Die Risikostufen
Die KI-Verordnung reguliert nicht die Technik, sondern den Einsatzzweck. Dasselbe Sprachmodell kann in einer Stufe stehen, wenn es Anzeigentexte entwirft, und in einer anderen, wenn es Bewerbungen bewertet. Vier Stufen: Verbotene Praktiken, darunter Emotionserkennung am Arbeitsplatz. Hochrisiko-Systeme mit umfangreichen Pflichten, darunter die meisten Entscheidungssysteme im Beschäftigungskontext. Systeme mit Transparenzpflichten, etwa Chatbots, die sich als KI zu erkennen geben müssen. Und alles andere, für das keine besonderen Pflichten gelten.
Welche HR-Anwendungen als Hochrisiko gelten
Verboten, nicht nur Hochrisiko: Systeme zur Erkennung von Emotionen am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen. Das betrifft etwa Tools, die in Videointerviews Stimmung oder Stress auswerten wollen.
Pflichten des Betreibers
Für die meisten HR-Teams gilt: Der Systemanbieter trägt die schweren Pflichten, Risikomanagement, technische Dokumentation, Konformitätsbewertung, Registrierung in der EU-Datenbank. Der Arbeitgeber als Betreiber hat eigene, kleinere Pflichten, und die sind konkret:
- Nutzung nach AnbietervorgabenDas System so einsetzen, wie es die Gebrauchsanweisung des Anbieters vorsieht, nicht darüber hinaus.
- Menschliche AufsichtBenannte Personen mit Kompetenz und Befugnis, das System zu überwachen und einzugreifen. Keine automatisierte Entscheidung ohne Mensch.
- Information der BetroffenenBeschäftigte und Bewerbende erfahren, dass ein Hochrisiko-System eingesetzt wird.
- Information des BetriebsratsVor Inbetriebnahme, ausdrücklich in der Verordnung genannt. Das deckt sich mit der Mitbestimmung nach § 87 BetrVG.
- Protokolle aufbewahrenMindestens sechs Monate, sofern das System sie erzeugt.
- KI-KompetenzNutzende sind geschult, dokumentiert. Gilt seit Februar 2025 für alle KI-Systeme, nicht nur Hochrisiko.
- Datenschutz-FolgenabschätzungDie Verordnung verweist auf die DSGVO-Pflicht, wo sie greift.
Anbieter oder Betreiber: der Unterschied, der zählt
Wer ein Tool eines Anbieters nutzt, ist Betreiber. Wer ein eigenes System baut, ein bestehendes wesentlich verändert oder unter eigenem Namen anbietet, wird selbst zum Anbieter, mit Konformitätsbewertung, Registrierung und technischer Dokumentation. Für HR-Teams heißt das: Eigene Prompts in Copilot oder ChatGPT Enterprise machen Sie nicht zum Anbieter. Ein selbst trainiertes Modell auf Ihren Bewerberdaten schon. Wer zwischen beiden steht, etwa mit einem stark angepassten Tool eines kleinen Anbieters, sollte das vor dem Rollout mit einer Kanzlei klären, nicht danach.
Fristen
Die Verordnung gilt stufenweise. Für HR-Teams sind drei Daten relevant:
Wer heute ein Screening-Tool einführt, plant mit den vollen Hochrisiko-Pflichten. Wer bereits eines nutzt, hat bis August 2026 Zeit, den Rahmen nachzuziehen, und sollte das nicht auf den letzten Monat legen, weil die Betriebsvereinbarung dafür zwei bis vier Monate braucht.
Verhältnis zur Betriebsvereinbarung
Eine Betriebsvereinbarung KI sollte bei Hochrisiko-Anwendungsfällen ausdrücklich auf die KI-VO-Einstufung und die Betreiberpflichten verweisen, damit Betriebsrat und Belegschaft wissen, dass zusätzliche Pflichten gelten: wer die menschliche Aufsicht führt, wie Betroffene informiert werden, wo Protokolle liegen. Die Informationspflicht gegenüber dem Betriebsrat aus der Verordnung und das Mitbestimmungsrecht aus § 87 BetrVG laufen dabei zusammen, nicht nebeneinander. Details zur Vereinbarung selbst stehen unter Betriebsvereinbarung KI, die Datenschutzseite unter DSGVO und KI im HR.
KI-Routinen im HR mit Betriebsvereinbarung eingeführt, Einordnung nach KI-Verordnung aus der Praxis. Keine Rechtsberatung, Gesetzesstellen zum Nachlesen genannt. Mehr zu mir
KI-Register-Vorlage für HR-Anwendungen
Eine Tabelle, mit der Sie Ihre KI-Anwendungsfälle nach Risikostufe erfassen und dokumentieren: Anwendungsfall, Werkzeug, Daten, Stufe nach KI-VO, Betreiberpflichten, Verantwortliche, Stand der Betriebsvereinbarung. Die Grundlage für Betriebsrat, Datenschutzbeauftragten und Prüfung.
Häufige Fragen
Ab wann gelten diese Pflichten?
Die KI-Verordnung gilt stufenweise. Verbote und KI-Kompetenzpflicht seit Februar 2025, Transparenzpflichten seit August 2025, die vollständigen Hochrisiko-Pflichten für den Beschäftigungskontext ab August 2026. Wer heute ein Screening-Tool einführt, plant mit den Hochrisiko-Pflichten.
Betrifft das auch kleine Unternehmen?
Ja, die KI-Verordnung unterscheidet nicht nach Unternehmensgröße, sondern nach Risikostufe der Anwendung. Ein Unternehmen mit 60 Mitarbeitenden, das Bewerbungen mit KI vorsortiert, betreibt ein Hochrisiko-System.
Sind wir Anbieter oder Betreiber?
Wer ein Tool eines Anbieters nutzt, ist Betreiber. Wer ein eigenes System baut oder ein bestehendes wesentlich verändert, wird zum Anbieter mit deutlich mehr Pflichten. Eigene Prompts machen Sie nicht zum Anbieter, ein selbst trainiertes Modell schon.
Gilt ein Sprachmodell wie ChatGPT als Hochrisiko?
Das Modell selbst nicht. Es zählt der Einsatzzweck: Ein Sprachmodell, mit dem Bewerbungen bewertet werden, ist im Beschäftigungskontext ein Hochrisiko-System. Dasselbe Modell für Stellenanzeigen ist es nicht.
Was ist mit der KI-Kompetenz-Pflicht?
Seit Februar 2025 müssen Unternehmen sicherstellen, dass Mitarbeitende, die KI-Systeme nutzen, ausreichend geschult sind. Für HR-Teams heißt das: Schulung vor Nutzung, dokumentiert. Das gehört in die Betriebsvereinbarung und die Richtlinie.