Das Wichtigste in Kürze

KI-Systeme für die Einstellung und Auswahl von Personen – etwa zum Sichten von Bewerbungen oder Bewerten von Kandidaten – gelten als Hochrisiko (Anhang III Nr. 4).
Die meisten Pflichten treffen den Anbieter des Systems. Aber auch die Personalberatung, die es einsetzt, hat als Betreiber eigene Pflichten (Art. 26).
Seit dem 2. Februar 2025 gelten bereits die Verbote (Art. 5) und die Pflicht zur KI-Kompetenz der Mitarbeitenden (Art. 4).
Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten nach aktuellem Stand ab dem 2. Dezember 2027. Ursprünglich war der 2. August 2026 vorgesehen.
Die DSGVO gilt unabhängig davon: Ausschließlich automatisierte Entscheidungen über Menschen sind nach Art. 22 DSGVO grundsätzlich unzulässig.

Warum Recruiting als Hochrisiko gilt

Die KI-Verordnung (Verordnung (EU) 2024/1689) teilt KI-Systeme nach ihrem Risiko ein. Als hochriskant gelten unter anderem die Bereiche, die in Anhang III aufgezählt sind. Unter Nummer 4 steht dort „Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit“. Erfasst sind KI-Systeme, die für die Einstellung oder Auswahl natürlicher Personen bestimmt sind – ausdrücklich genannt werden das Schalten gezielter Stellenanzeigen, das Sichten und Filtern von Bewerbungen und die Bewertung von Bewerbern.

Der Grund liegt auf der Hand: Solche Systeme beeinflussen Berufschancen und damit Lebensgrundlagen. Sie können Verzerrungen aus ihren Trainingsdaten übernehmen und bestimmte Gruppen benachteiligen, ohne dass es jemand bemerkt.

Die Ausnahme – und warum sie selten greift

Nach Art. 6 Abs. 3 ist ein System aus Anhang III ausnahmsweise nicht hochriskant, wenn es kein erhebliches Risiko birgt – etwa weil es nur eine eng begrenzte Verfahrensaufgabe erledigt oder eine vorbereitende Tätigkeit übernimmt. Diese Ausnahme gilt aber nie, wenn das System ein Profiling natürlicher Personen vornimmt. Wer Kandidaten bewertet, einstuft oder in eine Rangfolge bringt, sollte deshalb nicht mit der Ausnahme planen.

Anbieter oder Betreiber: Wer muss was?

Die Verordnung unterscheidet zwischen dem Anbieter, der ein KI-System entwickelt und unter eigenem Namen anbietet, und dem Betreiber, der es in eigener Verantwortung einsetzt. Eine Personalberatung, die eine Recruiting-Software mit KI nutzt, ist in aller Regel Betreiber.

Rolle	Wichtigste Pflichten bei Hochrisiko-Systemen
Anbieter entwickelt das System	Risikomanagement (Art. 9), Qualität der Daten und Umgang mit Verzerrungen (Art. 10), technische Dokumentation (Art. 11), automatische Protokollierung (Art. 12), Transparenz und Gebrauchsanweisung (Art. 13), menschliche Aufsicht ermöglichen (Art. 14), Genauigkeit und Robustheit (Art. 15), Konformitätsbewertung, CE-Kennzeichnung und Registrierung.
Betreiber setzt das System ein	Einsatz nach Gebrauchsanweisung, menschliche Aufsicht durch geschulte Personen, passende Eingabedaten, Überwachung des Betriebs und Meldung von Vorfällen, Aufbewahrung der Protokolle für mindestens sechs Monate, Information betroffener Personen, wenn das System Entscheidungen über sie trifft oder dabei unterstützt (Art. 26).

Vorsicht beim Eigenbau: Wer ein Hochrisiko-System unter eigenem Namen anbietet oder wesentlich verändert, wird nach Art. 25 selbst zum Anbieter. Das kann auch eine Beratung treffen, die sich aus einem allgemeinen Sprachmodell einen eigenen Ablauf zum Bewerten von Kandidaten baut und ihn Kunden als Leistung anbietet.

