EU AI Act im Recruiting: Was die Deadline im August 2026 für HR-Teams bedeutet

Der 2. August 2026 galt lange als der große Stichtag für die nächste Umsetzungsstufe des EU AI Acts.  Eigentlich sollten ab diesem Datum die umfassenden Anforderungen für Betreiber von Hochrisiko-KI-Systemen gelten. Dazu können auch bestimmte KI-Systeme im Recruiting gehören, insbesondere Systeme, die zur Analyse oder Filterung von Bewerbungen oder zur Bewertung von Kandidat*innen eingesetzt werden. Betreiber sind in dem Fall die Unternehmen, die diese Software einsetzen – also vermutlich auch Ihr Unternehmen.

Mit dem sogenannten „KI-Omnibus“ hat die EU den Zeitplan jedoch angepasst. Während einige Regelungen wie geplant am 2. August 2026 in Kraft treten, wurden die umfangreichen Vorgaben für Hochrisiko-KI auf 2027 bzw. 2028 verschoben. Bei vielen Unternehmen sorgt das einerseits für Erleichterung, andererseits für Verunsicherung. Was gilt denn nun jetzt? Und worauf müssen wir uns einstellen?

Dass das Thema viele HR-Teams beschäftigt, zeigt auch eine aktuelle Tellent-YouGov-Studie: 38 % der HR-Verantwortlichen wünschen sich mehr Sicherheit in Bezug auf die gesetzlichen Vorgaben im Umgang mit KI. In diesem Artikel erhalten Sie einen umfassenden Überblick zum EU AI Act im Recruiting. Sie erfahren, welche Regelungen seit dem 2. August 2026 gelten, welche Fristen Sie im Blick behalten sollten und wie Sie sich schon heute auf die nächsten Anforderungen der EU-KI-Verordnung im Personalwesen vorbereiten können.

Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Bei Fragen zur rechtlichen Einordnung Ihrer KI-Anwendungen sollten Sie fachkundigen Rat einholen.

Trifft mindestens eine der Aussagen auf Ihr Unternehmen zu?

Dann sollten Sie die aktuellen und zukünftigen Vorgaben des EU AI Acts kennen. Im Folgenden erfahren Sie, welche Pflichten bereits seit dem 2. August 2026 gelten, welche Anforderungen erst später greifen und wie Sie Ihr Recruiting schon heute zukunftssicher aufstellen.

EU AI Act im Recruiting: Die Umsetzungsstufen im Überblick

Der EU AI Act wird seit August 2024 schrittweise umgesetzt. Mit dem 2. August 2026 hat die Verordnung ihre zweite Umsetzungsstufe erreicht. Durch den sogenannten AI Omnibus, einem EU-Gesetzespaket zur Vereinfachung der KI-Verordnung, wurde der ursprünglich vorgesehene Zeitplan jedoch teilweise angepasst.

Die Transparenzpflichten sind wie geplant am 2. August 2026 in Kraft getreten. Die Anforderungen für Hochrisiko-KI-Systeme (zu denen auch bestimmte KI-Systeme im Recruiting gehören können) wurden auf 2027 bzw. 2028 verschoben, um Unternehmen mehr Zeit zu geben, sich darauf vorzubereiten.

Keine Lust auf trockene Gesetzestexte? Hier ist Ihr EU AI Act Spickzettel!

Mal ehrlich: Wer hat im stressigen HR-Alltag schon die Zeit, sich durch hunderte Seiten EU-Verordnungen zu wühlen? Genau deshalb haben wir die harte Arbeit für Sie übernommen und nicht nur diesen Artikel, sondern auch ein Cheat Sheet gebaut.

Es ist das wohl praktischste PDF, das Sie dieses Jahr herunterladen werden: Keine Fachsprache, sondern ein genialer, visueller One-Pager, der das komplexeste HR-Thema des Jahres auf den Punkt bringt. Perfekt, um ihn sich auf dem Desktop abzuspeichern (oder auszudrucken) und immer dann kurz zu „spicken“, wenn intern Fragen zu HR-Software und KI-Regeln aufkommen.

So einfach geht’s: Füllen Sie einfach kurz das kleine Formular hier unten aus - das dauert keine 10 Sekunden! Wir schicken Ihnen das Cheat Sheet sofort direkt in Ihr Postfach. Einmal sichern, für immer nutzen!

