Eigentlich hätte am 2. August 2026 etwas Bemerkenswertes passieren sollen. Hier sollte es mit der europäischen KI-Verordnung im Recruiting endlich ernst werden. Denn Systeme, die Bewerbungen sichten, filtern oder Kandidaten bewerten, gelten gemäß der Verordnung in aller Regel als hochriskant. Ab dem Zeitpunkt hätten Anbieter und Anwender deshalb liefern müssen, was der AI Act für diese Kategorie verlangt: eine Dokumentation dessen, was ihre Software eigentlich tut, eine Kontrolle der Daten, mit denen sie trainiert wurde, eine nachvollziehbare menschliche Aufsicht und entsprechende Protokolle.
Passiert ist jedoch nichts. Stattdessen erschien am 24. Juli eine Änderungsverordnung im Amtsblatt der EU, die drei Tage später in Kraft trat. Sechzehn Monate später als ursprünglich geplant gilt nun der 2. Dezember 2027 als Stichtag für die oben genannten Pflichten. Nur am Rande sei bemerkt, dass nicht erst das Filtern von Bewerbungen, sondern bereits das gezielte Ausspielen von Stellenanzeigen betroffen ist. Aber das ist ein eigenes Thema.
Acht von 27
Wer nun wissen möchte, warum diese Verschiebung erfolgte, muss gar nicht groß spekulieren. Schließlich ist dies im Erwägungsgrund 40 der Änderungsverordnung schwarz auf weiß nachzulesen: Zum einen fehlten Normen und Leitlinien, zum anderen waren zuständige nationale Behörden vielerorts noch gar nicht vorbereitet. Klar, unter diesen Umständen ist es einfach nicht gerechtfertigt, am ursprünglichen Termin festzuhalten.
Man muss sich das einmal vor Augen führen: Die Pflichten derjenigen, die beaufsichtigt werden sollten, werden aufgeschoben, da wesentliche Teile der dafür erforderlichen Infrastruktur nicht rechtzeitig fertiggestellt wurden. Das ist ungefähr so, als würde ein Unternehmen in einer Betriebsprüfung argumentieren, es habe die Belege nicht vorgelegt, weil das Finanzamt beim Aufbau seiner Prüfungsabteilung in Verzug geraten sei. Tatsächlich sind Stand heute (11. August 2026) auf der Liste der nationalen Anlaufstellen, die die Kommission führt, erst acht von 27 Mitgliedstaaten verzeichnet.
Auch Deutschland gehört zu den Nachzüglern. Die zuständigen Behörden hätten eigentlich bereits im August 2025 benannt sein müssen. Der Regierungsentwurf kam aber erst im Februar 2026, der Bundestag beschloss das Durchführungsgesetz im Juni und in Kraft ist es seit dem 29. Juli. Die deutsche KI-Aufsicht übernimmt die Bundesnetzagentur. Ein Eintrag auf der Liste fehlt allerdings nach wie vor. Ebenso die Pflichten, die diese Aufsicht überwachen soll. Denn die wurden ja verschoben.
Wer nichts weiß, kann auch nichts beweisen
Ein Blick in die USA zeigt, warum diese Änderung mehr verdient als ein Schulterzucken. Im Verfahren Mobley gegen Workday verlangte der Softwareanbieter, dass die Kläger belegen sollten, sie seien durch künstliche Intelligenz geschädigt worden. Die zuständige Richterin wies dies jedoch mit der Begründung zurück, dass kaum jemand belastbare Belege liefern könne, da den Betroffenen der Zugang zu den dafür erforderlichen Informationen fehle. Die Hürde für die Teilnahme an der bisher größten Sammelklage im Recruiting wurde daraufhin bewusst niedrig gehalten.
Genau um eine solche Lücke zu vermeiden, schafft der EU AI Act die notwendigen Werkzeuge. Dokumentation, Protokolle und Registrierung sind kein Selbstzweck oder bürokratische Gängelei, sondern bilden die Voraussetzung dafür, dass jemand außerhalb des Softwareanbieters überhaupt nachvollziehen kann, was ein System tut. Bis dieses Instrumentarium seine Wirksamkeit entfalten kann, werden dank Verschiebung nun allerdings noch sechzehn Monate vergehen.
