Alltags-KI in der Personalarbeit: Die Falle der Hochrisiko-Einstufung

Tools wie Microsoft Copilot gelten als risikoarme KI – doch wer sie für personalrelevante Entscheidungen einsetzt, kann nach der KI-Verordnung unbemerkt zum Anbieter eines Hochrisiko-KI-Systems werden. Die Folge: weitreichende Compliance-Pflichten und Bußgelder von bis zu EUR 15 Millionen oder 3 % des weltweiten Jahresumsatzes. Mit der richtigen Governance lässt sich dieses Risiko jedoch beherrschen.

Praktisch und regulatorisch auf den ersten Blick unproblematisch

Tools wie Microsoft Copilot oder ChatGPT sind für viele Unternehmen und deren Mitarbeitende inzwischen fest im Arbeitsalltag verankert. Sie unterstützen bei der Zusammenfassung von Dokumenten, der Aufbereitung von Daten und der Erstellung von Texten. Die Einstiegshürde ist gering und der praktische Nutzen unmittelbar erkennbar.

Auch die KI-Verordnung (Verordnung (EU) 2024/1689 – Verordnung über künstliche Intelligenz) trägt dieser breiten Alltagstauglichkeit Rechnung: KI-Systeme wie Copilot werden in der Regel als risikoarme KI-Systeme mit allgemeinem Verwendungszweck (General Purpose AI, GPAI) eingestuft. Für diese Systeme gelten moderate regulatorische Anforderungen. Insbesondere sind sie von zahlreichen Vorgaben ausgenommen, denen besonders risikoreiche Anwendungen, sog. Hochrisiko-KI-Systeme, unterliegen.

Als Hochrisiko-KI-Systeme gelten unter anderem Anwendungen, die für bestimmte, in der KI-Verordnung definierte Zwecke vom Anbieter entwickelt werden. Hierzu zählen beispielsweise Systeme, die zur Vorbereitung oder Unterstützung von Personalentscheidungen – etwa Einstellungen, Beförderungen oder Kündigungen – eingesetzt werden. 

Warum sich ein zweiter Blick lohnt

Ab dem 2. Dezember 2027 werden wesentliche Regelungen der KI-Verordnung für bestimmte Hochrisiko-KI-Systeme, darunter auch KI-Systeme, die in der Personalarbeit eingesetzt werden, in Geltung treten. Mit diesem Zeitpunkt wird ein Aspekt praktisch relevant, der bisher wenig Aufmerksamkeit erhält: Nicht nur die vom Anbieter vorgegebene Zweckbestimmung eines Tools entscheidet darüber, ob ein KI-System ein Hochrisiko-KI-System ist und wer welche Pflichten zu erfüllen hat, sondern auch der Zweck, für den ein KI-System – unabhängig von seiner initialen Einstufung – im Unternehmen eingesetzt wird.

Hochrisiko-KI: Eine Frage der Anwendung

Artikel 25 Absatz 1 Buchstabe c der KI-Verordnung regelt in diesem Zusammenhang einen Wechsel der Verantwortlichkeit: Setzt ein Unternehmen ein KI-System für einen Zweck ein, der über die ursprüngliche Zweckbestimmung des Anbieters hinausgeht und in den Hochrisiko-Bereich der Verordnung fällt, gilt dieses KI-System als (neues) Hochrisiko-KI-System und das Unternehmen selbst als (neuer) Anbieter dieses (neuen) Hochrisiko-KI-Systems. Das bedeutet auch, dass dieses Unternehmen nun die weitreichenden Pflichten eines Anbieters einer Hochrisiko-KI erfüllen muss. Hierzu zählen insbesondere die Erstellung der technischen Dokumentation, die Durchführung von Konformitätsbewertungen, die Registrierung in einer EU-Datenbank sowie die Implementierung eines umfassenden Qualitätsmanagementsystems – Anforderungen, die ohne Mitwirkung des ursprünglichen Anbieters kaum erfüllt werden können. Werden diese Pflichten nicht erfüllt, können Bußgelder gegen das Unternehmen von bis zu EUR 15 Millionen oder bis zu 3 % des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden.

Ein Szenario, das näher liegt als man denkt

An einem naheliegenden Beispiel zeigt sich, wie schnell ein Unternehmen vom Betreiber eines ursprünglich als risikoarm eingestuften KI-Systems zum Anbieter eines Hochrisiko-KI-Systems werden kann:

Ein Recruiter erhält mehrere hundert Bewerbungen. Er kennt Copilot aus dem Tagesgeschäft, schätzt die Zeitersparnis und bittet das Tool, die Unterlagen zu sichten und eine Vorauswahl zu treffen. Aus seiner Perspektive eine praktische Lösung. Aus Sicht der KI-Verordnung hat das Unternehmen in diesem Moment ein allgemeines KI-Tool für eine Hochrisikoanwendung genutzt und damit möglicherweise den Verwendungszweck in einem rechtlich bedeutsamen Sinne verschoben und ein Hochrisiko-KI-System erschaffen.

Governance als wirksame Antwort

Die gute Nachricht: Das Risiko ist beherrschbar. Wer klare, dokumentierte interne Vorgaben erlässt, die die Verwendung von KI-Systemen für die von der KI-Verordnung definierten Hochrisiko-Zwecke verbieten, etwa für personalrelevante Entscheidungen, und diese Vorgaben durch gezielte Schulungen unterstützt, kann das Risiko einer Haftung deutlich reduzieren und steht rechtlich erheblich besser da, selbst wenn Mitarbeitende die Vorgaben im Einzelfall verletzen.

Der richtige Zeitpunkt ist jetzt

Bis zum 2. Dezember 2027 bleibt Zeit für eine strukturierte Vorbereitung: eine Bestandsaufnahme der eingesetzten KI-Systeme, die Prüfung der Einsatzzwecke und die Implementierung von KI-Nutzungsrichtlinien. Wer diesen Rahmen heute schafft, kann KI-Systeme auch unter Geltung der KI-Verordnung sicher einsetzen.

Sprechen Sie uns gerne an, wenn Sie den Einsatz von KI-Systemen in Ihrem Unternehmen rechtlich bewerten oder KI-Nutzungsrichtlinien einführen möchten.