Vor einigen Wochen sprach ich mit einem Personalberater aus München — Executive Search, Spezialisierung Finanzsektor, seit zwölf Jahren im Geschäft. Ich fragte ihn, ob er weiß, was der EU AI Act für sein Unternehmen bedeutet. Er überlegte kurz. Dann sagte er: „Ist das nicht was für große Tech-Konzerne?"
Diese Antwort höre ich oft. Und sie ist falsch.
Der EU AI Act gilt für Hochrisiko-KI-Systeme — auch für kleine und mittelgroße Personalberatungen. Und er betrifft genau das, was viele Personalberater schon heute nutzen: KI-gestützte Kandidatenbewertung, automatisiertes Matching, CV-Parsing mit Ranking-Funktion. Wer jetzt nichts tut, riskiert Bußgelder von bis zu 35 Millionen Euro oder sechs Prozent des weltweiten Jahresumsatzes.
Update (Juli 2026): Der EU-Rat und das Europäische Parlament haben sich auf ein „Digital Omnibus"-Paket geeinigt, das die Fristen verschiebt: Eigenständige Hochrisiko-Systeme nach Anhang III — dazu zählt Recruiting-KI — müssen die Pflichten nun erst ab dem 2. Dezember 2027 erfüllen (statt 2. August 2026, wie ursprünglich vorgesehen). KI, die in regulierte Produkte eingebettet ist (Anhang I), erhält Zeit bis 2. August 2028. Die Einigung ist politisch beschlossen, die formale Rechtswirkung tritt erst mit der Veröffentlichung im Amtsblatt der EU ein — erwartet noch vor dem ursprünglichen Stichtag. Die Uhr wurde verschoben, die Anforderungen sind nicht verschwunden. Quelle: Travers Smith zur Verschiebung der EU-AI-Act-Fristen.
Das klingt dramatisch. Aber lass mich erklären, warum es eigentlich eine gute Nachricht ist — wenn du jetzt handelst (der TÜV-Termin wurde verschoben, nicht abgesagt).
Der TÜV für KI: Was das bedeutet
In Deutschland kennt jeder den TÜV. Alle zwei Jahre muss dein Auto zur Hauptuntersuchung. Nicht weil das Auto schlecht ist — sondern weil Fahrzeuge auf öffentlichen Straßen Mindeststandards für Sicherheit erfüllen müssen. Kein TÜV: keine Zulassung. Kein Einsatz. Bußgeld.
Der EU AI Act funktioniert nach demselben Prinzip — nur für Künstliche Intelligenz. Bestimmte KI-Systeme gelten als „Hochrisiko-KI" und dürfen nur dann eingesetzt werden, wenn sie dokumentiert, geprüft und konform sind. So wie ein Auto ohne TÜV nicht auf die Straße darf, darf Hochrisiko-KI ohne Compliance-Nachweis nicht eingesetzt werden.
Und Recruiting-KI fällt in genau diese Kategorie.
Warum Recruiting-KI als Hochrisiko gilt
Der EU AI Act definiert Hochrisiko-KI in Anhang III — einer Liste mit acht Kategorien. Kategorie 4 lautet: „KI-Systeme zur Einstellung und Selektion natürlicher Personen, insbesondere zur Schaltung gezielter Stellenanzeigen, Analyse und Filterung von Bewerbungen sowie Beurteilung von Kandidaten im Einstellungsverfahren."
Auf Deutsch: Jedes KI-System, das automatisch Kandidaten bewertet, filtert oder rankt, gilt als Hochrisiko-KI. Das betrifft:
- KI-gestütztes CV-Parsing mit automatischem Scoring
- Matching-Algorithmen, die Kandidaten für Stellen vorschlagen
- Automatische Vorauswahl aus Bewerberpools
- KI-generierte Empfehlungen im Recruiting-Prozess
Warum Hochrisiko? Weil diese Entscheidungen direkte Auswirkungen auf das Berufsleben von Menschen haben. Eine KI, die Kandidaten filtert oder bewertet, kann systematisch diskriminieren — nach Geschlecht, Herkunft, Alter — ohne dass ein Mensch das merkt. Das EU-Parlament hat dieses Risiko explizit erkannt und deshalb strenge Anforderungen festgelegt.
Das bedeutet nicht, dass du diese Tools nicht nutzen darfst. Es bedeutet, dass du sie verantwortungsvoll und dokumentiert nutzen musst.
