Kurz gesagt: KI-Systeme, die Stellenanzeigen gezielt ausspielen, Bewerbungen analysieren und filtern oder Kandidaten bewerten, stehen in Anhang III Nummer 4 der KI-Verordnung und sind damit Hochrisiko-Systeme. Die Pflichten dafür gelten ab dem 2. Dezember 2027 (Artikel 113 Absatz 3 Buchstabe c, Fassung der Verordnung (EU) 2026/1744). Zwei Dinge gelten jedoch schon heute: das Verbot der Emotionserkennung am Arbeitsplatz (Artikel 5 Absatz 1 Buchstabe f) und die Kompetenzpflicht (Artikel 4). Daneben laufen Artikel 22 DSGVO, das AGG und die Mitbestimmung des Betriebsrats unverändert weiter.
Der Aufwand für die Hochrisiko-Umsetzung ist real, aber er liegt zum größten Teil beim Anbieter des Tools. Ihre Aufgabe als Arbeitgeber ist es, ab jetzt die richtigen Fragen zu stellen und ab Ende 2026 die eigenen Betreiberpflichten vorzubereiten.
Anhang III Nummer 4 Buchstabe a erfasst KI-Systeme für die Einstellung oder Auswahl natürlicher Personen, insbesondere gezielte Stellenanzeigen, das Analysieren und Filtern von Bewerbungen und das Bewerten von Bewerbern. Buchstabe b erfasst Entscheidungen über Arbeitsbedingungen, Beförderung und Kündigung, die Zuweisung von Aufgaben aufgrund individuellen Verhaltens oder persönlicher Merkmale sowie die Überwachung und Bewertung von Leistung und Verhalten. Nicht erfasst ist, was keine Entscheidung vorbereitet: ein Chatbot, der Termine vereinbart, oder eine Software, die Bewerbungen nur nach Eingang sortiert. Artikel 6 Absatz 3 nimmt Systeme aus, die nur eine enge Verfahrensaufgabe erledigen; Profiling natürlicher Personen ist davon ausdrücklich ausgenommen und bleibt Hochrisiko.
Sie ergreifen Maßnahmen, um die KI-Kompetenz aller Mitarbeitenden zu unterstützen, die mit den Recruiting-Tools arbeiten. Seit dem 27. Juli 2026 verlangt die Vorschrift Unterstützung, kein garantiertes Niveau. Ein Zertifikat ist nicht vorgeschrieben; eine kurze, dokumentierte Unterweisung mit Nachweis reicht in der Regel. Ein direktes Bußgeld gibt es nicht, fehlende Nachweise wiegen aber bei jedem anderen Verstoß schwerer.
KI-Systeme, die Emotionen von Beschäftigten ableiten, sind am Arbeitsplatz verboten, außer aus medizinischen Gründen oder Sicherheitsgründen. Das trifft Stimmungsanalysen in Meetings, Kameras mit Emotionsauswertung und Callcenter-Software, die Gefühle von Mitarbeitenden bewertet.
Der Wortlaut nennt Bewerbungsverfahren nicht ausdrücklich; Erwägungsgrund 44 erfasst aber Situationen, die mit dem Arbeitsplatz zusammenhängen, und das Machtungleichgewicht im Bereich Arbeit. Wer Videointerviews auf Emotionen, Mimik oder Stimmlage auswerten lässt, sollte das deshalb als verboten behandeln und den Anbieter fragen, ob sein Tool solche Merkmale nutzt.
Eine Absage, die allein die Software ausspricht, ist eine automatisierte Einzelentscheidung mit rechtlicher Wirkung und ohne Einwilligung oder Vertragsnotwendigkeit unzulässig. Ein Mensch muss die Entscheidung tatsächlich treffen, nicht nur abnicken.
Die KI-Verordnung ersetzt die DSGVO nicht. Personenbezogene Daten in den Recruiting-Tools brauchen eine Rechtsgrundlage, bei Cloud-Diensten einen Auftragsverarbeitungsvertrag, bei Entscheidungen mit rechtlicher Wirkung greift Artikel 22 DSGVO. Für Beschäftigtendaten gilt zusätzlich § 26 BDSG, bei technischer Überwachung § 87 Absatz 1 Nummer 6 BetrVG.
Hochrisiko-Systeme nach Anhang III unterliegen ab dem 2. Dezember 2027 den Betreiberpflichten des Artikels 26 (Artikel 113 Absatz 3 Buchstabe c der KI-Verordnung): Betriebsanleitung des Anbieters einhalten, menschliche Aufsicht durch geschulte Personen, Eingabedaten kontrollieren, Protokolle mindestens sechs Monate aufbewahren, betroffene Personen informieren. Der Anbieter des Systems trägt die Hauptlast (Risikomanagement, Dokumentation, Konformitätsbewertung, CE-Kennzeichnung); als Betreiber verlangen Sie diese Nachweise von ihm. Als Arbeitgeber trifft Sie zusätzlich Artikel 26 Absatz 7: Vor der Inbetriebnahme informieren Sie Arbeitnehmervertreter und betroffene Beschäftigte, dass sie der Verwendung des Hochrisiko-Systems unterliegen werden. Bewerber informieren Sie nach Artikel 26 Absatz 11 darüber, dass ein Hochrisiko-System an Entscheidungen über sie mitwirkt. Der Anbieter muss sein System in der EU-Datenbank registrieren, eine Konformitätsbewertung durchlaufen und Ihnen eine Betriebsanleitung mit Angaben zu Genauigkeit, Grenzen und menschlicher Aufsicht liefern (Artikel 13).
