KI-Systeme am Arbeitsplatz: Was der AI Act regelt

Das Wichtigste in Kürze

• Anhang III Nr. 4 VO (EU) 2024/1689 (AI Act) stuft KI-Systeme im Bereich Beschäftigung und Personalmanagement als Hochrisiko ein -- von Recruiting über Leistungsbewertung bis zur Arbeitsüberwachung.
• Arbeitgeber, die solche Systeme einsetzen, sind Betreiber im Sinne des AI Act und müssen umfangreiche Pflichten nach Art. 26 erfüllen: Risikomanagement, menschliche Aufsicht, Transparenz und Dokumentation.
• Neben dem AI Act gelten das AGG (Diskriminierungsschutz), die DSGVO/BDSG (Datenschutz) und das BetrVG (Mitbestimmung) -- alle gleichzeitig und unabhängig voneinander.
• Der Betriebsrat hat bei KI am Arbeitsplatz ein zwingendes Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG.
• Bei Verstößen drohen Bußgelder bis 15 Mio. Euro (AI Act), 20 Mio. Euro (DSGVO), Unterlassungsansprüche des Betriebsrats und Schadensersatzpflichten nach dem AGG.

KI-Systeme durchdringen den Arbeitsplatz in rasantem Tempo. Bewerbermanagement, Leistungsmonitoring, Schichtplanung, Kündigungsprognosen -- überall dort, wo Arbeitgeber Entscheidungen über Menschen treffen, kommen zunehmend algorithmische Systeme zum Einsatz. Der europäische Gesetzgeber hat diese Entwicklung als besonders risikobehaftet erkannt und mit dem AI Act (VO (EU) 2024/1689) einen verbindlichen Rechtsrahmen geschaffen.

Dieser Artikel analysiert im Detail, was Anhang III Nr. 4 des AI Act für KI-Systeme am Arbeitsplatz regelt: Welche Anwendungen sind betroffen, welche Pflichten treffen Arbeitgeber als Betreiber, wie verhält sich der AI Act zu bestehenden deutschen Gesetzen wie dem BetrVG und dem AGG -- und welche konkreten Schritte Unternehmen jetzt einleiten sollten, um bis zum Geltungsbeginn der Hochrisiko-Pflichten am 2. August 2026 compliant zu sein.

Anhang III Nr. 4: Der Anwendungsbereich im Detail

Was Anhang III Nr. 4 erfasst

Anhang III Nr. 4 VO (EU) 2024/1689 trägt die Überschrift „Beschäftigung, Personalmanagement und Zugang zu selbständiger Erwerbstätigkeit". Er definiert zwei große Kategorien von KI-Systemen, die als Hochrisiko gelten:

Lit. a -- Einstellung und Auswahl:

KI-Systeme, die bestimmungsgemäß eingesetzt werden für die Einstellung oder Auswahl natürlicher Personen, insbesondere für:

• Die Schaltung gezielter Stellenanzeigen (z.B. algorithmisch gesteuertes Job-Targeting, das bestimmte demografische Gruppen bevorzugt oder ausschließt)
• Das Sichten oder Filtern von Bewerbungen (z.B. CV-Parsing und automatisiertes Ranking)
• Die Bewertung von Kandidaten in Vorstellungsgesprächen oder Prüfungen (z.B. KI-gestützte Video-Interview-Analyse)

Lit. b -- Entscheidungen im laufenden Beschäftigungsverhältnis:

KI-Systeme, die bestimmungsgemäß eingesetzt werden für Entscheidungen, die die Bedingungen von Arbeitsverhältnissen betreffen, insbesondere:

• Beförderung und Kündigung auf Grundlage algorithmischer Bewertungen
• Aufgabenzuweisung auf Basis individueller Verhaltens- oder Persönlichkeitsmerkmale
• Überwachung oder Bewertung der Leistung und des Verhaltens von Beschäftigten

Die Systematik: Art. 6 Abs. 2 AI Act

Die Einstufung als Hochrisiko erfolgt über Art. 6 Abs. 2 AI Act: Ein KI-System ist Hochrisiko, wenn es in einem der in Anhang III genannten Bereiche eingesetzt wird. Entscheidend ist dabei der bestimmungsgemäße Verwendungszweck -- also der Zweck, für den das System vom Anbieter vorgesehen und in der technischen Dokumentation beschrieben ist.

