KI im HR-Bereich: Warum das Warten auf 2027 ein Millionen-Risiko birgt – Der Digital Omnibus und die Betreiberpflichten

Von Rechtsanwalt Dr. Ismail Öztürk, LL.M., Partner bei EHR Legal (Köln)

Wer die Verschiebung der Hochrisiko-Pflichten auf Dezember 2027 als Freibrief liest, haftet schon heute. Seit dem 2. August 2026 gelten die Transparenzpflichten des Art. 50 KI-VO, seit dem 2. Februar 2025 die Verbote des Art. 5 KI-VO und die KI-Kompetenzpflicht des Art. 4 KI-VO. Am 27. Juli 2026 ist zudem die Digital-Omnibus-Verordnung (EU) 2026/1744 in Kraft getreten und hat das Fristengerüst der KI-VO neu geordnet. Für Arbeitgeber bedeutet das nicht weniger, sondern präzisere Pflichten – bei einem Bußgeldrahmen von bis zu 35 Mio. EUR.

Was der Digital Omnibus geändert hat – und was er ausdrücklich nicht anfasst

Die Digital-Omnibus-Verordnung zur KI wurde am 24. Juli 2026 im Amtsblatt der EU verkündet und ist am 27. Juli 2026 in Kraft getreten. Sie ändert die Verordnung (EU) 2024/1689 (KI-VO) gezielt u.a. bei Fristen, Verbotstatbeständen und Erleichterungen für kleinere Unternehmen. Der Kern für HR-Verantwortliche: Die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III – und dazu gehört das gesamte Personalmanagement – gelten nicht mehr ab dem 2. August 2026, sondern erst ab dem 2. Dezember 2027. Für in regulierte Produkte eingebettete Systeme nach Anhang I verschiebt sich der Stichtag auf den 2. August 2028.

Entscheidend ist der Mechanismus dieser Verschiebung. Der Kommissionsvorschlag vom 19. November 2025 wollte die Anwendbarkeit noch an die Verfügbarkeit harmonisierter Normen koppeln – Hintergrund war, dass die harmonisierten technischen Normen, ohne die eine Konformitätsbewertung praktisch nicht durchführbar ist, nicht fertig sind und die Benennung der notifizierten Stellen hinterherhinkt; die Pflichten sollten sechs Monate nach Feststellung der Verfügbarkeit durch die Kommission greifen, spätestens jedoch am 2. Dezember 2027. Der finale Verordnungstext hat diesen bedingten Auslöser gestrichen. Übrig bleiben feste Kalenderdaten – der 2. Dezember 2027 und der 2. August 2028 –, die sich ohne ein neues Gesetzgebungsverfahren nicht mehr verschieben lassen. Wer auf ein weiteres Aufschieben spekuliert, plant gegen den Gesetzestext.

Unangetastet bleibt der harte Kern der schon geltenden Pflichten. Die nachfolgende Übersicht ordnet die für HR relevanten Fristen.

Regelungskomplex	Rechtsgrundlage	Geltung / Stichtag	HR-Relevanz
Verbotene Praktiken (u. a. Emotionserkennung am Arbeitsplatz)	Art. 5 KI-VO	seit 2. Februar 2025	Video-Interview-Tools mit Emotionsanalyse sind verboten
KI-Kompetenzpflicht	Art. 4 KI-VO	seit 2. Februar 2025	Schulung aller Mitarbeiter, die KI nutzen
Transparenzpflichten (Chatbots, Deepfakes, KI-Texte)	Art. 50 KI-VO	seit 2. August 2026	Kennzeichnung von KI-Chatbots und KI-Inhalten
Neue Verbote: KI-generierte CSAM / nicht-einvernehmliche intime Deepfakes	Art. 5 Abs. 1 lit. ba, bb KI-VO n.F.	ab 2. Dezember 2026	Aufnahme in interne KI-Richtlinie
Maschinenlesbare Kennzeichnung durch Anbieter von Bestandssystemen	Art. 50 Abs. 2 i.V.m. Art. 111 Abs. 4 KI-VO	ab 2. Dezember 2026	Übergangsfrist nur für Alt-Systeme
Hochrisiko-Pflichten Personalmanagement (Anhang III)	Art. 6 Abs. 2, Anhang III Nr. 4, Art. 26 KI-VO	ab 2. Dezember 2027	CV-Screening, Beförderung, Kündigung, Leistungsüberwachung
Hochrisiko-Pflichten produkteingebettete KI (Anhang I)	Art. 6 Abs. 1, Anhang I KI-VO	ab 2. August 2028	Sicherheitsbauteile in regulierten Produkten

