EU AI Act: HR-Compliance bis 2026 umsetzen

Der EU AI Act führt ein risikobasiertes Regelwerk ein, das KI-Anwendungen in vier Kategorien einteilt. HR-Systeme wie Bewerberauswahl-Tools, Performance-Analysen oder Chatbots für Mitarbeiteranfragen fallen unter die Kategorie „hochriskante KI“. Diese Einstufung zieht strenge Anforderungen nach sich, darunter kontinuierliche Risikomanagement-Systeme, DSGVO-konforme Datenverarbeitung und transparente Dokumentation von Entscheidungsprozessen. Besonders betroffen sind Applicant Tracking Systems (ATS) und People-Analytics-Tools, die personenbezogene Daten verarbeiten. Die EU-Kommission hat bereits formelle Auskunftsersuchen an große KI-Anbieter gerichtet, um Sicherheitslücken in deren Modellen zu prüfen – ein Signal für die verschärfte Aufsicht. ^[1][8]

Ab August 2026 müssen Unternehmen im DACH-Raum sicherstellen, dass ihre HR-KI-Systeme den Vorgaben des AI Acts entsprechen. Dazu gehören technische Anpassungen wie die Implementierung von „Human-in-the-Loop“-Prinzipien, die menschliche Aufsicht über automatisierte Entscheidungen garantieren. Organisatorisch sind Risikomanagement-Prozesse einzuführen, die eine kontinuierliche Überwachung der KI-Systeme ermöglichen. Vertraglich müssen Anbieter wie SAP SuccessFactors oder Workday nachweisen, dass ihre Lösungen den neuen Standards entsprechen. Lokale KI-Anbieter gewinnen an Bedeutung, da sie oft besser auf europäische Datenschutzanforderungen ausgerichtet sind als US-amerikanische Alternativen. ^[5][7]

Die Einhaltung des EU AI Acts erfordert eine enge Zusammenarbeit zwischen HR, IT und Rechtsabteilungen. Betriebsräte in Deutschland und Österreich erhalten erweiterte Mitbestimmungsrechte bei der Einführung von KI-Systemen, was die Komplexität der Umsetzung erhöht. Besonders kritisch sind KI-gestützte Recruiting-Tools wie Moka ATS, die Bewerberdaten automatisiert screenen. Diese Systeme müssen nicht nur datenschutzkonform sein, sondern auch diskriminierungsfreie Entscheidungen gewährleisten. Die Dokumentation der Trainingsdaten und Algorithmen wird zur Pflicht, um Transparenz gegenüber Aufsichtsbehörden zu schaffen. ^[1][4]

Die Übergangsphase bis August 2026 bietet Unternehmen die Möglichkeit, schrittweise Compliance-Maßnahmen umzusetzen. Ein zentraler Schritt ist die Überprüfung der bestehenden HR-Tech-Landschaft auf KI-Nutzung. Viele Unternehmen setzen bereits Tools ein, ohne sich der regulatorischen Risiken bewusst zu sein – etwa bei der Nutzung von Chatbots für interne Anfragen oder Predictive-Attrition-Analysen. Die Auswahl DSGVO-konformer KI-Plattformen wird zur Priorität, da nicht alle Anbieter die strengen EU-Anforderungen erfüllen. Besonders im Fokus stehen dabei die Datenhoheit und die Vermeidung von Datenübermittlungen in Drittländer. ^[3][5]

Die EU verschärft die Aufsicht über General-Purpose-AI (GPAI), was direkte Auswirkungen auf HR-Tech-Systeme hat. Anbieter wie OpenAI oder Anthropic müssen nachweisen, dass ihre Modelle keine Sicherheitslücken aufweisen, die zu diskriminierenden oder intransparenten Entscheidungen führen könnten. Für Unternehmen bedeutet dies, dass sie bei der Auswahl von KI-Tools nicht nur auf Funktionalität, sondern auch auf Compliance achten müssen. Vertragliche Vereinbarungen mit Anbietern sollten klare Regelungen zur Datenverarbeitung und Haftung enthalten. Die Nutzung von KI-Assistenten ohne solche Absicherungen verstößt gegen die DSGVO und den AI Act. ^[6][8]

Die Umsetzung des EU AI Acts erfordert einen strukturierten Aktionsplan, der technische, organisatorische und vertragliche Maßnahmen umfasst. Unternehmen sollten zunächst eine Bestandsaufnahme ihrer KI-Nutzung im HR-Bereich durchführen und prüfen, welche Systeme als hochriskant eingestuft werden. Anschließend sind Risikomanagement-Prozesse zu etablieren, die eine kontinuierliche Überwachung und Dokumentation der KI-Entscheidungen ermöglichen. Die Zusammenarbeit mit Betriebsräten und Datenschutzbeauftragten ist essenziell, um rechtliche Fallstricke zu vermeiden. Lokale KI-Anbieter können eine Alternative zu internationalen Plattformen darstellen, da sie oft besser auf europäische Datenschutzstandards ausgerichtet sind. ^[1][7]

Unternehmen im DACH-Raum müssen bis August 2026 sicherstellen, dass ihre HR-KI-Systeme den Anforderungen des EU AI Acts entsprechen. Dazu gehört die Implementierung von Transparenzmechanismen, die es ermöglichen, automatisierte Entscheidungen nachzuvollziehen. Die Einbindung menschlicher Aufsicht in kritische Prozesse ist ebenso Pflicht wie die regelmäßige Überprüfung der Datenqualität. Vertragliche Anpassungen mit KI-Anbietern sollten klare Regelungen zur Compliance und Haftung enthalten. Die Nutzung nicht konformer Systeme kann zu hohen Bußgeldern führen und das Vertrauen von Mitarbeitern und Bewerbern untergraben. ^[2][7]