KI-Verordnung (EU AI Act)
Mit der KI-Verordnung (EU) 2024/1689 gelten erstmals EU-weit harmonisierte Vorschriften für den Einsatz künstlicher Intelligenz. Der Großteil der Regelungen ist seit 2. August 2026 anwendbar. Arbeitgeber:innen, die ihren Arbeitnehmer:innen KI-Systeme zur Verfügung stellen, gelten als Betreiber und treffen damit Transparenz-, Dokumentations- und Unterstützungspflichten. Dieser Überblick zeigt, welche Pflichten bereits gelten, was beim Einsatz von KI im Recruiting zu beachten ist und welche Sanktionen drohen.
KI-Verordnung: Was Arbeitgeber:innen jetzt beachten müssen
Mit der Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-Verordnung) wurden erstmals EU-weite Regelungen für den Einsatz von künstlicher Intelligenz geschaffen. Die Verordnung ist am 1. August 2024 in Kraft getreten und tritt stufenweise in Geltung. Der Großteil der Regelungen der KI-Verordnung ist seit 2. August 2026 anwendbar. Einige dieser Regelungen sind gerade für Arbeitgeber:innen beachtlich.
KI-Systeme im beruflichen Kontext
Verwendet eine natürliche oder juristische Person (Behörde, Einrichtung oder sonstige Stelle) ein KI-System in eigener Verantwortung im Rahmen einer beruflichen, geschäftlichen oder betrieblichen Tätigkeit, gilt diese Person als Betreiber iSd Art 3 Z 4 der KI-Verordnung. Betreiber eines KI-Systems müssen – je nachdem, ob es sich um KI-Systeme mit hohem Risiko, begrenztem Risiko oder minimalem Risiko handelt – eine Reihe an Verpflichtungen einhalten.
Stellt ein Arbeitgeber den Arbeitnehmer:innen ein KI-System im beruflichen Kontext und in organisatorischer Verantwortung zur Verfügung, gilt der Arbeitgeber als Betreiber im Sinne der KI-Verordnung.
Transparenzpflichten nach Art 50 KI-Verordnung für KI-Systeme mit begrenztem Risiko
Betreiber von KI-Systemen, von denen lediglich ein begrenztes Risiko ausgeht, haben die Transparenzverpflichtungen gem Art 50 KI-Verordnung zu erfüllen:
- Deepfakes – also durch ein KI-System erzeugter oder manipulierter Bild-, Video- oder Toninhalt, der wirklichen Personen, Tatsachen oder Orten ähnelt und fälschlicherweise als echt oder wahrheitsgemäß erscheint – müssen vom Betreiber des KI-Systems als künstlich erzeugt oder manipuliert offengelegt werden.
- KI-generierte Textinhalte, mit denen die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informiert wird, müssen vom Betreiber als solche offengelegt werden. Ausnahme: Die Inhalte unterliegen einer menschlichen Überprüfung oder redaktionellen Kontrolle und eine natürliche oder juristische Person trägt die redaktionelle Verantwortung.
- Betreiber eines Emotionserkennungssystems iSd Art 50 KI-Verordnung – also eines KI-Systems, das dem Zweck dient, Emotionen oder Absichten natürlicher Personen auf Grundlage ihrer biometrischen Daten festzustellen oder daraus abzuleiten – haben die betroffenen natürlichen Personen über den Betrieb des Systems und die Verarbeitung personenbezogener Daten zu informieren.
Achtung: KI-Systeme zur Emotionserkennung am Arbeitsplatz sind gem Art 5 Abs 1 lit f KI-Verordnung grundsätzlich unzulässig.
Hochrisiko-KI-Systeme
Für Arbeitgeber, die KI-Systeme im Rahmen ihres Recruitingprozesses verwenden, können die Bestimmungen der KI-Verordnung zu Hochrisiko-KI-Systemen relevant sein.
Ein Hochrisiko-KI-System gem Art 6 Abs 2 iVm Anhang III Z 4 lit a der KI-Verordnung ist ein KI-System, das bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden soll, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten. Auch Chatbots können unter Umständen ein Hochrisiko-KI-System darstellen.
Den Arbeitgeber als Betreiber eines Hochrisiko-KI-Systems im Recruitingprozess treffen zahlreiche Pflichten, insbesondere die Errichtung geeigneter technischer und organisatorischer Maßnahmen, Überwachungspflichten sowie Informations- und Aufbewahrungspflichten.
Die Pflichten, die den Betreiber eines Hochrisiko-KI-Systems ungeachtet des Art 50 KI-Verordnung nach den Art 26 und 86 der KI-Verordnung treffen, treten aufgrund der Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI) erst mit 2. Dezember 2027 in Kraft.
KI-Kompetenzen
Arbeitgeber:innen sollten die aktuell verwendeten KI-Systeme erheben, um ihre Pflichten je nach Kategorie des KI-Systems erfüllen zu können. Eine Dokumentation verwendeter Software – die auch KI-Systeme beinhalten kann – und verwendeter KI-Systeme samt Evidenthaltung ist empfehlenswert.
Arbeitgeber:innen als Betreiber von KI-Systemen haben gem dem mit der Digital-Omnibus-Verordnung zur KI bereits novellierten Art 4 KI-Verordnung Personal, das in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst ist, beim Erwerb von KI-Kompetenz zu unterstützen.
KI-Kompetenz meint Fähigkeiten und Kenntnisse, die es ermöglichen, KI-Systeme sachkundig einzusetzen sowie sich der Chancen und Risiken von KI und möglicher Schäden, die sie verursachen kann, bewusst zu werden.
