Seit Februar 2025 ist der EU AI Act in Kraft. Ab August 2026 greifen die Pflichten für Hochrisiko-KI-Systeme vollständig — inklusive Recruiting. Viele DACH-Personalberatungen wissen, dass sich etwas ändert. Die meisten wissen nicht genau, was.
Dieser Artikel ist kein Juristentext. Es geht um das, was Sie als Personalberater heute tun können: welche KI-Tools betroffen sind, welche Dokumentation Sie führen müssen und was Sie in Vendor-Verträge schreiben sollten, bevor die neuen Fristen kommen.
Update (Juli 2026): Der EU-Rat und das Europäische Parlament haben sich auf ein „Digital Omnibus"-Paket geeinigt, das die Fristen für Hochrisiko-KI-Systeme verschiebt: Eigenständige Hochrisiko-Systeme nach Anhang III — dazu zählt Recruiting-KI — müssen die Pflichten nun erst ab dem 2. Dezember 2027 erfüllen (statt 2. August 2026). KI, die in regulierte Produkte eingebettet ist (Anhang I, z. B. Medizinprodukte), erhält Zeit bis 2. August 2028. Die Einigung ist politisch beschlossen, die formale Rechtswirkung tritt erst mit der Veröffentlichung im Amtsblatt der EU ein — erwartet noch vor dem ursprünglichen Stichtag. Die Uhr wurde verschoben, die Anforderungen sind nicht verschwunden: Wer jetzt plant, ist besser dran als wer auf den neuen Termin wartet. Quelle: Hogan Lovells zur Verschiebung der EU-AI-Act-Fristen.
Warum 2026 das Jahr der KI-Compliance wird
Der EU AI Act trat am 2. August 2024 in Kraft. Die Uhr läuft seitdem — aber mit unterschiedlichen Fristen für verschiedene Kategorien. Verbotene KI-Praktiken waren bereits ab Februar 2025 untersagt. Für Hochrisiko-KI-Systeme galt ursprünglich eine Übergangszeit bis zum 2. August 2026 — diese Frist ist inzwischen auf den 2. Dezember 2027 verschoben worden (siehe Update oben). Ab diesem neuen Datum müssen Anbieter und Betreiber die vollen Anforderungen erfüllen.
Was bedeutet "Betreiber"? Das sind Sie — wenn Sie ein KI-Tool für Recruiting einsetzen, das jemand anderes entwickelt hat. Die Verantwortung liegt nicht ausschließlich beim Anbieter. Die Europäische Kommission definiert Betreiber als Unternehmen oder Personen, die ein Hochrisiko-KI-System in eigener Verantwortung einsetzen — auch wenn sie es nicht selbst entwickelt haben.
Die Bußgelder sind real. Bei Hochrisiko-Verstößen drohen bis zu 15 Millionen Euro oder 3 % des globalen Jahresumsatzes — je nachdem, was höher ist. Für mittelgroße Personalberatungen ist der Umsatzprozentsatz in der Regel der relevantere Wert.
Die wichtigsten Daten auf einen Blick
| Datum | Was passiert | Relevant für Recruiting |
|---|---|---|
| Feb. 2025 | Verbotene KI-Praktiken in Kraft | Manipulation, Social Scoring verboten |
| Aug. 2025 | GPAI-Modell-Pflichten | Gilt für Anbieter großer KI-Modelle |
| Dez. 2027 | Hochrisiko-KI-Pflichten vollständig bindend (Frist von Aug. 2026 verschoben) | Neuer Kern-Stichtag für Recruiting-KI |
| Aug. 2028 | KI in regulierten Produkten (Anhang I) | Betrifft z. B. eingebettete KI in Medizinprodukten |
Was als „Hochrisiko-KI" gilt im Recruiting-Kontext
Hier wird's konkret. Anhang III des EU AI Acts listet Kategorien auf, die automatisch als hochriskant eingestuft werden. Kategorie 4 betrifft direkt das Recruiting: KI-Systeme für Beschäftigung, Personalmanagement und Zugang zu Selbstständigkeit.
Was fällt darunter — und was nicht? Die Kanzlei Eversheds Sutherland hat das für den HR-Kontext aufgeschlüsselt:
Als Hochrisiko eingestuft:
- KI-gestützte CV-Screening-Tools, die Kandidaten automatisch aussortieren oder ranken — wenn die Entscheidung maßgeblich von der KI getroffen wird
- Automatisierte Interviewanalyse (Mimik, Stimmanalyse, Antwortauswertung)
- Persönlichkeits- oder Kompetenzbewertungen durch KI, die Einstellungsentscheidungen beeinflussen
- KI-gestütztes Monitoring von Mitarbeitenden (Produktivitätsüberwachung etc.)
