Arbeitgeber, die künstliche Intelligenz zur Bewerberauswahl, Leistungsbewertung oder Aufgabenverteilung einsetzen, müssen die Hochrisiko-Pflichten der europäischen KI-Verordnung ab dem 2. Dezember 2027 erfüllen statt ab dem 2. August 2026. Das regelt die seit dem 27. Juli 2026 geltende Digital-Omnibus-Verordnung (EU) 2026/1744. Bis dahin bleiben knapp 13 Monate. Das Verbot der Emotionserkennung am Arbeitsplatz und die Pflicht zur KI-Kompetenz sind dagegen nicht aufgeschoben.

Welche HR-Systeme sind überhaupt Hochrisiko?

Anhang III Nummer 4 der KI-Verordnung nennt zwei Gruppen:

Lesen Sie auch Teams trennt KI und Mitschrift: Was die neue Microsoft-Regel für Betriebsvereinbarungen heißt

  • Einstellung und Auswahl: gezieltes Ausspielen von Stellenanzeigen, Sichten und Filtern von Bewerbungen, Bewerten von Kandidaten.
  • Bestehende Arbeitsverhältnisse: Entscheidungen über Arbeitsbedingungen, Beförderung und Beendigung, die Zuweisung von Aufgaben nach Verhalten oder persönlichen Merkmalen sowie die Überwachung und Bewertung von Leistung und Verhalten.

Eine Ausnahme kennt Artikel 6 Absatz 3, etwa für eng begrenzte Verfahrensaufgaben oder vorbereitende Schritte ohne wesentlichen Einfluss auf die Entscheidung. Sie entfällt aber immer dann, wenn das System Profiling natürlicher Personen betreibt. In der Personalauswahl dürfte das bei Scoring-Werkzeugen die Ausnahme schnell ausschließen. Diese Einstufung nimmt zunächst der Anbieter vor und muss sie dokumentieren. Arbeitgeber sollten sich die Bewertung zeigen lassen, statt sie ungeprüft zu übernehmen.

Jeden Morgen um 6 Uhr das Wichtigste für Personaler: kostenloser Newsletter →

Was müssen Arbeitgeber ab Dezember 2027 tun?

Unternehmen, die solche Systeme einsetzen, sind in der Sprache der Verordnung „Betreiber“. Ihre Pflichten stehen in Artikel 26:

  • Nutzung nach der Betriebsanleitung des Anbieters, abgesichert durch technische und organisatorische Maßnahmen
  • menschliche Aufsicht durch Personen mit Kompetenz, Schulung und Befugnis
  • relevante und hinreichend repräsentative Eingabedaten, soweit der Betrieb sie kontrolliert
  • laufende Überwachung; bei Risiken Anbieter und Behörde informieren und die Nutzung aussetzen
  • automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren, soweit sie unter eigener Kontrolle stehen
  • Arbeitnehmervertreter und betroffene Beschäftigte vor der Inbetriebnahme informieren
  • Personen informieren, über die das System Entscheidungen trifft oder unterstützt

Hinzu kommt nach Artikel 86 ein Recht Betroffener, eine verständliche Erläuterung zur Rolle des Systems in einer sie nachteilig treffenden Entscheidung zu verlangen. Abgelehnte Bewerber und Beschäftigte können also fragen. Wer darauf nicht vorbereitet ist, hat zugleich ein Problem bei Vorwürfen nach dem Allgemeinen Gleichbehandlungsgesetz (AGG), weil dort die Beweislast nach § 22 AGG kippen kann.

Was gilt schon heute?

Emotionserkennung: KI, die etwa aus Stimme oder Mimik auf Gefühle von Beschäftigten schließt, ist nach Artikel 5 Absatz 1 Buchstabe f seit dem 2. Februar 2025 verboten, außer aus medizinischen oder Sicherheitsgründen. Das kann auch Callcenter-Analysen und andere Werkzeuge mit entsprechenden Funktionen betreffen, die im Betrieb bereits laufen. Hier reicht der Bußgeldrahmen nach Artikel 99 bis 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes.

KI-Kompetenz: Der Omnibus hat Artikel 4 entschärft. Nach Darstellung der IHK Lüneburg-Wolfsburg und der Kanzlei Heuking müssen Unternehmen nicht mehr sicherstellen, dass ihr Personal KI-kompetent ist, sondern Maßnahmen zur Förderung ergreifen. Eine Pflicht bleibt es, und ein Schulungsnachweis hilft weiter. Für die interne Regelung bietet sich eine KI-Richtlinie im Unternehmen an.

Deutsches Recht: Die Mitbestimmung läuft unabhängig von der Verordnung. Software, die zur Überwachung von Verhalten oder Leistung geeignet ist, braucht nach § 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz die Zustimmung des Betriebsrats, wo es einen gibt. Auch die Datenschutz-Grundverordnung gilt längst; die Folgenabschätzung nach Artikel 35 DSGVO soll laut Artikel 26 Absatz 9 auf den Anbieter-Informationen aufbauen.

Ein Fahrplan rückwärts ab Dezember 2027

  1. Bis Ende Januar 2027: Bestand aufnehmen. Auch KI-Funktionen in Bewerbermanagement, Stellenbörsen und Personalsoftware erfassen. Oft sind sie im Kleingedruckten versteckt.
  2. Bis März 2027: Einstufen. Verboten, Hochrisiko oder nicht? Anbieter schriftlich nach Einstufung, Konformitätsplanung und Betriebsanleitung fragen.
  3. Bis Mitte 2027: Verträge anpassen. Dokumentation, Zugriff auf Protokolle und Mitwirkung bei Auskünften regeln. Eigene Anpassungen klären, denn eine wesentliche Änderung kann den Betreiber nach Artikel 25 selbst zum Anbieter machen.
  4. Bis Herbst 2027: Prozesse festlegen. Wer prüft die Vorschläge, wer darf übersteuern, wer beantwortet Auskunftsverlangen? Hinweise für Bewerber formulieren und den Betriebsrat einbinden.
  5. Vor dem 2. Dezember 2027: Schulen und testen. Aufsichtspersonen benennen und eine Stichprobe von Entscheidungen auswerten.

Was Arbeitgeber jetzt wissen sollten

  • Bestandssysteme nicht voreilig abhaken: Artikel 111 Absatz 2 enthält eine Sonderregel für bereits eingesetzte Systeme, die an wesentliche Änderungen anknüpft. Wie der Stichtag nach dem Omnibus für den eigenen Fall wirkt, sollte rechtlich geprüft werden. Bei regelmäßig aktualisierter Software ist darauf kein Verlass.
  • Bußgelder einordnen: Für Verstöße gegen Betreiberpflichten nennt Artikel 99 bis zu 15 Millionen Euro oder 3 Prozent des Umsatzes. Kleine und mittlere Unternehmen trifft der jeweils niedrigere Wert.
  • Akzeptanz mitdenken: Rechtmäßig heißt nicht willkommen. Eine Anbieterstudie zeigt, dass deutsche Bewerber bei KI-Interviews besonders oft aussteigen.
  • Dokumentation früh beginnen: Die Zusatzzeit ist vor allem Zeit für Anbietergespräche und Mitbestimmung; beides lässt sich nicht in den letzten Wochen nachholen.