KI im Recruiting und die KI-Verordnung: was ab wann gilt

Im Recruiting kursieren gerade zwei falsche Annahmen zur KI-Verordnung. Die eine lautet, alles mit KI im Bewerbungsprozess sei jetzt verboten oder hochreguliert. Die andere lautet, es gelte ohnehin nichts vor 2027. Beides ist falsch, und die Wahrheit liegt an einer Linie, die für Recruiter praktisch entscheidend ist: KI, die Bewerber bewertet, filtert, bepunktet oder rankt, ist der Hochrisiko-Fall der KI-Verordnung. KI, die ein Gespräch nur aufzeichnet, transkribiert und zusammenfasst, sitzt in der Transparenzzone.

Dieser Beitrag zieht genau diese Linie und sagt, was ab wann gilt. Er richtet sich an Recruiter, Personalabteilungen und Hiring Manager, die KI im Bewerbungsprozess einsetzen und wissen wollen, wo ihre Pflichten und ihr Risiko liegen. Nicht Bewerber tragen hier die Last, sondern die einsetzenden Unternehmen: Kandidaten haben Rechte, Recruiter haben Pflichten. Es ist allgemeine Information, die Ihnen hilft, den Aufwand einzuschätzen, und keine Rechtsberatung.

Die Linie, die über Ihre Pflichten entscheidet

Die KI-Verordnung sortiert KI-Systeme nach Risiko. Die meisten Werkzeuge sind minimal- oder begrenzt-riskant. Eine bestimmte Liste, Anhang III, benennt die Anwendungsfälle, die der Gesetzgeber als hochriskant behandelt, weil sie die Rechte und Lebenschancen von Menschen wesentlich berühren. Beschäftigung und Recruiting stehen ausdrücklich darauf.

Der rote Faden durch diesen Bereich ist die automatisierte Beurteilung von Menschen. Einen Bewerber zu bepunkten, eine Shortlist zu ranken, Lebensläufe gegen Kriterien zu filtern, die Eignung vorherzusagen oder Interviewantworten zu benoten, all das fällt hinein. Ein Gespräch zu dokumentieren fällt nicht hinein. Entscheidend ist nicht, ob KI das Interview berührt hat, sondern ob KI die Person beurteilt hat. Diese Unterscheidung ist die ganze Geschichte, und den Rest dieses Beitrags verwenden wir darauf, sie belastbar zu machen.

Was die KI-Verordnung im Recruiting als Hochrisiko einstuft

Anhang III Punkt 4 betrifft Beschäftigung. Erfasst ist KI, die für Einstellung oder Auswahl eingesetzt werden soll, insbesondere um gezielt Stellenanzeigen auszuspielen, um Bewerbungen zu analysieren und zu filtern und um Bewerber zu bewerten. Erfasst ist auch KI, die Entscheidungen über Beförderung, Kündigung, Aufgabenzuteilung und Verhaltens- oder Leistungsüberwachung am Arbeitsplatz trifft oder wesentlich stützt.

Das sind die Funktionen, die die KI-Verordnung geregelt, dokumentiert und unter menschlicher Kontrolle sehen will, denn ein verzerrtes oder undurchsichtiges Modell entscheidet hier über den Zugang zu Arbeit. Deshalb ist die Wahl des Werkzeugs eine Compliance-Entscheidung und nicht nur eine Feature-Entscheidung.

Was ab wann gilt

Die KI-Verordnung ist ein gestuftes Gesetz. Verschiedene Pflichtstufen treten zu verschiedenen Zeitpunkten in Kraft. Der verbreitete Fehler ist, das späte Hochrisiko-Datum als Startschuss für alles zu lesen. Tatsächlich sind mehrere Pflichten, die das Recruiting heute betreffen, längst bindend.

Die Reihenfolge ist also: Verbote und Kompetenzpflicht sind heute live, die Transparenz kam im August 2026, und das volle Hochrisiko-Regime fürs Recruiting kommt im Dezember 2027. Das spätere Datum verschafft Vorbereitungszeit für Hochrisiko-Systeme; es schaltet die Regeln nicht ab, die bereits gelten. Und in Deutschland gibt es seit dem 29. Juli 2026 mit der Bundesnetzagentur eine benannte Stelle, an die sich ein Bewerber oder Beschäftigter wenden kann.

Fällt ein KI-Notetaker im Interview unter Hochrisiko?

In der Regel nicht, und der Grund ist funktional. Ein KI-Notetaker zeichnet ein Gespräch auf, wandelt Sprache in Text um und erzeugt eine Zusammenfassung, Aktionspunkte oder einen neutralen Rückblick auf das Besprochene. Er dokumentiert das Interview. Er entscheidet nicht von sich aus, ob der Bewerber geeignet ist, rankt ihn nicht gegen andere und filtert ihn nicht aus.