Was genau beim „KI-TÜV" geprüft wird
Stell dir vor, du fährst mit deinem Auto zum TÜV. Der Prüfer schaut nicht nur, ob das Auto fährt — er prüft Bremsen, Licht, Lenkung, Abgaswerte. Alles muss funktionieren. Beim EU AI Act ist es ähnlich. Die Anforderungen für Hochrisiko-KI sind konkret. Hier sind die wichtigsten:
1. Risikomanagement-System
Du musst dokumentieren, welche Risiken dein KI-Tool birgt und wie du damit umgehst. Das heißt nicht: ein 50-seitiges Gutachten. Es heißt: eine strukturierte Analyse. Welche Bias-Risiken hat das System? Wie erkennst du fehlerhafte Empfehlungen? Wer in deinem Team überprüft die KI-Ausgaben?
2. Qualität der Trainingsdaten
Der Anbieter deines KI-Tools muss nachweisen, dass das Modell mit repräsentativen, ausgewogenen Daten trainiert wurde. Kein Tool, das mit überwiegend weißen, männlichen CVs aus den 2010er Jahren trainiert wurde, darf einfach so im Einsatz sein. Als Nutzer musst du wissen, worauf das System basiert — und hinterfragen dürfen.
3. Technische Dokumentation
Das KI-System muss dokumentiert sein. Was tut es genau? Welche Daten verarbeitet es? Wie kommt es zu seinen Empfehlungen? Diese Dokumentation liegt beim Anbieter — aber du als Nutzer trägst Mitverantwortung dafür, dass du sie dir zeigen lässt.
4. Transparenz und Erklärbarkeit
Wenn ein Kandidat wissen möchte, warum er nicht in die engere Auswahl kam — muss das erklärbar sein. „Die KI hat das so entschieden" ist keine ausreichende Antwort. Du brauchst Prozesse, um Erklärungen zu geben. Und: Kandidaten müssen wissen, dass KI im Prozess eingesetzt wird.
5. Menschliche Aufsicht (Human Oversight)
KI darf im Recruiting nicht alleinentscheidend sein. Ein Mensch muss die Entscheidung treffen — die KI darf nur assistieren. In der Praxis bedeutet das: Kein Kandidat darf automatisch ausgeschlossen werden, ohne dass ein Recruiter das bestätigt hat. Die Entscheidungshoheit bleibt beim Menschen.
6. Genauigkeit und Robustheit
Das System muss zuverlässig funktionieren — auch bei ungewöhnlichen Eingaben. Wenn ein Kandidat einen Lebenslauf auf Latein einreicht (ja, das passiert), darf das System nicht abstürzen oder sinnlose Empfehlungen ausgeben.
Was das konkret für deine Personalberatung bedeutet
Lass uns ehrlich sein: Die meisten kleinen Personalberatungen in Deutschland sind nicht direkte Anbieter von KI-Systemen. Sie sind Nutzer. Und hier teilt der EU AI Act die Verantwortung klar auf.
Anbieter (z. B. dein ATS-Hersteller) sind dafür verantwortlich, dass ihre Systeme die technischen Anforderungen erfüllen — Dokumentation, Trainingsdaten, Zertifizierung.
Nutzer (also du) haben eigene Pflichten: Du musst sicherstellen, dass du das System so verwendest, wie es vorgesehen ist. Dass menschliche Aufsicht vorhanden ist. Dass Kandidaten informiert werden. Und dass du die Compliance deines Anbieters überprüft hast.
Kurz: Du kannst dich nicht hinter „der Anbieter ist schuld" verstecken, wenn du wissentlich ein nicht-konformes System nutzt. Das ist, als würdest du dein Auto nach abgelaufenem TÜV fahren — und sagen, das sei die Schuld des TÜV-Centers.
DSGVO plus EU AI Act: Die Doppelpflicht
Personalberatungen in Deutschland kämpfen seit 2018 mit der DSGVO. Jetzt kommt die zweite Regulierungsschicht. Beide Regelwerke überschneiden sich — aber sie sind nicht identisch.
Die DSGVO schützt personenbezogene Daten: Wer darf welche Daten speichern, verarbeiten, weitergeben? Der EU AI Act reguliert zusätzlich, wie automatisierte Systeme Entscheidungen treffen dürfen.
Ein konkretes Beispiel: Du darfst unter der DSGVO Kandidatendaten speichern — wenn du die richtige Rechtsgrundlage hast und Fristen einhältst (mehr dazu hier). Der EU AI Act verlangt zusätzlich, dass dein ATS-System, das diese Daten verarbeitet, transparent und erklärbar arbeitet.
