KI-Verordnung (EU AI Act) – Risikostufen, Pflichten und Fristen im Überblick

Was ist die KI-Verordnung (EU AI Act)

Die KI-Verordnung ist das erste umfassende KI-Gesetz der EU. Sie regelt, welche KI-Systeme unter welchen Auflagen in der EU entwickelt und eingesetzt werden dürfen – nach dem Prinzip: je höher das Risiko für Menschen, desto strenger die Pflichten.

Formal heißt sie Verordnung (EU) 2024/1689 und ist seit dem 1. August 2024 in Kraft. Ihre Pflichten greifen aber nicht auf einen Schlag, sondern gestaffelt über mehrere Jahre. Der englische Name „AI Act“ und die deutsche „KI-Verordnung“ meinen dasselbe Gesetz.

Für HR ist die Verordnung kein Randthema. Sobald KI Bewerbungen sichtet, Kandidatinnen und Kandidaten bewertet oder Leistung misst, greift sie – unabhängig davon, ob die KI selbst entwickelt oder als fertiges Tool eingekauft wurde.

Die vier Risikostufen der KI-Verordnung

Die Verordnung teilt KI-Systeme in vier Risikostufen ein. Jede Stufe zieht andere Pflichten nach sich, und ein HR-System kann je nach Einsatz in jeder dieser Stufen landen.

• Verboten – KI-Praktiken mit unvertretbarem Risiko sind untersagt. Im HR-Kontext zählt dazu die Emotionserkennung am Arbeitsplatz, etwa Software, die aus Stimme oder Gesicht auf den Gefühlszustand von Beschäftigten schließt.
• Hochrisiko – KI, die Menschen wesentlich beeinflusst. Für HR ist das die zentrale Stufe: Recruiting, Auswahl, Beförderung und Leistungsbewertung fallen regelmäßig hierunter (Annex III, Nr. 4).
• Begrenztes Risiko – Systeme mit Transparenzpflicht, etwa Chatbots oder KI-generierte Inhalte. Nutzende müssen erkennen können, dass sie mit KI interagieren.
• Minimales Risiko – der Großteil aller Anwendungen, etwa Spam-Filter oder einfache Automatisierung. Hier gelten keine besonderen Pflichten.

Wichtig in der Praxis: Nicht das Modell bestimmt die Stufe, sondern der Einsatz. Ein allgemeines Tool wie ChatGPT wird zur Hochrisiko-Anwendung, sobald es systematisch und entscheidungsrelevant Bewerbungen vorsortiert.

KI-Verordnung und HR: Warum Personalabteilungen besonders betroffen sind

Beschäftigung und Personalmanagement stehen ausdrücklich im Hochrisiko-Katalog der Verordnung. Annex III, Nummer 4 nennt KI-Systeme für Einstellung, Auswahl, Aufgabenverteilung sowie die Bewertung von Leistung und Verhalten – überall dort, wo KI Entscheidungen über Menschen wesentlich beeinflusst.

Konkret betrifft das Werkzeuge wie automatisches CV-Screening, Matching-Algorithmen im Bewerbermanagementsystem, KI-gestützte Video-Interviews oder Software zur Leistungs- und Potenzialbewertung. Für ein KI-gestütztes Bewerbermanagementsystem heißt das: Prüfen Sie früh, welche Funktionen eine Einstufung als Hochrisiko auslösen. Wie Sie KI im Recruiting nutzen, ohne gegen den AI Act zu verstoßen, zeigt unser Beitrag zu KI im Recruiting.

Es gibt Ausnahmen. Nach Artikel 6 Absatz 3 gilt ein System aus Annex III nicht als hochriskant, wenn es nur eine eng begrenzte Verfahrensaufgabe erfüllt oder rein vorbereitend arbeitet. Diese Ausnahme wird aber eng ausgelegt – und sie entfällt vollständig, sobald das System Personen profiliert.

Fristen der KI-Verordnung: Was gilt ab wann

Die Pflichten greifen gestaffelt. Der Digital Omnibus – ein Änderungspaket, das der Rat der EU am 29. Juni 2026 verabschiedet hat – hat die Hochrisiko-Fristen nach hinten verschoben. Die Veröffentlichung im EU-Amtsblatt steht unmittelbar bevor, die neuen Daten gelten als gesetzt.

• 2. Februar 2025 – verbotene Praktiken (Art. 5) und KI-Kompetenz-Pflicht (Art. 4). In Kraft.
• 2. August 2025 – Regeln für General-Purpose-AI, Governance und Sanktionen. In Kraft.
• 2. August 2026 – Kern der Transparenzpflichten nach Artikel 50. Nicht verschoben.
• 2. Dezember 2026 – Kennzeichnungspflicht für KI-Inhalte bei Alt-Systemen (Art. 50 Abs. 2) und neue Verbote für bestimmte KI-generierte Inhalte.
• 2. Dezember 2027 – Hochrisiko-Pflichten für Annex-III-Systeme inklusive HR. Verschoben von ursprünglich 2. August 2026.
• 2. August 2028 – Pflichten für in Produkte eingebettete Hochrisiko-KI (Annex I).

Für HR heißt das: Die vollen Hochrisiko-Pflichten greifen erst Ende 2027. Das ist Vorbereitungszeit, kein Aufschub – Risikoanalyse, Dokumentation und die Gestaltung der menschlichen Aufsicht entstehen nicht im letzten Quartal vor der Frist.

KI-Kompetenz-Pflicht: schon heute verbindlich

Eine Pflicht gilt bereits und wird oft übersehen: die KI-Kompetenz-Pflicht nach Artikel 4. Seit dem 2. Februar 2025 müssen Anbieter und Betreiber dafür sorgen, dass ihr Personal KI-Systeme ausreichend versteht – gemessen an Vorwissen, Einsatzkontext und den betroffenen Personen.

Diese Pflicht hat der Digital Omnibus nicht verschoben. Wer KI in HR einsetzt, sollte die Qualifikation der beteiligten Personen also schon jetzt dokumentieren.

Bußgelder bei Verstößen

Die Verordnung ist mit spürbaren Sanktionen bewehrt. Bei verbotenen Praktiken drohen bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Bei Verstößen gegen die Hochrisiko-Pflichten sind es bis zu 15 Mio. € oder 3 %.

Die Höhe richtet sich nicht nach der Unternehmensgröße. Für kleine und mittlere Unternehmen gibt es schmale Erleichterungen bei der Konformitätsbewertung, die Grundpflichten gelten aber für jeden Betreiber von Hochrisiko-KI.

Was HR jetzt tun sollte

Der erste Schritt ist immer die Einordnung: Welche KI-Systeme sind im Einsatz, und in welche Risikostufe fallen sie? Erst wenn diese Klassifizierung steht, lassen sich Pflichten, Aufwand und Prioritäten sinnvoll planen.

Genau hier setzt der kostenfreie AI Act Klassifizierer von Hrmony an. Er ordnet Ihre HR-KI in wenigen Minuten in die Risikostufen der Verordnung ein und zeigt die passenden Pflichten – als erste Orientierung, bevor Sie in die Detailarbeit gehen. Dieser Überblick ersetzt keine Rechtsberatung; die Einstufung hängt vom konkreten Einzelfall ab.