Anhang III Punkt 4 geht um das Bewerten von Bewerbern. Ein Interview zu dokumentieren ist kein Bewerten, so wie ein Wortprotokoll noch kein Urteil ist. Der Notetaker erzeugt einen Datensatz; ein Mensch liest ihn und trifft die Entscheidung. Genau diese Struktur mit dem Menschen in der Schleife wollen die Hochrisiko-Regeln schützen, ein Werkzeug, das die Beurteilung bei Menschen belässt, steht also auf der sichereren Seite der Linie.

Es gibt eine echte Grenze zu respektieren. In dem Moment, in dem ein Notetaker beginnt, den Bewerber zu bepunkten, eine Einstellungsempfehlung zu erzeugen, Kandidaten zu ranken oder einen Scorecard automatisch auszufüllen, der in eine automatisierte Vorauswahl einfließt, hört er auf, ein Dokumentationswerkzeug zu sein, und übernimmt die Anhang-III-Funktion. Dann ist die Hochrisiko-Prüfung wieder eröffnet, unabhängig davon, wie das Produkt heißt.

Ein ehrlicher Vorbehalt: Art. 6 Abs. 3 enthält eine enge Ausnahme, wonach ein in Anhang III gelistetes System nicht hochriskant ist, wenn es eine rein eng umgrenzte, verfahrensmäßige oder vorbereitende Aufgabe erfüllt und kein erhebliches Risiko für die Rechte von Personen darstellt. Ein reines Transkriptions- und Zusammenfassungswerkzeug hat hier ein starkes Argument, aber sich auf Art. 6 Abs. 3 zu stützen ist eine dokumentierte Anbieter-Einschätzung, kein Freifahrtschein. Die sauberere Position ist, Bewertungsfunktionen gar nicht erst einzubauen.

Welche Pflichten Hochrisiko auslösen würde

Warum die Linie zwischen Dokumentieren und Bewerten so viel Aufmerksamkeit verdient, zeigt sich am Gewicht des Hochrisiko-Regimes. Ist eine Recruiting-KI hochriskant, muss der Anbieter unter anderem sicherstellen:

• ein Risikomanagement über den Lebenszyklus des Modells;
• Daten-Governance, einschließlich Maßnahmen, um Verzerrungen in Trainings- und Bewertungsdaten zu erkennen und zu verringern;
• technische Dokumentation und automatische Protokollierung zur Nachvollziehbarkeit;
• Transparenz und Anweisungen, damit einsetzende Unternehmen das System korrekt nutzen können;
• eingebaute menschliche Aufsicht sowie Genauigkeit, Robustheit und Cybersicherheit;
• eine Konformitätsbewertung und eine Registrierung in der EU-Datenbank vor Markteintritt.

Das einsetzende Unternehmen, also der Arbeitgeber, hat eigene Pflichten: das System anweisungsgemäß betreiben, menschliche Aufsicht sicherstellen, es überwachen und in vielen Fällen eine Grundrechte-Folgenabschätzung durchführen. Nichts davon ist unmöglich, aber es ist ein ernsthaftes Programm. Es zu vermeiden, indem Sie Ihre Interview-Dokumentation nicht in eine automatisierte Bewerberbewertung verwandeln, ist eine legitime und oft sinnvolle Gestaltungsentscheidung.

Was auch ohne Hochrisiko gilt

Aus dem Hochrisiko-Bereich herauszubleiben heißt nicht, keine Pflichten zu haben. Aufzeichnung und Transkription von Interviews unterliegen weiter der DSGVO und, seit sie gilt, der Transparenzpflicht der KI-Verordnung. Unabhängig von der Risikostufe sollten Sie:

• Vor der Aufzeichnung echte Einwilligung einholen. Im Bewerbungskontext muss die Einwilligung freiwillig sein, bieten Sie also eine echte Option ohne Aufzeichnung an. In Deutschland verlangt zudem § 201 StGB, dass alle Teilnehmenden vor Beginn informiert werden; heimliches Mitschneiden ist strafbar.
• Die KI klar offenlegen. Sagen Sie Bewerbern, dass ein KI-Notetaker im Einsatz ist und was er tut. Das erfüllt zugleich den Transparenzgrundsatz der DSGVO und die Pflicht aus Art. 50.
• Automatisierte Entscheidungen im Blick behalten (Art. 22 DSGVO). Eine Einstellungsentscheidung, die ausschließlich auf automatisierter Verarbeitung beruht und den Bewerber erheblich betrifft, ist nach Art. 22 DSGVO grundsätzlich unzulässig. Eine echte, inhaltliche menschliche Entscheidung muss erhalten bleiben.
• Auf besondere Kategorien achten. Interviews können Gesundheit, Behinderung oder Herkunft berühren; erheben Sie so wenig wie möglich und löschen Sie bei Widerruf.
• Den Betriebsrat einbinden. Nach § 87 Abs. 1 Nr. 6 BetrVG besteht ein Mitbestimmungsrecht bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind. Ein Werkzeug, das Interviews aufzeichnet und auswertet, ist dazu typischerweise geeignet, in der Regel über eine Betriebsvereinbarung zu regeln.
• Daten in der Region halten mit definierter Aufbewahrung. Verarbeitung auf EU-Infrastruktur und ein Aufbewahrungsfenster, das an die Einstellungsentscheidung gekoppelt ist.

Checkliste: KI-Interviews aus dem Hochrisiko-Bereich halten

Praktische Schritte für ein Recruiting-Team, das den Nutzen von KI-Notizen will, ohne das Hochrisiko-Regime zu erben:

1. KI zum Dokumentieren nutzen, nicht zum Entscheiden. Lassen Sie das Werkzeug transkribieren und zusammenfassen. Bewertung, Ranking und die Ja-oder-Nein-Entscheidung bleiben bei Ihren Interviewern.
2. Bewerber-Scoring meiden. Behandeln Sie KI-Eignungsscores, automatische Rankings und Empfehlungsmaschinen als Grenze, die Sie ohne vollständige Hochrisiko-Prüfung nicht überschreiten.
3. Nie Emotionserkennung einsetzen. Das Erkennen von Emotionen am Arbeitsplatz ist nach Art. 5 verboten, Punkt.
4. Jede Zusammenfassung von einem Menschen prüfen lassen. Der Datensatz informiert die Entscheidung; ein Mensch trifft sie (auch mit Blick auf Art. 22 DSGVO).
5. Grundlage dokumentieren. Halten Sie fest, warum Ihr Werkzeug Dokumentation und keine Bewertung ist. Wenn Sie sich auf die enge Ausnahme in Art. 6 Abs. 3 stützen, dokumentieren Sie diese Einschätzung.
6. EU-gehostetes Werkzeug ohne Scoring wählen. Die Gestaltungsentscheidungen des Anbieters werden zu Ihrer Compliance-Haltung, wählen Sie also eines, das schon vom Design her auf der Dokumentationsseite bleibt.

Wo Numi einzuordnen ist

Genau diese Grenze haben wir mit Numi respektiert. Numi zeichnet Interviews auf, transkribiert und fasst zusammen und zieht Aktionspunkte und Entscheidungen heraus, verarbeitet auf europäischer Infrastruktur, und Numi trainiert nicht auf Kundendaten. Numi bewertet, bepunktet oder rankt Bewerber bewusst nicht, denn das ist genau die automatisierte Bewertung, die einen Einstellungsprozess in den Hochrisiko-Bereich nach Anhang III ziehen würde.

Ehrlich eingeordnet heißt das: Numi fällt unter die Transparenzpflichten der KI-Verordnung, nicht unter die Hochrisiko-Pflichten, solange keine Bewertung oder Auswahl durch die KI erfolgt. Der Gedanke dahinter ist einfach: Numi dokumentiert das Gespräch, damit Ihr Panel einen präzisen, geteilten Datensatz hat, und die Einstellungsentscheidung bleibt bei Ihren Menschen.

Um klar zu sein, was das leistet und was nicht: Kein Werkzeug macht Ihr Unternehmen für sich genommen konform mit der KI-Verordnung oder der DSGVO. Offenlegung, Einwilligung, Betriebsrat und die Dokumentation der eigenen Grundlage sind Ihre Pflichten als einsetzendes Unternehmen, und kein Anbieter kann sie Ihnen abnehmen. Was EU-Hosting und ein Design ohne Bewerberbewertung tun, ist, die Teile der Arbeit zu entlasten, die Datenort, Anbieter-Transparenz und die Risikostufe betreffen.

Zum Weiterlesen: der DSGVO-Leitfaden zum Aufzeichnen und Transkribieren von Bewerbungsgesprächen mit Einwilligungsvorlage, die Übersicht zu AI-MIG und Bundesnetzagentur für den deutschen Aufsichtsrahmen, die Muster-Betriebsvereinbarung für KI-Notetaker und die Schwellwertanalyse zur DSFA nach Art. 35 DSGVO.