Wahrscheinlich nicht als Hochrisiko eingestuft:
- KI-Sourcing-Tools, die Kandidaten für den menschlichen Recruiter identifizieren — ohne automatische Ablehnungsentscheidung
- Chatbots für FAQ-Beantwortung in Bewerbungsprozessen
- Kalender-Automatisierung und Interview-Scheduling
- Grammatik- und Formatierungshilfen für Stellenanzeigen
"Die entscheidende Frage ist: Trifft die KI die Entscheidung, oder unterstützt sie einen Menschen bei der Entscheidung? Diese Grenze ist fließend — und genau deshalb lohnt sich die Dokumentation." — KPMG Law, Employment & AI Practice
Was bedeutet das in der Praxis? Ein KI-Sourcing-Tool, das Ihnen eine Liste von 50 Kandidaten präsentiert, die Ihr Recruiter dann bewertet, ist wahrscheinlich kein Hochrisiko-System. Wenn dasselbe Tool automatisch 450 Kandidaten ablehnt und nur 50 weiterleitet — ohne menschliche Prüfung jedes Einzelfalls — sieht das anders aus. Die Linie liegt bei der tatsächlichen Entscheidungsmacht der KI.
Mehr zur technischen Architektur hinter KI-Matching: Wie KI-Kandidaten-Matching wirklich funktioniert (2026).
DSGVO + EU AI Act: Die 6 Punkte, die Sie heute klären müssen
DSGVO und EU AI Act überlappen sich — sind aber nicht deckungsgleich. Manche Anforderungen kommen aus beiden Regelwerken gleichzeitig. Das ist kein Widerspruch, sondern additive Compliance.
| Punkt | DSGVO | EU AI Act | Handlungsbedarf |
|---|---|---|---|
| Rechtsgrundlage | Art. 6 — berechtigtes Interesse | Indirekt über Transparenz | Dokumentieren Sie Art. 6 lit. f für jeden Verarbeitungszweck |
| Transparenz | Art. 13/14 — Informationspflicht | Art. 13 — KI-Offenlegung | Kandidaten müssen wissen, dass KI eingesetzt wird |
| Automatisierte Entscheidungen | Art. 22 — Recht auf Erklärung | Human oversight Pflicht | Keine vollautomatischen Ablehnungen ohne Review |
| Datenzugang | Art. 15 — Auskunftsrecht | Log-Dokumentation | Audit-Logs für 10 Jahre aufbewahren (Hochrisiko) |
| Diskriminierungsfreiheit | AGG + DSGVO indirekt | Art. 10 — Datenqualität | Bias-Testing bei eingesetzten Modellen dokumentieren |
| Auftragsverarbeitung | Art. 28 — AVV mit Anbieter | Art. 25 — Betreiberpflichten | Vendor-Vertrag um KI-spezifische Klauseln ergänzen |
Lesen Sie dazu auch die Einschätzung von KPMG Law zu KI und Arbeitsrecht — ein praxisnaher Überblick ohne übermäßiges Juristendeutsch.
Was Sie von KI-Sourcing-Anbietern verlangen können — Vendor-Checkliste
Viele KI-Anbieter werben mit "DSGVO-konform" und "EU AI Act ready" — ohne zu erklären, was das konkret bedeutet. Diese Checkliste hilft Ihnen, die Spreu vom Weizen zu trennen.
Fragen, die Sie stellen sollten — und die der Anbieter beantworten können muss
1. Wird Ihr Tool als Hochrisiko-System eingestuft? Wenn ja, welche Konformitätsbewertung liegt vor? Das ist eine rechtlich bindende Frage, keine Meinung.
2. Welche Daten trainieren das Modell, und woher kommen sie? Modelle, die auf biased Daten (historische Einstellungsentscheidungen, die strukturelle Diskriminierung abbilden) trainiert wurden, reproduzieren diese Bias. Ein seriöser Anbieter kann Ihnen erklären, wie das Modell auf Fairness getestet wurde.
3. Wo werden die Daten verarbeitet — und gespeichert? EU-Hosting ist nicht mehr automatisch garantiert. Cloud-Infrastruktur auf US-Servern aktiviert Drittland-Transfer-Pflichten (Art. 44 ff. DSGVO). Standardvertragsklauseln müssen vorhanden sein.
