EU AI Act: Recruiting-KI gilt als Hochrisiko und braucht strenge Kontrollen

Unter dem EU AI Act werden Systeme für das Recruiting, das Screening von Lebensläufen und die Leistungsbewertung von Beschäftigten offiziell als Hochrisiko-KI eingestuft. Für Unternehmen und Entwickler bedeutet diese regulatorische Einordnung die Verpflichtung zur Einhaltung strenger Kontroll- und Sorgfaltspflichten beim Einsatz automatisierter Werkzeuge im Personalbereich.

Der EU AI Act, der als weltweit erste umfassende Regulierung für künstliche Intelligenz in Kraft getreten ist, folgt einem risikobasierten Ansatz mit vier Stufen. Hochrisiko-Anwendungen sind dabei für Bereiche definiert, in denen KI-Systeme erheblichen Einfluss auf Gesundheit, Sicherheit oder Grundrechte haben können.

Neben dem Einsatz im Personalwesen fallen darunter auch Systeme zur Bonitätsprüfung sowie KI-Komponenten in Produkten wie Medizingeräten, Maschinen, Fahrzeugen, Luftfahrt, Aufzügen und Spielzeug.

Da Risiken wie programmierte Verzerrungen, Halluzinationen, Modellveränderungen und Sicherheitslücken bereits im laufenden Betrieb auftreten können, rückt die kontinuierliche Überwachung nach der Inbetriebnahme in den Mittelpunkt der regulatorischen Anforderungen.

Fristen und regulatorische Verschiebung

Die konkrete Umsetzung der Anforderungen für Hochrisiko-Systeme wurde über den sogenannten EU AI Act Omnibus angepasst. Die Verordnung (EU) 2026/1744 legt verbindliche Stichtage fest: Systeme der Kategorie Anhang III, zu denen Anwendungen im Recruiting oder beim Credit Scoring zählen, müssen bis zum 2. Dezember 2027 vollständig konform sein.

Welche KI-Systeme im Detail als Hochrisiko gelten und welche neuen Regeln für die Entwicklung und Nutzung in Kraft getreten sind, klärt dieser kostenlose Report auf. EU AI Act in 5 Schritten verstehen

Für Systeme nach Anhang I, die als Produkte oder Sicherheitskomponenten geregelt sind, gilt der 2. August 2028 als verbindlicher Termin. Das Gesetzeswerk selbst umfasst 144 Seiten, während die begleitenden Leitlinien einen drei- bis vierfach größeren Umfang erreichen.

Das AI Office der EU beabsichtigt zudem, in naher Zukunft zu entscheiden, ob weitere Umsetzungsphasen verzögert werden, bis harmonisierte Standards für die Compliance-Bewertung vollständig vorliegen.

Bereits am 14. Oktober 2026 veröffentlichte die EU-Kommission im Amtsblatt den Durchführungsbeschluss (EU) 2026/2274 mit der ersten harmonisierten Norm EN 18286:2026, entwickelt von CEN und CENELEC. Dieser Standard soll Anbieter beim Aufbau von Qualitätsmanagementsystemen unterstützen, um Artikel 17 der Verordnung zu erfüllen.

Seit dem 14. Oktober 2026 begründet die Norm eine Konformitätsvermutung nach Artikel 40 für die abgedeckten Bereiche, darunter Entwicklungsverfahren, Risikomanagement und technische Dokumentation. Entsprechende Zertifizierungen erfolgen über ein zweistufiges Audit, sind drei Jahre gültig, erfordern jährliche Überwachungsaudits und erstrecken sich über Programme von vier bis neun Monaten.

Durchsetzung und nationale Behördenstruktur

Wer die komplexen Anforderungen der KI-Verordnung ignoriert, riskiert empfindliche Strafen und rechtliche Unsicherheiten bei der Implementierung neuer Technologien. Dieser kostenlose Umsetzungsleitfaden liefert Ihnen den notwendigen Überblick über alle relevanten Übergangsfristen und Pflichten. Kostenlosen Umsetzungsleitfaden zum EU AI Act herunterladen

Während die Transparenzpflichten nach Artikel 50 – darunter Kennzeichnungspflichten für KI-generierte Inhalte sowie Hinweise bei der Interaktion mit Chatbots oder Emotionserkennung – bereits seit dem 2. August 2026 in vollem Umfang gelten, verläuft die behördliche Aufstellung in den Mitgliedstaaten schleppend.

Am 8. November 2026 bestätigte die Europäische Kommission, dass 16 von 27 EU-Staaten noch über keine dauerhafte AI-Act-Behörde verfügen. Insgesamt 464 Tage nach Ablauf der ursprünglichen Frist vom 2. August 2025 haben damit lediglich elf Staaten und somit 41 Prozent die erforderlichen nationalen Aufsichtsbehörden dauerhaft benannt.

Einzelne Mitgliedstaaten verschärfen unterdessen das Haftungsregime eigenständig: In Italien trat am 30. September 2026 Artikel 437-bis des Strafgesetzbuchs in Kraft.

Die Regelung stellt das vorsätzliche Unterlassen technischer Sicherheitsmaßnahmen bei Hochrisiko-KI sowie das Versäumnis menschlicher Aufsicht unter Strafe. Der Strafrahmen sieht Freiheitsstrafen von einem bis fünf Jahren vor, die sich bei Gefahrenfolgen auf zwei bis acht Jahre erhöhen können.