Der EU AI Act stuft fast jedes KI-System in HR-Prozessen als Hochrisiko ein. Diese Systeme müssen strenge Anforderungen an Risikomanagement, Transparenz und menschliche Aufsicht erfüllen - seit der Verordnung (EU) 2026/1744 ab dem 2. Dezember 2027.
Auf einen Blick - HR-KI ist Hochrisiko unter dem EU AI Act
- KI-Systeme für Recruiting, Leistungsbeurteilungen, Beförderungen und Kündigungen werden unter Anhang III, Nr. 4 des EU AI Act als Hochrisiko eingestuft.
- Verbotene KI-Praktiken (Social Scoring, Manipulation) gelten seit dem 2. Februar 2025, die Transparenzpflichten des Art. 50 seit dem 2. August 2026. Die vollständigen Hochrisiko-Pflichten nach Anhang III greifen seit der Verordnung (EU) 2026/1744 ab dem 2. Dezember 2027.
- Sechs Pflichtanforderungen: Risikomanagement, Datengovernance, Aufzeichnungspflichten, Transparenz, menschliche Aufsicht und Genauigkeit/Robustheit.
- Der Decision Layer bildet jede Anforderung architektonisch ab: Confidence Routing für Risiko, versionierte Regelwerke für Datengovernance, Audit Trail für Aufzeichnungen, Human-in-the-Loop für Aufsicht.
- Bußgelder bis zu 15 Millionen Euro oder 3% des weltweiten Jahresumsatzes bei Verstößen gegen die Hochrisiko-Pflichten (Art. 99 Abs. 4) - bis zu 35 Millionen Euro oder 7% bei verbotenen KI-Praktiken (Art. 5).
Laut einer PwC-Studie (2024) haben nur 24% der Unternehmen, die KI in HR-Prozessen einsetzen, mit der formalen EU-AI-Act-Compliance begonnen - obwohl die Hochrisiko-Frist (2. Dezember 2027) den Aufbau einer auditierbaren Governance verlangt.
| EU AI Act Artikel | Anforderung | Decision Layer Umsetzung |
|---|---|---|
| Art. 9 | Risikomanagementsystem | Confidence Routing mit konfigurierbaren Schwellenwerten |
| Art. 10 | Datengovernance | Versionierte Regelwerke mit Gültigkeitsdaten |
| Art. 12 | Aufzeichnungspflichten | Unveränderlicher Audit Trail pro Entscheidung |
| Art. 13 | Transparenz | Auditor Portal mit vollständigem Entscheidungspfad |
| Art. 14 | Menschliche Aufsicht | Erzwungener Human-in-the-Loop für definierte Typen |
| Art. 15 | Genauigkeit und Robustheit | Bias Monitoring und modell-agnostisches Design |
| Art. 86 | Recht auf Erläuterung der Einzelentscheidung | Entscheidungsakt pro Mikroentscheidung mit Anfechtungspfad |
Die Einstufung: HR-KI ist Hochrisiko
Der EU AI Act stuft KI-Systeme die in Beschäftigung, Personalmanagement und Zugang zu selbstständiger Erwerbstätigkeit eingesetzt werden, als Hochrisiko ein (Anhang III, Nr. 4). Das betrifft konkret:
KI-Systeme für Recruiting und Bewerberauswahl. KI-Systeme die Einfluss auf Beförderung, Kündigung, Aufgabenzuweisung oder Leistungsüberwachung haben. KI-Systeme die Arbeitsbedingungen beeinflussen - einschließlich Gehaltsanpassungen, Eingruppierungen und Schichtplanung.
Kurz: Fast jeder KI-Agent, der in HR-Prozessen Entscheidungen vorbereitet, unterstützt oder trifft, fällt unter die Hochrisiko-Kategorie.
Die Fristen
Seit dem 2. Februar 2025 gelten die Verbote für inakzeptable KI-Praktiken - darunter Social Scoring und manipulative Techniken. Seit dem 2. August 2026 gelten die Transparenzpflichten des Art. 50: Wer mit einem KI-System interagiert, muss darüber informiert werden, KI-erzeugte Inhalte sind zu kennzeichnen. Die vollständigen Pflichten für Hochrisiko-KI-Systeme nach Anhang III greifen dagegen erst ab dem 2. Dezember 2027 - die Verordnung (EU) 2026/1744 (Digital-Omnibus-Paket) wurde am 24. Juli 2026 im Amtsblatt veröffentlicht, ist seit dem 27. Juli 2026 in Kraft und hat den früheren Stichtag 2. August 2026 ersetzt. Für in Produkte eingebettete Systeme nach Anhang I gilt der 2. August 2028. Die Einstufung als Hochrisiko bleibt unverändert bestehen: Der Aufbau auditierbarer Governance-Strukturen lohnt sich, und die gewonnene Zeit sollte dafür genutzt werden.