Welche Regelungen wann gelten und welche Auswirkungen sie auf Ihr Recruiting haben, zeigt der folgende Überblick.

Transparenzpflichten: Das gilt seit dem 2. August 2026

Seit dem 2. August 2026 sind die Transparenzpflichten nach Art. 50 des EU AI Acts in Kraft. Dabei gelten für Anbieter und Betreiber von KI-Systemen jeweils unterschiedliche Auflagen. Anbieter entwickeln KI-Systeme oder bringen sie unter ihrem eigenen Namen auf den Markt. Betreiber sind Unternehmen, die diese KI-Systeme im Arbeitsalltag einsetzen. Zu den Pflichten gehören:

• Offenlegung bestimmter KI-generierter Inhalte
  Erstellen oder verändern Unternehmen Texte mithilfe von KI, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen sie dies kennzeichnen. Gemeint sind allerdings wirklich Inhalte zu Themen von öffentlichem Interesse, nicht Stellenanzeigen oder ähnliches.

• Kennzeichnung von Deepfakes
  Nutzen Unternehmen KI, um Bild-, Ton- oder Videoinhalte zu erzeugen oder zu manipulieren, die als sogenannte Deepfakes einzustufen sind, müssen sie grundsätzlich offenlegen, dass diese künstlich erzeugt oder manipuliert wurden.

• Kennzeichnung von KI-Chatbots
  Kommunizieren Bewerbende über einen Chatbot mit Ihrem Unternehmen, muss erkennbar sein, dass sie mit einer KI interagieren und nicht mit einer natürlichen Person. Für diese Kennzeichnung ist grundsätzlich der Anbieter des KI-Systems verantwortlich, nicht der Betreiber.

Für viele Unternehmen fallen die neuen Anforderungen seit dem 2. August 2026 damit zunächst überschaubar aus. Die eigentliche Herausforderung kommt aber erst, und zwar mit den Vorgaben für Hochrisiko-KI-Systeme ab 2027. Warum gerade Recruiting-KI davon betroffen sein wird, erfahren Sie im nächsten Abschnitt.

Hochrisiko-KI: Das gilt ab dem 02. Dezember 2027

Die verschobenen EU AI Act-Fristen 2026 verschaffen HR-Teams zwar eine Atempause. Diese Zeit sollten sie jedoch unbedingt nutzen. Denn die Anforderungen an Hochrisiko-KI sind deutlich komplexer als die seit dem 2. August 2026 geltenden Transparenzpflichten. Das ist insbesondere für Recruiter*innen relevant: KI-Systeme, die gemäß Annex III (Nr. 4 der KI-Verordnung) explizit dafür bestimmt sind, für die Einstellung oder Auswahl von Personen eingesetzt zu werden – etwa um Bewerber*innen zu analysieren oder zu bewerten oder sie bei der Auswahl und Vorauswahl zu unterstützen – können als hochriskantes KI-System eingestuft werden. Unternehmen, die solche Systeme einsetzen, gelten nach dem EU AI Act als Betreiber und müssen die entsprechenden Vorgaben erfüllen. Ab dem 2. Dezember 2027 gelten für sie unter anderem folgende Auflagen (Art. 26 des EU AI Acts):

• Menschliche Kontrolle sicherstellen
  Unternehmen müssen eine wirksame menschliche Aufsicht über den Einsatz des Systems sicherstellen und hierfür entsprechend qualifizierte und befugte Personen benennen.
  
  
• KI-Einsatz dokumentieren und überwachen
  Der Einsatz von Hochrisiko-KI muss nachvollziehbar dokumentiert werden. Außerdem müssen Unternehmen den Betrieb überwachen, Protokolle aufbewahren und schwerwiegende Vorfälle oder Fehlfunktionen an den Anbieter beziehungsweise die zuständigen Behörden melden.

• KI bestimmungsgemäß einsetzen
  Hochrisiko-KI darf nur entsprechend den Vorgaben und dem vorgesehenen Verwendungszweck des Anbieters eingesetzt werden. Soweit Unternehmen Kontrolle über die Eingabedaten haben, müssen sie sicherstellen, dass diese im Hinblick auf den vorgesehenen Zweck relevant und hinreichend repräsentativ sind. Im Recruiting sind das beispielsweise für eine Stelle relevante und nicht diskriminierende Bewerberdaten.

