Die Risikostufen
Die KI-Verordnung reguliert nicht die Technik, sondern den Einsatzzweck. Dasselbe Sprachmodell kann in einer Stufe stehen, wenn es Anzeigentexte entwirft, und in einer anderen, wenn es Bewerbungen bewertet. Vier Stufen: Verbotene Praktiken, darunter Emotionserkennung am Arbeitsplatz. Hochrisiko-Systeme mit umfangreichen Pflichten, darunter die meisten Entscheidungssysteme im Beschäftigungskontext. Systeme mit Transparenzpflichten, etwa Chatbots, die sich als KI zu erkennen geben müssen. Und alles andere, für das keine besonderen Pflichten gelten.
Welche HR-Anwendungen als Hochrisiko gelten
Verboten, nicht nur Hochrisiko: Systeme zur Erkennung von Emotionen am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen. Das betrifft etwa Tools, die in Videointerviews Stimmung oder Stress auswerten wollen.
Pflichten des Betreibers
Für die meisten HR-Teams gilt: Der Systemanbieter trägt die schweren Pflichten, Risikomanagement, technische Dokumentation, Konformitätsbewertung, Registrierung in der EU-Datenbank. Der Arbeitgeber als Betreiber hat eigene, kleinere Pflichten, und die sind konkret:
- Nutzung nach AnbietervorgabenDas System so einsetzen, wie es die Gebrauchsanweisung des Anbieters vorsieht, nicht darüber hinaus.
- Menschliche AufsichtBenannte Personen mit Kompetenz und Befugnis, das System zu überwachen und einzugreifen. Keine automatisierte Entscheidung ohne Mensch.
- Information der BetroffenenBeschäftigte und Bewerbende erfahren, dass ein Hochrisiko-System eingesetzt wird.
- Information des BetriebsratsVor Inbetriebnahme, ausdrücklich in der Verordnung genannt. Das deckt sich mit der Mitbestimmung nach § 87 BetrVG.
- Protokolle aufbewahrenMindestens sechs Monate, sofern das System sie erzeugt.
- KI-KompetenzNutzende sind geschult, dokumentiert. Gilt seit Februar 2025 für alle KI-Systeme, nicht nur Hochrisiko, seit dem Omnibus als Pflicht zur Förderung.
- Datenschutz-FolgenabschätzungDie Verordnung verweist auf die DSGVO-Pflicht, wo sie greift.
Anbieter oder Betreiber: der Unterschied, der zählt
Wer ein Tool eines Anbieters nutzt, ist Betreiber. Wer ein eigenes System baut, ein bestehendes wesentlich verändert oder unter eigenem Namen anbietet, wird selbst zum Anbieter, mit Konformitätsbewertung, Registrierung und technischer Dokumentation. Für HR-Teams heißt das: Eigene Prompts in Copilot oder ChatGPT Enterprise machen Sie nicht zum Anbieter. Ein selbst trainiertes Modell auf Ihren Bewerberdaten schon. Wer zwischen beiden steht, etwa mit einem stark angepassten Tool eines kleinen Anbieters, sollte das vor dem Rollout mit einer Kanzlei klären, nicht danach.
Fristen
Die Verordnung gilt stufenweise. Der Digital Omnibus (Verordnung (EU) 2026/1744), in Kraft seit dem 27. Juli 2026, hat die Hochrisiko-Fristen nach hinten verschoben. Für HR-Teams sind diese Daten relevant:
Ursprünglich sollten die Hochrisiko-Pflichten für HR ab August 2026 gelten, jetzt ab dem 2. Dezember 2027. Die Pflichten selbst sind gleich geblieben, nur der Start hat sich bewegt. Wer heute ein Screening-Tool einführt, plant deshalb schon mit ihnen. Wer bereits eines nutzt, gewinnt Zeit, sollte den Rahmen aber nicht auf die letzten Monate legen, weil die Betriebsvereinbarung dafür zwei bis vier Monate braucht. Was der Omnibus an der Schulungspflicht geändert hat, steht unter KI-Schulung für Mitarbeitende, die Quelle zum Nachlesen ist der Omnibus-Text im AI Act Explorer.
Verhältnis zur Betriebsvereinbarung
Eine Betriebsvereinbarung KI sollte bei Hochrisiko-Anwendungsfällen ausdrücklich auf die KI-VO-Einstufung und die Betreiberpflichten verweisen, damit Betriebsrat und Belegschaft wissen, dass zusätzliche Pflichten gelten: wer die menschliche Aufsicht führt, wie Betroffene informiert werden, wo Protokolle liegen. Die Informationspflicht gegenüber dem Betriebsrat aus der Verordnung und das Mitbestimmungsrecht aus § 87 BetrVG laufen dabei zusammen, nicht nebeneinander. Details zur Vereinbarung selbst stehen unter Betriebsvereinbarung KI, die Datenschutzseite unter DSGVO und KI im HR.
KI-Register-Vorlage für HR-Anwendungen
Eine Tabelle, mit der Sie Ihre KI-Anwendungsfälle nach Risikostufe erfassen und dokumentieren: Anwendungsfall, Werkzeug, Daten, Stufe nach KI-VO, Betreiberpflichten, Verantwortliche, Stand der Betriebsvereinbarung. Die Grundlage für Betriebsrat, Datenschutzbeauftragten und Prüfung.
Häufige Fragen
Ab wann gelten diese Pflichten?
Die KI-Verordnung gilt stufenweise. Verbote und KI-Kompetenzpflicht seit Februar 2025, Regeln für allgemeine KI-Modelle seit August 2025, Transparenzpflichten nach Art. 50 seit August 2026. Die Hochrisiko-Pflichten für den Beschäftigungskontext sollten ursprünglich ab August 2026 gelten. Der Digital Omnibus, in Kraft seit dem 27. Juli 2026, hat sie auf den 2. Dezember 2027 verschoben. Wer heute ein Screening-Tool einführt, plant trotzdem mit ihnen, weil das Tool dann sehr wahrscheinlich noch läuft.
Betrifft das auch kleine Unternehmen?
Ja, die KI-Verordnung unterscheidet nicht nach Unternehmensgröße, sondern nach Risikostufe der Anwendung. Ein Unternehmen mit 60 Mitarbeitenden, das Bewerbungen mit KI vorsortiert, betreibt ein Hochrisiko-System.
Sind wir Anbieter oder Betreiber?
Wer ein Tool eines Anbieters nutzt, ist Betreiber. Wer ein eigenes System baut oder ein bestehendes wesentlich verändert, wird zum Anbieter mit deutlich mehr Pflichten. Eigene Prompts machen Sie nicht zum Anbieter, ein selbst trainiertes Modell schon.
Gilt ein Sprachmodell wie ChatGPT als Hochrisiko?
Das Modell selbst nicht. Es zählt der Einsatzzweck: Ein Sprachmodell, mit dem Bewerbungen bewertet werden, ist im Beschäftigungskontext ein Hochrisiko-System. Dasselbe Modell für Stellenanzeigen ist es nicht.
Was ist mit der KI-Kompetenz-Pflicht?
Sie gilt seit Februar 2025 für jedes Unternehmen, das KI einsetzt. Der Digital Omnibus hat sie am 27. Juli 2026 abgeschwächt, aber nicht abgeschafft: Verlangt sind seither Maßnahmen, die die KI-Kompetenz der Mitarbeitenden fördern, kein garantiertes Niveau je Person. Für HR-Teams heißt das: Schulung vor Nutzung, intern dokumentiert. Das gehört in die Betriebsvereinbarung und die Richtlinie.