Was das ist
Die KI-Verordnung stuft bestimmte Einsatzfelder als Hochrisiko ein. Anhang III nennt eigenständige Systeme, die über Menschen entscheiden: Bewerberauswahl, Beförderung und Kündigung, Leistungsüberwachung, Kreditwürdigkeit, Zugang zu Bildung und kritischer Infrastruktur. Anhang I erfasst KI als Sicherheitsbauteil in Produkten, die ohnehin einer Konformitätsbewertung unterliegen, etwa Maschinen und Medizinprodukte. Die Pflichten gelten nach dem Digital Omnibus ab 2. Dezember 2027 (Anhang III) und ab 2. August 2028 (Anhang I).
Was das für Sie heißt
- Als Betreiber, also Anwender, müssen Sie das System bestimmungsgemäß nutzen, eine kompetente Person mit Aufsicht betrauen, Eingabedaten kontrollieren, Protokolle mindestens sechs Monate aufbewahren und Mitarbeiter sowie Betroffene informieren, bevor das System über sie entscheidet.
- Der Anbieter trägt die Hauptlast: Risikomanagement, Datenqualität, Dokumentation, Konformitätsbewertung. Wer ein System unter eigenem Namen einsetzt oder wesentlich verändert, wird selbst zum Anbieter.
- Ein KI-Inventar zeigt, ob Sie betroffen sind. Die meisten Mittelständler sind es über die Personalabteilung: Bewerbermanagement-Software mit Ranking-Funktion.
Der typische Fehler
Die HR-Software bekommt ein Update mit „KI-gestützter Vorauswahl“. Niemand liest die Funktionsbeschreibung, das Tool sortiert Bewerbungen nach einem Score. Das ist ein Hochrisiko-System im Einsatz, ohne Aufsicht, ohne Information der Bewerber, ohne Protokoll. Neben der KI-Verordnung greifen sofort DSGVO und Antidiskriminierungsrecht. Die Vorauswahl abschalten oder eine Person dazwischenschalten kostet nichts; die Klage eines abgelehnten Bewerbers schon.
Rechtsgrundlage
Verordnung (EU) 2024/1689 (KI-VO), Art. 6 mit Anhang I und III (Einstufung); Art. 26 (Betreiberpflichten); Art. 16 ff. (Anbieterpflichten); Art. 25 (Rollenwechsel); Geltungstermine nach Digital-Omnibus-Verschiebung