KI im HR: Hochrisiko-Einstufung und Pflichten prüfen

KI für Bewerberauswahl und Personalentscheidungen kann die Chancen und Rechte von Menschen erheblich beeinflussen. Solche Einsatzzwecke erfasst Anhang III Nr. 4 der KI-Verordnung. Eine belastbare Einordnung braucht die konkrete Zweckbestimmung und die Prüfung der begrenzten Ausnahme nach Artikel 6 Absatz 3. Ein Produktname wie „CV-Parser“, die Größe des Unternehmens oder ein menschlicher letzter Klick entscheiden die Einstufung nicht allein. Dieser Beitrag hilft, die richtigen Fragen an den Anbieter zu stellen und die eigenen nächsten Schritte zu ordnen.

Warum der tatsächliche HR-Einsatz entscheidend ist

Anhang III Nr. 4 erfasst unter anderem KI-Systeme, die für Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere zur Analyse und Filterung von Bewerbungen sowie zur Bewertung von Bewerbern. Er nennt außerdem bestimmte Systeme für Entscheidungen über Arbeitsverhältnisse, Aufgabenzuweisung und Leistungsüberwachung. Maßgeblich ist der vorgesehene Einsatz. Ein Werkzeug kann sich durch eine andere Zweckbestimmung rechtlich anders einordnen; die Bezeichnung „internes Tool“ nimmt eine HR-Entscheidung nicht aus der Prüfung heraus.

Artikel 6 Absatz 2 ordnet die in Anhang III genannten Systeme grundsätzlich als hochriskant ein. Artikel 6 Absatz 3 begrenzt dies für bestimmte Fälle ohne erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte, unter anderem ohne wesentlichen Einfluss auf die Entscheidungsfindung. Zusätzlich muss eine der dort genannten Bedingungen vorliegen. „Die KI unterstützt nur“ oder „ein Mensch entscheidet am Ende“ sind allein keine ausreichende Begründung einer Ausnahme.

Anhang III: die Einstufung im Überblick

Prüfen Sie zuerst, welche Aufgabe das System tatsächlich erfüllen soll: Bewerbungen bewerten oder filtern, lediglich Daten in ein anderes Format übertragen oder eine eng begrenzte Vorbereitung leisten. Eine eng gefasste Verfahrensaufgabe, die Verbesserung einer bereits abgeschlossenen menschlichen Tätigkeit, bestimmte Musterprüfungen mit angemessener menschlicher Überprüfung oder eine vorbereitende Bewertungsaufgabe können unter den Voraussetzungen von Artikel 6 Absatz 3 relevant sein. Keines dieser Etiketten ersetzt die Prüfung des tatsächlichen Risikos und Einflusses.

Ein Anbieter, der für ein in Anhang III aufgeführtes System die Ausnahme beansprucht, muss seine Bewertung nach Artikel 6 Absatz 4 vor Inverkehrbringen oder Inbetriebnahme dokumentieren; auch die Registrierungspflicht nach Artikel 49 Absatz 2 ist zu beachten. Fordern Sie eine nachvollziehbare Einordnung an. Eine Werbeaussage „kein Hochrisiko“ beantwortet weder Zweckbestimmung noch Ausnahmevoraussetzungen. Die 2026 geänderten Registrierungsinhalte heben die Pflicht nicht pauschal auf.

Anbieter oder Betreiber: wer trägt welche Pflicht?

Der Anbieter entwickelt ein KI-System oder lässt es entwickeln und bringt es unter eigenem Namen oder eigener Marke in Verkehr oder nimmt es in Betrieb. Betreiber verwenden das System in eigener Verantwortung. Ein Unternehmen, das ein fremdes Bewerbertool einsetzt, ist daher häufig Betreiber; bei Eigenentwicklung oder bestimmten Veränderungen können zusätzliche Anbieterpflichten entstehen. Prüfen Sie diese Rolle für das konkrete System und dessen Version. Die Abgrenzung Anbieter oder Betreiber erläutert den Ausgangspunkt.

Diese Tabelle ist keine vollständige Pflichtenliste. Für Beschaffung und Freigabe sind Rolle, Systemgruppe, bestimmungsgemäßer Einsatz und geltender Zeitpunkt zusammen zu betrachten. Fehlende Unterlagen sind eine offene Klärung mit dem Anbieter; daraus folgt keine pauschale rechtliche Freigabe und auch nicht, dass jede Anbieterpflicht automatisch auf den Käufer übergeht.

Welche Pflichten Sie für den konkreten Einsatz zuordnen

Die folgenden Bereiche dienen als Arbeitsordnung für die Prüfung. Anbieteranforderungen und Betreiberpflichten sind dabei getrennt zuzuordnen. Ihre Anwendung hängt vom System und den jeweiligen Zeitstufen ab; ein internes Register allein erfüllt sie nicht.

