EU AI Act für HR in Deutschland: Hochrisiko-Pflichten, Verbote, Schulungspflicht und Aufsicht (September 2026)

EU AI Act und HR: was seit 2025 gilt und was 2027 kommt

Die KI-Verordnung, Verordnung (EU) 2024/1689, ist am 1. August 2024 in Kraft getreten und gilt in Stufen. Seit dem 2. Februar 2025 gelten die Verbote und die Pflicht zur KI-Kompetenz. Seit dem 2. August 2026 gelten die meisten übrigen Regeln, darunter die Transparenzpflichten nach Art. 50 und die Durchsetzung.

Die Hochrisiko-Pflichten für HR sollten ebenfalls am 2. August 2026 starten. Der Digital-Omnibus, Verordnung (EU) 2026/1744, hat sie verschoben. Er ist seit dem 27. Juli 2026 in Kraft, das Europäische Parlament hatte am 16. Juni zugestimmt, der Rat am 29. Juni. Für Anwendungen nach Anhang III, zu denen die Beschäftigung gehört, gilt jetzt der 2. Dezember 2027.

Deutschland hat die Durchführung parallel geregelt. Der Bundestag beschloss das Gesetz am 11. Juni 2026 mit den Stimmen von CDU/CSU und SPD. Das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) vom 22. Juli 2026 ist seit dem 29. Juli 2026 in Kraft. Die Verschiebung ändert das Datum, nicht die Pflichten, und die Aufsicht steht schon.

Auch Konzerne mit Sitz außerhalb der EU sind erfasst. Nach Art. 2 Abs. 1 gilt die Verordnung für Anbieter, die KI in der EU in Verkehr bringen, und für Betreiber in der EU. Anbieter und Betreiber in Drittstaaten sind erfasst, wenn der Output in der EU verwendet wird. Die deutsche Tochter eines US-Konzerns, die ein globales Recruiting-Tool nutzt, ist damit Betreiberin.

Belege: [1][2][3][4][5][6]

Welche HR-Tools nach dem EU AI Act Hochrisiko sind

Anhang III Nr. 4 regelt die Beschäftigung. Buchstabe a erfasst KI für die Einstellung oder Auswahl, insbesondere gezielte Stellenanzeigen, das Sichten und Filtern von Bewerbungen und die Bewertung von Bewerber:innen. Buchstabe b erfasst KI für Entscheidungen über Arbeitsbedingungen, Beförderung und Kündigung. Dazu kommen die Zuteilung von Aufgaben nach Verhalten oder persönlichen Merkmalen und die Überwachung und Bewertung von Leistung und Verhalten.

Art. 6 Abs. 3 kennt eine Ausnahme für Systeme, die nur eine eng begrenzte Verfahrensaufgabe erfüllen oder menschliche Arbeit vorbereiten. Sie endet beim Profiling: Ein System nach Anhang III, das persönliche Aspekte von Menschen bewertet, ist immer Hochrisiko. Der Leitlinienentwurf der Kommission vom 19. Mai 2026 nennt als mögliche Ausnahmen etwa eine CV-Datenbank ohne Scoring und die reine Terminierung von Interviews.

Im deutschen Alltag ist die Leistungsbewertung ein Schwerpunkt. Laut einer Bitkom-Umfrage zu KI im Personalbereich vom August 2026 setzen 12 Prozent der Unternehmen KI bei der Leistungsbeurteilung ein, weitere 27 Prozent können es sich vorstellen. Bitkom nennt Unsicherheit beim AI Act als einen Grund für Zurückhaltung.

Die Einstufung folgt der Funktion, nicht dem Produkt. Ein Assistent, der Ziele formuliert, bewertet niemanden, ein Modul, das Beurteilungen aus Leistungsdaten entwirft, womöglich schon. In unserem Verzeichnis haben 3 der 19 Tools für Performance und Feedback ihren Sitz in Deutschland. Eine öffentliche Aussage zum AI Act fanden wir nur bei einem kleinen Teil der Anbieter für Recruiting, Eignungsdiagnostik und Performance in unserem Verzeichnis, eine eigene Einstufung nennen nur wenige. Fragen Sie jeden Anbieter nach seiner Einstufung je Funktion.

