KI im Recruiting – Warum Bewerber-Tools als Hochrisiko-KI gelten

Immer mehr Personalabteilungen nutzen KI-gestützte Werkzeuge im Bewerbungsprozess – vom automatischen Lebenslauf-Screening bis zur Video-Interview-Analyse. Was viele HR-Verantwortliche nicht wissen: KI im Recruiting unterliegt dem AI Act. Wer solche Systeme zur Vorauswahl von Kandidaten einsetzt, betreibt nach dem EU AI Act eine Hochrisiko-KI. Und damit gelten ab dem 2. Dezember 2027 konkrete gesetzliche Pflichten, deren Missachtung Bußgelder bis zu 15 Millionen Euro nach sich ziehen kann. Diskriminierungsklagen nach dem AGG drohen schon heute. Der Termin wurde durch den Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) fest gesetzt – nutzen Sie die Zeit, um Ihr Recruiting auf den Prüfstand zu stellen.

Warum KI im Recruiting nach dem AI Act als Hochrisiko gilt

Der EU AI Act arbeitet mit einem risikobasierten Ansatz. Nicht jede KI ist gleich streng reguliert. Entscheidend ist, welchen Schaden ein System für Menschen und ihre Grundrechte anrichten kann. Genau hier setzt Annex III (Anhang III) der Verordnung an: Er listet abschließend die Anwendungsbereiche auf, die als hochriskant gelten.

Für das Personalwesen ist Annex III Nummer 4 einschlägig. Dieser Punkt erfasst KI-Systeme in den Bereichen Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit. Ausdrücklich genannt werden dabei zwei Kategorien:

• KI-Systeme, die für die Einstellung oder Auswahl von Personen verwendet werden sollen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu analysieren und zu filtern sowie Bewerber zu bewerten.
• KI-Systeme, die Entscheidungen über Beförderung, Kündigung, Aufgabenzuweisung oder die Überwachung und Leistungsbewertung beeinflussen.

Für das Recruiting bedeutet das konkret: Sobald ein Werkzeug in die Vorauswahl eingreift, ist die Hochrisiko-Schwelle grundsätzlich erreicht. Typische Beispiele aus der Praxis sind:

• CV-Parsing und Lebenslauf-Screening, das eingehende Bewerbungen automatisiert strukturiert und nach Kriterien filtert
• Ranking-Algorithmen, die Kandidaten in eine Reihenfolge bringen oder mit einem Matching-Score versehen
• Automatisierte Vorauswahl, die Bewerbungen aussortiert oder priorisiert
• Video-Interview-Analyse, die Sprache, Wortwahl oder – besonders kritisch – Mimik und Stimme auswertet

Der Rechtsgrund für diese strenge Einstufung liegt auf der Hand: Eine Recruiting-Entscheidung wirkt sich unmittelbar auf die Grundrechte und Lebenschancen eines Menschen aus. Wer keinen Zugang zu Beschäftigung erhält, dem werden wirtschaftliche Teilhabe und berufliche Entwicklung verwehrt. Fehlerhafte oder diskriminierende KI-Systeme können diese Chancen systematisch und in großem Maßstab beeinträchtigen. Warum genau solche Anwendungen unter Annex III fallen, erläutern wir ausführlich in unserem Beitrag zu Hochrisiko-KI nach Annex III.

Welche Recruiting-Tools der AI Act erfasst – und welche nicht

Nicht jede Software im HR-Stack ist automatisch Hochrisiko-KI. Die entscheidende Frage lautet: Beeinflusst das System die inhaltliche Bewertung von Menschen? Oder erfüllt es nur eine organisatorische Hilfsfunktion?

Die klare Abgrenzung

Ein Sourcing- und Ranking-Tool, das Kandidaten anhand ihrer Qualifikationen bewertet und eine Rangliste erstellt, greift in die Auswahlentscheidung ein und ist hochriskant. Eine reine Terminplanungssoftware, die lediglich freie Slots für Vorstellungsgespräche koordiniert, tut das nicht. Hier findet keine Bewertung des Bewerbers statt.

Die Ausnahme nach Artikel 6 Absatz 3

Der AI Act sieht in Artikel 6 Absatz 3 eine wichtige Ausnahme vor: Ein System, das eigentlich in einen Annex-III-Bereich fällt, gilt trotzdem nicht als hochriskant, wenn es kein erhebliches Risiko für die Grundrechte darstellt. Das ist nach dem Gesetzeswortlaut der Fall, wenn das System

• lediglich eine eng umgrenzte Verfahrensaufgabe erfüllt,
• das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit verbessert,
• Entscheidungsmuster oder Abweichungen erkennt, ohne die menschliche Bewertung ohne Prüfung zu ersetzen, oder
• eine rein vorbereitende Aufgabe für eine spätere Bewertung durchführt.