• Risikomanagement: Welche Anforderungen treffen den Anbieter, welche Informationen und Maßnahmen braucht der Betreiber für seinen konkreten Einsatz?
• Daten: Welche Eingabedaten kontrollieren Sie selbst, und wie werden Relevanz und ausreichende Repräsentativität im vorgesehenen Zweck berücksichtigt?
• Menschliche Aufsicht: Wer hat die nötige Kompetenz, Befugnis und Unterstützung, um das System angemessen zu überwachen? Ein bloßer Name ohne Handlungsmöglichkeiten genügt nicht als Konzept.
• Gebrauchsanweisung: Welche Version, Einsatzgrenzen und vorgesehenen Kontrollschritte hat der Anbieter dokumentiert?
• Protokolle: Welche automatisch erzeugten Protokolle stehen unter Ihrer Kontrolle, und welche Aufbewahrungsanforderungen gelten dafür?
• Konformität und Information: Welche Anbieterunterlagen sowie Informationspflichten gegenüber Beschäftigten und gegebenenfalls deren Vertretung sind für diesen Einsatz und Zeitpunkt einschlägig?

Nach der Änderung durch VO (EU) 2026/1744 gelten Kapitel III Abschnitte 1–3, außer Artikel 6 Absatz 5, für Systeme nach Artikel 6 Absatz 2 ab 2. Dezember 2027. Die Übergangsregel für bereits vorhandene Systeme nach Artikel 111 ist gesondert zu prüfen. Das verschiebt weder Art. 4 noch sämtliche Verbote, Transparenz- oder Datenschutzanforderungen. Der aktuelle KI-VO-Zeitplan trennt diese Gruppen und den späteren Termin für produktbezogene Systeme nach Artikel 6 Absatz 1.

Praxisbeispiel: Das neue Bewerbungstool

Ein Unternehmen mit 200 Beschäftigten prüft ein Tool, das Bewerbungen ausliest und nach Passung sortiert. Die Personalabteilung beschreibt zunächst, wie das Ranking die Vorauswahl beeinflusst. Der Anbieter wird nach Zweckbestimmung, Einstufung, möglichem Profiling und dokumentierter Begründung einer etwaigen Ausnahme gefragt. Ein zusätzliches Modul überträgt nur Dateiformate; auch dessen konkrete Funktion muss abgegrenzt werden. Beide Module erhalten nicht ungeprüft dieselbe Einstufung, nur weil sie Teil eines Produktpakets sind.

Danach ordnet das Unternehmen seine Betreiberrolle, die einschlägige Zeitstufe und benötigte Unterlagen zu. Es legt fest, wer Ergebnisse beurteilt, welche Eingriffe möglich sind und wie Fehler oder Änderungen des Einsatzes bearbeitet werden. Datenschutz, arbeitsrechtliche Beteiligung und anwendbare Verbote werden eigenständig geprüft. Das Beispiel ist ein Vorbereitungsweg, keine Freigabe eines konkreten Systems und kein Beleg, dass jede genannte Pflicht schon heute in gleicher Weise anwendbar ist.

Und der Rest? Chatbots und interne Tools

Auch bei anderen KI-Anwendungen entscheiden Aufgabe und Verwendung. Ein Kunden-Chatbot kann Transparenzfragen aufwerfen; ein intern eingesetztes Werkzeug kann Entscheidungen über Menschen beeinflussen. Die vereinfachten Klassen eines ersten Checks helfen bei der Orientierung, ersetzen aber keine rechtliche Einordnung des konkreten Systems.

Auch bei einem als minimal eingeordneten Risiko bleibt Art. 4 zu beachten. Seit 27.07.2026 verlangt er Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz unter Berücksichtigung von Kenntnissen, Erfahrung, Aus-/Fortbildung, Einsatzkontext und betroffenen Personen. Ein bestimmter Pflichtkurs oder die Garantie eines individuellen Niveaus folgt daraus nicht.

Passende Einweisungen, Lernformate und praktische Anleitungen sind nach tatsächlichem Einsatz und Vorwissen zu planen. Zusätzliche Anforderungen an menschliche Aufsicht bleiben davon getrennt. Der Beitrag zu Art. 4 und KI-Kompetenzmaßnahmen erläutert die geltende Fassung. Einen Arbeitsentwurf für KI-Kompetenzmaßnahmen können Sie mit offenen Angaben und nächsten Schritten ohne Konto zusammenstellen. Das Ergebnis ist kein Schulungsnachweis und nimmt keine Risikoeinstufung vor.

Ihre ersten fünf Schritte

• System, Version, Rolle und tatsächliche Zweckbestimmung intern festhalten.
• Anhang III, konkrete Auswirkungen, Profiling und eine behauptete Ausnahme anhand der Anbieterunterlagen prüfen.
• Einschlägige Zeitstufe und Übergangsregel zuordnen; bereits geltende andere Pflichten getrennt bearbeiten.
• Aufsicht, Zuständigkeiten, benötigte Unterlagen und offene Beschaffungsfragen konkret benennen.
• KI-Kompetenzmaßnahmen aus Einsatz, Vorwissen und betroffenen Gruppen ableiten; Durchführung und Unterlagen später tatsächlich dokumentieren.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Einstufung ersetzt keine Prüfung im Einzelfall. Wenden Sie sich dafür an fachkundige Beratung.