Belege: [7][8][9][10][11][12]

Verboten seit Februar 2025: Emotionserkennung bei Beschäftigten und Bewerber:innen

Art. 5 Abs. 1 lit. f verbietet KI, die Emotionen von Menschen am Arbeitsplatz ableitet, außer aus medizinischen oder Sicherheitsgründen. Gemeint sind Systeme, die Emotionen oder Absichten aus biometrischen Daten wie Gesicht oder Stimme erkennen. Nach den Leitlinien der Kommission vom 4. Februar 2025 umfasst der Arbeitsplatz das ganze Beschäftigungsverhältnis ab der Einstellung. Bewerber:innen sind also geschützt, Emotionen aus geschriebenem Text fallen nicht unter das Verbot.

Deutsche Datenschutzbehörden sahen das schon vorher so. Die Hamburger Datenschutzaufsicht zum Bewerberdatenschutz nennt Emotionsanalysen im Bewerbungsverfahren grundsätzlich unzulässig, weil sie in der Regel nicht erforderlich sind. Sie spricht ausdrücklich von einem Gleichlauf mit der KI-Verordnung.

Die Grenze ist im Detail umstritten. Retorio, ein Anbieter für KI-gestützte Trainings, analysiert Verhalten in Video-Übungen und schreibt, seine KI erkenne keine Emotionen, sondern nur Gesichtsausdrücke wie ein Lächeln. Ob das im Einzelfall trägt, entscheiden Aufsicht und Gerichte. Für HR heißt es: Lassen Sie sich schriftlich geben, welche Signale ein Tool auswertet und wozu.

Verstöße gegen Verbote sind am teuersten. Art. 99 sieht bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Verstöße von Betreibern gegen ihre übrigen Pflichten kosten bis zu 15 Millionen Euro oder 3 Prozent. Zuständig für Bußgelder sind nach §§ 15 bis 17 KI-MIG die Marktüberwachungsbehörden.

Belege: [13][14][15][16][17][18][19][5]

KI-Kompetenz nach Art. 4: die Schulungspflicht, die schon gilt

Art. 4 gilt seit dem 2. Februar 2025 für jedes Unternehmen, das KI einsetzt, ob Hochrisiko oder nicht. Er erfasst also schon eine Personalabteilung, deren Recruiter:innen einen Schreibassistenten nutzen. Der Digital-Omnibus hat den Artikel abgeschwächt: Unternehmen müssen Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern, ein bestimmtes Niveau ist nicht vorgeschrieben.

Die Kommission bestätigt in ihren Fragen und Antworten vom 27. Juli 2026, dass die Pflicht bleibt. Ein Zertifikat ist nicht nötig, eine interne Dokumentation der Schulungen reicht. Wer Hochrisiko-Systeme beaufsichtigt, muss dafür weiterhin geschult sein. Das Hinweispapier der Bundesnetzagentur zur KI-Kompetenz vom Juni 2025 empfiehlt ebenfalls, Maßnahmen zu dokumentieren. Es stammt aus der Zeit vor dem Omnibus und spricht noch von einem ausreichenden Maß.

Viele deutsche Unternehmen sind unterwegs. Bitkom hat 603 Unternehmen ab 20 Beschäftigten befragt und die Ergebnisse am 14. September 2026 veröffentlicht. Danach schulen 70 Prozent ihre Beschäftigten im Umgang mit KI. 25 Prozent bieten keinerlei Schulung an, im Vorjahr waren es 43 Prozent. 66 Prozent schätzen die KI-Kompetenz ihrer Beschäftigten als gering ein.

Für HR heißt das: Schulung nach Rolle. Recruiter:innen, die KI-Rankings lesen, müssen wissen, wie das Ranking entsteht und wann sie es übersteuern. Führungskräfte, die KI-Entwürfe für Beurteilungen bekommen, müssen wissen, was der Entwurf auslässt. Halten Sie je Gruppe fest, wer wann was gelernt hat.

Belege: [20][21][22][23]

Aufsicht in Deutschland: Bundesnetzagentur und KI-MIG

Nach § 2 Abs. 1 KI-MIG ist die Bundesnetzagentur die zuständige Marktüberwachungsbehörde, soweit das Gesetz nichts anderes bestimmt. Sonderzuständigkeiten gibt es etwa für die BaFin im Finanzbereich und für Landesbehörden bei Landesstellen. Für ein HR-Tool in einem privaten Unternehmen ist damit in aller Regel die Bundesnetzagentur zuständig.