Die gute Nachricht: Wer die DSGVO bereits ernst nimmt, hat die Basis schon. Datenminimierung, klare Aufbewahrungsfristen, schriftliche Einwilligungen — das sind DSGVO-Anforderungen, die auch dem EU AI Act zugutekommen.
Die schlechte Nachricht: Die DSGVO allein reicht nicht mehr. Du brauchst zusätzlich KI-spezifische Maßnahmen.
Was passiert, wenn du nichts tust?
Hier kommen die Zahlen, die Aufmerksamkeit verdienen.
Verstöße gegen den EU AI Act bei Hochrisiko-KI werden mit bis zu 15 Millionen Euro oder drei Prozent des weltweiten Jahresumsatzes bestraft — je nachdem, was höher ist. Bei besonders schwerwiegenden Verstößen (verbotene KI-Praktiken) steigen die Bußgelder auf 35 Millionen Euro oder sechs Prozent.
Für eine kleine Personalberatung klingt „sechs Prozent des Umsatzes" vielleicht weniger bedrohlich. Aber drei Millionen Euro bei einem Umsatz von 100 Millionen Euro sind Existenz-bedrohend. Und: Die Regulierungsbehörden werden nicht nur die großen Player verfolgen. Der EU AI Act ist explizit darauf ausgelegt, den gesamten Markt zu erfassen — nicht nur Google und Microsoft.
Dazu kommt der Reputationsschaden. Ein Kandidat, der klagt, weil er durch KI diskriminiert wurde und das öffentlich macht — das ist der wirkliche Schaden für eine Boutique-Personalberatung, die auf Empfehlung lebt.
Die 5 Schritte, die du bis Dezember 2027 umsetzen musst
Der neue Termin liegt weiter in der Zukunft als ursprünglich gedacht. Das ist kein Grund, das Thema zu vertagen — die Vorbereitung dauert genauso lange. Hier ist, was konkret zu tun ist.
Schritt 1: Inventur der eingesetzten KI-Tools
Liste alle Tools auf, die du im Recruiting einsetzt und die irgendeinen KI-Aspekt haben. ATS mit Matching-Funktion? CV-Parser mit Scoring? Automatische Kandidatenfilterung? Diese Tools sind der Startpunkt. Du brauchst für jedes eine Antwort auf: Ist das Hochrisiko-KI nach EU AI Act?
Schritt 2: Anbieter-Compliance prüfen
Schreib deinen ATS-Anbieter an. Frag direkt: „Wie ist euer System im Hinblick auf den EU AI Act klassifiziert? Gilt es als Hochrisiko-KI? Was tut ihr bis zur neuen Frist im Dezember 2027?" Ein guter Anbieter hat eine Antwort. Ein schlechter zögert oder weicht aus. Das sagt dir alles, was du wissen musst.
Beim KI-Matching gilt das besonders: Tools, die Kandidaten automatisch ranken, sind fast immer in der Hochrisiko-Kategorie.
Schritt 3: Interne Prozesse anpassen
Sorge dafür, dass KI im Recruiting immer als Unterstützung und nie als Entscheider eingesetzt wird. Konkret: Kein Kandidat wird automatisch ausgeschlossen, ohne dass ein Recruiter das bestätigt. Dokumentiere das schriftlich als interne Richtlinie — zwei Seiten, kein Doktortitel nötig.
Schritt 4: Kandidaten informieren
Deine Datenschutzerklärung muss ab der neuen Frist (Dezember 2027) erwähnen, dass KI im Recruiting-Prozess eingesetzt wird — wenn das der Fall ist. Das ist keine massive Änderung, aber sie muss dort stehen. Kandidaten haben das Recht, das zu wissen. Und du hast die Pflicht, es zu sagen.
Schritt 5: Dokumentation anlegen
Erstelle ein kurzes Dokument: Welche KI-Tools nutzt du? Wofür? Wer hat die menschliche Aufsicht? Wie überprüfst du KI-Empfehlungen? Das muss keine juristische Abhandlung sein — es muss zeigen, dass du dir Gedanken gemacht hast. Bei einer Behördenanfrage ist das der Unterschied zwischen einer Abmahnung und einem Verfahren.
Compliance als Wettbewerbsvorteil — nicht als Bürde
Hier ist der Perspektivwechsel, den viele vergessen: Compliance ist nicht nur ein Risikominimierungsinstrument. Sie ist ein Differenzierungsmerkmal.
