Welche Pflichten hat der Arbeitgeber nach der KI-Verordnung?

Die KI-Verordnung trifft nicht nur Technologieunternehmen, sondern jedes Unternehmen, das KI einsetzt. Ob daraus ein voller Pflichtenkatalog wird, entscheidet der Zweck des Systems und nicht die Technologie. Maßgeblich ist die Verordnung (EU) 2024/1689 über künstliche Intelligenz (KI-VO) in der Fassung der Digital-Omnibus-Verordnung (EU) 2026/1744. Dieser Beitrag ordnet die Risikostufen für den Personalbereich, nennt die Fristen und fasst zusammen, was ein Arbeitgeber tun muss. Die Tiefe zu den einzelnen Themen steht in den verlinkten Beiträgen.

Gilt die KI-Verordnung auch für mein Unternehmen?

Ja, sobald KI im Unternehmen genutzt wird. Die Verordnung knüpft an Rollen an. Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen bereitstellt. Betreiber ist, wer ein System in eigener Verantwortung verwendet. Der Arbeitgeber, der eine Bewerbermanagement-Software einkauft und einsetzt, ist Betreiber. Branche und Betriebsgröße spielen keine Rolle. Erleichterungen gibt es für kleine und mittlere Unternehmen und seit dem Digital Omnibus auch für kleine Unternehmen mit mittlerer Kapitalisierung, aber keine Bereichsausnahme.

Die Rollenverteilung entscheidet mehr als jede andere Weichenstellung. Wer ein zugekauftes System lediglich nutzt, trägt einen deutlich schlankeren Pflichtenkatalog als der Anbieter. Wer ein System allerdings unter eigenem Namen anbietet, es wesentlich verändert oder seine Zweckbestimmung ändert, rückt nach Art. 25 KI-VO in die Anbieterrolle ein und übernimmt deren Pflichten vollständig.

Welche Risikostufe hat welches System im Personalbereich?

Die Verordnung ordnet KI-Systeme vier Risikostufen zu, und im Personalbereich sind alle vier besetzt. Stufe 1 an der Spitze ist verboten, trifft wenige Systeme und kostet am meisten. Der große Block für Arbeitgeber ist Stufe 2, das hohe Risiko. Stufe 3 löst nur Transparenzpflichten aus, und auf Stufe 4 liegt der weite Bereich ohne besondere Verpflichtungen. Die Bezeichnungen folgen der Darstellung der Bundesnetzagentur.

Der Blick auf die Stufen lohnt vor jeder Einführung, denn dieselbe Software kann je nach Konfiguration in zwei Stufen fallen. Ein Chatbot, der lediglich Standardfragen zur Elternzeit beantwortet, und derselbe Chatbot, der Bewerber vorsortiert, sind deshalb getrennt zu betrachten. Welche Stufe jeweils einschlägig ist, lässt sich nur anhand der konkreten Funktionen beurteilen.

Wann ist ein HR-Tool ein Hochrisiko-System?

Wenn es unter Anhang III Nr. 4 KI-VO fällt und keine Ausnahme greift. Anhang III Nr. 4 KI-VO erfasst zwei Gruppen. Erstens Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten. Zweitens Systeme für Entscheidungen, die die Bedingungen von Arbeitsverhältnissen, Beförderungen und Kündigungen beeinflussen, für die Zuweisung von Aufgaben aufgrund des individuellen Verhaltens oder persönlicher Merkmale und für die Beobachtung und Bewertung von Leistung und Verhalten.

Art. 6 Abs. 3 KI-VO nimmt Systeme aus, die kein erhebliches Risiko begründen, weil sie nur eine eng gefasste Verfahrensaufgabe erfüllen, ein zuvor abgeschlossenes menschliches Ergebnis lediglich verbessern, Entscheidungsmuster erkennen, ohne die menschliche Bewertung ohne angemessene Überprüfung zu ersetzen, oder eine rein vorbereitende Aufgabe erfüllen. Diese Ausnahme ist enger, als sie klingt. Nimmt das System ein Profiling natürlicher Personen vor, gilt es nach Art. 6 Abs. 3 KI-VO immer als hochriskant, unabhängig davon, wie vorbereitend die Aufgabe wirkt.

Die Einstufung ist damit keine Formalie, sondern die zentrale Weichenstellung. Sie gehört dokumentiert, bevor das System live geht. Für den praktisch wichtigsten Fall haben wir das ausführlich aufbereitet, nämlich KI im Bewerbungsverfahren.

Ab wann gilt welche Pflicht?

Der Zeitplan ist gestaffelt und wurde im Juli 2026 in Teilen verschoben. Die Verbote und die KI-Kompetenz gelten seit dem 2. Februar 2025, die Transparenzpflichten seit dem 2. August 2026. Der volle Pflichtenkatalog für Hochrisiko-Systeme im Personalbereich greift dagegen erst ab dem 2. Dezember 2027.

