Welche EU-Regeln gelten jetzt für KI im Recruiting?

Die europäische KI-Verordnung von 2024 teilt KI-Systeme nach ihrem Risiko ein. Das Recruiting steht in der strengsten Kategorie, die noch erlaubt ist: hohes Risiko. Anhang III nennt es ausdrücklich: Systeme, die bestimmungsgemäß gezielte Stellenanzeigen schalten, Bewerbungen sichten und filtern und Bewerbende bewerten sollen. Das reicht weiter, als viele annehmen. Ein Bewerbermanagementsystem, das Lebensläufe mit einer Punktzahl versieht, fällt darunter, aber auch eine Software, die entscheidet, wem Ihre Stellenanzeige angezeigt wird.

Für solche Systeme gelten schwere Anforderungen: Risikomanagement, Dokumentation, menschliche Aufsicht, Protokollierung. Sie sollten am 2. August 2026 greifen. Das ist nicht geschehen. Am 24. Juli 2026 erschien die Verordnung (EU) 2026/1744 im Amtsblatt, der sogenannte Digital Omnibus zur KI, und trat drei Tage später in Kraft. Er verschiebt die Hochrisiko-Regeln für das Recruiting auf den 2. Dezember 2027.

Viele Beiträge und Anbieterseiten nennen noch das alte Datum. Das ist der erste Grund, warum das Thema verwirrt. Der zweite: Die Verschiebung betrifft nur einen Teil der Regeln.

Das Verbot der Emotionserkennung. Seit dem 2. Februar 2025 dürfen Sie keine KI einsetzen, die Emotionen von Menschen am Arbeitsplatz ableitet, außer aus medizinischen oder Sicherheitsgründen. Die Europäische Kommission hat in ihren Leitlinien vom Februar 2025 klargestellt, dass auch das Bewerbungsverfahren dazugehört. Ein Werkzeug, das im Videointerview aus Gesicht oder Stimme schließt, ob jemand nervös, begeistert oder unsicher ist, ist also seit anderthalb Jahren verboten. Dieses Verbot wurde nicht verschoben.

Die Hinweispflicht für KI, die mit Bewerbenden spricht. Seit dem 2. August 2026 muss ein KI-System, das direkt mit Menschen interagiert, so gebaut sein, dass diese wissen, dass sie es mit KI zu tun haben. Die Pflicht liegt beim Anbieter. Merken werden Sie es trotzdem, wenn er sie nicht erfüllt: Es ist Ihr Chatbot auf Ihrer Karriereseite.

Die DSGVO. Diese Regel wird am häufigsten übersehen, und sie gilt seit 2018. Artikel 22 besagt, dass niemand einer ausschließlich automatisierten Entscheidung unterworfen werden darf, die ihn erheblich beeinträchtigt. Eine Absage kann eine solche Entscheidung sein. Dass hier schnell mehr gemeint ist, als man denkt, zeigt ein deutscher Fall: Im SCHUFA-Urteil von 2023 entschied der Europäische Gerichtshof, dass schon ein Score eines Dritten eine automatisierte Entscheidung sein kann, wenn derjenige, der entscheidet, sich maßgeblich darauf stützt. Wer einen Menschen dazwischenschaltet, muss das ernsthaft tun: mit jemandem, der die Sache versteht und das Ergebnis auch ändern darf. Wer täglich hundert Absagen durchklickt, zählt nicht.

KI-Kompetenz. Seit Februar 2025 müssen Arbeitgeber, die KI einsetzen, ihre Leute damit vertraut machen. Der Omnibus hat diese Pflicht abgeschwächt: Sie müssen den Aufbau dieser Kompetenz fördern, aber kein bestimmtes Niveau mehr garantieren. Aus einer Ergebnispflicht ist eine Bemühenspflicht geworden.

Vierzehn Monate klingen nach viel Zeit. Wer KI im Recruiting nutzt, braucht die meiste davon aber für etwas, das mit Technik wenig zu tun hat: zu wissen, was überhaupt läuft.

