Kurz gesagt: KI-Systeme, die Kandidaten suchen, Bewerbungen analysieren, Profile ranken oder Interviews auswerten, stehen in Anhang III Nummer 4 der KI-Verordnung. Für Personalvermittler, Zeitarbeitsfirmen und Recruiting-Agenturen ist das kein Randthema, sondern das Werkzeug des Kerngeschäfts. Die Hochrisiko-Pflichten gelten ab dem 2. Dezember 2027. Schon heute gelten das Verbot der Emotionserkennung (Artikel 5 Absatz 1 Buchstabe f), die Kompetenzpflicht (Artikel 4), Artikel 22 DSGVO und das AGG. Und wer eigene Matching-Software entwickelt und unter eigenem Namen einsetzt oder Kunden anbietet, ist Anbieter mit der vollen Pflichtenlast.
Nutzen Sie ein zugekauftes System, sind Sie Betreiber. Entwickeln Sie selbst oder lassen entwickeln und setzen das System unter eigenem Namen ein, sind Sie Anbieter (Artikel 3 Nummer 3 und 11), auch wenn Sie es nur intern nutzen. Anbieter eines Hochrisiko-Systems tragen Risikomanagement (Artikel 9), Daten-Governance (Artikel 10), technische Dokumentation (Artikel 11, vereinfachtes Formular für KMU und kleine Midcaps), Protokollierung, Transparenz gegenüber Betreibern, menschliche Aufsicht, Konformitätsbewertung, CE-Kennzeichnung und Registrierung in der EU-Datenbank. Wer ein zugekauftes System wesentlich verändert oder unter eigener Marke weitergibt, wird ebenfalls Anbieter (Artikel 25 Absatz 1). Der Erstanbieter muss dann mit Ihnen zusammenarbeiten, Informationen liefern und technischen Zugang gewähren (Artikel 25 Absatz 2 in der Fassung der Verordnung (EU) 2026/1744); die Pflicht gilt für Anhang-III-Systeme ab dem 2. Dezember 2027 (Artikel 113 Absatz 3 Buchstabe c) und entfällt, wenn der Erstanbieter eindeutig festgelegt hat, dass sein System nicht in ein Hochrisiko-System umgewandelt werden darf.
Sie ergreifen Maßnahmen, um die KI-Kompetenz aller Mitarbeitenden zu unterstützen, die mit den Recruiting-Systemen arbeiten. Seit dem 27. Juli 2026 verlangt die Vorschrift Unterstützung, kein garantiertes Niveau. Ein Zertifikat ist nicht vorgeschrieben; eine kurze, dokumentierte Unterweisung mit Nachweis reicht in der Regel. Ein direktes Bußgeld gibt es nicht, fehlende Nachweise wiegen aber bei jedem anderen Verstoß schwerer.
KI-Systeme, die Emotionen von Beschäftigten ableiten, sind am Arbeitsplatz verboten, außer aus medizinischen Gründen oder Sicherheitsgründen. Das trifft Stimmungsanalysen in Meetings, Kameras mit Emotionsauswertung und Callcenter-Software, die Gefühle von Mitarbeitenden bewertet.
Der Wortlaut nennt Bewerbungsverfahren nicht ausdrücklich; Erwägungsgrund 44 erfasst aber Situationen, die mit dem Arbeitsplatz zusammenhängen, und das Machtungleichgewicht im Bereich Arbeit. Video-Interview-Analysen auf Mimik, Stimmlage oder Stress sollten Sie deshalb als verboten behandeln.
Ein Ranking, das Merkmale wie Alter, Herkunft oder Geschlecht direkt oder über Proxys gewichtet, ist eine Benachteiligung nach dem AGG; die Beweislast kann sich umkehren. Automatisierte Absagen ohne menschliche Entscheidung sind nach Artikel 22 DSGVO in der Regel unzulässig; die Ausnahmen des Absatzes 2 (Vertragserforderlichkeit, Einwilligung) greifen im Bewerbungsverfahren selten.
Die KI-Verordnung ersetzt die DSGVO nicht. Personenbezogene Daten in den Recruiting-Systemen brauchen eine Rechtsgrundlage, bei Cloud-Diensten einen Auftragsverarbeitungsvertrag, bei Entscheidungen mit rechtlicher Wirkung greift Artikel 22 DSGVO. Für Beschäftigtendaten gilt zusätzlich § 26 BDSG, bei technischer Überwachung § 87 Absatz 1 Nummer 6 BetrVG.