Wie konkret die bereits geltenden Transparenzregeln den HR-Alltag berühren, zeigt ein alltägliches Beispiel: Ein mittelständisches Logistikunternehmen betreibt auf seiner Karriereseite einen Chatbot, der Bewerberfragen beantwortet und erste Daten erfasst. Nach Art. 50 Abs. 1 KI-VO muss ein solches System seit dem 2. August 2026 so gestaltet sein, dass der Bewerber erkennt, dass er mit einer KI kommuniziert. Diese Gestaltungspflicht trifft zunächst den Anbieter des Chatbots; setzt das Unternehmen den Bot jedoch unter eigenem Namen oder eigener Marke ein, ist es regelmäßig selbst Anbieter im Sinne des Art. 3 Nr. 3 KI-VO und muss den Hinweis verantworten. Als Betreiber muss das Unternehmen zudem sicherstellen, dass der Hinweis tatsächlich erscheint, bevor der Bewerber sensible Angaben macht – flankiert von den datenschutzrechtlichen Informationspflichten nach Art. 13 DSGVO.

Welche KI im HR ist überhaupt „Hochrisiko"?

Anhang III Nr. 4 der KI-VO stuft KI-Systeme im Bereich „Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit" grundsätzlich als hochriskant ein. Das trifft den betrieblichen Alltag ins Zentrum: KI für die gezielte Ausschreibung von Stellen, für das Filtern und Bewerten von Bewerbungen (CV-Screening), für Beförderungs- und Kündigungsentscheidungen, für die Zuweisung von Aufgaben sowie für die Überwachung und Bewertung von Leistung und Verhalten der Beschäftigten.

Ein Praxisbeispiel verdeutlicht die Dimension: Ein Einzelhandelskonzern führt eine KI-gestützte Schichtplanung ein, die Verfügbarkeit, Krankheitsquoten und Leistungskennzahlen verrechnet und daraus Einsatzpläne generiert. Das System trifft Zuweisungsentscheidungen mit erheblicher Wirkung auf die Arbeitsbedingungen – und ist damit dem Grunde nach ein Hochrisiko-KI-System nach Anhang III Nr. 4. Dasselbe gilt für das Tool, das eingehende Lebensläufe automatisiert vorsortiert, bevor ein Mensch sie je gesehen hat.

Davon strikt zu trennen ist die verbotene Zone. Emotionserkennung am Arbeitsplatz ist kein Hochrisiko-, sondern ein verbotener Anwendungsfall nach Art. 5 KI-VO – und zwar seit dem 2. Februar 2025. Auch hier lohnt der Blick in die Praxis: Ein Software-Unternehmen testet ein Video-Interview-Tool, das aus Mimik, Stimme und Blickbewegung auf „Stressresistenz" und Motivation der Bewerber schließt. Dieses System ist nicht regulierungspflichtig, sondern schlicht unzulässig – keine Übergangsfrist, kein Digital Omnibus und keine Einwilligung des Bewerbers ändern daran etwas. Der Unterschied ist wirtschaftlich gravierend: Verstöße gegen Art. 5 KI-VO liegen in der höchsten Bußgeldstufe des Art. 99 KI-VO.

Die drei Bußgeldstufen des Art. 99 KI-VO

Der Sanktionsrahmen bleibt auch nach dem Digital Omnibus dreistufig. Verstöße gegen die verbotenen Praktiken des Art. 5 KI-VO werden mit Geldbußen von bis zu 35 Mio. EUR oder bis zu 7 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet, je nachdem, welcher Betrag höher ist. Verstöße gegen die meisten übrigen Pflichten – darunter die Betreiberpflichten des Art. 26 KI-VO und die Transparenzpflichten des Art. 50 KI-VO – kosten bis zu 15 Mio. EUR oder 3 %. Falsche, unvollständige oder irreführende Auskünfte gegenüber Behörden werden mit bis zu 7,5 Mio. EUR oder 1 % sanktioniert. Für KMU und – neu durch den Omnibus – auch für kleine Mid-Cap-Unternehmen gilt jeweils der niedrigere der beiden Beträge.

