EU AI Act im Recruiting: Was Einstellungsteams vor August 2026 wissen müssen

Am 2. August 2026 treten die Hochrisiko-Anforderungen des EU AI Act vollständig in Kraft. Jedes KI-System, das zur Rekrutierung, Bewerbersichtung oder Kandidatenbewertung eingesetzt wird — ob es Lebensläufe analysiert, Assessments benotet, Vorstellungsgespräche führt oder Bewerber reiht — fällt unter die strengste Regulierungskategorie des Gesetzes. Sanktionen bei Nichteinhaltung erreichen 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Das ist keine Zukunftsfrage. Es sind noch fünf Monate. Und für die meisten Organisationen, die KI im Recruiting einsetzen, ist die Compliance-Lücke größer als gedacht.

Was der EU AI Act über das Recruiting sagt

Der EU AI Act (Verordnung 2024/1689) schafft einen risikobasierten Rahmen für KI-Systeme in allen Sektoren. Artikel 6 und Anhang III klassifizieren KI-Systeme, die für "Rekrutierung oder Auswahl natürlicher Personen, für Entscheidungen, die die Bedingungen des Arbeitsverhältnisses betreffen, oder für die Aufgabenzuweisung auf der Grundlage individuellen Verhaltens" eingesetzt werden, explizit als hochriskant.

Diese Klassifizierung gilt für praktisch jedes KI-Tool im modernen Recruiting-Stack:

• Lebenslauf-Screening-Tools — einschließlich ATS-Keyword-Filter und KI-gestützte CV-Parser
• Assessment-Plattformen — kognitive Tests, Persönlichkeitsbewertungen, Kompetenzevaluierungen
• KI-Interviewsysteme — Videoanalyse, Chatbot-Interviews, automatisierte Bewertung
• Kandidaten-Ranking-Engines — Shortlisting-Algorithmen, Match-Scoring, Empfehlungssysteme
• Chatbots und KI-Assistenten — jede KI, die im Einstellungsprozess mit Kandidaten interagiert

Der Zeitplan: Was bereits in Kraft ist

Der EU AI Act trat am 1. August 2024 in Kraft, mit einem gestaffelten Umsetzungsplan:

Bereits in Kraft: Das Verbot der Emotionserkennung

Seit dem 2. Februar 2025 ist es illegal, KI-Systeme zu verwenden, die aus biometrischen Daten (Gesichtsausdrücke, Stimmton, Körpersprache) in Arbeits- und Recruiting-Kontexten Emotionen ableiten. Dies betrifft direkt Video-Interview-Plattformen, die behaupteten, "Enthusiasmus", "Selbstvertrauen" oder "Cultural Fit" aus Gesichtsanalysen zu bewerten. Jeder Anbieter, der noch Emotionserkennung in Bewerbungsgesprächen anbietet, verstößt gegen das Gesetz.

Bereits in Kraft: Transparenzanforderungen

Seit dem 2. August 2025 müssen Organisationen Kandidaten vor Beginn des Prozesses darüber informieren, dass KI bei ihrer Bewertung eingesetzt wird. Das ist kein Formular-Häkchen — es erfordert eine bedeutungsvolle Offenlegung zu:

• Welche KI-Systeme eingesetzt werden
• Welche Daten erhoben und verarbeitet werden
• Wie KI-Outputs Einstellungsentscheidungen beeinflussen
• Das Recht des Kandidaten, eine menschliche Überprüfung zu beantragen

Ab August 2026: Vollständige Hochrisiko-Compliance

Die Frist im August 2026 ist der Zeitpunkt, an dem die umfassenden Anforderungen für Hochrisiko-KI-Systeme in Kraft treten. Das ist die Compliance-Herausforderung, die die meisten Organisationen noch nicht angegangen sind.