4. Welche Audit-Logs werden geführt, und wie lange? Für Hochrisiko-Systeme schreibt der EU AI Act eine 10-jährige Log-Aufbewahrung vor. Wenn der Anbieter das nicht anbietet, liegt die Verantwortung bei Ihnen.
5. Gibt es ein aktuelles Datenschutzaudit oder SOC 2 Zertifizierung? SOC 2 Type II ist kein Ersatz für DSGVO-Compliance, aber ein Signal für ernsthafte Sicherheitsarchitektur. Fehlt beides, ist Vorsicht angebracht.
"Die meisten Anbieter antworten auf Compliance-Fragen mit Marketingtexten. Wer eine klare Antwort auf 'Welche Konformitätsbewertung liegt für Ihr Hochrisiko-System vor?' nicht geben kann, hat das Thema noch nicht ernst genommen." — Branchenexperte, DACH Recruiting Software
Was in den AVV gehört: Neben den Standard-Klauseln nach Art. 28 DSGVO sollte der Vertrag explizit die Zweckbindung der Daten, die Löschfristen und die Verarbeitungsstandorte regeln. Für Hochrisiko-KI kommt hinzu: Die Vertragspflicht zur Bereitstellung von Audit-Logs auf Anfrage.
Mehr zu KI-Sourcing-Technologie und worauf es bei der Auswahl ankommt: Die besten KI-Sourcing-Tools für Europa 2026 und KI-Sourcing-Tools im Vergleich — Europa 2026.
Der EU AI Act im Video: KI im Staffing erklärt
Was passiert bei einem Audit — echte Szenarien
Abstrakte Compliance ist leichter zu ignorieren als konkrete Szenarien. Hier sind drei Situationen, die für DACH-Personalberatungen realistisch sind.
Szenario 1: Der abgelehnte Kandidat fragt nach
Ein Kandidat wurde von Ihrem KI-Tool nicht in die engere Auswahl aufgenommen. Er fragt nach Art. 22 DSGVO nach einer Erklärung für die automatisierte Entscheidung. Wenn Ihr System vollautomatisch selektiert hat — ohne dass ein Recruiter jedes abgelehnte Profil gesehen hat — haben Sie ein Problem. Die DSGVO verlangt das Recht auf menschliche Prüfung. Der EU AI Act verschärft das für Hochrisiko-Systeme zusätzlich.
Lösung: Human-in-the-Loop als Pflicht, nicht als Option. Jede KI-Vorauswahl muss von einem Recruiter bestätigt werden, bevor sie zu einer Ablehnung wird.
Szenario 2: Datenschutzbehörde prüft nach Beschwerde
Ein ehemaliger Kandidat reicht eine Beschwerde beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA) ein. Dieser will wissen: Welches KI-System wurde eingesetzt, wie wurden seine Daten verarbeitet, welche Logs existieren? Wenn Sie keine vollständige Dokumentation vorlegen können — welches Tool, welche Datenquellen, welche Entscheidungslogik — wird die Behörde das als Verstoß werten.
Szenario 3: Mandantenfirma mit Betriebsrat
Sie sourcer für eine Mandantenfirma, die einen Betriebsrat hat. In Deutschland haben Betriebsräte nach § 90 BetrVG ein Informationsrecht über geplante technische Anlagen — inklusive KI im Bewerbungsprozess. Wenn Ihr KI-Sourcing-Tool in den Bewerbungsprozess des Mandanten integriert wird, kann der Betriebsrat Mitbestimmungsrechte geltend machen. Das ist keine Theorie — es gibt bereits erste Betriebsvereinbarungen zum KI-Einsatz im Recruiting in Deutschland.
Drei typische Fehler, die DACH-Beratungen 2026 machen
Nicht böswillig. Oft einfach aus Unkenntnis oder weil die Frist noch weit schien.
Fehler 1: Vendor-Compliance mit eigener Compliance verwechseln
"Unser Tool-Anbieter ist DSGVO-konform" bedeutet nicht, dass Ihre Nutzung es ist. Sie sind als Betreiber eigenständig verantwortlich — für die Rechtsgrundlage, die Informationspflichten gegenüber Kandidaten und die interne Dokumentation. Die Zusammenfassung des EU AI Acts für Staffing-Unternehmen macht diese Betreiberpflichten klar.