Die Verschiebung geht auf die Digital-Omnibus-Verordnung (EU) 2026/1744 zurück, die seit dem 27. Juli 2026 in Kraft ist. Was sich dadurch im Einzelnen geändert hat, steht in unserem Beitrag zu den neuen Fristen der KI-Verordnung.

Welche Pflichten treffen den Arbeitgeber als Betreiber?

Sieben Pflichten aus Art. 26 KI-VO, dazu ein Auskunftsrecht der Betroffenen. Sie gelten für Hochrisiko-Systeme und damit im Personalbereich ab dem 2. Dezember 2027.

• Geeignete technische und organisatorische Maßnahmen, damit das System entsprechend der beigefügten Betriebsanleitung verwendet wird (Art. 26 Abs. 1 KI-VO).
• Menschliche Aufsicht durch Personen, die über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen und die nötige Unterstützung erhalten (Art. 26 Abs. 2 KI-VO).
• Eingabedaten, die der Zweckbestimmung entsprechen und ausreichend repräsentativ sind, soweit sie der Kontrolle des Arbeitgebers unterliegen (Art. 26 Abs. 4 KI-VO).
• Überwachung des laufenden Betriebs, Meldung an Anbieter und Behörden und Aussetzen der Nutzung, wenn ein Risiko auftritt (Art. 26 Abs. 5 KI-VO).
• Aufbewahrung der automatisch erzeugten Protokolle für mindestens sechs Monate (Art. 26 Abs. 6 KI-VO).
• Unterrichtung der Arbeitnehmervertreter und der betroffenen Arbeitnehmer vor der Inbetriebnahme am Arbeitsplatz (Art. 26 Abs. 7 KI-VO).
• Grundrechte-Folgenabschätzung, soweit Art. 27 KI-VO den Betreiber erfasst. Sie darf auf die einschlägigen Teile einer bereits vorliegenden Datenschutz-Folgenabschätzung verweisen.

Hinzu kommt Art. 86 KI-VO. Wer von einer Entscheidung betroffen ist, die auf der Ausgabe eines Hochrisiko-Systems nach Anhang III KI-VO beruht und rechtliche Wirkung entfaltet oder erheblich beeinträchtigt, hat gegen den Betreiber Anspruch auf eine klare und aussagekräftige Erläuterung zur Rolle des Systems im Entscheidungsprozess. Für abgelehnte Bewerber und gekündigte Beschäftigte ist das ein Hebel, der neben dem Auskunftsanspruch aus Art. 15 DS-GVO steht.

Was muss der Arbeitgeber schon heute umsetzen?

Drei Punkte sind bereits scharf gestellt. Erstens die Verbote des Art. 5 KI-VO. Die Ableitung von Emotionen von Beschäftigten am Arbeitsplatz ist untersagt, soweit sie nicht aus medizinischen Gründen oder aus Sicherheitsgründen erfolgt, und die biometrische Kategorisierung darf nicht dazu dienen, auf Gewerkschaftszugehörigkeit, religiöse Überzeugungen oder die sexuelle Ausrichtung zu schließen. Zweitens die KI-Kompetenz nach Art. 4 KI-VO, die seit dem Digital Omnibus nur noch verlangt, Maßnahmen zur Unterstützung zu ergreifen, ohne ein bestimmtes Niveau zu garantieren. Drittens die Transparenzpflichten des Art. 50 KI-VO, von denen den Arbeitgeber als Betreiber allerdings nur die Offenlegung bei Deepfakes und bei veröffentlichten Texten zu Angelegenheiten von öffentlichem Interesse trifft sowie die Information der Betroffenen beim Betrieb eines Emotionserkennungssystems.

Unabhängig davon gelten Datenschutz, Gleichbehandlung und Mitbestimmung weiter. In der Praxis ist die Mitbestimmung des Betriebsrats beim KI-Einsatz für den Zeitplan der Einführung meist der engere Flaschenhals als die Fristen der Verordnung. Und für die alltägliche Frage, ob Beschäftigte generative Werkzeuge überhaupt nutzen dürfen, ist die arbeitsvertragliche Ebene entscheidend, die wir im Beitrag zu KI am Arbeitsplatz behandeln.

Was kostet ein Verstoß gegen die KI-Verordnung?