Vorsicht: Diese Ausnahme greift nicht, wenn das System ein Profiling natürlicher Personen vornimmt. Und genau das ist bei den meisten Bewertungs- und Ranking-Tools der Fall. Ein Werkzeug, das Kandidaten scort oder in eine Rangfolge bringt, erfüllt keine bloß vorbereitende Aufgabe. Es formt die Entscheidung. Ein simples Tool dagegen, das Bewerbungen nur nach Eingangsdatum sortiert oder Dubletten erkennt, kann unter die Ausnahme fallen.

Wichtig: Wer sich auf die Ausnahme beruft, muss diese Einschätzung vor dem Inverkehrbringen dokumentieren – das ist Pflicht des Anbieters (Art. 6 Abs. 4), der das System zudem in der EU-Datenbank registrieren muss. Als Betreiber sollten Sie sich diese Dokumentation vorlegen lassen. Die genauen Voraussetzungen und typische Fehleinschätzungen behandeln wir im Detail im Beitrag zur Hochrisiko-Ausnahme nach Art. 6 Abs. 3.

Praxisbeispiele aus der HR-Tech

Tool-Typ	Funktion	Einstufung (typisch)
Bewerbermanagementsystem (ATS) mit Matching-Score	Bewertet und rankt Kandidaten	Hochrisiko
CV-Parser mit automatischer Aussortierung	Filtert Bewerbungen nach Kriterien	Hochrisiko
Video-Interview-Analyse	Bewertet Sprache/Verhalten	Hochrisiko (teils verboten)
Terminplaner für Interviews	Koordiniert Zeitslots	Kein Hochrisiko
Dubletten-Erkennung im ATS	Rein technische Bereinigung	Ggf. Ausnahme Art. 6 Abs. 3

Ein besonderer Hinweis zur Video-Analyse: Systeme, die Emotionen aus Mimik oder Stimme ableiten, können am Arbeitsplatz und im Bewerbungskontext sogar unter das Verbot von Emotionserkennungssystemen fallen. Hier ist besondere Vorsicht geboten.

Anbieter oder Betreiber? Ihre Rolle im Recruiting

Der AI Act unterscheidet streng zwischen zwei Rollen mit unterschiedlichen Pflichtenkatalogen: dem Anbieter (Provider), der das System entwickelt oder unter eigenem Namen in Verkehr bringt, und dem Betreiber (Deployer), der es in eigener Verantwortung einsetzt.

Für die meisten HR-Abteilungen gilt: Sie kaufen ein Bewerbermanagementsystem oder ein Matching-Tool bei einem Software-Hersteller ein. Damit sind Sie in der Regel Betreiber der KI – nicht Anbieter. Das entlastet Sie allerdings nicht vollständig, denn auch Betreiber tragen eigene, weitreichende Pflichten.

Achtung Rollenwechsel: Wenn Sie ein eingekauftes System wesentlich verändern, es unter Ihrem eigenen Namen einsetzen oder den Verwendungszweck ändern, können Sie selbst zum Anbieter werden – mit dem vollen, deutlich strengeren Pflichtenkatalog.

Pflichtenteilung in der Praxis

Der Anbieter muss unter anderem das Risikomanagementsystem aufbauen, die technische Dokumentation erstellen, die Data-Governance-Anforderungen erfüllen und die Konformitätsbewertung durchführen. Der Betreiber muss das System bestimmungsgemäß nutzen, die menschliche Aufsicht sicherstellen, die Eingabedaten kontrollieren und die Protokolle aufbewahren.

Was Sie deshalb vertraglich vom Anbieter einfordern sollten:

• Nachweis der CE-Kennzeichnung und der Konformitätsbewertung
• Die Gebrauchsanweisung mit Angaben zu Genauigkeit, Robustheit und bekannten Limitationen
• Informationen zur menschlichen Aufsicht und zu den erforderlichen Kompetenzen
• Unterstützung bei Ihrer Grundrechte-Folgenabschätzung
• Zusicherungen zur Bias-Prüfung und zur Qualität der Trainingsdaten

Die genaue Abgrenzung der Verantwortlichkeiten erklären wir im Beitrag zu den Anbieter- und Betreiberpflichten.

