Was die KI-Verordnung ab Dezember 2027 bei Beschäftigtendaten verlangt
Die KI-Verordnung der EU stuft KI-Systeme als hochriskant ein, wenn sie bei der Einstellung von Personen, bei Entscheidungen über Arbeitsbedingungen, Beförderung oder Kündigung, bei der Zuweisung von Aufgaben nach individuellem Verhalten oder bei der Überwachung und Bewertung von Leistung eingesetzt werden. Die Pflichten für solche Systeme gelten ab dem 02.12.2027. Viele Beiträge nennen noch August 2026, dieser Termin wurde aber durch die Verordnung (EU) 2026/1744 verschoben.
Dieser Beitrag ist eine Erklärung, keine Rechtsberatung.
Worum es geht
Die Verordnung teilt KI-Systeme nach ihrem Risiko ein. Für die meisten Werkzeuge im Büroalltag gelten nur wenige Pflichten, zum Beispiel der Hinweis, dass man mit einer KI spricht (Artikel 50) und die Schulung der eigenen Leute (Artikel 4).
Anders ist es bei den Hochrisiko-Systemen aus Anhang III der Verordnung. Nummer 4 dieses Anhangs betrifft Beschäftigung und Personalführung. Gemeint sind Systeme, die bestimmt sind für:
- die Einstellung und Auswahl von Personen, etwa das Sichten von Bewerbungen,
- Entscheidungen über Arbeitsbedingungen, Beförderung und Kündigung,
- die Zuweisung von Aufgaben auf Grundlage des individuellen Verhaltens,
- die Überwachung und Bewertung von Leistung und Verhalten.
Für solche Systeme verlangt die Verordnung unter anderem eine Konformitätsbewertung, eine CE-Kennzeichnung, eine Registrierung in einer EU-Datenbank, ein Risikomanagement, eine lückenlose Protokollierung und eine wirksame menschliche Aufsicht.
Ab wann das gilt
Ursprünglich sollten diese Pflichten im August 2026 greifen. Mit der Verordnung (EU) 2026/1744 wurden sie für die Systeme aus Anhang III auf den 02.12.2027 verschoben. Den aktuellen Zeitplan veröffentlicht die EU-Kommission.
Bis dahin ist also Zeit. Aber die Entscheidungen, die du heute bei der Auswahl eines KI-Werkzeugs triffst, bestimmen, ob du 2027 ein Problem hast.
Das Risiko liegt im Aktenschrank
Ein Werkzeug, das Fragen zu Leistungsverzeichnissen beantwortet, ist kein Hochrisiko-System. Aber auf demselben Laufwerk liegen oft auch Beurteilungen, Zeiterfassungen, Einsatzpläne und Bewerbungen.
Wenn ein KI-Werkzeug einfach alles einliest und ein Mitarbeiter fragt „Wer aus dem Team war im letzten Quartal am langsamsten?“, dann ist aus einem harmlosen Suchwerkzeug unter Umständen ein System zur Leistungsbewertung geworden. Ob das rechtlich schon so zählt, hängt von der Zweckbestimmung ab und ist eine Frage für einen Anwalt. Ein Risiko, das man nicht eingehen muss, ist es in jedem Fall.
Wie wir damit umgehen
Für das envisbo Cockpit haben wir drei Dinge festgelegt:
- Eingelesen wird nur, was du ausdrücklich freigibst. Personalakten, Gehälter, Beurteilungen und Bewerbungen gehören in Version 1.0 nicht hinein. Mehr dazu in Warum wir nur die Ordner einlesen, die du nennst.
- Module mit Beschäftigtenbezug sind getrennt. Sollte es je ein Modul geben, das mit Personaldaten arbeitet, bekommt es eine eigene, abschaltbare Komponente mit eigener Zweckbestimmung und eigenem Datenbestand. So zieht es nicht das ganze Produkt in die Hochrisikoklasse.
- Aufsicht und Protokoll sind von Anfang an eingebaut. Jeder Vorschlag wartet auf eine Freigabe, jede Anfrage wird protokolliert. Das kostet heute wenig und wäre später kaum nachzurüsten. Wie das aussieht, steht in Warum die KI vorschlägt und du entscheidest.
Was du jetzt prüfen kannst
- Welche KI-Werkzeuge in deinem Betrieb laufen, und welche Ordner sie lesen dürfen.
- Ob in diesen Ordnern Personaldaten liegen, auch versteckt in Unterordnern wie „Sonstiges“ oder „Alt“.
- Ob der Anbieter dir sagen kann, wofür sein System bestimmt ist, und ob er Personalthemen ausschließt.
Weißt du, ob in den Ordnern, die dein KI-Werkzeug liest, auch Beurteilungen liegen? Und wer in deinem Betrieb würde es merken, wenn jemand danach fragt?