Das hat eine wichtige Konsequenz: Auch wenn ein Anbieter sein System nicht primär für den HR-Bereich entwickelt hat, kann es als Hochrisiko gelten, sobald der Betreiber es in einem von Anhang III Nr. 4 erfassten Kontext einsetzt. Ein allgemeines Textanalyse-Tool wird zum Hochrisiko-System, wenn es zur Bewertung von Bewerbungsunterlagen verwendet wird.

Wann die Ausnahme nach Art. 6 Abs. 3 greift

Art. 6 Abs. 3 AI Act sieht eine Ausnahme vor: Ein in Anhang III genanntes KI-System gilt nicht als Hochrisiko, wenn es:

• Lediglich eine eng begrenzte Verfahrensaufgabe erfüllt (z.B. reine Formatkonvertierung von Lebensläufen)
• Das Ergebnis einer zuvor getroffenen menschlichen Entscheidung verbessert, ohne sie zu ersetzen
• Ein rein vorbereitendes Ergebnis liefert, das keinen direkten Einfluss auf die Entscheidung hat
• Lediglich Muster erkennt, ohne menschliche Bewertungen zu ersetzen

Praxishinweis: Diese Ausnahme ist eng auszulegen. Der Anbieter muss vor dem Inverkehrbringen dokumentieren und bei der zuständigen Behörde registrieren, warum kein erhebliches Risiko besteht. In der HR-Praxis wird die Ausnahme selten greifen, da die meisten KI-Systeme im Beschäftigungskontext darauf ausgelegt sind, Personalentscheidungen direkt zu beeinflussen.

Welche KI-Systeme am Arbeitsplatz sind betroffen?

Die folgende Übersicht zeigt typische Arbeitsplatz-KI-Systeme und ihre Einordnung nach dem AI Act:

Besonders relevant: Workplace-Analytics-Tools. Viele Unternehmen setzen inzwischen KI-gestützte Tools ein, die Produktivitätsdaten aggregieren -- E-Mail-Volumina, Meeting-Zeiten, Tastenanschläge oder Mausbewegungen. Solche Systeme fallen unter Anhang III Nr. 4 lit. b, wenn sie zur Bewertung der Leistung oder des Verhaltens von Beschäftigten herangezogen werden. Dass der Anbieter das Tool als „Produktivitätshilfe" vermarktet, ändert an der rechtlichen Einstufung nichts.

Pflichten des Arbeitgebers als Betreiber

Die Betreiberpflichten nach Art. 26 AI Act

Arbeitgeber, die Hochrisiko-KI-Systeme am Arbeitsplatz einsetzen, sind Betreiber (englisch: deployer) im Sinne von Art. 3 Nr. 4 AI Act. Sie treffen eigenständige Pflichten nach Art. 26 VO (EU) 2024/1689:

1. Einsatz gemäß Gebrauchsanweisung (Art. 26 Abs. 1)

Der Betreiber muss das KI-System gemäß der beigefügten Gebrauchsanweisung einsetzen. Das klingt trivial, hat aber weitreichende Konsequenzen: Verwendet ein Arbeitgeber ein System außerhalb des vom Anbieter vorgesehenen Verwendungszwecks, wird er selbst zum Anbieter mit sämtlichen Anbieterpflichten (Art. 25 AI Act).

2. Menschliche Aufsicht (Art. 26 Abs. 2)

Der Betreiber muss sicherstellen, dass natürliche Personen, die mit der menschlichen Aufsicht betraut sind, über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen. Diese Personen müssen in der Lage sein, die Empfehlungen des KI-Systems kritisch zu bewerten und bei Bedarf zu übersteuern.

3. Eingabedatenrelevanz (Art. 26 Abs. 4)

Soweit der Betreiber die Eingabedaten kontrolliert, muss er sicherstellen, dass diese relevant und hinreichend repräsentativ für den bestimmungsgemäßen Zweck sind.

