EU AI Act: Neue Regeln für KI in Personalprozessen ab Dezember
Veröffentlicht am: 28.08.2026 um 07:09 Uhr | Redaktion boerse-global.de
Angesichts der fortschreitenden Implementierung des EU AI Acts untersuchten Experten Ende August 2026 die spezifischen Spielregeln und Compliance-Anforderungen für Unternehmen.
Ein besonderer Fokus liegt dabei auf den Auswirkungen für Personalprozesse, da der Einsatz künstlicher Intelligenz (KI) im Personalwesen regulatorisch als Hochrisiko-Bereich eingestuft wird. Die neuen Vorgaben zielen darauf ab, Diskriminierung zu verhindern und die Transparenz automatisierter Entscheidungen zu erhöhen.
Regulatorische Einstufung und verlängerte Umsetzungsfristen
Der EU AI Act trat bereits am 2. August 2026 in Kraft. Dennoch räumt die Europäische Union den Marktteilnehmern für bestimmte Bereiche mehr Zeit ein. Die Fristen für Hochrisiko-KI-Systeme wurden um 12 bis 16 Monate verlängert, sodass diese Verpflichtungen nun bis zum 2. Dezember 2027 umgesetzt werden müssen. Für eingebettete Systeme gilt eine Frist bis zum 2. August 2028.
In Deutschland wird die Marktüberwachung durch das KI-Management-Indikatoren-Gesetz (KI-MIG) geregelt, wobei die Bundesnetzagentur als zentrale Aufsichtsbehörde fungiert. Parallel dazu wurde bereits im November 2025 der Entwurf für einen „Digital Omnibus on AI“ vorgelegt, dessen formale Annahme im Laufe des Jahres 2026 erfolgte.
Strenge Verbote für den Beschäftigungskontext
Für Personalabteilungen ergeben sich aus der Verordnung sowie bestehenden Gesetzen wie der Datenschutz-Grundverordnung (DSGVO) klare Grenzen. So untersagt der EU AI Act explizit den Einsatz von Emotionserkennung im Beschäftigungskontext. Ergänzend dazu verbietet Artikel 22 der DSGVO vollautomatisierte Kündigungen ohne menschliches Eingreifen.
Die Relevanz dieser Schutzvorschriften verdeutlichte eine Klage gegen den Technologiekonzern Meta. In diesem Fall wurde beanstandet, dass der Einsatz von KI bei Entlassungen chronisch kranke Mitarbeiter benachteiligt habe.
Experten weisen darauf hin, dass die Automatisierungspotenziale enorm sind: Laut dem Job-Futuromat des Instituts für Arbeitsmarkt- und Berufsforschung (IAB) gelten 86 Prozent der Aufgaben von Personalsachbearbeitern als automatisierbar.
Wer angesichts der neuen Regulierung den Überblick über Fristen und Pflichten behalten möchte, findet in diesem kompakten Download alle wichtigen Informationen zum EU AI Act. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt
Aktueller Stand der KI-Nutzung in deutschen Unternehmen
Trotz der regulatorischen Hürden nimmt die Verbreitung von KI-Tools in der Praxis zu. Eine Studie des Beratungshauses Kienbaum zeigt, dass bereits 35 Prozent der Personaler KI im Recruiting nutzen, während weitere 26 Prozent dies planen.
Eine Umfrage des Branchenverbands Bitkom unter 600 Unternehmen belegt eine steigende Akzeptanz verschiedener Anwendungsfelder im Vergleich zu den Vorjahren:
- Arbeitszeugnisse: 14 Prozent der Unternehmen setzen KI hierfür bereits ein. Das generelle Interesse stieg von 45 Prozent im Jahr 2024 auf aktuell 52 Prozent.
- Weiterbildung: Die Nutzung kletterte von 12 Prozent (2024) auf 16 Prozent.
- Onboarding: Hier stieg der Anteil von 11 Prozent auf 14 Prozent.
- Arbeitsbelastung: Ein deutlicher Sprung zeigte sich bei der Analyse der Arbeitsbelastung, die nun von 13 Prozent der Firmen (2024: 6 Prozent) mittels KI durchgeführt wird.
- Leistungsbeurteilung: 12 Prozent der befragten Unternehmen nutzen KI zur Bewertung der Arbeitsleistung.
Da die EU-KI-Verordnung neue Regeln für viele Software-Systeme aufstellt, sollten Unternehmen jetzt prüfen, welche Anwendungen unter die Hochrisiko-Klassifizierung fallen. Dieser kostenlose Report klärt auf, was für eine rechtssichere Nutzung jetzt konkret zu tun ist. Welche KI-Systeme gelten als Hochrisiko – und was müssen Unternehmen jetzt konkret tun?
Verflechtung mit weiteren Digitalgesetzen und Haftungsrisiken
Der EU AI Act ist Teil eines umfassenden Regulierungspakets, zu dem auch DORA, NIS2 und der Cyber Resilience Act (CRA) gehören. Diese erhöhen die Anforderungen an die digitale Resilienz und das Drittanbieter-Management, insbesondere für Versicherer und Finanzinstitute. Laut einer Studie von KPMG und Lünendonk stufen zwar 94 Prozent der Institute digitale Resilienz als wichtig ein, doch verfügen nur 12 Prozent über einen sehr hohen Reifegrad.
Zudem greifen bereits seit Dezember 2025 die Regelungen des NIS2-Umsetzungsgesetzes für rund 29.500 Unternehmen. Hiernach ist Cybersicherheit zur Chefsache erklärt worden. Aufsichtsräte haften bei Überwachungsversäumnissen persönlich, wobei eine Umkehr der Beweislast gilt. Mögliche Bußgelder, die bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Umsatzes betragen können, sind in der Regel nicht durch D&O-Versicherungen gedeckt.
Ab dem 11. September 2026 greifen zudem neue Meldepflichten des CRA. Unternehmen müssen aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden als Frühwarnung an die ENISA und das CERT-Bund melden. Eine vollständige Meldung hat innerhalb von 72 Stunden über eine zentrale Plattform zu erfolgen.
Da laut einer Untersuchung von Keeper Security aus dem Jahr 2026 noch bei 25 Prozent der deutschen Unternehmen Governance-Lücken bei Drittzugriffen bestehen, mahnen Fachleute zur zeitnahen Schließung dieser Sicherheitsdefizite.