Hinzu kommt ein Detail, das die Sache brisanter macht, als eine bloße Fristverschiebung vermuten lässt: Die Systeme, die heute bereits im Einsatz sind, müssen den neuen Pflichten nämlich erst dann genügen, wenn ihre Konzeption erheblich verändert wird. Damit profitiert ein System, das heute in Ihrem Unternehmen bereits im Einsatz ist, also gleich doppelt: durch die verschobene Frist und durch seinen eigenen Bestandsstatus. Wenn die Pflichten im Dezember 2027 also endlich greifen, hat dies hier keine Auswirkungen.
Bemühen genügt
Allerdings wurde nicht alles vertagt. Verschoben wurden die Pflichten für Hochrisiko-Systeme, nicht die Verordnung als solche. Eine Pflicht ist geblieben, und sie betrifft jede Personalabteilung unmittelbar. Seit Februar 2025 schreibt die Verordnung vor, dass Arbeitgeber sich um die KI-Kompetenz ihrer Mitarbeiter kümmern müssen. Diese Regelung wurde nicht auf Dezember 2027 verschoben. Stattdessen wurde sie substanziell aufgeweicht. Während bisher gefordert wurde, ein ausreichendes Maß an Kompetenz sicherzustellen, heißt es seit Ende Juli nun, dass es ausreicht, deren Entwicklung zu unterstützen. Dies allerdings ohne ein bestimmtes Niveau sicherstellen zu müssen. Begründet wird diese Änderung damit, dass strenge Pflichten nun einmal Aufwand verursachen, während KI-Kompetenz ohnehin eine strategische Priorität sein sollte. Wohlgemerkt: sollte. Das entspricht ungefähr der Logik, mit der man den Führerschein abschafft, weil vernünftige Menschen ja auch ohne Prüfung vorsichtig fahren.
Wer daraus schließt, man könne nun alles an sich vorübergehen lassen und bräuchte nichts zu tun, verwechselt eine Verschiebung mit einer Absolution. Denn der AI Act ist nicht das einzige relevante Gesetz, wenn es ums Recruiting geht. Das Allgemeine Gleichbehandlungsgesetz gilt unverändert und es ist unerheblich, ob eine Benachteiligung durch einen Menschen oder ein KI-Modell verursacht wurde. Wie leicht Systeme geschützte Merkmale wie Alter oder Geschlecht über Umwegvariablen rekonstruieren, ohne sie je abgefragt zu haben, habe ich bereits an anderer Stelle beschrieben. Auch die DSGVO gilt unverändert und greift überall dort, wo eine Maschine allein über einen Menschen entscheidet und dies für ihn nicht ohne Folgen bleibt. Daran ändert auch die Verschiebung nichts.
Bleibt die Frage, wer für all das einzustehen hat. Verantwortlich für die Auswahlentscheidung ist letztlich das Unternehmen, das sie trifft, nicht der Hersteller der Software. Vor dem Arbeitsgericht steht dann im schlimmsten Fall der Arbeitgeber. Wer also glaubt, mit dem Kaufvertrag die Verantwortung weitergereicht zu haben, läuft Gefahr, ein böses Erwachen zu erleben.
Zu (Hoch-)Risiken und Nebenwirkungen …
Wer aber geradestehen muss, sollte zumindest wissen, wofür. Zu Hoch-Risiken und Nebenwirkungen fragen Sie in diesem Fall also mal nicht Ihren Arzt oder Apotheker, sondern den Anbieter Ihrer HR-Software. Und zwar am besten schon heute. Denn dass er erst ab Dezember 2027 dokumentieren muss, worauf sein System trainiert wurde und wie es zu seinen Ergebnissen kommt, ist für Sie kein Schutzschild, sondern eher eine Falle. Während Brüssel noch die Prüfstellen sortiert, treffen Sie in der Zeit Entscheidungen, für die Sie später geradestehen müssen. Fragen Sie also nach, und halten Sie die Antworten fest. Denn am Ende ist es wie in der Medizin: Wer die Nebenwirkungen ignoriert, muss mit den Spätfolgen leben. In diesem Fall womöglich vor dem Arbeitsgericht.
HRM.de als bevorzugte Quelle bei Google hinzufügen