4. Überwachungspflicht (Art. 26 Abs. 5)

Der Betreiber muss die Funktionsweise des KI-Systems überwachen und bei Anzeichen für Risiken den Anbieter und die zuständige Marktaufsichtsbehörde informieren. Bei einem schwerwiegenden Vorfall besteht eine Meldepflicht.

5. Grundrechte-Folgenabschätzung (Art. 27)

Für Hochrisiko-KI-Systeme im Beschäftigungsbereich muss der Betreiber vor der erstmaligen Nutzung eine Grundrechte-Folgenabschätzung durchführen. Diese muss mindestens enthalten:

• Eine Beschreibung der Prozesse, für die das System eingesetzt wird
• Den Zeitraum und die Häufigkeit der beabsichtigten Nutzung
• Die Kategorien betroffener Personen und Gruppen
• Die spezifischen Risiken für die Grundrechte dieser Gruppen
• Die Maßnahmen zur Risikominderung

6. Transparenz gegenüber Beschäftigten (Art. 26 Abs. 7)

Bevor ein Hochrisiko-KI-System am Arbeitsplatz eingesetzt wird, müssen die Beschäftigten und ihre Vertreter (also insbesondere der Betriebsrat) darüber informiert werden, dass sie dem System ausgesetzt sein werden.

7. Aufbewahrungspflicht (Art. 26 Abs. 6)

Automatisch erzeugte Protokolle (Logs) des KI-Systems muss der Betreiber mindestens sechs Monate aufbewahren, sofern nicht andere Rechtsvorschriften (z.B. DSGVO) einen kürzeren Zeitraum vorsehen.

KI-Kompetenz nach Art. 4 AI Act

Art. 4 VO (EU) 2024/1689 verpflichtet Betreiber, sicherzustellen, dass ihr Personal, das KI-Systeme bedient, über eine ausreichende KI-Kompetenz verfügt. Diese Pflicht gilt bereits seit dem 2. Februar 2025 und betrifft alle KI-Systeme -- nicht nur Hochrisiko-Anwendungen.

Für den Arbeitsplatzkontext bedeutet das: HR-Mitarbeiter, die KI-Tools in der Personalarbeit nutzen, müssen geschult sein -- nicht nur in der Bedienung, sondern auch im Verständnis der Risiken, Grenzen und rechtlichen Rahmenbedingungen. Führungskräfte, die auf Grundlage von KI-Empfehlungen Personalentscheidungen treffen, benötigen ebenfalls eine entsprechende Qualifikation.

Zusammenspiel mit deutschem Recht

BetrVG: Mitbestimmung bei KI am Arbeitsplatz

Das Betriebsverfassungsgesetz ist das zentrale Instrument des deutschen Arbeitsrechts, wenn es um KI am Arbeitsplatz geht. Die relevanten Mitbestimmungstatbestände sind:

§ 87 Abs. 1 Nr. 6 BetrVG -- das wichtigste Mitbestimmungsrecht: Der Betriebsrat hat ein zwingendes Mitbestimmungsrecht bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Das Bundesarbeitsgericht legt den Überwachungsbegriff weit aus: Es genügt, dass die technische Einrichtung objektiv geeignet ist, Leistung oder Verhalten zu überwachen -- eine subjektive Überwachungsabsicht ist nicht erforderlich (BAG, 1 ABR 7/15).

In der Praxis ist damit fast jedes KI-System, das am Arbeitsplatz personenbezogene Daten verarbeitet, mitbestimmungspflichtig. Das gilt für Performance-Tracking genauso wie für algorithmische Schichtplanung oder Workplace-Analytics.

Weitere relevante Tatbestände:

• § 87 Abs. 1 Nr. 1 BetrVG: Fragen der Ordnung des Betriebs -- relevant bei KI-gesteuerten Verhaltensregeln
• § 87 Abs. 1 Nr. 2 BetrVG: Arbeitszeit -- relevant bei algorithmischer Schichtplanung
• § 87 Abs. 1 Nr. 10 BetrVG: Betriebliche Lohngestaltung -- relevant bei KI-gestützter Vergütungsoptimierung
• § 94 BetrVG: Personalfragebogen -- relevant bei KI-gestützten Bewertungssystemen
• § 95 BetrVG: Auswahlrichtlinien -- relevant bei algorithmischem Recruiting

§ 80 Abs. 3 BetrVG gibt dem Betriebsrat das Recht, sachkundige Dritte hinzuzuziehen, wenn die Beurteilung eines KI-Systems dessen eigene Kompetenzen übersteigt. Angesichts der Komplexität moderner KI-Systeme wird dieses Recht in der Praxis regelmäßig relevant.