Recruiting Software: AI-Act-Pflichten für HR ab Dezember 2027

Ab dem 2. Dezember 2027 greifen die Betreiberpflichten für Hochrisiko-KI nach Anhang III. Für Personalabteilungen sind vier Bereiche besonders relevant.

Menschliche Aufsicht sicherstellen

Nach Artikel 14 muss jede Hochrisiko-KI so eingesetzt werden, dass Menschen sie wirksam beaufsichtigen können. Für das Recruiting heißt das: Eine KI darf niemals allein und ohne menschliche Kontrolle über eine Ablehnung oder Einladung entscheiden. Ihre HR-Mitarbeiter müssen die KI-Empfehlung verstehen, hinterfragen und übersteuern können. Ein bloßes „Durchwinken“ der KI-Ergebnisse genügt nicht – es droht der sogenannte Automation Bias, das blinde Vertrauen in die Maschine. Wie Sie diese Aufsicht praktisch organisieren, lesen Sie im Beitrag zur menschlichen Aufsicht.

Transparenz gegenüber Bewerbern

Betreiber müssen betroffene Personen darüber informieren, dass sie einer Hochrisiko-KI unterliegen. Bewerber haben zudem nach der DSGVO ein Recht auf Information über automatisierte Entscheidungen. Praktisch bedeutet das: Kennzeichnen Sie in Ihrem Bewerbungsprozess transparent, wo und wie KI zum Einsatz kommt, und erläutern Sie die wesentliche Logik dahinter.

Grundrechte-Folgenabschätzung (FRIA) und DSGVO

Sind Sie eine öffentliche Stelle oder ein privates Unternehmen, das öffentliche Dienste erbringt, müssen Sie nach Artikel 27 vor dem Einsatz eine Grundrechte-Folgenabschätzung (Fundamental Rights Impact Assessment, FRIA) durchführen. Für gewöhnliche private Arbeitgeber gilt diese Pflicht im Recruiting in der Regel nicht – freiwillig kann sie trotzdem sinnvoll sein. Darin analysieren Sie, welche Grundrechte betroffen sind, welche Risiken für Bewerber bestehen und welche Maßnahmen zur Minderung Sie ergreifen. Details finden Sie in unserem Leitfaden zur Grundrechte-Folgenabschätzung.

Parallel dazu verlangt die DSGVO bei der Verarbeitung von Bewerberdaten mit hohem Risiko eine Datenschutz-Folgenabschätzung (DSFA) nach Artikel 35 DSGVO. FRIA und DSFA lassen sich sinnvoll verzahnen – wie das gelingt, zeigen wir im Beitrag zur Datenschutz-Folgenabschätzung bei KI.

Protokollierung und Data Governance

Betreiber müssen die automatisch erzeugten Protokolle (Logs) des Systems aufbewahren, soweit sie darüber Kontrolle haben. Diese Nachvollziehbarkeit ist Ihre Absicherung im Streitfall – etwa wenn ein abgelehnter Bewerber Diskriminierung geltend macht.

KI Bewerberauswahl im AI Act: Diskriminierungsrisiko und Bias

Das größte reale Risiko im KI-Recruiting ist die algorithmische Diskriminierung. KI-Systeme lernen aus historischen Daten. Und wenn diese Daten Vorurteile enthalten, reproduziert und verstärkt die KI diese systematisch.

Trainingsdaten als Kern des Problems

Artikel 10 des AI Act verpflichtet Anbieter zu strengen Anforderungen an die Datenqualität und Data Governance. Trainings-, Validierungs- und Testdaten müssen relevant, hinreichend repräsentativ und möglichst fehlerfrei sein. Datensätze sind auf mögliche Verzerrungen (Bias) zu untersuchen, die Grundrechte verletzen oder zu Diskriminierung führen könnten. Warum die Datenqualität das Fundament jeder fairen KI ist, vertiefen wir im Beitrag zu Datenqualität und Data Governance nach Art. 10.

Ein reales Beispiel

Ein bekannter Technologiekonzern entwickelte ein KI-Tool zur Bewerbervorauswahl, das mit Lebensläufen der vergangenen zehn Jahre trainiert wurde. Da in diesem Zeitraum überwiegend Männer eingestellt worden waren, lernte das System, männliche Kandidaten zu bevorzugen und Bewerbungen abzuwerten, die etwa den Begriff „Frauen“ enthielten (z. B. „Kapitänin des Frauen-Schachclubs“). Das Tool benachteiligte also systematisch eine historisch benachteiligte Gruppe und musste eingestellt werden. Das Beispiel zeigt: Ohne saubere Datenbasis wird die KI zum Diskriminierungsverstärker.