Die sieben Säulen der Hochrisiko-Compliance

Die Artikel 8-15 des EU AI Act definieren sieben Anforderungskategorien für Hochrisiko-KI-Systeme. Was bedeutet jede davon für Einstellungsteams:

1. Risikomanagementsystem (Artikel 9)

Sie müssen einen kontinuierlichen Risikomanagementprozess über den gesamten Lebenszyklus des KI-Systems implementieren — keine einmalige Bewertung, sondern eine fortlaufende Praxis. Dies umfasst:

• Identifizierung und Analyse bekannter und vorhersehbarer Risiken
• Abschätzung von Risiken für Gesundheit, Sicherheit und Grundrechte
• Einführung von Risikominderungsmaßnahmen
• Testen des Systems anhand dieser Maßnahmen

Für Recruiting-KI bedeutet dies, die Risiken von Vorurteilen, Diskriminierung, Intransparenz und Fehlern bei der Kandidatenbewertung zu dokumentieren — und aufzuzeigen, was dagegen unternommen wird.

2. Datenverwaltung (Artikel 10)

Trainings-, Validierungs- und Testdaten müssen strenge Qualitätskriterien erfüllen. Das Gesetz verlangt:

• Daten, die relevant, repräsentativ und fehlerfrei sind
• Untersuchung auf mögliche Vorurteile in Trainingsdatensätzen
• Dokumentation von Datenquellen, Erfassungsmethoden und Verarbeitungsschritten
• Besondere Aufmerksamkeit für geschützte Merkmale (Geschlecht, Ethnizität, Alter, Behinderung)

3. Technische Dokumentation (Artikel 11)

Bevor ein KI-Recruiting-System auf den Markt gebracht oder eingesetzt wird, muss eine umfassende technische Dokumentation erstellt werden. Diese umfasst Systemarchitektur, Designspezifikationen, verwendete Algorithmen, Datenanforderungen, Leistungskennzahlen und bekannte Einschränkungen.

4. Aufzeichnung und Protokollierung (Artikel 12)

Hochrisiko-KI-Systeme müssen automatisch Ereignisse protokollieren während des Betriebs. Für Recruiting-KI bedeutet das:

• Jeder KI-generierte Score, jede Rangfolge oder Empfehlung muss nachverfolgbar sein
• Protokolle müssen die Eingabedaten, die Modellversion und den Output identifizieren
• Aufzeichnungen müssen für die durch geltendes Recht vorgeschriebene Dauer aufbewahrt werden (mindestens: Dauer des Einstellungsprozesses + Einspruchsfrist)
• Protokolle müssen für behördliche Prüfungen zugänglich sein

5. Transparenz und Information (Artikel 13)

KI-Recruiting-Systeme müssen so gestaltet sein, dass sie ausreichend transparent sind, damit Betreiber (Arbeitgeber) Outputs interpretieren und angemessen nutzen können. Dies umfasst:

• Klare Anweisungen für menschliche Bediener zur Interpretation von KI-Outputs
• Dokumentation der Fähigkeiten und Einschränkungen des Systems
• Informationen über das Genauigkeitsniveau und bekannte Vorurteile
• Bedingungen, unter denen das System falsche Ergebnisse produzieren kann

6. Menschliche Aufsicht (Artikel 14)

Dies ist die Anforderung, die grundlegend bestimmt, wie KI im Recruiting eingesetzt werden darf. Das Gesetz schreibt vor, dass Hochrisiko-KI-Systeme so gestaltet sein müssen, dass eine wirksame menschliche Aufsicht möglich ist. Konkret:

• Eine qualifizierte Person muss in der Lage sein, die KI-Outputs zu verstehen
• Ein Mensch muss in der Lage sein, jede KI-Entscheidung zu übersteuern oder rückgängig zu machen
• Das System darf keine Outputs produzieren, die ein menschlicher Bediener nicht sinnvoll überprüfen kann
• Die automatische Ablehnung von Kandidaten ohne menschliche Überprüfung ist ausdrücklich nicht konform

"Artikel 14 verbietet es der KI nicht, am Recruiting mitzuwirken — er verbietet es ihr, dies autonom zu tun. Jede KI-Empfehlung muss durch einen Menschen fließen, der sie verstehen, hinterfragen und außer Kraft setzen kann."