Fehler 2: KI-Offenlegung in Datenschutzerklärungen weglassen
Art. 13 EU AI Act verpflichtet Betreiber, Personen zu informieren, die mit einem Hochrisiko-KI-System interagieren. Für Bewerber bedeutet das: Wenn Sie KI im Screening einsetzen, muss das in der Datenschutzerklärung und in der Kandidatenkommunikation stehen. "Wir prüfen Bewerbungen sorgfältig" reicht nicht.
Fehler 3: Warten auf fertige Aufsichtsbehörden-Leitfäden
Einige Beratungen warten darauf, dass die nationalen Marktüberwachungsbehörden konkrete Leitfäden veröffentlichen, bevor sie handeln. Das ist verständlich — aber riskant. Der EU AI Act ist in Kraft. Die Pflichten ab August 2026 sind keine Ankündigung. Wie kooku.de den EU AI Act für Recruiting aufschlüsselt, zeigt: Wer jetzt anfängt, hat genug Zeit. Wer bis Juli 2026 wartet, hat es knapp.
FAQ: DSGVO-konformes KI-Sourcing
Muss ich meinen Kandidaten mitteilen, dass ich KI beim Sourcing einsetze?
Ja, wenn das KI-System als Hochrisiko eingestuft ist (Art. 13 EU AI Act). Für Sourcing-Tools, die nur Kandidaten identifizieren — ohne automatische Ablehnung — ist die Lage noch nicht vollständig geklärt. Die Datenschutz-Informationspflicht nach Art. 13/14 DSGVO gilt aber unabhängig davon: Wenn Sie Kandidatendaten verarbeiten, müssen Sie sie informieren. Die Erwähnung von KI-gestützten Prozessen in der Datenschutzerklärung ist empfehlenswert — und in manchen Konstellationen bereits Pflicht.
Gilt der EU AI Act auch für Personalberatungen mit weniger als 10 Mitarbeitenden?
Grundsätzlich ja. Der EU AI Act sieht für Kleinstunternehmen und KMU einige Erleichterungen vor — etwa bei der Konformitätsbewertung und beim Eintrag in EU-Datenbanken. Aber die Kernpflichten (Transparenz, Human Oversight, keine verbotenen Praktiken) gelten für alle, die KI einsetzen. KMU-Erleichterungen betreffen vorrangig die Anbieterseite, nicht die Betreiberseite.
Was ist eine „wesentliche Änderung" bei KI-Systemen — und warum ist das relevant?
Eine wesentliche Änderung eines Hochrisiko-KI-Systems — etwa ein Modell-Update, das die Entscheidungslogik verändert — kann eine neue Konformitätsbewertung auslösen. Das ist relevant, weil viele KI-Anbieter ihre Modelle regelmäßig aktualisieren. Im Vendor-Vertrag sollten Sie eine Informationspflicht des Anbieters bei wesentlichen Änderungen verankern.
Welche Dokumente brauche ich für einen Audit-Fall?
Für Hochrisiko-Systeme: technische Dokumentation des eingesetzten Systems (vom Anbieter), Nachweis der Rechtsgrundlage nach DSGVO, Dokumentation der Human-Oversight-Maßnahmen, Audit-Logs der KI-Entscheidungen (10 Jahre), AVV mit dem Anbieter inklusive KI-spezifischer Klauseln. Für nicht hochriskante Systeme: Datenschutz-Folgenabschätzung (wenn relevant nach Art. 35 DSGVO), Informationspflichten in Datenschutzerklärung.
Ist KI-Sourcing ohne Hochrisiko-Einstufung wirklich risikolos?
Nein. Auch nicht als Hochrisiko eingestufte KI-Tools unterliegen DSGVO-Pflichten. Bias-Risiken existieren unabhängig vom regulatorischen Status. Und: Ein Tool, das heute nicht als Hochrisiko gilt, kann durch ein Update in die Kategorie rutschen — wenn es plötzlich automatische Ablehnungsentscheidungen trifft. Die Einstufung ist keine einmalige Beurteilung.
KI-Sourcing mit Compliance-Fundament
Yena ist SOC 2 Type I zertifiziert, EU-hosted und so gebaut, dass der Recruiter immer die Entscheidungskontrolle behält — kein vollautomatisches Screening. Wir bereiten die vollständige EU AI Act Compliance-Dokumentation vor — unabhängig vom genauen Stichtag. Wenn Sie mehr wissen wollen: Yena AI Recruiting Software oder direkt mit einem Berater sprechen.
14 Tage kostenlos testen