Rechtsfolge bei fehlender Mitbestimmung: Setzt der Arbeitgeber ein KI-System ohne Zustimmung des Betriebsrats ein, kann der Betriebsrat die Unterlassung verlangen (§ 23 Abs. 3 BetrVG), eine einstweilige Verfügung beantragen und die Einigungsstelle anrufen. Personalentscheidungen, die auf einem mitbestimmungswidrig eingesetzten System beruhen, können unwirksam sein.

AGG: Diskriminierungsschutz bei algorithmischen Entscheidungen

Das Allgemeine Gleichbehandlungsgesetz verbietet Benachteiligungen im Beschäftigungsverhältnis aufgrund von Rasse, ethnischer Herkunft, Geschlecht, Religion, Behinderung, Alter oder sexueller Identität (§ 1 AGG). Dieses Verbot gilt uneingeschränkt auch für KI-gestützte Entscheidungen.

Besonders relevant für KI am Arbeitsplatz:

• § 7 Abs. 1 AGG: Der Arbeitgeber ist verantwortlich -- auch wenn ein Algorithmus die Entscheidung vorbereitet oder trifft. Ein Verweis auf „das hat die KI entschieden" entlastet nicht.
• § 22 AGG (Beweislastumkehr): Bestehen Indizien für eine Diskriminierung, muss der Arbeitgeber beweisen, dass kein Verstoß vorliegt. Bei intransparenten KI-Systemen ist diese Beweisführung extrem schwierig.
• § 15 AGG: Betroffene können Schadensersatz und Entschädigung verlangen. Bei systematischer algorithmischer Diskriminierung kann die Zahl der Anspruchsteller erheblich sein.

Das Zusammenspiel von AGG und AI Act ist komplementär: Während der AI Act präventive Pflichten auferlegt (Risikomanagement, Datenqualität, Bias-Prüfung), stellt das AGG die zivilrechtliche Haftung sicher. Ein Arbeitgeber, der die Vorgaben des AI Act nicht einhält, wird es im AGG-Verfahren schwer haben, die Beweislast zu erfüllen.

DSGVO und BDSG: Datenschutz bei Arbeitsplatz-KI

Die datenschutzrechtlichen Anforderungen an KI am Arbeitsplatz ergeben sich aus der DSGVO, dem BDSG und deren Zusammenspiel mit dem AI Act:

• § 26 BDSG: Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten. Die Verarbeitung muss für die Durchführung des Beschäftigungsverhältnisses erforderlich sein. Umfassende Verhaltens- und Leistungsprofile gehen in aller Regel über das Erforderliche hinaus.
• Art. 22 DSGVO: Verbot automatisierter Einzelentscheidungen. Eine rein KI-basierte Kündigung oder Beförderung ohne substanzielle menschliche Prüfung ist unzulässig.
• Art. 35 DSGVO: Datenschutz-Folgenabschätzung ist für praktisch jede KI-Anwendung am Arbeitsplatz erforderlich.
• Art. 13/14 DSGVO: Beschäftigte müssen über den KI-Einsatz informiert werden -- einschließlich aussagekräftiger Informationen über die involvierte Logik.

Sanktionsrisiken: Was bei Verstößen droht

Die Nichtbeachtung der Regulierung für KI am Arbeitsplatz ist kein Kavaliersdelikt. Die Sanktionsrisiken sind erheblich -- und kumulieren sich:

Praxisrisiko: Neben finanziellen Sanktionen drohen operative Konsequenzen. Wird ein KI-System wegen fehlender Mitbestimmung per einstweiliger Verfügung abgeschaltet, fallen etablierte HR-Prozesse über Nacht weg. Personalentscheidungen, die auf dem System beruhten, stehen auf dem Prüfstand.