Diese Beträge sind seit dem 2. August 2026 keine abstrakte Drohung mehr. In Deutschland benennt das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG) – verkündet als Artikel 1 des Gesetzes vom 22. Juli 2026 im Bundesgesetzblatt (BGBl. 2026 I Nr. 223) und am 29. Juli 2026 in Kraft getreten – die Bundesnetzagentur als zentrale Marktüberwachungs-, Anlauf- und Beschwerdestelle. BNetzA-Präsident Klaus Müller bezeichnete die KI-Verordnung als „einen Meilenstein für den verantwortungsvollen Einsatz von Künstlicher Intelligenz in Europa". Bei der Behörde ist das Koordinierungs- und Kompetenzzentrum für die KI-Verordnung (KoKIVO) angesiedelt; in vollharmonisierten Produktbereichen bleiben die etablierten Fachaufsichtsbehörden zuständig, etwa die BaFin im Finanzsektor und die Landesmedienanstalten im Medienbereich. Beschwerden – etwa eines übergangenen Bewerbers oder eines Betriebsrats – haben damit ab sofort eine konkrete Adresse.

Der Denkfehler: „Wir setzen KI nur ein"

Viele Geschäftsführer glauben, die KI-VO betreffe nur die Entwickler der Systeme. Das Gegenteil ist richtig. Wer ein KI-System im Betrieb einsetzt, ist Betreiber im Sinne der KI-VO und trägt ein eigenes Pflichtenprogramm. Und wer ein zugekauftes System unter eigenem Namen einsetzt oder es wesentlich verändert, rückt nach Art. 25 KI-VO sogar in die Anbieterrolle mit allen daran hängenden Pflichten ein. Die Compliance-Erklärung des US-Anbieters entlastet den deutschen Arbeitgeber gerade nicht.

Für Betreiber von Hochrisiko-KI konkretisiert Art. 26 KI-VO die Pflichten: Verwendung entsprechend der Betriebsanleitung, Übertragung der menschlichen Aufsicht auf kompetente und befugte Personen, Sicherstellung repräsentativer Eingabedaten, Überwachung des Betriebs und Aufbewahrung der automatisch erzeugten Protokolle für mindestens sechs Monate. Diese Pflichten greifen im HR-Bereich zwar erst zum 2. Dezember 2027 – ihre Umsetzung aber, von der Auswahl geeigneter Aufsichtspersonen bis zur Protokollarchitektur, braucht Vorlaufzeit von Monaten, nicht von Tagen. Wer erst im Sommer 2027 mit Systeminventur, Anbieterverträgen, Schulungskonzepten und Betriebsvereinbarungen beginnt, wird die Frist nicht halten.

Die eigentliche Falle: die Interdependenz von KI-VO, DSGVO und Betriebsverfassung

Hier liegt der Kern, den viele Beratungen übersehen: Der Einsatz von KI im Personalbereich wird nicht von einem, sondern von drei Rechtsregimen gleichzeitig erfasst – und die Verschiebung im AI Act ändert an zweien davon nichts.

Erstens die Betreiberpflicht des Art. 26 Abs. 7 KI-VO: Vor der Inbetriebnahme eines Hochrisiko-KI-Systems am Arbeitsplatz muss der Arbeitgeber die Arbeitnehmervertreter und die betroffenen Beschäftigten darüber informieren, dass sie der Verwendung eines solchen Systems unterliegen werden. Diese europarechtliche Informationspflicht tritt neben – nicht an die Stelle – der nationalen Mitbestimmung.