Das Gesetz schafft außerdem eine unabhängige KI-Marktüberwachungskammer bei der Bundesnetzagentur (§ 4), ein Koordinierungs- und Kompetenzzentrum (§ 5) und eine zentrale Anlaufstelle (§ 6). In ihrer Mitteilung vom 29. Juli 2026 nennt die Bundesnetzagentur KI-Systeme im Personalmanagement ausdrücklich unter den Bereichen, die sie überwacht. Bei ihr können auch Beschwerden über mögliche Verstöße eingereicht werden.

Der Datenschutz bleibt bei den bisherigen Aufsichtsbehörden. Nach § 9 Abs. 4 KI-MIG beteiligt die Marktüberwachung die Datenschutzbehörden, soweit deren Zuständigkeit berührt ist. Wer ein KI-Tool für Bewerbungen einsetzt, hat es damit mit zwei Behörden zu tun. Für den AI Act ist die Bundesnetzagentur zuständig, für die DSGVO in der Regel die Datenschutzbehörde des Landes.

Für Fragen im Vorfeld betreibt die Bundesnetzagentur einen KI-Service-Desk mit Informationen zur Risikoeinstufung, vor allem für KMU und Start-ups. Das ist eine Orientierungshilfe, keine verbindliche Auskunft über Ihr konkretes Tool. Außerdem muss die Behörde nach dem Gesetz mindestens ein KI-Reallabor betreiben, in dem neue Anwendungen unter Aufsicht getestet werden.

Belege: [5][24][4]

Betriebsrat und Datenschutz: was der EU AI Act nicht ersetzt

Art. 26 Abs. 7 verpflichtet Arbeitgeber, die Arbeitnehmervertretung und die betroffenen Beschäftigten vor dem Einsatz eines Hochrisiko-Systems zu informieren. In Deutschland ist das die kleinste Pflicht. Nach Art. 2 Abs. 11 dürfen Mitgliedstaaten Regeln beibehalten, die Beschäftigte stärker schützen, und das BetrVG tut das.

Der Betriebsrat muss nach § 90 Abs. 1 Nr. 3 BetrVG über den Einsatz von KI unterrichtet werden. Auswahlrichtlinien brauchen nach § 95 Abs. 2a BetrVG seine Zustimmung, auch wenn KI sie aufstellt, und § 94 gilt für Beurteilungsgrundsätze. Überwacht ein Tool Verhalten oder Leistung, greift § 87 Abs. 1 Nr. 6. Nach § 80 Abs. 3 gilt ein Sachverständiger bei KI-Fragen als erforderlich.

Beim Datenschutz bleibt die DSGVO der Maßstab. Eine Grundrechte-Folgenabschätzung nach Art. 27 AI Act müssen vor allem öffentliche Stellen machen, die meisten privaten Arbeitgeber nicht. Eine Datenschutz-Folgenabschätzung kann trotzdem nötig sein, und nach Art. 26 Abs. 9 nutzen Sie dafür die Angaben des Anbieters. Art. 22 DSGVO verbietet zudem Auswahlentscheidungen, die allein die Software trifft.

Beziehen Sie den Betriebsrat deshalb bei der Auswahl des Tools ein, nicht erst vor dem Go-live. Wie das bei der Bewerberauswahl konkret aussieht, zeigt unser Ratgeber zu KI im Recruiting.

Belege: [25][6][26][27][28][29][30][31][17]

Checkliste: EU AI Act für HR-Teams in Deutschland

Beginnen Sie mit einer Bestandsaufnahme aller KI-Funktionen, auch der Assistenten, die in Ihrer HR-Suite stecken. Die Einstufung folgt dem Zweck jeder Funktion, nicht dem Produktnamen.

Planen Sie Zeit und Budget realistisch. In der Bitkom-Umfrage vom September 2026 rechnen 89 Prozent der Unternehmen, die sich vom AI Act betroffen sehen, mit hohem Umsetzungsaufwand, 51 Prozent sogar mit sehr hohem. Im Durchschnitt erwarten sie 2,1 Hochrisiko-Systeme im eigenen Haus, nach 1,5 im Vorjahr.

Die Liste ordnet die Schritte nach Dringlichkeit: erst das, was schon gilt, dann die Vorbereitung auf Dezember 2027. Welche Aufgaben die Assistenten großer HR-Suiten heute übernehmen, zeigt unser Vergleich der KI-Assistenten in HR-Software.

Belege: [25][32][33][1][23]