Ein Anbieter, der behauptet, sein Bewerber-Ranking sei kein Hochrisiko-System, sollte das mit Artikel 6 Absatz 3 begründen können. Profiling ist immer Hochrisiko.
Emotionen, Stimme, Mimik, Gesundheitsindikatoren oder Herkunftsproxys wären Verbots- oder Diskriminierungsthemen (Artikel 5, AGG).
Anbieter, die bis Dezember 2027 keine technische Dokumentation, kein Risikomanagement und keine Betriebsanleitung nach Artikel 13 liefern, werden zum Problem ihrer Kunden.
Welche Ausgaben kann der Recruiter übersteuern, welche Protokolle bekommen Sie, wie lange werden sie gespeichert (mindestens sechs Monate, Artikel 26 Absatz 6).
Sie müssen nicht raten und nichts bezahlen, um zu erfahren, wo Sie stehen. Der Check stellt Ihnen 15 einfache Fragen in vier Blöcken, ohne Fachjargon. Am Ende sehen Sie eine Ampel-Einordnung, die betroffenen Pflichten mit Artikelverweis und den Bußgeldrahmen für Ihre Unternehmensgröße. Keine Anmeldung, keine E-Mail-Abfrage; bei der kostenlosen Auswertung bleiben Ihre Antworten in Ihrem Browser.
15 Fragen, sofortiges Ergebnis. Ohne Anmeldung.
Die drei Schritte oben gehen schnell, wenn Vorlagen, Richtlinie und Unterweisung fertig vorliegen; genau das liefert der Report, zugeschnitten auf Ihre Antworten aus dem Check. Wer das prüffähig braucht, etwa um intern Ruhe zu haben oder einem Steuerberater oder Anwalt eine strukturierte Grundlage zu geben, kann im Anschluss an den Fragebogen den ausführlichen Report bestellen: Einstufung mit Fundstellen, priorisierter Maßnahmenplan, Bußgeldrahmen mit KMU-Staffelung, druckfertige Vorlagen (KI-Nutzungsrichtlinie, KI-Inventar, Schulungsnachweis) und eine Unterweisung zur KI-Kompetenz nach Artikel 4 mit Verständnistest und Teilnahmebestätigung. Einmalig 149 Euro, ein Angebot ausschließlich für Unternehmer im Sinne des § 14 BGB.
Sehen Sie vorher, was Sie bekommen: Beispiel-Report als PDF, ein Musterreport für eine fiktive Beispiel GmbH (Analyseteil vollständig, Vorlagen und Unterweisung gekürzt).
Ja, die Hochrisiko-Pflichten gelten erst ab dem 2. Dezember 2027. Verbote (Artikel 5), Artikel 4, DSGVO, AGG und BetrVG gelten aber heute.
Wenn ein KI-System Bewerbungen analysiert und filtert, ja (Anhang III Nummer 4 Buchstabe a). Eine reine Stichwortsuche ohne KI ist kein KI-System.
Hochrisiko-Systeme, die vor dem Geltungsbeginn in Verkehr gebracht wurden, unterliegen der Verordnung nur bei einer erheblichen Konzeptionsänderung (Artikel 111 Absatz 2). Ob das im Einzelfall greift, ist eine Auslegungsfrage; planen Sie konservativ und fragen Sie den Anbieter nach seiner Einschätzung.
Ein KI-System, das Verhalten oder Leistung von Beschäftigten erfassen kann, ist eine technische Überwachungseinrichtung nach § 87 Absatz 1 Nummer 6 BetrVG und damit mitbestimmungspflichtig. Für Bewerber gilt das nicht, für Mitarbeiterbewertung schon.
Verstöße gegen Betreiberpflichten nach Artikel 26 fallen unter Artikel 99 Absatz 4: bis zu 15 Millionen Euro oder 3 Prozent, für KMU der niedrigere Betrag. Verstöße gegen Artikel 5 bis zu 35 Millionen Euro oder 7 Prozent.
Was Artikel 4 verlangt, was reicht, wie Sie es dokumentieren.
Was seit dem 2. August 2026 gilt und was am 2. Dezember 2027 folgt.
Welcher Höchstbetrag für Ihr Unternehmen nach Artikel 99 gilt.
Wenn Recruiting das Geschäftsmodell ist.
Diese Seite ist eine Orientierungshilfe auf Basis der Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 und ersetzt keine Rechtsberatung.
Stand: September 2026