Zweitens das Datenschutzrecht. Art. 22 DSGVO verbietet grundsätzlich ausschließlich automatisierte Einzelentscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung – die automatisierte Ablehnung eines Bewerbers ist der Musterfall. Der EuGH hat mit Urteil vom 7. Dezember 2023 in der Rechtssache C-634/21 (SCHUFA Holding – Scoring) das Merkmal der „Ausschließlichkeit" aufgeweicht: Bereits die Ermittlung eines Score-Wertes und seine Weitergabe an einen Dritten stellt eine automatisierte Einzelentscheidung nach Art. 22 Abs. 1 DSGVO dar, wenn dieser Score letztlich über die Entscheidung des Dritten entscheidend ist. Auf KI-gestützte Personalentscheidungen ist das unmittelbar übertragbar. Für praktisch jedes wesentliche HR-KI-System ist zudem eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchzuführen. Art. 27 Abs. 4 KI-VO erlaubt es immerhin, die Ergebnisse einer DSFA in die Grundrechte-Folgenabschätzung einzubinden – beide Prüfungen sollten koordiniert, nicht doppelt geführt werden.

Drittens die zwingende Mitbestimmung. § 87 Abs. 1 Nr. 6 BetrVG begründet ein erzwingbares Mitbestimmungsrecht des Betriebsrats bei der Einführung und Anwendung technischer Einrichtungen, die zur Überwachung von Verhalten oder Leistung der Beschäftigten geeignet sind. Diese bloße Eignung genügt – ein CV-Screening-Tool oder eine KI-gestützte Schichtplanung erfüllt sie regelmäßig. Ohne Betriebsvereinbarung droht nicht nur ein Unterlassungsanspruch des Betriebsrats, sondern faktisch ein Verwertungsverbot der Ergebnisse. Das teuerste KI-Projekt ist das, das nach dem Rollout wieder abgeschaltet werden muss.

Das Zusammenspiel ist die eigentliche Botschaft: Selbst wenn die Hochrisiko-Pflichten des Art. 26 KI-VO erst Ende 2027 greifen, sind Art. 22 DSGVO, Art. 35 DSGVO und § 87 Abs. 1 Nr. 6 BetrVG heute anwendbar. Ein Unternehmen, das jetzt ein KI-Recruiting-Tool ohne DSFA und ohne Betriebsrat einführt, verstößt bereits gegen geltendes Recht – lange bevor die KI-VO ihre volle Härte entfaltet.

Was jetzt konkret zu tun ist

Die gewonnene Zeit ist ein Arbeitsauftrag, kein Ruhekissen. An erster Stelle steht das KI-Inventar: eine strukturierte Bestandsaufnahme aller im Unternehmen eingesetzten KI-Systeme, ihrer Rollen (Anbieter oder Betreiber) und ihrer Risikoklasse. Diese Bestandsaufnahme fördert erfahrungsgemäß deutlich mehr KI-Nutzung zutage, als der Geschäftsleitung bekannt ist – vom Bewerbermanagementsystem mit Ranking-Funktion bis zur ungeregelten Schatten-KI im Tagesgeschäft. Ohne dieses Inventar lässt sich weder die Hochrisiko-Betroffenheit beurteilen noch die Transparenzpflicht erfüllen. Sodann gehören die verbotenen Funktionen abgeschaltet, die Kennzeichnungspflichten des Art. 50 KI-VO umgesetzt, die KI-Kompetenzmaßnahmen dokumentiert und die neuen Verbotstatbestände ab dem 2. Dezember 2026 in die interne KI-Richtlinie aufgenommen. Parallel sind DSFA, Grundrechte-Folgenabschätzung und die Beteiligung des Betriebsrats aufzusetzen und die Anbieterverträge auf Informations-, Mitwirkungs- und Regressregelungen zu prüfen.

EHR Legal: Ihre KI-Compliance aus einer Hand

EHR Legal stellt Unternehmen bundesweit rechtssicher auf. Wir verbinden Arbeitsrecht, IT-Recht und Datenschutzrecht in einem Team und übersetzen die KI-VO in eine belastbare, wirtschaftlich tragfähige Strategie – von der KI-Inventur über die AI Policy bis zur verhandelten Betriebsvereinbarung. Sie erreichen uns an unseren Standorten, etwa in Köln oder online von überall – eine erste Einschätzung Ihres Handlungsbedarfs erhalten Sie innerhalb von 24 Stunden. Sprechen Sie Dr. Ismail Öztürk und sein Team an, bevor die Bundesnetzagentur oder Ihr Betriebsrat es tut.

Dieser Beitrag gibt einen allgemeinen Überblick zum Rechtsstand und ersetzt keine individuelle Rechtsberatung.