8. September 2026 · Morten Babakhani · Aktualisiert am 5. November 2026
KI-Systeme für bestimmte Beschäftigungszwecke werden in Anhang III des EU AI Act als Hochrisiko erfasst. Dazu können Auswahl, Beförderung, Kündigung oder die personenbezogene Zuweisung von Aufgaben gehören. Maßgeblich sind Zweck und Verwendung des Systems. Artikel 6 enthält auch Ausnahmen; bei Profiling natürlicher Personen innerhalb dieser Anhang-III-Anwendungen greift diese Ausnahme nicht.
Stand 05.11.2026: Die Fristen haben sich verschoben. Mit dem sogenannten AI Omnibus, der am 27. Juli 2026 in Kraft getreten ist, gelten die Pflichten für Hochrisiko-Systeme nach Anhang III — und damit für Beschäftigungs-KI — ab dem 2. Dezember 2027. Für Hochrisiko-KI in physischen Produkten nach Anhang I ist es der 2. August 2028. Quelle: Europäische Kommission zum AI Omnibus.
Der zusätzliche Zeitraum ändert nichts an den Anforderungen selbst. Wer ein System 2027 im Betrieb haben will, entscheidet die Fragen unten ohnehin im kommenden Jahr — und die Beschaffung dauert in der Regel länger als die Umsetzung.
Anbieter oder Betreiber — die erste Frage
Die Pflichten unterscheiden sich erheblich. Klären Sie, ob Ihr Unternehmen Anbieter, Betreiber oder beides ist. Bei Hochrisiko-KI können unter anderem eine eigene Kennzeichnung, eine wesentliche Veränderung oder bestimmte Zweckänderungen Anbieterpflichten auslösen. Die Bedingungen beschreibt Artikel 25. Auch beim unveränderten Einsatz eines zugekauften Systems bleiben Betreiberpflichten.
Der Fehler in der Praxis: Unternehmen halten sich für Betreiber und werden zu Anbietern, weil sie das System wesentlich verändern, unter eigenem Namen ausrollen oder für einen anderen Zweck einsetzen als vorgesehen. Ein Modul, das für die Vorauswahl gedacht war und nun Leistungsbeurteilungen unterstützt, ist ein neuer Zweck.
Was ein Betreiber vorhalten muss
Menschliche Aufsicht, benannt. Nicht „das Team schaut drüber”, sondern eine Rolle mit Namen, die die Ausgabe prüfen kann und dafür befähigt ist. Diese Person braucht die Kompetenz, Befugnisse und Unterstützung, um wirksam einzugreifen.
Protokolle. Betreiber müssen automatisch erzeugte Protokolle aufbewahren, soweit sie ihrer Kontrolle unterliegen: zweckangemessen, grundsätzlich mindestens sechs Monate, sofern anwendbares Recht keine andere Regelung vorsieht. Daraus folgt keine pauschale Pflicht, sämtliche Eingaben und Ausgaben vollständig zu speichern. Umfang und Fristen müssen mit den zuständigen Stellen abgestimmt werden. Maßgeblich ist Artikel 26.
Information der Betroffenen. Beschäftigte und Bewerberinnen müssen wissen, dass ein KI-System eingesetzt wird. Diese Information gehört in den Prozess, nicht in eine Datenschutzerklärung, die niemand aufruft.
Eingabedatenqualität. Sie müssen sicherstellen, dass die Daten, die Sie einspeisen, dem Zweck des Systems entsprechen. Wer Freitextfelder aus zwanzig Jahren Altbestand einspeist, kann das nicht.
Wo es in Projekten hakt
Drei Muster sehen wir wiederholt.
Erstens: Die Dokumentation existiert beim Hersteller, nicht im Haus. Fragt eine Aufsicht oder ein Betriebsrat, beginnt eine Anfrage beim Anbieter mit unklarer Laufzeit. Fordern Sie die Unterlagen vertraglich ein, bevor Sie produktiv gehen.
Zweitens: Die Protokollierung wurde als Datenschutzrisiko behandelt und deshalb minimiert. Das ist verständlich und führt dazu, dass Sie im Streitfall nichts belegen können. Beides lässt sich auflösen — mit Aufbewahrungsfristen je Datenart statt einer pauschalen Frist.
Drittens: Niemand hat den Zweck schriftlich fixiert. Ohne festgehaltenen Zweck lässt sich nicht prüfen, ob ein Einsatz noch davon gedeckt ist. Ein Satz im Betriebskonzept genügt, aber er muss existieren.
Was jetzt sinnvoll ist
Erstellen Sie ein Verzeichnis Ihrer KI-Einsätze im HR-Umfeld — inklusive der Funktionen, die als „Assistent” in einer HR-Suite mitgeliefert wurden. Ordnen Sie jedem Eintrag Rolle (Anbieter oder Betreiber), Zweck, Aufsicht und Protokollierung zu. So werden offene Einordnungen und fehlende Nachweise sichtbar.
Das ist unspektakulär und erspart Ihnen die Übung, dieselbe Frage unter Zeitdruck zu beantworten.
Wer im Haus dafür zuständig ist
Die Pflichten verteilen sich auf drei Rollen, und keine kann die anderen ersetzen. Der Fachbereich legt den Zweck fest und stellt die Aufsicht, weil nur er beurteilen kann, ob eine Ausgabe fachlich vertretbar ist. Die IT verantwortet Protokolle, Zugriffe und die Aufbewahrung. Der Datenschutz prüft Rechtsgrundlage und Verhältnismäßigkeit.
Fehlt diese Zuordnung, bleibt die Aufgabe bei der Person, die zuletzt davon gehört hat — und das ist selten die, die entscheiden darf. Bewährt hat sich eine Seite je System mit vier Zeilen: Zweck, benannte Aufsicht, Protokollumfang mit Frist, Ansprechpartner beim Anbieter. Mehr braucht es zu Beginn nicht, und weniger trägt nicht.