Die besonderen Pflichten für Betreiber, also Unternehmen, die Hochrisiko-KI im Personalwesen einsetzen, gelten erst ab dem 2. Dezember 2027 statt ab dem 2. August 2026. KMU erhalten dadurch laut Verordnung (EU) 2026/1744 weitere 16 Monate, um ihre HR-Software, Zuständigkeiten und Verträge zu prüfen. Die bereits geltende Pflicht zur KI-Kompetenz wurde jedoch nicht verschoben.
Was wurde bei KI im Personalwesen verschoben?
Die besonderen Vorschriften für eigenständige Hochrisiko-KI gelten nun ab dem 2. Dezember 2027. Der ursprüngliche Stichtag war der 2. August 2026.
Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 veröffentlicht und trat am 27. Juli 2026 unmittelbar in der gesamten Europäischen Union in Kraft. Sie wird häufig als KI-Omnibus bezeichnet und ändert den Zeitplan der europäischen KI-Verordnung.
Der Aufschub bedeutet nicht, dass Unternehmen das Thema bis Ende 2027 beiseitelegen können. Zunächst muss geklärt werden, welche eingesetzte Software überhaupt künstliche Intelligenz nutzt und welche Entscheidungen sie beeinflusst. Dafür werden Informationen des Softwareanbieters, interne Abläufe und häufig auch praktische Tests benötigt.
Ein Pflegebetrieb sollte beispielsweise nicht nur sein Bewerberportal prüfen. Auch Dienstplanung, Tourenverteilung, Zeiterfassung und Leistungsberichte können Funktionen enthalten, die Beschäftigte bewerten oder Aufgaben personenbezogen verteilen.
Welche HR-Systeme gelten als hochriskant?
Als hochriskant gelten insbesondere KI-Systeme, die Bewerber auswählen, Beförderungen oder Kündigungen beeinflussen, Aufgaben personenbezogen verteilen oder Beschäftigte überwachen und bewerten. Entscheidend ist die tatsächliche Funktion, nicht der Produktname.
Der Anhang III der europäischen KI-Verordnung nennt unter anderem Systeme für die Auswahl von Bewerbern sowie für Entscheidungen über Arbeitsverhältnisse, Aufgabenverteilung und Leistungsüberwachung. Das kann zum Beispiel eine Software sein, die 80 Bewerbungen automatisch sortiert und nur die zehn am höchsten bewerteten Personen vorlegt.
Weitere Beispiele sind eine Schichtplanung, die Beschäftigte anhand von Fehlzeiten oder Geschwindigkeit einteilt, oder eine Reinigungssoftware, die einzelne Arbeitskräfte fortlaufend nach Flächenleistung bewertet. Eine Übersicht zur praktischen Dienstplanung mit KI und ihren Einsatzmöglichkeiten hilft dabei, automatische Vorschläge von personenbezogenen Entscheidungen zu unterscheiden.
Nicht jedes Personalwerkzeug ist automatisch Hochrisiko-KI. Eine eng begrenzte Vorbereitungsaufgabe kann ausgenommen sein, wenn sie das Entscheidungsergebnis nicht wesentlich beeinflusst. Führt das System jedoch Profiling durch, also eine automatisierte Bewertung persönlicher Merkmale oder des Arbeitsverhaltens, gilt es grundsätzlich als hochriskant.
Die Abgrenzung muss für jede Funktion einzeln erfolgen. Eine Personalsoftware kann zugleich unkritische Funktionen wie Terminbestätigungen und eine möglicherweise hochriskante Bewerberbewertung enthalten.
Was sollten KMU bis Dezember 2027 vorbereiten?
Unternehmen sollten ihre Systeme erfassen, die Risikoeinstufung klären und eine verantwortliche Person für die menschliche Aufsicht benennen. Zusätzlich sind Protokollierung, interne Anweisungen und belastbare Vereinbarungen mit den Anbietern vorzubereiten.
- Softwarebestand erfassen: Listen Sie Bewerberportale, Dienstplanung, Zeiterfassung, Tourenplanung, Leistungsberichte und Überwachungssysteme auf. Notieren Sie Anbieter, Version, verantwortliche Abteilung und den konkreten Zweck.
- Entscheidungseinfluss prüfen: Halten Sie fest, ob die Software nur Daten ordnet, eine Empfehlung abgibt oder faktisch entscheidet. Prüfen Sie auch, ob Beschäftigte eine Empfehlung ohne Nachteile ablehnen oder korrigieren können.
- Menschliche Aufsicht festlegen: Laut KI-Verordnung müssen Betreiber geeignete technische und organisatorische Maßnahmen treffen und eine qualifizierte Person für die Aufsicht bestimmen. Diese Person muss Ausgaben verstehen, Fehler erkennen und Entscheidungen stoppen oder übergehen können.
- Protokolle sichern: Automatisch erzeugte Protokolle müssen Betreiber laut KI-Verordnung grundsätzlich mindestens sechs Monate aufbewahren, soweit sie ihrer Kontrolle unterliegen. Der Anbieter sollte deshalb erklären, welche Protokolle entstehen, wie sie exportiert werden und wann sie gelöscht werden.