Praktische Compliance-Schritte für Arbeitgeber

Schritt 1: KI-Inventar erstellen

Erfassen Sie systematisch alle KI-Systeme, die am Arbeitsplatz eingesetzt werden -- auch solche, die nicht explizit als „KI" vermarktet werden. Viele HR-Software-Lösungen enthalten KI-Komponenten (z.B. algorithmische Empfehlungen, automatisierte Scorings), ohne dass dies auf den ersten Blick erkennbar ist.

Dokumentieren Sie für jedes System:

• Anbieter und Produktbezeichnung
• Verwendungszweck und betroffene Beschäftigtengruppen
• Verarbeitete Daten und Datenquellen
• Art der Entscheidungsunterstützung (Empfehlung vs. automatisierte Entscheidung)

Schritt 2: Risikoklassifizierung vornehmen

Ordnen Sie jedes identifizierte System in die Risikoklassen des AI Act ein. Prüfen Sie insbesondere, ob es unter Anhang III Nr. 4 fällt. Dokumentieren Sie die Einordnung nachvollziehbar -- auch wenn Sie zum Ergebnis kommen, dass kein Hochrisiko vorliegt.

Schritt 3: Betriebsrat frühzeitig einbinden

Informieren Sie den Betriebsrat vor der Einführung oder wesentlichen Änderung eines KI-Systems. Erarbeiten Sie gemeinsam eine Betriebsvereinbarung, die den Einsatzrahmen definiert: Welche Systeme, welche Daten, welche Entscheidungsbefugnisse, welche Kontrollmechanismen, welche Abschaltkriterien.

Schritt 4: Folgenabschätzungen durchführen

Erstellen Sie für jedes Hochrisiko-System eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) und eine Grundrechte-Folgenabschätzung (Art. 27 AI Act). Beziehen Sie den Datenschutzbeauftragten, den Betriebsrat und bei Bedarf externe Sachverständige ein.

Schritt 5: Menschliche Aufsicht organisieren

Definieren Sie für jedes KI-System, wer die menschliche Aufsicht ausüben soll. Stellen Sie sicher, dass diese Personen:

• Das System und seine Grenzen verstehen
• Die Befugnis haben, algorithmische Empfehlungen zu übersteuern
• Ausreichend Zeit für eine substanzielle Prüfung haben (kein bloßes Abnicken)
• Regelmäßig geschult werden

Schritt 6: Transparenz sicherstellen

Informieren Sie Beschäftigte und Bewerber vor dem KI-Einsatz:

• Dass ein KI-System eingesetzt wird (Art. 50 AI Act, Art. 13/14 DSGVO)
• Welche Daten verarbeitet werden
• Welche Logik das System verwendet
• Welche Rechte die Betroffenen haben (Auskunft, Widerspruch, menschliche Überprüfung)

Schritt 7: Bias-Monitoring einrichten

Führen Sie regelmäßige Diskriminierungsprüfungen durch. Analysieren Sie die Ergebnisse des KI-Systems aufgeschlüsselt nach den Merkmalen des § 1 AGG. Prüfen Sie, ob bestimmte Gruppen systematisch anders behandelt werden. Dokumentieren Sie die Ergebnisse und leiten Sie bei Auffälligkeiten sofort Korrekturmaßnahmen ein.

Schritt 8: KI-Kompetenz aufbauen

Schulen Sie alle Mitarbeiter, die mit KI-Systemen arbeiten, gemäß Art. 4 AI Act. Die Schulung sollte umfassen:

• Grundlagen der eingesetzten KI-Technologie
• Grenzen und typische Fehlerquellen
• Rechtliche Rahmenbedingungen (AI Act, AGG, DSGVO, BetrVG)
• Umgang mit KI-Empfehlungen in der Praxis

Häufig gestellte Fragen (FAQ)

Welche KI-Systeme am Arbeitsplatz sind Hochrisiko?

KI-Systeme, die zur Einstellung, Auswahl, Beförderung, Kündigung, Aufgabenzuweisung oder Leistungsbewertung von Beschäftigten eingesetzt werden, sind nach Anhang III Nr. 4 AI Act als Hochrisiko eingestuft. Das umfasst CV-Screening, KI-gestützte Interviews, Performance-Tracking, Fluktuationsanalysen und Workplace-Analytics-Tools. Entscheidend ist der tatsächliche Verwendungszweck, nicht die Vermarktung durch den Anbieter.