Der Rahmen ist an der DS-GVO orientiert und liegt darüber. Bei Missachtung der Verbote des Art. 5 KI-VO sieht Art. 99 Abs. 3 KI-VO Geldbußen bis 35 Millionen Euro oder bis 7 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres vor, je nachdem, welcher Betrag höher ist. Verstöße gegen die Betreiberpflichten des Art. 26 KI-VO und gegen die Transparenzpflichten des Art. 50 KI-VO liegen nach Art. 99 Abs. 4 KI-VO bei bis zu 15 Millionen Euro oder 3 Prozent, falsche oder unvollständige Auskünfte gegenüber den Behörden nach Art. 99 Abs. 5 KI-VO bei bis zu 7,5 Millionen Euro oder 1 Prozent.

Die Durchsetzung liegt bei den Marktüberwachungsbehörden, die die Mitgliedstaaten benennen. In Deutschland betreibt die Bundesnetzagentur dazu einen KI-Service-Desk als zentrale Anlaufstelle. Der deutsche Rechtsrahmen dazu ist noch nicht abgeschlossen, weshalb sich zu Zuständigkeit und Verfahren derzeit keine belastbare Aussage treffen lässt. Für die betriebliche Praxis ist das kurzfristige Risiko ohnehin selten das Bußgeld. Es liegt in der Auseinandersetzung mit dem Betriebsrat, in Auskunfts- und Schadensersatzansprüchen abgelehnter Bewerber und in der Frage, ob eine Kündigung Bestand hat, die sich auf eine maschinelle Bewertung stützt.

Sieben Schritte zur KI-Compliance im Personalbereich

Die Reihenfolge entscheidet über den Aufwand. Wer mit der Inventur beginnt, spart sich die Diskussion über Pflichten, die für das eigene System gar nicht gelten.

• Inventur aller Systeme, einschließlich der KI-Funktionen, die in vorhandener HR-Software mitgeliefert und ohne gesonderte Entscheidung aktiviert wurden.
• Rolle je System bestimmen, also Anbieter oder Betreiber, und prüfen, ob eigene Anpassungen in die Anbieterrolle nach Art. 25 KI-VO führen.
• Einstufung nach Anhang III Nr. 4 KI-VO, Prüfung der Ausnahme des Art. 6 Abs. 3 KI-VO und der Rückausnahme beim Profiling, jeweils schriftlich festgehalten.
• Verbotene Praktiken ausschließen, insbesondere Funktionen zur Stimmungs-, Aufmerksamkeits- oder Stressmessung.
• Menschliche Aufsicht benennen und mit Kompetenz und Befugnis ausstatten, damit sie eine maschinelle Bewertung tatsächlich übersteuern kann.
• Beteiligung organisieren, also Betriebsrat, Datenschutz-Folgenabschätzung und die Unterrichtung nach Art. 26 Abs. 7 KI-VO in einem Zug.
• Nutzungsregeln und Schulung aufsetzen, dokumentiert und auf die Personen zugeschnitten, die mit den Systemen arbeiten.

Wie sicher ist die Einordnung im Einzelfall?

Deutlich weniger sicher, als die klare Struktur der Verordnung vermuten lässt. Die KI-Verordnung ist ein junges Regelwerk. Ihre zentralen Pflichten greifen überwiegend erst 2027 und 2028, die harmonisierten Normen und die Leitlinien der Kommission sind noch nicht abgeschlossen, und zu den Einstufungsfragen liegt bislang praktisch keine Rechtsprechung vor. Vieles, was heute als geklärt gilt, ist tatsächlich eine vertretbare Auslegung und nicht mehr.

Für die Praxis folgt daraus zweierlei. Die Beispiele in diesem Beitrag zeigen die Richtung, sie sind keine verbindliche Zuordnung. Und die Zuordnung selbst kann sich verschieben. Ein System, das heute als reine Verfahrenshilfe auf Stufe 4 liegt, rutscht auf Stufe 2, sobald es eine Bewertungsfunktion erhält oder sobald Leitlinien die Ausnahme des Art. 6 Abs. 3 KI-VO enger fassen. Der umgekehrte Weg ist ebenso möglich. Welche Stufe für ein konkretes System gilt, lässt sich deshalb erst nach Prüfung seiner Zweckbestimmung, seiner Funktionen und seiner tatsächlichen Nutzung im Betrieb beantworten.

Häufige Fragen zur KI-Verordnung für Arbeitgeber

Als Anwalt für Arbeitsrecht in Köln begleiten wir Arbeitgeber bei der Einführung von KI im Personalbereich. Als Kanzlei für Arbeitsrecht übernehmen wir die Einstufung der Systeme, die KI-Richtlinie und die Betriebsvereinbarung sowie die Abgrenzung zu zulässiger Kontrolle und Überwachung, und wir beraten dabei Arbeitgeber ebenso wie Betriebsräte, die über eine solche Vereinbarung verhandeln.

Sie wollen wissen, welche Ihrer Systeme unter die KI-Verordnung fallen und was bis wann zu tun ist? Nehmen Sie Kontakt mit uns auf – die Erstberatung ist für Sie kostenfrei.