist in diesem Zusammenhang der Zeitpunkt der Information: Nur bereits angestellte Arbeitnehmer und ihre Vertreter (Betriebs- und Personalräte) werden vor Inbetriebnahme des KI-Systems informiert. Bewerber hingegen müssen über den KI-Einsatz nicht vorab informiert werden. Da die KI-Verordnung hier die Bewerber benachteiligt, stellt sich die Frage, ob die Vorab-Informationspflicht gem. Art. 26 Abs. 7 nicht ausnahmsweise auch für die Bewerber gelten soll. Das halte ich aber nicht für überzeugend, da der EU der „Bewerber“ bekannt gewesen ist (vgl. Anhang III Nr. 4 a)) und dieser absichtlich nicht in die Regelung aufgenommen wurde.
Bewerber sind aber – ganz allgemein – gem. Art. 26 Abs. 11 KI-VO darüber zu informieren, dass sie der Verwendung einer Hochrisiko-KI unterliegen. Daraus folgt weiter: Wird ein Bewerber abgelehnt, kann er nach Art. 86 KI-VO eine klare und aussagekräftige Erläuterung verlangen, welche Rolle das System bei der Entscheidung gespielt hat.
Praxistipp: Für Anspruchsteller nach dem AGG ist Art. 86 KI-VO ein neuer Hebel: Die Erläuterung kann Indizien für eine Benachteiligung liefern, die für eine Entschädigungsklage verwendet werden.
Nach der KI-VO wird die Belegschaft vorher informiert, Bewerber erst im Verfahren – Arbeitgeber sollten diese Lücke dennoch schließen, um den (späteren) Informationspflichten von Anfang an nachzukommen. In Stellenanzeigen oder Eingangsbestätigungsmails könnte folgender Hinweis gegeben werden:
„Ihre Bewerbungsunterlagen werden mittels KI verarbeitet. Weitere Informationen finden Sie hier [Link].„
Die weiteren Informationen müssen u. a. die Anforderungen der Erwägungsgrund Nr. 93 der KI-VO erfüllen.
Informationspflichten gegenüber Beschäftigten
Beschäftigte und ihre Vertreter genießen den größeren Schutz. Sie sind zu informieren, bevor das System am Arbeitsplatz in Betrieb genommen wird. Die bereitzustellenden Informationen ergeben sich ebenfalls aus dem Erwägungsgrund Nr. 93 der KI-VO.
Davon unberührt bleibt die Mitbestimmung: Ein KI-System, das Leistung oder Verhalten der Beschäftigten auswerten kann, unterliegt § 87 Abs. 1 Nr. 6 BetrVG, KI-gestützte Auswahlrichtlinien unterliegen § 95 Abs. 2a BetrVG.
Hochrisiko-KI einführen: Tipps für Arbeitgeber
Bis Dezember 2027 bleibt noch genug Zeit, wenn Unternehmen jetzt beginnen. Ich empfehle folgende Schritte:
- KI-Funktionen in der vorhandenen HR-Software erfassen
- Einstufung als Hochrisiko-KI prüfen und dokumentieren, auch wenn eine Ausnahme greift
- Anbieterverträge auf Gebrauchsanweisung, Protokollierung und Unterstützungspflichten prüfen
- KI-Einsatz bereits in der Stellenanzeige offenlegen
- Hinweistext für interne und externe Bewerber verwenden
- KI-Richtlinie mit Regeln zur Nutzung der Protokolle abschließen
- Ablauf für KI-Erläuterungsanfragen (abgelehnter) Bewerber integrieren
Die KI-VO zwingt Arbeitgeber, ihre Personalprozesse neu zu denken. Wer KI im Personalmanagement zur Bewertung der Eignung, des Verhaltens oder der Leistung einsetzt, betreibt ein Hochrisiko-KI-System. Zudem liegt regelmäßig auch ein Profiling vor. Es ist wichtig, dass Arbeitgeber früh und einheitlich informieren. Das senkt nicht nur ein mögliches Bußgeldrisiko, sondern nimmt auch abgelehnten Bewerbern Argumente für eine Entschädigungsklage.
Sie sind Arbeitgeber in Kiel oder Schleswig-Holstein und möchten den KI-Einsatz Ihrer Mitarbeiter arbeitsrechtlich absichern? Mittels moderner Kommunikationsmittel unterstütze Unternehmen und Arbeitgeber bundesweit bei der Einführugn von KI im Betrieb. Schreiben Sie mir gerne an info@anwalt-daum.de.
Dr. Oliver Daum | Rechtsanwalt | Fachanwalt für IT-Recht | Zertifizierter Datenschutzbeauftragter (IHK Kiel) | IT-Sicherheitsbeauftragter (IHK)
Auch interessant: KI im Arbeitsrecht – Rechtssicheres Personalmanagement