Was bereits seit Februar 2025 gilt

Zwei Teile der Verordnung sind schon anwendbar und betreffen jede Personalberatung, die KI nutzt:

KI-Kompetenz (Art. 4): Wer KI-Systeme einsetzt, muss dafür sorgen, dass die Mitarbeitenden, die damit arbeiten, ausreichend geschult sind. Halten Sie fest, wer wann worin geschult wurde.
Verbotene Praktiken (Art. 5): Untersagt ist unter anderem, Emotionen von Personen am Arbeitsplatz mit KI zu erkennen – außer aus medizinischen oder Sicherheitsgründen. Ebenfalls verboten ist die biometrische Kategorisierung nach sensiblen Merkmalen wie Herkunft oder Religion.

Die Fristen im Überblick

Datum	Was gilt
1. August 2024	Die Verordnung tritt in Kraft.
2. Februar 2025	Verbote nach Art. 5 und Pflicht zur KI-Kompetenz nach Art. 4.
2. August 2025	Regeln für KI-Modelle mit allgemeinem Verwendungszweck, Aufsichtsstrukturen, Sanktionen.
2. August 2026	Allgemeine Anwendbarkeit, unter anderem Transparenzpflichten nach Art. 50.
2. Dezember 2027	Pflichten für Hochrisiko-Systeme nach Anhang III, also auch Recruiting – nach aktuellem Stand.

Die Verschiebung der Hochrisiko-Pflichten vom August 2026 auf den Dezember 2027 geht auf das sogenannte Digital-Omnibus-Paket der EU zurück. Maßgeblich ist der im Amtsblatt veröffentlichte Text – prüfen Sie dort den aktuellen Stand, bevor Sie Fristen intern verbindlich machen.

Was Personalberatungen jetzt tun sollten

Bestandsaufnahme machen. Welche Werkzeuge bewerten, sortieren oder empfehlen Kandidaten mithilfe von KI? Dazu zählen auch selbst gebaute Abläufe mit allgemeinen Sprachmodellen.
Rolle klären. Sind Sie bei jedem Werkzeug Betreiber – oder durch Eigenbau womöglich Anbieter?
KI-Kompetenz schulen und dokumentieren. Diese Pflicht gilt schon heute.
Menschliche Entscheidung festschreiben. Keine Absage, keine Vorstellung, kein Versand ohne Prüfung durch einen Berater. Das verlangt auch Art. 22 DSGVO.
Kandidaten informieren. Ergänzen Sie Ihre Datenschutzhinweise um den Einsatz von KI und sorgen Sie dafür, dass Sie Auskunftsanfragen vollständig beantworten können.
Anbieter befragen. Gibt es eine Gebrauchsanweisung, Protokolle, Begründungen zu jeder Bewertung und Tests auf Verzerrungen? Wie bereitet sich der Anbieter auf die Konformitätsbewertung vor?
Protokolle aufbewahren. Legen Sie fest, wo die Protokolle liegen und wie lange sie aufbewahrt werden.

Wie matchmaker damit umgeht

matchmaker bewertet die Passung zwischen Kandidat und offener Stelle – und fällt damit in den Bereich, den Anhang III beschreibt. Deshalb sind die Grundlagen, die die Verordnung verlangt, von Anfang an angelegt: Hinaus geht nichts ohne Freigabe durch den Berater. Jede Bewertung wird mit Begründung, Zeitpunkt sowie Modell- und Prompt-Version protokolliert. Bewertet wird ohne Klarnamen und ohne geschützte Merkmale, und zu jeder Bewertung lässt sich ein Bericht je Kriterium erzeugen. Eine Konformitätsbewertung ersetzt das nicht. Mehr dazu auf der Seite Datenschutz bei KI im Recruiting.

Quellen

Dieser Beitrag gibt einen allgemeinen Überblick zum Stand 21. Oktober 2026 und ersetzt keine Rechtsberatung im Einzelfall. Gesetze und ihre Auslegung ändern sich – prüfen Sie Fristen und Einzelheiten vor einer Entscheidung an der jeweiligen Quelle.

EU AI Act im Recruiting: Was Personalberatungen jetzt wissen müssen