KI im HR ist Hochrisiko: was der AI Act von Bewerbertools verlangt

Der AI Act sortiert KI-Systeme in Risikoklassen: verboten, Hochrisiko, begrenzt, minimal. Für viele Unternehmen kommt die Überraschung an derselben Stelle: Ausgerechnet das beliebteste Einsatzfeld im eigenen Haus, die KI in der Personalauswahl, landet in der strengsten Kategorie. Wer ein Tool einsetzt, das Bewerbungen vorfiltert, sortiert oder Kandidaten bewertet, betreibt ein Hochrisiko-System. Mit allem, was dazugehört.

Warum ausgerechnet Personal streng regelt ist

Die Logik des Gesetzes folgt der Wirkung auf Menschen. Eine KI, die Produktionsdaten auswertet, trifft Entscheidungen über Maschinen. Eine KI, die Bewerbungen sortiert, trifft Entscheidungen über Personen, über Chancen, Einkommen und berufliche Wege. Genau deshalb steht der Bereich Beschäftigung ausdrücklich in Anhang III, der Liste der Hochrisiko-Anwendungen.

Praktisch heißt das: Es spielt keine Rolle, ob Ihr Tool „nur vorsortiert“ oder „nur unterstützt“. Sobald es im Auswahlprozess mitwirkt, greift die Einstufung. Auch die Unternehmensgröße schützt nicht. Der AI Act fragt nach dem Einsatzfeld, nicht nach der Mitarbeiterzahl.

Anhang III: die Einstufung im Überblick

Typische HR-Systeme fallen regelmäßig in die Hochrisiko-Klasse: CV-Parser, die Lebensläufe automatisch auswerten. Matching-Systeme, die Kandidaten gegen Anforderungsprofile rechnen. Scoring-Tools, die Bewerber ranken oder vorfiltern. Zur Einordnung in die übrigen Klassen:

Anbieter oder Betreiber: wer trägt welche Pflicht?

Der AI Act verteilt die Last auf zwei Schultern. Der Anbieter ist in der Regel der Hersteller des Systems. Der Betreiber sind Sie: das Unternehmen, das das System einsetzt. Der häufigste Denkfehler lautet „dafür ist der Hersteller zuständig“. Stimmt nicht. Wer das System einsetzt, trägt eigene Pflichten, und die lassen sich nicht auslagern.

Für Sie folgt daraus ein konkreter Beschaffungsgrundsatz: Kaufen Sie kein HR-Tool ohne die Unterlagen des Anbieters. Keine Anleitung, keine Konformitätsbewertung: Dann tragen Sie das Risiko allein.

Die sechs Kernpflichten für Hochrisiko-Systeme

Die Pflichtenliste liest sich technischer, als sie ist. Im Kern geht es um Kontrolle und Nachvollziehbarkeit:

• Risikomanagement-System: Die Risiken des Einsatzes sind bekannt, bewertet und fortlaufend im Blick, nicht einmalig beim Kauf.
• Dokumentierte Datenqualität: Sie wissen, mit welchen Daten das System arbeitet, und können deren Eignung belegen.
• Menschliche Aufsicht: Ein Mensch kann jede Entscheidung nachvollziehen, korrigieren oder stoppen. Die KI entscheidet nicht allein über Bewerbungen.
• Transparente Anleitungen: Der Anbieter muss erklären, was das System tut und wie es einzusetzen ist. Sie müssen diese Anleitung kennen und befolgen.
• Log-Aufbewahrung: Die Protokolle des Systems werden aufbewahrt, damit Entscheidungen später nachvollzogen werden können.
• Konformitätsbewertung: Das System muss die Bewertung durchlaufen haben, die der AI Act für Hochrisiko vorsieht. Das ist Sache des Anbieters, aber Sie sollten den Nachweis einfordern.

Praxisbeispiel: Das neue Bewerbungstool

Ein Mittelständler mit 200 Mitarbeitern führt ein Tool ein, das eingehende Bewerbungen parst und nach Passung sortiert. So sieht ein sauberer Ablauf aus: Zuerst wird das System im KI-Register als Hochrisiko nach Anhang III eingestuft, schriftlich und mit Datum. Dann fordert die Personalabteilung vom Anbieter die Anleitungen und den Nachweis der Konformitätsbewertung an. Anschließend legt das Unternehmen fest, wer die Sortierung fachlich prüft: eine benannte Person, keine Abteilung im Allgemeinen. Erst danach geht das System live, und die Belegschaft, die damit arbeitet, wird geschult. Die Logs bleiben archiviert, damit jede Vorauswahl später erklärbar ist.

Das klingt nach Aufwand, ist aber vor allem Ordnung: Die meisten Punkte sind Entscheidungen und Dokumente, keine Softwareprojekte.

Und der Rest? Chatbots und interne Tools

Nicht jedes KI-System ist Hochrisiko. Ein Chatbot im Kundenkontakt ist begrenzt riskant: Nutzer müssen erkennen, dass sie mit einer KI interagieren. Das ist mehr Transparenz als Technik. Interne Produktivitäts-Tools sind in der Regel minimal riskant und ohne Systempflichten.

Aber Vorsicht bei der vermeintlichen Ausnahme: Auch bei minimalen Risiken gilt die Schulungspflicht nach Art. 4. Die Belegschaft muss ein ausreichendes Maß an KI-Kompetenz haben. Wer „nur“ Standard-Werkzeuge nutzt, ist also nicht raus, sondern nur in einer leichteren Klasse.

Umgekehrt gilt das Gleiche: Auch Betreiber von Hochrisiko-Systemen kommen an der Schulung nicht vorbei. Die Pflichten aus Anhang III und Art. 4 greifen ineinander: Das Risikomanagement nützt wenig, wenn die Menschen, die das System beaufsichtigen sollen, es nicht verstehen. Was eine Art.-4-konforme Schulung konkret verlangt, lesen Sie im Beitrag zur Schulungspflicht.

Ihre ersten fünf Schritte

• KI-Register anlegen: alle eingesetzten Systeme erfassen, auch die kleinen
• HR-Systeme als Hochrisiko nach Anhang III einstufen und dokumentieren
• Anleitungen und Konformitätsnachweis der Anbieter einfordern und ablegen
• Menschliche Aufsicht namentlich festlegen, inklusive Eingriffsrecht
• Schulung für alle organisieren, die mit den Systemen arbeiten, mit Nachweis

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall. Wenden Sie sich dafür an fachkundige Beratung.