Stell dir vor, du bist eine mittelgroße Personalberatung und du bewirbst dich beim HR-Leiter eines DAX-Konzerns um ein Mandat. Er fragt: „Wie handhabt ihr KI in eurem Recruiting-Prozess?" Wenn deine Antwort ist: „Wir sind EU AI Act-konform, hier ist unsere Dokumentation" — gewinnst du. Wenn deine Antwort ist: „Wir haben da ein ATS-Tool, keine Ahnung wie das genau funktioniert" — verlierst du.
Große Unternehmen mit eigenen Compliance-Abteilungen werden zunehmend fordern, dass auch ihre externen Personaldienstleister KI-konform arbeiten. Das ist keine Vermutung — das ist ein Trend, der sich 2025 schon abgezeichnet hat und 2026 beschleunigt.
Für Personalberatungen, die sich auf professionelle Kundenbeziehungen und hochwertigen Executive Search konzentrieren, ist Compliance eine Möglichkeit, sich klar zu positionieren: Wir arbeiten sauber. Wir sind der Partner, dem du vertrauen kannst.
Was das für dein ATS bedeutet
Die wichtigste Frage für deine tägliche Arbeit: Ist dein ATS EU AI Act-ready?
Das sind die drei Merkmale, die du von deinem ATS-Anbieter verlangen solltest:
- Transparente KI: Du solltest verstehen können, warum das System einen Kandidaten hoch oder niedrig eingestuft hat. Black-Box-Empfehlungen sind nicht EU AI Act-konform.
- Human-Override: Jede KI-Empfehlung muss von einem Menschen übersteuert werden können — einfach und ohne technischen Aufwand.
- Dokumentations-Support: Dein Anbieter sollte dir helfen, die nötige Dokumentation zu erstellen, nicht nur das Tool liefern.
Bei Yena ist die Grundphilosophie genau das: KI unterstützt den Recruiter, ersetzt ihn nicht. Das KI-Matching schlägt Kandidaten vor — aber du entscheidest. Jede Empfehlung ist erklärbar, jede Auswahl dokumentierbar. Das ist kein Zufall — es ist der Designansatz, den der EU AI Act für Hochrisiko-KI fordert.
Der Countdown: Was wann gilt
Ein kurzer Überblick über die Zeitlinie — damit du nicht in letzter Minute vor der neuen Frist in Panik gerätst:
- Februar 2025: Verbote für inakzeptable KI-Risiken in Kraft (Social Scoring, manipulative KI) — das betrifft Recruiting nur am Rand.
- August 2025: Pflichten für General Purpose AI Models (GPAI) greifen. Relevant für Anbieter, nicht direkt für Nutzer.
- Dezember 2027: Hochrisiko-KI-Anforderungen gelten vollständig — ursprünglich für August 2026 vorgesehen, per Digital-Omnibus-Paket verschoben. Das ist das Datum, das für dich zählt.
- August 2028: KI, die in regulierte Produkte eingebettet ist (Anhang I), muss konform sein.
Du hast bis Dezember 2027 — deutlich mehr Zeit als ursprünglich angenommen. Genug Zeit, wenn du jetzt anfängst. Zu wenig Zeit, wenn du bis kurz vorher wartest.
Fazit: Der KI-TÜV kommt — besteh ihn
Kein Autofahrer würde heute sagen: „TÜV? Das ist doch nur für große LKW-Flotten." Der TÜV gilt für jeden. Und der EU AI Act gilt für jede Personalberatung, die KI im Recruiting einsetzt — egal ob zehn oder tausend Mitarbeiter.
Die gute Nachricht: Die Anforderungen sind machbar. Du brauchst keine Rechtsabteilung und keinen Chief AI Officer. Du brauchst eine klare Inventur, einen compliance-bereiten Anbieter und eine handvoll interner Dokumente.
Wer das jetzt angeht, hat bis Dezember 2027 Zeit, es richtig zu machen — ohne Stress, ohne Panik. Wer wartet, sitzt kurz vor der Frist vor derselben Aufgabe, aber mit deutlich weniger Zeit. Und vor Kunden, die fragen: Wie haltet ihr es mit KI-Compliance?
Dann willst du eine gute Antwort haben.
Möchtest du wissen, ob dein aktuelles Recruiting-Setup EU AI Act-ready ist? Teste Yena 10 Tage kostenlos — und sieh selbst, wie KI-gestütztes Recruiting aussieht, wenn es von Anfang an für den europäischen Markt gebaut wurde.