Die KI-Verordnung stellt bei den Schulungsinhalten insbesondere auf die technischen Kenntnisse, Erfahrung und Ausbildung der Arbeitnehmer:innen sowie den Kontext ab, in dem die KI-Systeme eingesetzt werden sollen.
Die in der KI-Verordnung ursprünglich noch vorgesehene, an den Betreiber gerichtete Verpflichtung zur Sicherstellung der KI-Kompetenz wurde mit der Digital-Omnibus-Verordnung zur KI deutlich entschärft. Eine Garantie für ein bestimmtes Niveau an KI-Kompetenz wird nunmehr ausdrücklich verneint.
Sanktionen
Art 99 ff KI-Verordnung sehen empfindliche Geldstrafen je nach Verstoß gegen die KI-Verordnung vor. Für Unternehmen, die gegen die Pflichten nach Art 26 oder 50 KI-Verordnung verstoßen, drohen Geldbußen von bis zu EUR 15.000.000 bzw von bis zu 3 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres. Es gilt der jeweils höhere Betrag. Für KMU, kleine Midcap-Unternehmen und Start-up-Unternehmen gelten abweichende Sanktionen.
Haben Sie Fragen zur Umsetzung der KI-Verordnung in Ihrem Unternehmen?
Wir beraten Sie gerne bei der rechtssicheren Umsetzung der KI-Verordnung in Ihrem Unternehmen.
KI-Verordnung – Die wichtigsten Fragen für Arbeitgeber:innen
Was regelt die KI-Verordnung und seit wann gilt sie?
Die Verordnung (EU) 2024/1689 (KI-Verordnung) schafft erstmals EU-weit harmonisierte Vorschriften für den Einsatz von künstlicher Intelligenz. Sie ist am 1. August 2024 in Kraft getreten und tritt stufenweise in Geltung – für Arbeitgeber:innen sind seit dem 2. August 2026 insbesondere die Transparenzpflichten nach Art 50 KI-Verordnung relevant.
Gilt die KI-Verordnung auch für Arbeitgeber:innen, die selbst keine KI entwickeln?
Ja. Wer ein KI-System in eigener Verantwortung nutzt, gilt als Betreiber iSd Art 3 Z 4 KI-Verordnung. Das trifft auch auf Arbeitgeber:innen zu, die ihren Arbeitnehmer:innen KI-Systeme zur beruflichen Nutzung zur Verfügung stellen. Ausgenommen ist nur die Nutzung im Rahmen einer rein persönlichen, nicht beruflichen Tätigkeit.
Welche Transparenzpflichten treffen Arbeitgeber:innen als Betreiber?
Von KI erzeugte Deepfakes müssen als künstlich erzeugt bzw manipuliert offengelegt werden; KI-generierte Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, müssen ebenfalls offengelegt werden (außer bei menschlicher Überprüfung bzw redaktioneller Verantwortung). Beim Einsatz von Emotionserkennungssystemen gelten besondere Vorgaben.
Was gilt, wenn Arbeitgeber:innen KI-Systeme im Recruiting einsetzen?
Hier können die strengeren Bestimmungen zu Hochrisiko-KI-Systemen greifen: KI-Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl von Bewerber:innen verwendet werden – etwa für gezielte Stellenanzeigen, das Sichten und Filtern von Bewerbungen oder deren Bewertung –, gelten gem Art 6 Abs 2 iVm Anhang III Z 4 lit a KI-Verordnung als Hochrisiko-KI-Systeme. Betreiber:innen treffen dann zusätzliche Pflichten nach Art 26 und Art 86 KI-Verordnung. Diese Hochrisiko-Pflichten sind – anders als die Transparenzpflichten nach Art 50 KI-Verordnung – noch nicht in Kraft: Die Digital-Omnibus-Verordnung zur KI hat ihren Geltungsbeginn auf 2. Dezember 2027 verschoben.
Müssen Arbeitgeber:innen ihre Arbeitnehmer:innen im Umgang mit KI schulen?
Art 4 KI-Verordnung verpflichtet Betreiber:innen, ihr Personal und in ihrem Auftrag tätige Personen beim Erwerb ausreichender KI-Kompetenz zu unterstützen – abgestimmt auf technische Vorkenntnisse, Erfahrung, Ausbildung und den jeweiligen Einsatzkontext. Die ursprünglich strengere Sicherstellungspflicht wurde mit der Digital-Omnibus-Verordnung zur KI zu einer Unterstützungspflicht entschärft.
Welche Sanktionen drohen bei Verstößen?
Art 99 ff KI-Verordnung sehen empfindliche Geldstrafen je nach Verstoß gegen die KI-Verordnung vor. Für Unternehmen, die gegen die Pflichten nach Art 26 oder 50 verstoßen, drohen Geldbußen von bis zu EUR 15.000.000 bzw von bis zu 3 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres. Es gilt der jeweils höhere Betrag. Für KMU, kleine Midcap-Unternehmen und Start-up-Unternehmen gelten abweichende Sanktionen.
Was sollten Arbeitgeber:innen jetzt konkret tun?
Empfehlenswert ist eine Bestandsaufnahme der aktuell im Unternehmen verwendeten KI-Systeme, um die je nach Risikokategorie unterschiedlichen Pflichten einschätzen zu können, sowie eine laufende Dokumentation samt Evidenthaltung. Ebenso sollten Arbeitnehmer:innen im Umgang mit KI-Systemen ausreichend geschult werden.
.webp)
