AI Act und Recruiting: Ist Ihre KI-gestützte Bewerberauswahl hochriskant?

Verwendet Ihr Unternehmen eine Software zur Lebenslauf-Sichtung? Ein Tool zur Kandidatenbewertung? Ein automatisiertes Video-Interview-System? Dann fallen Sie unter eine der strengsten Klassifizierungen des EU AI Act: Hochrisiko.

Bereich 4 des Anhangs III der Verordnung (EU) 2024/1689 zielt ausdrücklich auf KI-Systeme ab, die in den Bereichen Beschäftigung, Arbeitnehmerführung und Zugang zur selbständigen Erwerbstätigkeit eingesetzt werden. Dies ist keine Grauzone - es ist einer der klarsten Fälle im Gesetzestext. Und die daraus resultierenden Pflichten sind erheblich.

Warum Recruiting als hochriskant eingestuft wird

Die Begründung des Gesetzgebers ist eindeutig: Eine KI-gestützte Rekrutierungsentscheidung kann einen erheblichen Einfluss auf das Leben einer Person haben. Ein von einem Algorithmus aussortierter Bewerber hat oft keinen Einblick in die Gründe der Ablehnung. Algorithmische Voreingenommenheiten (Geschlecht, Herkunft, Alter) sind in der wissenschaftlichen Literatur seit Jahren dokumentiert.

Erwägungsgrund 57 der Verordnung stellt fest, dass solche Systeme "historische Diskriminierungsmuster fortführen können" und dass "die Art der in diesem Bereich getroffenen Entscheidungen eine verstärkte Überwachung rechtfertigt".

Was das konkret für Ihr KMU bedeutet

Wenn Sie eines dieser Tools verwenden, selbst wenn es von einem Drittanbieter gekauft wurde, haben Sie Pflichten als Betreiber (Artikel 26). Und wenn Sie selbst ein HR-Scoring-Tool entwickeln, sind Sie Anbieter (Artikel 8 bis 15) mit noch umfangreicheren Pflichten.

Als Betreiber (Sie nutzen ein bestehendes Tool)

Grundrechte-Folgenabschätzung (FRIA). Vor dem Einsatz des Systems müssen Sie eine spezifische Folgenabschätzung durchführen (Artikel 27). Dies ist keine DSFA im Sinne der DSGVO - es handelt sich um ein separates Dokument, das die Auswirkungen des Systems auf die Grundrechte der Bewerber analysiert: Nichtdiskriminierung, Privatsphäre, Menschenwürde.

Menschliche Aufsicht. Sie müssen natürliche Personen benennen, die für die Überwachung des Systembetriebs verantwortlich sind (Artikel 14). Konkret: Ein menschlicher Recruiter muss die Empfehlungen des Tools verstehen, hinterfragen und die endgültige Entscheidung treffen können.

Transparenz gegenüber Bewerbern. Personen, die dem System ausgesetzt sind, müssen darüber informiert werden, dass KI am Rekrutierungsprozess beteiligt ist (Artikel 50). Nicht im Kleingedruckten einer Datenschutzerklärung - klar und im Voraus.

Information des Betriebsrats. Wenn Sie einen Betriebsrat (oder ein Äquivalent) haben, muss dieser vor Inbetriebnahme über den Einsatz des KI-Systems informiert werden (Artikel 26, Absatz 7).

Protokollaufbewahrung. Die vom System erzeugten Aktivitätsprotokolle müssen für einen angemessenen Zeitraum aufbewahrt und der Aufsichtsbehörde zur Verfügung gestellt werden (Artikel 26, Absatz 6).

Als Anbieter (Sie entwickeln das Tool)

Die Pflichten sind deutlich umfangreicher: Risikomanagementsystem (Artikel 9), qualitativ hochwertige und repräsentative Trainingsdaten (Artikel 10), vollständige technische Dokumentation gemäß Anhang IV (Artikel 11), Konformitätsbewertung (Artikel 43), CE-Kennzeichnung und kontinuierliche Marktüberwachung nach dem Inverkehrbringen.

Gängige HR-Tools und ihre wahrscheinliche Klassifizierung

Der häufigste Fehler: "Der Anbieter kümmert sich um die Compliance"

Nein. Der Tool-Anbieter hat seine eigenen Pflichten (technische Dokumentation, CE-Kennzeichnung). Aber als Betreiber bestehen Ihre Pflichten unabhängig davon. Sie können Ihre Verantwortung für FRIA, menschliche Aufsicht oder Transparenz gegenüber Bewerbern nicht durch Verweis auf Ihren Anbietervertrag auslagern.

Prüfen Sie dennoch, was Ihr Anbieter bereitstellt: Einige beginnen, "Compliance-Pakete" anzubieten, die die technische Dokumentation und die nach Artikel 13 erforderlichen Gebrauchsanweisungen enthalten. Das ist ein guter Ausgangspunkt, deckt aber nicht Ihre eigenen Pflichten ab.

Sanktionen

Verstöße im Zusammenhang mit Hochrisikosystemen können mit Geldbußen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Artikel 99). Für ein KMU kann selbst ein Bruchteil dieses Betrags existenzbedrohend sein.

Wo anfangen?

1. Inventarisieren Sie Ihre HR-Tools. Listen Sie alle Software auf, die an Rekrutierung, Bewertung oder Mitarbeiterverwaltung beteiligt ist.

2. Klassifizieren Sie jedes System. Bestimmen Sie für jedes, ob es unter Anhang III Bereich 4 fällt. Der AiCompliBot-Fragebogen kann das in 5 Minuten erledigen.

3. Führen Sie die FRIA durch. Für bestätigte Hochrisikosysteme hat die Grundrechte-Folgenabschätzung Priorität. AiCompliBot generiert einen personalisierten FRIA-Entwurf basierend auf Ihrer Situation.

4. Implementieren Sie die menschliche Aufsicht. Benennen Sie eine verantwortliche Person, schulen Sie sie, dokumentieren Sie den Überwachungsprozess.

5. Informieren Sie die Beteiligten. Bewerber, Mitarbeiter, Betriebsrat - alle müssen wissen, dass KI in HR-Prozessen eingesetzt wird.

Die Frist rückt näher. Wenn Ihr KMU KI im Recruiting einsetzt, ist Compliance keine Option. Aber sie ist machbar, besonders wenn Sie jetzt beginnen.

Klassifizieren Sie Ihre HR-Systeme kostenlos auf AiCompliBot - 5 Minuten, um genau zu wissen, wo Sie stehen.