Hochrisiko-Systeme nach Anhang III unterliegen ab dem 2. Dezember 2027 den Betreiberpflichten des Artikels 26 (Artikel 113 Absatz 3 Buchstabe c der KI-Verordnung): Betriebsanleitung des Anbieters einhalten, menschliche Aufsicht durch geschulte Personen, Eingabedaten kontrollieren, Protokolle mindestens sechs Monate aufbewahren, betroffene Personen informieren. Der Anbieter des Systems trägt die Hauptlast (Risikomanagement, Dokumentation, Konformitätsbewertung, CE-Kennzeichnung); als Betreiber verlangen Sie diese Nachweise von ihm. Kandidaten informieren Sie nach Artikel 26 Absatz 11, dass ein Hochrisiko-System an Entscheidungen mitwirkt; auf Verlangen erklären Sie die Rolle des Systems (Artikel 86). Ein Verstoß gegen diese Erläuterungspflicht ist nach § 15 KI-MIG mit bis zu 50.000 Euro bußgeldbewehrt, der Verstoß gegen Artikel 26 nach Artikel 99 Absatz 4.
Sie müssen nicht raten und nichts bezahlen, um zu erfahren, wo Sie stehen. Der Check stellt Ihnen 15 einfache Fragen in vier Blöcken, ohne Fachjargon. Am Ende sehen Sie eine Ampel-Einordnung, die betroffenen Pflichten mit Artikelverweis und den Bußgeldrahmen für Ihre Unternehmensgröße. Keine Anmeldung, keine E-Mail-Abfrage; bei der kostenlosen Auswertung bleiben Ihre Antworten in Ihrem Browser.
15 Fragen, sofortiges Ergebnis. Ohne Anmeldung.
Die drei Schritte oben gehen schnell, wenn Vorlagen, Richtlinie und Unterweisung fertig vorliegen; genau das liefert der Report, zugeschnitten auf Ihre Antworten aus dem Check. Wer das prüffähig braucht, etwa um intern Ruhe zu haben oder einem Steuerberater oder Anwalt eine strukturierte Grundlage zu geben, kann im Anschluss an den Fragebogen den ausführlichen Report bestellen: Einstufung mit Fundstellen, priorisierter Maßnahmenplan, Bußgeldrahmen mit KMU-Staffelung, druckfertige Vorlagen (KI-Nutzungsrichtlinie, KI-Inventar, Schulungsnachweis) und eine Unterweisung zur KI-Kompetenz nach Artikel 4 mit Verständnistest und Teilnahmebestätigung. Einmalig 149 Euro, ein Angebot ausschließlich für Unternehmer im Sinne des § 14 BGB.
Sehen Sie vorher, was Sie bekommen: Beispiel-Report als PDF, ein Musterreport für eine fiktive Beispiel GmbH (Analyseteil vollständig, Vorlagen und Unterweisung gekürzt).
Alle, die Kandidaten suchen, filtern, bewerten oder ranken (Anhang III Nummer 4 Buchstabe a). Reine Terminplanung, Kommunikation und Dokumentenverwaltung nicht.
Sie sind Anbieter eines Hochrisiko-Systems mit Konformitätsbewertung, Dokumentation und Registrierung bis zum 2. Dezember 2027. KMU und kleine Midcap-Unternehmen dürfen das vereinfachte Dokumentationsformular nutzen (Artikel 11).
Inhaltliche Transkription ja. Auswertung von Emotionen, Mimik oder Stimmlage sollten Sie als verboten behandeln (Artikel 5 Absatz 1 Buchstabe f).
Der Kunde ist Betreiber seines eigenen Auswahlprozesses. Liefern Sie ihm die Information, dass ein KI-System an der Vorauswahl beteiligt war; ab Dezember 2027 gehört das zur Betreiberkette.
Artikel 5: bis zu 35 Millionen Euro oder 7 Prozent. Anbieter- und Betreiberpflichten: bis zu 15 Millionen Euro oder 3 Prozent. Für KMU jeweils der niedrigere Betrag, für kleine Midcaps bei Absatz 4 und 5 ebenfalls.
Fünf Schritte vom KI-Inventar bis zur Hochrisiko-Prüfung.
Was Artikel 4 verlangt und was reicht.
Der Höchstbetrag für Ihre Unternehmensgröße.
Die vier Fragen an Ihren Anbieter.
Diese Seite ist eine Orientierungshilfe auf Basis der Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 und ersetzt keine Rechtsberatung.
Stand: September 2026