- Beschäftigte informieren: Arbeitgeber müssen Arbeitnehmervertretungen und betroffene Beschäftigte vor dem Einsatz eines Hochrisiko-KI-Systems am Arbeitsplatz informieren. Die Information sollte Zweck, Funktionsweise, verwendete Daten und zuständige Ansprechpersonen verständlich benennen.
Im Anbietervertrag sollte außerdem stehen, welche Partei welche Rolle nach der KI-Verordnung übernimmt. Wichtig sind Zusagen zu Dokumentation, Aktualisierungen, Störungsmeldungen, Protokollexport und Unterstützung bei Prüfungen. Allgemeine Werbeaussagen wie „vollständig konform“ reichen dafür nicht aus.
Welche Pflichten gelten bereits vor Dezember 2027?
Die Pflicht, bei den beteiligten Beschäftigten für ausreichende KI-Kompetenz zu sorgen, gilt bereits seit dem 2. Februar 2025. Sie wurde durch die Verordnung (EU) 2026/1744 nicht auf Dezember 2027 verschoben.
KI-Kompetenz bedeutet, dass Beschäftigte die eingesetzten Systeme passend zu ihrer Aufgabe verstehen und Risiken einschätzen können. Eine Personalreferentin benötigt andere Kenntnisse als eine Führungskraft, die automatische Leistungsberichte freigibt.
Eine Schulung sollte mindestens den Zweck des Systems, typische Fehler, verbotene Nutzungen, den Umgang mit personenbezogenen Daten und den Weg für Rückfragen behandeln. Dokumentieren Sie Datum, Teilnehmer, Inhalte und verantwortliche Person. Eine einmalige allgemeine Präsentation ist bei veränderten Funktionen oder neuen Risiken möglicherweise nicht ausreichend.
Auch Datenschutz, arbeitsrechtliche Informationspflichten und Beteiligungsrechte verschwinden durch den Aufschub nicht. Nach Angaben der Europäischen Kommission sind für Verstöße gegen sonstige Pflichten der KI-Verordnung grundsätzlich Geldbußen bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes vorgesehen, wobei bei KMU jeweils der niedrigere Schwellenwert maßgeblich ist.
Wie lässt sich der Softwarecheck in 90 Tagen organisieren?
Ein erster belastbarer Überblick ist mit einem klar begrenzten 90-Tage-Plan möglich. Ziel ist noch keine abschließende juristische Bewertung, sondern eine vollständige Bestandsaufnahme mit priorisierten Lücken.
- Tag 1 bis 30: Systeme, Funktionen, Anbieter, Datenarten und verantwortliche Personen erfassen.
- Tag 31 bis 60: Entscheidungseinfluss, Profiling, menschliche Kontrolle und vorhandene Protokolle prüfen. Fehlende Anbieterunterlagen schriftlich anfordern.
- Tag 61 bis 90: Zuständigkeiten festlegen, Mitarbeiterschulungen planen, Informationsunterlagen vorbereiten und offene Vertragsfragen priorisieren.
Beginnen Sie mit Anwendungen, die direkte Folgen für Menschen haben. Eine automatische Rangliste von Bewerbern oder eine leistungsabhängige Schichtverteilung ist dringlicher als ein Werkzeug, das lediglich Stellenanzeigen sprachlich überarbeitet.
ibx company berät kleine und mittlere Unternehmen aus Hannover und der Region bei der strukturierten Prüfung und Umsetzung von Digitalisierungsvorhaben. Wenn Sie Ihren Softwarebestand und die nächsten Schritte gemeinsam einordnen möchten, können Sie ein unverbindliches Erstgespräch vereinbaren.
Häufige Fragen
Muss ich Bewerber über den Einsatz von KI informieren?
Informationspflichten hängen von der konkreten Nutzung, der Risikoeinstufung und dem Datenschutzrecht ab. Bei Hochrisiko-KI am Arbeitsplatz müssen Arbeitgeber betroffene Beschäftigte und Arbeitnehmervertretungen vor dem Einsatz informieren. Bei Bewerbern sollten Unternehmen zusätzlich prüfen, welche Informationen nach der Datenschutz-Grundverordnung erforderlich sind.
Ist eine automatische Schichtplanung immer Hochrisiko-KI?
Nein. Eine Schichtplanung ist nicht allein deshalb hochriskant, weil sie automatisch Vorschläge erstellt. Relevant wird es, wenn eine KI Aufgaben personenbezogen zuteilt, Beschäftigte bewertet oder Profiling nutzt und dadurch Entscheidungen wesentlich beeinflusst.
Wer darf die menschliche Aufsicht über ein KI-System übernehmen?
Die zuständige Person muss ausreichend qualifiziert sein und die Grenzen des Systems kennen. Sie muss Ergebnisse kritisch prüfen, Fehler erkennen und Ausgaben bei Bedarf übergehen oder den Einsatz stoppen können. Eine bloße formale Benennung ohne Zeit, Schulung und Befugnisse genügt dafür nicht.
Welche Unterlagen sollte ich vom Anbieter meiner HR-Software verlangen?
Fordern Sie eine Beschreibung der KI-Funktionen, die vorgesehene Risikoeinstufung, Bedienungsanleitungen und Angaben zu Protokollen an. Klären Sie außerdem, wie Aktualisierungen, Störungen, Datenexporte und Löschfristen behandelt werden. Zuständigkeiten und Unterstützungsleistungen sollten schriftlich vereinbart sein.