Für Hochrisiko-KI gelten künftig zusätzliche Informationspflichten. Werden solche Systeme eingesetzt, um Entscheidungen über natürliche Personen zu treffen oder zu unterstützen, müssen die betroffenen Personen darüber informiert werden, dass sie dem Einsatz eines Hochrisiko-KI-Systems unterliegen. Anders sieht es bei der DSGVO aus: Wird KI für automatisierte Entscheidungen eingesetzt, die erhebliche Auswirkungen auf Bewerbende haben, müssen Unternehmen u. a. aussagekräftige Informationen über die zugrunde liegende Logik sowie die voraussichtlichen Folgen bereitstellen (Art. 13 Abs. 2 lit. f i. V. m. Art. 22 DSGVO).

Verbotene KI und KI-Kompetenz: Das gilt bereits seit 2025

Bereits seit 2025 gelten im Rahmen des EU AI Acts gewisse Pflichten für Unternehmen. Sie betreffen alle Unternehmen, die KI einsetzen, unabhängig davon, ob es sich dabei um Hochrisiko-KI handelt. Dazu gehören u. a.:

• KI-Systeme mit unannehmbarem Risiko meiden
  Seit dem 2. Februar 2025 dürfen Unternehmen keine KI-Systeme mit unannehmbarem Risiko einsetzen. Dazu zählen beispielsweise Anwendungen, die Menschen manipulieren, sowie die KI-gestützte Erkennung von Emotionen am Arbeitsplatz.
• KI-Kompetenz im Unternehmen sicherstellen
  Ebenfalls seit dem 2. Februar 2025 müssen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, um die KI-Kompetenz ihrer Mitarbeitenden und anderer Personen zu fördern, die in ihrem Auftrag mit KI-Systemen arbeiten. Welche Maßnahmen angemessen sind, hängt unter anderem von den Vorkenntnissen und der Erfahrung der betreffenden Personen sowie vom konkreten Einsatzkontext der KI-Systeme ab.
  
  

Seit dem 2. August 2025 können Verstöße gegen bereits geltende Vorschriften (wie verbotene KI) mit Bußgeldern von bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden. Wichtig für die Zukunft: Bei Verstößen gegen die kommenden Pflichten für Hochrisiko-KI (wie Recruiting-Systeme ab Dezember 2027) drohen ebenfalls massive Strafen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.

Warum bestimmte Recruiting-KI als Hochrisiko-System gilt

Nicht jede KI-Anwendung im Recruiting ist automatisch ein Hochrisiko-KI-System. Entscheidend ist insbesondere, für welchen Zweck das KI-System eingesetzt wird. Nutzt ein Unternehmen KI beispielsweise lediglich zur Erstellung von Stellenanzeigen oder für einen Chatbot auf der Karriereseite, fällt diese Anwendung grundsätzlich nicht allein deshalb unter die Hochrisiko-Kategorie.

Wird ein KI-System hingegen für Anwendungsfälle eingesetzt, die unter Annex III Nr. 4 der KI-Verordnung fallen – insbesondere zur Analyse oder Filterung von Bewerbungen, zur Bewertung von Bewerberinnen oder zur Unterstützung bei der Auswahl von Kandidatinnen – gilt es grundsätzlich als Hochrisiko-KI-System.

Eine Ausnahme kann gelten, wenn das System kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte darstellt und insbesondere das Ergebnis einer Entscheidung nicht wesentlich beeinflusst. Das kann beispielsweise bei bestimmten rein vorbereitenden oder eng begrenzten Verfahrensaufgaben der Fall sein. KI-Systeme, die ein Profiling natürlicher Personen vornehmen und unter Annex III fallen, gelten hingegen stets als hochriskant.

Zu den relevanten Recruiting-Anwendungen können insbesondere Systeme gehören, die:

• Bewerbungen analysieren oder filtern,
• Bewerber*innen bewerten,
• Recruiterinnen bei der Auswahl oder Vorauswahl von Kandidatinnen unterstützen oder
• gezielt Stellenanzeigen an bestimmte Personen ausspielen.

Der Grund für diese Einstufung liegt in den möglichen Auswirkungen solcher Systeme auf die beruflichen Chancen und Grundrechte von Bewerbenden. Fehler, Verzerrungen oder Diskriminierung durch KI können erhebliche Folgen für die Betroffenen haben. Aus diesem Grund stellt der EU AI Act besonders hohe Anforderungen an solche Systeme.