Ab wann gelten die AI-Act-Pflichten für Arbeitsplatz-KI?

Die Hochrisiko-Pflichten gelten ab dem 2. August 2026 (Art. 113 Abs. 3 AI Act). Die KI-Kompetenz-Pflicht nach Art. 4 gilt bereits seit dem 2. Februar 2025. Das Verbot der Emotionserkennung am Arbeitsplatz gilt seit dem 2. Februar 2025. Die Pflichten nach AGG, DSGVO, BDSG und BetrVG gelten bereits jetzt und unabhängig vom AI Act.

Muss ich den Betriebsrat bei jeder KI-Einführung beteiligen?

In der Praxis: fast immer. Das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG greift, sobald ein System objektiv geeignet ist, Leistung oder Verhalten zu überwachen. Bei KI-Systemen, die personenbezogene Daten von Beschäftigten verarbeiten, ist dieses Kriterium nahezu ausnahmslos erfüllt. Eine Einführung ohne Betriebsratsbeteiligung birgt das Risiko der Unterlassung und der Unwirksamkeit darauf basierender Personalentscheidungen.

Was passiert, wenn ich KI am Arbeitsplatz ohne Compliance einsetze?

Es drohen Bußgelder nach dem AI Act (bis 15 Mio. EUR), DSGVO-Sanktionen (bis 20 Mio. EUR), Schadensersatzansprüche nach dem AGG, Unterlassungsansprüche des Betriebsrats und -- im schlimmsten Fall -- die Unwirksamkeit von Personalentscheidungen, die auf dem KI-System beruhen. Bei verbotenen KI-Praktiken (z.B. Emotionserkennung) drohen bis zu 35 Mio. EUR oder 7 % des Jahresumsatzes.

Kann ich mich auf den KI-Anbieter verlassen?

Nur bedingt. Der Anbieter hat zwar eigene Pflichten nach Art. 16 AI Act (Konformitätsbewertung, CE-Kennzeichnung, technische Dokumentation). Aber der Arbeitgeber als Betreiber hat eigenständige Pflichten nach Art. 26 AI Act -- insbesondere Risikomanagement im konkreten Einsatzkontext, menschliche Aufsicht, Transparenz und Monitoring. Eine Anbieter-Due-Diligence ist notwendig, ersetzt aber nicht die eigene Compliance-Arbeit.

Fazit: KI am Arbeitsplatz erfordert systematische Compliance

Der AI Act schafft mit Anhang III Nr. 4 einen klaren Rechtsrahmen für KI-Systeme am Arbeitsplatz. Die Botschaft ist eindeutig: KI im Beschäftigungskontext ist Hochrisiko -- und Arbeitgeber müssen als Betreiber umfangreiche Pflichten erfüllen. Zusammen mit den bestehenden Vorgaben aus BetrVG, AGG, DSGVO und BDSG entsteht ein dichtes Regelwerk, das Unternehmen systematisch adressieren müssen.

Die gute Nachricht: Die verbleibende Zeit bis zum Geltungsbeginn der Hochrisiko-Pflichten am 2. August 2026 reicht aus, um ein solides Compliance-Fundament aufzubauen. Der Schlüssel liegt in einem strukturierten Vorgehen: KI-Systeme inventarisieren, klassifizieren, Folgenabschätzungen durchführen, den Betriebsrat einbinden, menschliche Aufsicht organisieren und ein laufendes Monitoring einrichten.

Wer jetzt handelt, kann KI am Arbeitsplatz nicht nur rechtssicher, sondern auch verantwortungsvoll einsetzen -- zum Vorteil des Unternehmens und seiner Beschäftigten.

---

Sie setzen KI am Arbeitsplatz ein oder planen den Einsatz? KI Comply bietet praxisnahe Schulungen zur KI-Kompetenz nach Art. 4 AI Act -- speziell für HR-Verantwortliche, Führungskräfte und Betriebsräte. Damit Ihr Team KI nicht nur effizient, sondern auch compliant einsetzt. Jetzt kostenlos testen