KI-Verordnung (EU) 2024/1689: Das müssen Sie jetzt wissen
Viele HR-Abteilungen setzen schon heute auf künstliche Intelligenz (KI). Ob Bewerbermanagement, automatische Screening-Tools oder Feedbackanalysen – überall steckt KI drin. Doch was, wenn genau diese Systeme ab 2025 verboten oder streng reguliert sind? Die neue KI-Verordnung (EU) 2024/1689 setzt klare Grenzen und verpflichtet Unternehmen, verantwortungsvoll mit KI umzugehen. Erfahren Sie alles über die neuen Auflagen, Fristen und wie Sie Ihre Prozesse rechtssicher aufstellen.
Warum betrifft die KI-Verordnung die Personalarbeit?
Künstliche Intelligenz wird zunehmend zum Standard in HR-Prozessen. Systeme sortieren Bewerbungen, analysieren Sprache, treffen Empfehlungen für interne Karrierewege oder unterstützen die Weiterbildung. Das spart Zeit und Ressourcen, birgt aber auch Risiken: Dazu zählen verzerrte Ergebnisse, unfaire Entscheidungen oder die Verletzung von Persönlichkeitsrechten.
Die Eckpunkte der KI-Verordnung im Überblick
Alle HR-Abteilungen, die KI-Tools einsetzen, sollten die KI-Verordnung (EU) 2024/1689 kennen. Wir haben die wichtigsten Infos für Sie zusammengestellt.
1. Definition: Was gilt als KI-System?
Ein KI-System ist laut Verordnung ein maschinengestütztes, autonomes und anpassungsfähiges System, das aus Eingaben Ziele ableitet und Ausgaben erzeugt. Diese Ausgaben können Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen sein, welche wiederum physische oder virtuelle Umgebungen beeinflussen. Für das Personalwesen bedeutet dies, dass auch scheinbar kleine, von KI unterstützte Tools zur Vorauswahl von Bewerber:innen in diese Definition fallen.
2. Inkrafttreten und Übergangsfristen
Die KI-Verordnung ist am 1. August 2024 in Kraft getreten. Sie gilt in allen EU-Mitgliedsstaaten unmittelbar, allerdings mit gestaffelten Übergangsfristen:
- ab 2. Februar 2025: Bestimmte Praktiken zu künstlicher Intelligenz werden verboten. Dazu gehören manipulative KI-Systeme und KI-Systeme zur Emotionserkennung im Arbeitsumfeld.
- ab 2. August 2025: Für den Einsatz von KI-Modellen mit allgemeinem Verwendungszweck, wie Sprachmodelle oder Chatbots (GPAI-KI-Modelle), gelten bestimmte Vorgaben.
- ab 2. August 2026: Der Großteil der Verordnung wird für Unternehmen verbindlich, die Übergangsfrist endet.
- ab 2. August 2027: Es gibt zusätzliche Anforderungen für bestimmte Hochrisiko-KI-Systeme.
Für HR bedeutet das: Sie haben noch etwas Zeit, müssen aber jetzt prüfen, welche Systeme im Einsatz sind und in welche Risikokategorie sie fallen. So vermeiden Sie aufwendige Anpassungen kurz vor Ablauf der Fristen.
3. Vier Risikostufen für KI
Die EU-KI-Verordnung arbeitet nicht mit einer „One-size-fits-all“-Regel, sondern mit einem risikobasierten Ansatz. Das bedeutet: Je größer die Gefahr für Menschenrechte, Sicherheit oder Fairness, desto strenger die Vorgaben zum Einsatz von KI.
1.Unannehmbares Risiko – Verboten
KI-Systeme, die Grundrechte massiv verletzen oder Menschen manipulieren, sind verboten.
- Beispiele: Social Scoring (Bewertung von Menschen nach Verhalten oder Status), unterschwellige Manipulation und Emotionserkennung im Arbeitsumfeld.
- Für HR: Tools, die Bewerber über Emotionserkennung in Interviews einschätzen, sind ab Februar 2025 nicht mehr erlaubt.
2.Hohes Risiko – Streng reguliert
KI-Systeme, die wesentliche Entscheidungen über Menschen treffen, gelten als Hochrisiko. Sie dürfen nur eingesetzt werden, wenn strenge Vorgaben erfüllt sind.
- Anforderungen: Risikomanagement, Einsatz hochwertiger Daten, transparente Dokumentation, menschliche Kontrollinstanzen sowie Cybersicherheit
- Für HR: Bewerberauswahl-Software, algorithmische Performance-Bewertungen oder KI-gestützte Beförderungsentscheidungen fallen oft in diese Kategorie.
3.Beschränktes Risiko – Transparenzpflichten
Systeme mit moderatem Risiko dürfen eingesetzt werden, solange Transparenz gewährleistet ist. Nutzer:innen müssen erkennen können, dass sie mit einer KI interagieren.
- Beispiele: Chatbots im Recruiting, die Fragen beantworten.
- Für HR: Wenn Bewerber über ein KI-System kommunizieren, muss klar ersichtlich sein, dass keine echte Person ihnen antwortet.