Beginnen Sie mit einer Liste. Welche Systeme in Ihrem Recruiting treffen eine Entscheidung oder bereiten eine vor? Denken Sie an das Bewerbermanagementsystem, das Bewerbende sortiert, an K.-o.-Fragen, die automatisch absagen, an das Werkzeug, das Videointerviews auswertet, und an die Anzeigensoftware, die bestimmt, wer Ihre Stelle sieht. Fragen Sie bei jedem System den Anbieter zweierlei: Fällt es aus Ihrer Sicht unter Anhang III, und wie sieht Ihr Plan für Dezember 2027 aus?

Ab diesem Datum haben Sie als Betreiber eigene Pflichten. Sie nutzen das System nach der Gebrauchsanweisung des Anbieters, lassen es von jemandem beaufsichtigen, der dafür qualifiziert ist, bewahren die Protokolle auf und teilen Bewerbenden mit, dass ein Hochrisiko-System an der Entscheidung beteiligt ist. Wer ein solches System im Betrieb einführt, informiert vorher auch die Beschäftigten und ihre Vertretung, in Deutschland also in der Regel den Betriebsrat. Die Bundesnetzagentur führt auf ihrer Website Beschäftigung und Personalmanagement ausdrücklich als Hochrisiko-Bereich auf.

Der nützlichste Schritt kostet heute nichts. Nehmen Sie eine Stichprobe der Bewerbenden, die das System aussortiert hat, und lesen Sie sie von Hand nach. Auf unserer Seite zu KI im Recruiting steht, warum genau dort die Schwachstelle liegt. Passt das Urteil des Systems nicht zu Ihrem, erfahren Sie es, bevor eine Aufsichtsbehörde es Ihnen sagt. Wie Sie die Bewertung von Bewerbenden auch ohne KI sauber festhalten, lesen Sie unter Screening und Kandidatenbetreuung.

Fällt mein Bewerbermanagementsystem unter die Hochrisiko-Regeln?

Das hängt davon ab, was es tut, nicht davon, wie es heißt. Ein System, das Bewerbungen nur speichert und weiterleitet, fällt nicht darunter. Sobald es Lebensläufe filtert, Bewerbende bewertet oder eine Rangfolge bildet, nach der Sie auswählen, steht es in Anhang III. Viele Systeme bieten eine solche Funktion als Option an. Fragen Sie den Anbieter, welche Funktionen bei Ihnen aktiv sind und ob er sie selbst als Hochrisiko einstuft.

Darf ich ChatGPT für eine Stellenanzeige nutzen?

Ja. Das Schreiben von Texten steht nicht in der Aufzählung von Anhang III, die Hochrisiko-Regeln gelten dafür also nicht. Achten Sie aber darauf, was Sie hineinkopieren. Wer Lebensläufe oder Gesprächsnotizen von Bewerbenden in einen allgemeinen Chatbot gibt, verarbeitet personenbezogene Daten, und dann gilt die DSGVO. Was wir mit unseren eigenen Daten dazu tun, steht unter Daten und Datenschutz.

Gilt das auch, wenn meine Personalvermittlung die KI nutzt?

Teilweise. Die Vermittlung ist dann selbst Betreiber und trägt die Pflichten, die dazugehören. Das SCHUFA-Urteil zeigt aber, dass Sie sich nicht einfach dahinter zurückziehen können, wenn Sie sich auf deren Score verlassen. Fragen Sie deshalb schon beim Auswählen einer Personalvermittlung, wodurch bestimmt wurde, welche Bewerbenden Sie zu sehen bekommen.

Was passiert, wenn ich bis 2027 nichts tue?

Bei den Hochrisiko-Regeln passiert bis Dezember 2027 nichts. Das Verbot der Emotionserkennung, die Hinweispflicht für Chatbots und die DSGVO gelten dagegen schon, und die Datenschutzaufsicht wacht darüber. Das größte Risiko liegt bei der DSGVO, weil sie seit acht Jahren gilt und eine automatische Absage ohne ernsthaften menschlichen Blick schon heute darunter fallen kann.

SocialFind hat diesen Beitrag anhand des Verordnungstextes selbst geschrieben, geprüft am 25. September 2026. Wenn Sie solche Artikel per Mail lesen möchten, abonnieren Sie unseren Newsletter.