7. Genauigkeit, Robustheit und Cybersicherheit (Artikel 15)

Hochrisiko-KI-Systeme müssen ein angemessenes Genauigkeitsniveau für ihren vorgesehenen Zweck erreichen, widerstandsfähig gegen Fehler und Inkonsistenzen sein und vor unbefugtem Zugriff oder Manipulation geschützt werden.

Das Mandat zur Bias-Überwachung

Obwohl der EU AI Act den Begriff "Vier-Fünftel-Regel" (ein amerikanischer Rechtsstandard) nicht verwendet, sind seine Anforderungen an die Nichtdiskriminierung noch umfassender. Artikel 10(2)(f) verlangt, dass Trainingsdaten auf "mögliche Vorurteile untersucht werden, die die Gesundheit und Sicherheit von Personen beeinträchtigen oder negative Auswirkungen auf die Grundrechte haben könnten". Erwägungsgrund 47 verweist ausdrücklich auf das Risiko der "Perpetuierung historischer Diskriminierungsmuster" bei der Beschäftigung.

In der Praxis bedeutet dies, dass Organisationen:

• Auswahlquoten nach Geschlecht, Ethnizität, Alter und Behinderungsstatus überwachen müssen
• Jede unverhältnismäßige Benachteiligung und die zur Behebung unternommenen Schritte dokumentieren müssen
• Regelmäßige Bias-Audits der KI-generierten Ergebnisse durchführen müssen
• Kandidaten ein Recht auf Erklärung für KI-beeinflusste Entscheidungen einräumen müssen

Wie echte Compliance aussieht

Viele Anbieter behaupten "EU AI Act Compliance", ohne zu spezifizieren, was sie damit meinen. Hier ist eine praktische Checkliste zur Beurteilung, ob Ihr Recruiting-KI-Stack wirklich für August 2026 bereit ist:

• Kandidatenbenachrichtigung: Werden Kandidaten vor dem Prozess darüber informiert, dass KI eingesetzt wird?
• Menschliche Aufsicht: Geht jede KI-Empfehlung vor jeder Einstellungsentscheidung an einen Menschen?
• Erklärbarkeit: Können Sie einem Kandidaten erklären, warum er ein bestimmtes Ergebnis erzielt hat?
• Audit-Trail: Wird jede KI-Scoring-Entscheidung mit Inputs, Modellversion und Outputs protokolliert?
• Bias-Überwachung: Verfolgen Sie Auswahlquoten nach geschützten Merkmalen in Echtzeit?
• Keine Emotionserkennung: Leitet irgendein Tool in Ihrem Stack Emotionen aus biometrischen Daten ab?
• Recht auf Überprüfung: Können Kandidaten eine menschliche Überprüfung jeder KI-beeinflussten Entscheidung beantragen?
• Datenverwaltung: Können Sie die Herkunft und Qualität Ihrer KI-Trainingsdaten dokumentieren?
• Technische Dokumentation: Sind Architektur, Performance und Einschränkungen Ihres KI-Systems dokumentiert?
• Störfallmeldung: Haben Sie einen Prozess zur Meldung von KI-Systemfehlfunktionen an die Behörden?