4.Minimales Risiko – Frei nutzbar
Anwendungen ohne oder mit nur sehr geringem Risiko bleiben weitgehend unreguliert.
- Beispiele: KI-gestützte Rechtschreibprüfung oder interne Tools zur Dokumentensortierung.
- Für HR: Unterstützende Anwendungen im Backoffice können ohne zusätzliche Auflagen eingesetzt werden.
4. Sanktionen und Bußgelder
Die EU setzt bei der KI-Verordnung auf klare Regeln – und auf spürbare Strafen, wenn diese missachtet werden. Wer gegen die Vorgaben verstößt, muss mit hohen Geldbußen rechnen. Die Höhe richtet sich nach der Schwere des Verstoßes:
- Verbotene KI-Anwendungen (z. B. Social Scoring oder Emotionserkennung am Arbeitsplatz): bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist.
- Verstöße gegen andere Pflichten (z. B. fehlende Dokumentation oder mangelhafte Transparenz): bis zu 15 Millionen Euro oder 3 % des Umsatzes.
- Falschangaben gegenüber Behörden: bis zu 7,5 Millionen Euro oder 1 % des Umsatzes.
Für Start-ups und kleine Unternehmen sind etwas mildere Grenzen vorgesehen, dennoch können auch schmerzhafte Summen anfallen.
Was sollten HR-Abteilungen jetzt konkret tun?
Um solche Risiken von vornherein auszuschließen, sollten Personalabteilungen jetzt prüfen, wo KI bereits eingesetzt wird und welche Schritte erforderlich sind, um die Einhaltung der Vorschriften sicherzustellen.
- Bestandsaufnahme durchführen
Prüfen Sie alle eingesetzten HR-Tools auf KI-Komponenten. Oft steckt KI tiefer in Software, als man denkt. - Risikoklassifizierung vornehmen
Bewerten Sie, ob ein System in die Kategorie „Hochrisiko“ fällt – insbesondere bei Recruiting- oder Bewertungsprozessen. - Verbotene Praktiken eliminieren
Wechseln Sie rechtzeitig zu Alternativen, falls Sie aktuell Systeme zur Emotionserkennung oder ähnliche Funktionen nutzen. - Compliance-Prozesse aufbauen
Erstellen Sie Dokumentationsrichtlinien, Transparenzinformationen für Bewerber und interne Kontrollmechanismen. - Zusammenarbeit mit IT und Datenschutz stärken
Damit die Personalabteilung alle Vorgaben erfüllen kann, ist sie auf die Unterstützung anderer Abteilungen angewiesen, beispielsweise von IT-Sicherheit und Recht.
Fazit: Handeln Sie jetzt, nicht erst 2026
Die KI-Verordnung verändert die Spielregeln für HR grundlegend. Wer die eigenen Systeme frühzeitig prüft, verhindert böse Überraschungen, wenn die Regeln greifen.
Gleichzeitig bietet die Verordnung auch Chancen: Wenn Mitarbeiter:innen und Bewerber:innen sich darauf verlassen können, dass KI fair, sicher und transparent verwendet wird, stärkt das ihr Vertrauen in die Technologie und kann die KI-Transformation beschleunigen – mit allen Vorteilen für Wettbewerbsstärke und Wertschöpfung.
FAQ
1. Welche HR-Tools fallen in die „Hochrisiko“-Kategorie der KI-Verordnung (EU) 2024/1689?
KI-Systeme, die wesentliche Entscheidungen über Menschen treffen, z. B. Software zur Bewerbervorauswahl, algorithmische Leistungsbeurteilungen oder automatisierte Beförderungsempfehlungen, gelten laut Verordnung als „Hochrisiko“-KI. Solche Tools dürfen nur eingesetzt werden, wenn strenge Vorgaben für Risikomanagement, Datenqualität, menschliche Kontrolle und Dokumentation erfüllt sind.
2. Ab wann sind Emotionserkennungstools im Recruiting verboten?
Ab dem 2. Februar 2025 sind KI-Anwendungen zur Emotionserkennung im Arbeitsumfeld verboten. Das betrifft insbesondere Tools, die während Vorstellungsgesprächen Gesichtsausdrücke oder Sprachmuster auswerten, um Bewerber:innen einzuschätzen. HR-Abteilungen sollten entsprechende Systeme abschaffen oder ersetzen.
3. Welche ersten Schritte sollte HR jetzt unternehmen, um compliant zu bleiben?
HR-Abteilungen sollten sofort eine Bestandsaufnahme aller eingesetzten Tools vornehmen und prüfen, ob KI-Komponenten enthalten sind. Anschließend ist eine Risikoklassifizierung notwendig, um zu bewerten, ob bestimmte Systeme als hochriskant gelten. Verbotene Anwendungen müssen rechtzeitig ersetzt werden. Zudem sollten Transparenzrichtlinien, Dokumentationsprozesse und interne Kontrollmechanismen aufgebaut werden – in enger Zusammenarbeit mit IT, Datenschutz und Compliance.