DSGVO vs. EU AI Act: Wo ist der Unterschied?

Die Datenschutz-Grundverordnung (DSGVO) und der EU AI Act sind beide zentrale EU-Regelwerke für Unternehmen, verfolgen jedoch unterschiedliche Ziele und ergänzen sich.

Die DSGVO schützt die personenbezogenen Daten von Bewerbenden. Sie regelt u. a., wann und wie personenbezogene Daten verarbeitet werden dürfen, welche Informationspflichten Unternehmen haben und welche Rechte Betroffenen zustehen.

Der EU AI Act hingegen konzentriert sich auf den Umgang von Unternehmen mit KI. Er teilt KI-Anwendungen in verschiedene Risikoklassen ein und legt je nach Risiko unterschiedliche Anforderungen für ihren Einsatz fest. Dazu gehören unter anderem Vorgaben zu Transparenz, Dokumentation und menschlicher Kontrolle.

Wie sich beide Regelwerke ergänzen, zeigen die Informationspflichten:

• Laut EU AI Act müssen Bewerbende beispielsweise informiert werden, wenn sie mit einem KI-Chatbot interagieren. Zum Einsatz von KI im Bewerbungsprozess allgemein müssen Unternehmen jedoch nicht informieren.
• Aber: Wenn Unternehmen KI im Bewerbungsprozess verwenden, um automatisierte Entscheidungen zu treffen, dann sind sie nach DGSVO verpflichtet, Informationen dazu bereitzustellen.

Die Datenschutz-Grundverordnung und der EU AI Act bilden gemeinsam den rechtlichen Rahmen für den Einsatz von KI. Unternehmen müssen sowohl die Anforderungen der DSGVO als auch die Vorgaben des EU AI Acts erfüllen.

Nicht bis 2027 warten: So rüsten Sie sich für die nächste Phase des EU AI Acts

Nur weil die Frist verschoben wurde, heißt das nicht, dass Sie das Thema bis 2027 aufschieben sollten. Im Gegenteil: Je früher Sie die richtigen Prozesse und Systeme schaffen, desto entspannter wird die Umsetzung der neuen Vorgaben. Denn die haben es in sich, wie wir weiter oben gesehen haben.

Wie einfach sich die neuen Vorgaben umsetzen lassen, hängt vor allem von einem ab: Ihrer Recruiting-Software. Ein Bewerbermanagementsystem, das auf europäische Datenschutz- und KI-Anforderungen ausgelegt ist, erleichtert Ihnen die Umsetzung des EU AI Acts erheblich.

Mit Tellent Recruitee setzen Sie auf ein Bewerbermanagementsystem, dessen Architektur darauf ausgerichtet ist, Sie bei der Einhaltung der DSGVO und künftiger EU-KI-Standards bestmöglich zu unterstützen.  Datenschutz, Sicherheit und die Einhaltung gesetzlicher Vorgaben stehen dabei von Anfang an im Fokus. Gleichzeitig unterstützt Sie Tellent Recruitee dabei, Transparenz zu schaffen, die Kontrolle über KI-gestützte Prozesse zu behalten und Dokumentationsanforderungen einfacher zu erfüllen. Mit Tellent Recruitee können Sie Ihr Recruiting schon heute auf die nächste Phase des EU AI Acts vorbereiten.

Erfahren Sie, wie Tellent Datenschutz, Transparenz und Verantwortung bei der Entwicklung von KI in den Mittelpunkt stellt.

Warum der EU AI Act kein Grund zur Panik ist 

Wie sieht die Umsetzung in der Praxis aus und was bedeutet das konkret für die HR-Tools, die Sie heute schon nutzen?

Um diese brennenden Fragen zu klären, habe ich mir unsere Legal-Expertin Alexandra vor die Kamera geholt. In diesem knackigen Video-Interview übersetzt sie das komplexe Juristendeutsch in absoluten Klartext. Sie erfahren aus erster Hand, warum die neuen Richtlinien eigentlich eine riesige Chance für bessere Prozesse sind und worauf Sie bei der Auswahl Ihrer Software jetzt wirklich achten müssen.

Quellen & rechtliche Grundlagen:

• EU AI Act: Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-Verordnung)
• DSGVO: Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutz-Grundverordnung)