Der DSGVO-Zusammenhang

Der EU AI Act ersetzt die DSGVO nicht — er ergänzt sie. Organisationen, die KI im Recruiting einsetzen, müssen beide gleichzeitig einhalten. Wichtige DSGVO-Überlegungen für KI-Recruiting-Tools:

• Artikel 22 (automatisierte Entscheidungsfindung): Kandidaten haben das Recht, nicht Entscheidungen unterworfen zu werden, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich bedeutsame Auswirkungen haben. Dies entspricht der Anforderung menschlicher Aufsicht des AI Act.
• Rechtsgrundlage: Die Verarbeitung von Kandidatendaten durch KI-Systeme erfordert eine Rechtsgrundlage — typischerweise berechtigtes Interesse oder ausdrückliche Einwilligung.
• Datensparsamkeit: Nur die für die Einstellungsentscheidung notwendigen Daten erheben und verarbeiten.
• Recht auf Löschung: Kandidaten können die Löschung ihrer Daten beantragen, einschließlich KI-generierter Scores und Profile.
• Datenschutz-Folgenabschätzung (DPIA): KI-Recruiting-Systeme lösen fast sicher die Anforderung einer DPIA gemäß Artikel 35 DSGVO aus.

Was passiert, wenn Sie nicht bereit sind

Die Sanktionsstruktur des EU AI Act ist darauf ausgelegt sicherzustellen, dass Compliance keine Option ist:

• Verbotene Praktiken (z. B. Emotionserkennung im Recruiting): Bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes
• Hochrisiko-Nichteinhaltung (z. B. fehlende Dokumentation, keine menschliche Aufsicht): Bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes
• Falsche Angaben gegenüber Behörden: Bis zu 7,5 Millionen Euro oder 1 % des weltweiten Jahresumsatzes

Über Bußgelder hinaus schafft Nichteinhaltung Prozessrisiken. Kandidaten, die glauben, durch KI-Recruiting-Tools diskriminiert worden zu sein, haben jetzt einen klaren Rechtsrahmen, um diese Entscheidungen anzufechten. Arbeitsgerichte in der gesamten EU werden voraussichtlich den AI Act als Sorgfaltsmaßstab für KI-gestütztes Recruiting heranziehen.

Fünf Schritte zur Vorbereitung

Mit fünf Monaten bis zur vollständigen Durchsetzung hier ein praktischer Fahrplan für Einstellungsteams:

• 1. Prüfen Sie Ihren KI-Stack. Erfassen Sie jedes KI-Tool, das Ihren Recruiting-Prozess berührt — ATS-Filter, Assessment-Plattformen, Interview-Tools, Ranking-Engines, Chatbots. Bestimmen Sie, welche unter die Hochrisiko-Klassifizierung fallen.
• 2. Bewerten Sie Ihre Anbieter. Fordern Sie von jedem Anbieter die EU AI Act Compliance-Dokumentation an. Wenn sie diese nicht vorlegen können, sind sie nicht bereit — und damit auch Sie nicht.
• 3. Implementieren Sie menschliche Aufsicht. Stellen Sie sicher, dass keine KI-generierte Empfehlung zur Ablehnung eines Kandidaten ohne menschliche Überprüfung führt. Dokumentieren Sie den menschlichen Entscheidungsprozess.
• 4. Etablieren Sie Bias-Überwachung. Beginnen Sie, Auswahlquoten nach geschützten Merkmalen zu verfolgen. Wenn Sie eine unverhältnismäßige Benachteiligung feststellen, dokumentieren Sie Ihre Minderungsmaßnahmen.
• 5. Bereiten Sie Dokumentation vor. Erstellen oder fordern Sie technische Dokumentation für jedes KI-System in Ihrem Recruiting-Stack an. Fügen Sie Risikobewertungen, Datenverwaltungsverfahren und Notfallpläne bei.

Das Fazit

Der EU AI Act ist kein Hindernis für KI-gestütztes Recruiting — er ist ein Rahmen, es verantwortungsvoll zu tun. Organisationen, die Compliance annehmen, werden sich mit vertrauenswürdigeren Tools, besser vertretbaren Entscheidungen und besseren Kandidatenerfahrungen wiederfinden. Diejenigen, die ihn ignorieren, riskieren Finanzsanktionen, rechtliche Risiken und Reputationsschäden.

Die Frage ist nicht ob man sich anpassen muss. Es ist, ob man führen oder hinterherhinken will. August 2026 ist näher als Sie denken.