Zusammenspiel mit AGG und Betriebsrat

In Deutschland verschärft sich die Lage durch das Allgemeine Gleichbehandlungsgesetz (AGG). Benachteiligt Ihre KI Bewerber wegen Geschlecht, Alter, Herkunft, Religion, Behinderung oder sexueller Identität, drohen Entschädigungs- und Schadensersatzansprüche – unabhängig vom AI Act. Die KI-gestützte Bewertung erzeugt dabei eine gefährliche Beweisdichte: Protokolle können eine systematische Benachteiligung offenlegen.

Hinzu kommt die Mitbestimmung: Der Betriebsrat hat bei der Einführung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, ein Mitbestimmungsrecht nach § 87 BetrVG. Ohne seine Beteiligung geht es nicht. Wie Sie Betriebsrat und Belegschaft frühzeitig einbinden, erläutern wir im Beitrag zu Mitarbeiter und Betriebsrat.

Checkliste: So machen Sie Ihr Recruiting AI-Act-konform

Nutzen Sie die verbleibende Zeit bis zur Frist strukturiert. Die folgende Checkliste bringt Sie auf Kurs:

1. KI-Inventar aller HR-Tools erstellen Erfassen Sie systematisch jedes Werkzeug im Recruiting-Prozess: ATS, CV-Parser, Matching-Engines, Video-Tools, Chatbots. Notieren Sie Anbieter, Funktion und Verwendungszweck. Eine Schritt-für-Schritt-Anleitung finden Sie im Beitrag zum KI-Inventar.

2. Einstufung dokumentieren Prüfen und dokumentieren Sie für jedes Tool: Fällt es unter Annex III Nr. 4? Greift ausnahmsweise Art. 6 Abs. 3? Halten Sie Ihre Begründung schriftlich fest.

3. Anbieter-Nachweise einholen Fordern Sie CE-Kennzeichnung, Konformitätserklärung, Gebrauchsanweisung und Bias-Testberichte an. Verankern Sie Compliance-Zusicherungen im Vertrag.

4. Menschliche Aufsicht organisieren Definieren Sie klare Prozesse, in denen qualifizierte Mitarbeiter KI-Empfehlungen prüfen und übersteuern können.

5. DSFA und – falls verpflichtet – FRIA durchführen Bewerten Sie Grundrechts- und Datenschutzrisiken und dokumentieren Sie Ihre Minderungsmaßnahmen.

6. Transparenz herstellen Informieren Sie Bewerber über den KI-Einsatz und die wesentliche Entscheidungslogik.

7. Betriebsrat einbinden Klären Sie Mitbestimmung und schließen Sie eine Betriebsvereinbarung.

8. HR-Mitarbeiter schulen Der AI Act verpflichtet Sie in Artikel 4, Maßnahmen zur Förderung der KI-Kompetenz Ihres Personals zu ergreifen. Schulen Sie Ihr HR-Team zu Funktionsweise, Grenzen und Bias-Risiken der eingesetzten Systeme.

Der erste Schritt dieser Liste entscheidet über alle weiteren: Solange unklar ist, welche HR-Werkzeuge überhaupt KI enthalten, lässt sich keine Pflicht zuordnen. Strukturiert erfassen und klassifizieren lässt sich das ohne eigenes Projekt.

Fazit

KI im Recruiting ist kein regulatorisches Randthema, sondern nach Annex III Nr. 4 des EU AI Act ein klarer Hochrisiko-Anwendungsfall. Wer CV-Parsing, Ranking-Algorithmen oder Video-Analysen zur Bewerbervorauswahl einsetzt, muss ab dem 2. Dezember 2027 menschliche Aufsicht, Transparenz, gegebenenfalls eine Grundrechte-Folgenabschätzung und wirksame Maßnahmen gegen Bias sicherstellen. Die Kombination aus AI-Act-Bußgeldern, AGG-Ansprüchen und Mitbestimmung macht das Thema doppelt brisant. Details zu den geltenden Fristen lesen Sie im Überblick zu den Hochrisiko-Fristen.

Die gute Nachricht: Mit einem strukturierten Inventar, sauberer Einstufung und den richtigen Anbieter-Nachweisen ist Compliance machbar – und schützt Sie zugleich vor teuren Klagen und Reputationsschäden.