Was konkret gefordert wird - und wie der Decision Layer es erfüllt
Die folgenden Anforderungen gelten für jeden Betreiber eines Hochrisiko-KI-Systems im HR-Bereich:
Artikel 9 - Risikomanagementsystem: Der EU AI Act fordert ein kontinuierliches Risikomanagementsystem das Risiken identifiziert, bewertet und mindert. Im Decision Layer wird das durch Confidence Routing umgesetzt: Jede Agenten-Entscheidung wird automatisch nach Konfidenz und Risikokategorie bewertet. Hohes Risiko oder niedrige Konfidenz führt zur Eskalation an einen Menschen. Die Schwellenwerte sind konfigurierbar und dokumentiert.
Artikel 10 - Datengovernance: Versionierte Regelwerke im Decision Layer stellen sicher, dass die Datengrundlage jeder Entscheidung nachvollziehbar ist. Tarifverträge, Betriebsvereinbarungen und Compliance-Regeln haben Versionen, Gültigkeitsdaten und Geltungsbereiche. Bei einer Prüfung ist nachvollziehbar, welches Regelwerk in welcher Version zum Entscheidungszeitpunkt galt.
Artikel 12 - Aufzeichnungspflichten: Der Audit Trail im Decision Layer erzeugt für jede Entscheidung einen vollständigen, unveränderlichen Datensatz: Input, Modell, Regelwerk, Konfidenz, Routing-Entscheidung, Ergebnis, Zeitstempel. Automatisch, nicht nachträglich zusammengestellt.
Artikel 13 - Transparenz: Jede Agenten-Entscheidung ist im Auditor Portal nachvollziehbar. Betriebsräte, Datenschutzbeauftragte und Prüfer können den Entscheidungspfad einsehen. Keine Blackbox.
Artikel 14 - Menschliche Aufsicht: Human-in-the-Loop ist im Decision Layer ein Architekturprinzip, nicht eine optionale Einstellung. Bei definierten Entscheidungstypen - Diskriminierungspotenzial, Mitbestimmungsthemen, Wertgrenzen - erzwingt die Architektur menschliche Prüfung. Ein Agent kann diese Prüfung nicht umgehen.
Artikel 15 - Genauigkeit, Robustheit und Cybersicherheit: Bias Monitoring prüft systematisch auf diskriminierende Muster. Konfidenz-Schwellenwerte stellen sicher, dass der Agent nur bei ausreichender Sicherheit autonom entscheidet. Modell-Agnostik ermöglicht den Wechsel des Sprachmodells ohne Änderung der Governance-Logik.
Artikel 86 - Recht auf Erläuterung: Über die sechs Betreiber-Pflichten hinaus gibt Art. 86 jeder betroffenen Person einen Anspruch auf Erläuterung der einzelnen Entscheidung - nicht des Systems im Allgemeinen, sondern dieses einen Falls. Diese Frage lässt sich nur über einen Entscheidungsakt pro Mikroentscheidung beantworten: Input, angewandte Fachregel samt Version, Konfidenz, Ergebnis und Anfechtungspfad. Der Decision Layer erzeugt diesen Akt im Moment der Entscheidung und macht den Art.-86-Anspruch damit pro Einzelfall erfüllbar.
Kostenloses eBook: KI in HR
EU AI Act Checkliste, Decision-Framework, Betriebsrats-Perspektive und Readiness-Assessment - das Governance-Handbuch für HR-Verantwortliche.
Jetzt kostenlos herunterladenWas das für HR-Abteilungen bedeutet
Unternehmen die heute KI in HR-Prozessen einsetzen oder einsetzen wollen, müssen Governance-Strukturen aufbauen - maßgeblich ist seit der Verordnung (EU) 2026/1744 der 2. Dezember 2027. Das bedeutet konkret:
Dokumentierte Entscheidungslogik für jeden KI-gestützten HR-Prozess. Technisch erzwungene Human-in-the-Loop-Mechanismen für Entscheidungen mit Personalbezug. Prüfungssichere Audit Trails die nachvollziehbar machen, wie jede Entscheidung zustande kam. Bias-Monitoring das diskriminierende Muster erkennt und meldet.
In Deutschland kommen die Anforderungen des Betriebsverfassungsgesetzes hinzu: Betriebsräte haben ein Mitbestimmungsrecht bei technischen Einrichtungen die das Verhalten oder die Leistung von Arbeitnehmern überwachen (§ 87 Abs. 1 Nr. 6 BetrVG). KI-Agenten in HR-Prozessen fallen unter diese Kategorie.
Der Decision Layer adressiert beide Anforderungsblöcke - EU AI Act und deutsches Mitbestimmungsrecht - in einer Architektur.
→ Entscheidungsakt: Warum jede KI-Entscheidung anfechtbar sein muss
→ Mitbestimmung und Betriebsrat
→ HR Agent
Termin vereinbaren - Wir zeigen Ihnen, welche Ihrer HR-Prozesse unter die Hochrisiko-Kategorie fallen und wie der Decision Layer die Anforderungen erfüllt.
Bert Gogolin
Geschäftsführer, Gosign
AI Governance Briefing
Enterprise AI, Regulierung und Infrastruktur - einmal im Monat, direkt von mir.