KI im Recruiting: Der 2. August ist verschoben, die Hausaufgaben nicht

Die wenigsten Geschäftsführer, mit denen wir sprechen, würden sagen, dass sie KI im Recruiting einsetzen. Bis wir gemeinsam ins Bewerbermanagement schauen. Ranking-Funktionen, Matching-Scores, automatische Vorauswahl: Das steckt heute in vielen Standard-Tools, oft ohne dass es jemand als KI bezeichnet.

Bis vor wenigen Wochen hieß es überall: Ab dem 2. August 2026 gelten für solche Systeme die Hochrisiko-Pflichten der EU-KI-Verordnung. Das stimmt so nicht mehr. Mit der Digital-Omnibus-Verordnung (EU) 2026/1744, veröffentlicht im Amtsblatt am 24. Juli 2026 und in Kraft seit dem 27. Juli, hat die EU den Anwendungsbeginn für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 verschoben. An der Einstufung ändert das nichts: KI-Systeme, die Bewerbungen filtern, sortieren oder bewerten, zählen laut Anhang III Nummer 4 Buchstabe a weiterhin als Hochrisiko-System. Nur der Stichtag ist um 16 Monate gewandert.

Was trotz des Aufschubs schon gilt

Der Aufschub betrifft die Hochrisiko-Pflichten. Drei andere Dinge gelten bereits, und Unternehmen, die KI im Bewerbungsprozess nutzen, sollten sie kennen.

KI-Kompetenz nach Artikel 4. Seit dem 2. Februar 2025 müssen Betreiber von KI-Systemen dafür sorgen, dass ihr Personal die Werkzeuge versteht, die es nutzt. Der Omnibus hat die Vorschrift umformuliert: Verlangt werden Maßnahmen, die die KI-Kompetenz unterstützen, keine Garantie für ein bestimmtes Niveau. Verbindlich bleibt sie für jeden Betreiber.

Transparenz nach Artikel 50. Seit dem 2. August 2026 müssen KI-Systeme, die direkt mit Menschen interagieren, etwa ein Bewerber-Chatbot auf der Karriereseite, so gestaltet sein, dass die Nutzer erkennen, dass sie mit einer KI kommunizieren. Diese Pflicht trifft nach Artikel 50 Absatz 1 den Anbieter des Systems, nicht das Unternehmen, das den Chatbot nur einsetzt. Wer ihn selbst entwickelt und in Betrieb nimmt, ist allerdings selbst Anbieter. Wer ihn einkauft, sollte prüfen, ob der Hinweis vorhanden ist. Eigene Pflichten aus Artikel 50 hat das einsetzende Unternehmen nur in Sonderfällen, etwa bei Deepfakes.

Aufsicht und Sanktionen. Die Bußgeldvorschriften der Verordnung gelten schon seit dem 2. August 2025. Zuständige Marktüberwachungsbehörde ist in Deutschland grundsätzlich die Bundesnetzagentur, und zwar seit dem 29. Juli 2026: An diesem Tag ist das deutsche Durchführungsgesetz in Kraft getreten, das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG). Es enthält einen Bußgeldtatbestand, der das Recruiting direkt betrifft: Bis zu 50.000 Euro drohen Betreibern eines Hochrisiko-Systems nach Anhang III Nummer 4, die nicht dafür sorgen, dass eine betroffene Person die Erläuterung nach Artikel 86 erhält. Artikel 86 gibt Betroffenen ein Recht auf Erläuterung, welche Rolle das KI-System bei einer Entscheidung über sie gespielt hat. Ob das schon vor Dezember 2027 greift, ist offen.

Unabhängig von der KI-Verordnung gelten außerdem das Allgemeine Gleichbehandlungsgesetz, das Verbot rein automatisierter Entscheidungen nach Artikel 22 DSGVO und die Mitbestimmung des Betriebsrats nach § 87 Betriebsverfassungsgesetz. Keines davon wurde verschoben.

Sie sind Anwender, nicht nur der Hersteller ist gefragt

Auch nach dem Aufschub bleibt es dabei: Die Hochrisiko-Pflichten treffen Sie als Anwender, nicht nur den Anbieter der Software. Wer ein Bewerbermanagement mit KI-Ranking nutzt, trägt ab Dezember 2027 eigene Pflichten. Der Hinweis „das Tool kommt doch vom Anbieter" ist dann keine Verteidigung mehr, wenn eine Bewerberin nachfragt, wie die Entscheidung zustande kam.

Eine Übergangsregel kann das einschränken. Nach Artikel 111 Absatz 2 in der Fassung des Omnibus gilt die Verordnung für Hochrisiko-Systeme, die vor dem Geltungsbeginn der Hochrisiko-Regeln in Verkehr gebracht oder in Betrieb genommen wurden, nur dann, wenn ihre Konzeption danach erheblich verändert wird. Die Regel gilt für alle Beteiligten, also auch für Anwender. Wann eine Änderung erheblich ist, sagt der Text nicht, und auch der genaue Stichtag ist nicht eindeutig formuliert. Ob ein Bewerbermanagement, das der Anbieter laufend weiterentwickelt, unter diesen Bestandsschutz fällt, ist deshalb offen.

Drei Pflichten, die ab Dezember 2027 anstehen

Wissen, wo KI drinsteckt. Gehen Sie Ihre HR-Tools durch und fragen Sie jeden Anbieter schriftlich, ob und wie sein System unter die Verordnung fällt. Die Antwort gehört in Ihre Unterlagen, für den Fall einer Nachfrage.

Der Mensch entscheidet, nachweisbar. Eine benannte, geschulte Person muss die KI-Vorschläge überwachen und übergehen können. Die Schulung dazu ist keine Zukunftsaufgabe, sie folgt schon heute aus Artikel 4.

Bewerber erfahren davon. Wer von einem Hochrisiko-System bewertet wird, muss darüber informiert werden. Ein stiller Einsatz im Hintergrund ist dann nicht mehr vorgesehen.

Was Sie jetzt tun sollten

• Bewerbermanagement-Software und angebundene Tools auflisten und prüfen, wo Filter-, Ranking- oder Scoring-Funktionen aktiv sind.
• Anbieter schriftlich fragen, ob ihr System als Hochrisiko-KI im Sinne der Verordnung gilt, und die Antwort dokumentieren.
• Eine verantwortliche Person benennen, die KI-Vorschläge im Bewerbungsprozess prüft und im Zweifel übergehen kann. Das erfüllt heute Artikel 4 und ab 2027 die Aufsichtspflicht.
• Bewerberinnen und Bewerber in Stellenausschreibungen oder Datenschutzhinweisen über den Einsatz solcher Systeme informieren. Das ist heute schon guter Stil und ab Dezember 2027 Pflicht.

Der Bußgeldrahmen für Verstöße gegen die Hochrisiko-Pflichten reicht bis 15 Millionen Euro oder 3 Prozent des Jahresumsatzes. Realistischer als ein Bußgeld ist aber ein anderes Risiko, und das kennt keinen Aufschub: eine abgelehnte Bewerberin, die fragt, wie die Entscheidung zustande kam, und auf die Sie keine Antwort haben. Unser Rat: den Prozess einmal sauber aufschreiben. Das dauert Tage, keine Monate. Die Zeit bis Dezember 2027 ist ein Geschenk, wenn man sie nutzt.