AI Act EU: Neue Pflichten beim KI-Einsatz im HR

Welche Pflichten haben Schweizer Unternehmen beim Einsatz von KI im HR gemäss AI Act EU?

Der EU AI Act und seine Anwendbarkeit für Schweizer Unternehmen

Die KI-Verordnung der EU («EU AI Act») bringt erstmals ein verbindliches Regelwerk für den Einsatz von KI und verfolgt dabei einen risikobasierten Ansatz. So teilt der AI Act EU Systeme, die KI integrieren, in verschiedene Risikoklassen ein. Je nach potenzieller Auswirkung des KI-Systems auf Sicherheit, Grundrechte und Gesellschaft gilt es, unterschiedliche Pflichten und Anforderungen einzuhalten.

Mit dem Inkrafttreten des EU AI Acts am 1. August 2024 wurde der weltweit erste umfassende Rechtsrahmen für KI geschaffen. Infolge des sog. AI Omnibus sind die meisten Normen des EU AI Acts, statt wie ursprünglich geplant ab dem 2. August 2026, nun wohl erst ab dem 2. Dezember 2027 anwendbar.

Viele Schweizer Unternehmen fragen sich aktuell, ob sie der EU AI Act überhaupt betrifft. Der EU AI Act gilt nicht nur für Unternehmen innerhalb der EU. Vielmehr werden auch Akteure ausserhalb der EU, wie beispielsweise Schweizer Unternehmen, erfasst, sofern sie ein KI-System in der EU in Verkehr bringen, bereitstellen oder betreiben, oder wenn Menschen in der EU von der Verwendung eines solchen KI-Systems betroffen sind. Das sogenannte Auswirkungsprinzip sorgt dafür, dass die Vorschriften extraterritoriale Wirkung entfalten, ähnlich wie bei der DSGVO. 

Konkret bedeutet dies für Schweizer Unternehmen, dass der EU AI Act insbesondere anwendbar ist, wenn das Unternehmen Anbieter eines KI-Systems ist, welches in der EU in Verkehr gebracht oder in Betrieb genommen wird, oder wenn es sogenannter Betreiber eines KI-Systems ist, dessen Output in der EU verwendet wird (zu den Begriffen siehe sogleich).

Auch wenn der AI Act EU für ein Schweizer Unternehmen nicht unmittelbar gilt, kann er indirekt wirken, etwa wenn Vertragspartner in der EU die Einhaltung des AI Act vertraglich einfordern. Wichtig zu wissen ist zudem, welche Rolle das eigene Unternehmen nach dem EU AI Act einnimmt. Als Anbieter gilt, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen oder Marke erstmalig auf dem EU-Markt bereitstellt. Als Betreiber gilt, wer ein KI-System in eigener Verantwortung verwendet. Die Pflichten des EU AI Act sind eng mit dieser Rolle verknüpft. Im HR-Bereich wäre ein typisches Beispiel ein Unter nehmen, das ein bestehendes KI-gestütztes Recruiting-Tool eines Drittanbieters zur Rekrutierung von EU-Bürgern nutzt.

Auswirkung des EU AI Act auf das HR

KI wird in vielen Personalabteilungen eingesetzt. Die Beispiele für diesen Einsatz sind vielfältig. KI-Systeme, die für die Einstellung oder Auswahl von Bewerbenden eingesetzt werden (z.B. um Bewerbungen zu sichten oder zu filtern, Bewerbende zu bewerten oder ihnen Absagen zusenden) oder solche, die für die Bewertung der Leistungen von Mitarbeitenden beispielsweise in Bezug auf eine Beförderung eingesetzt werden, gelten gemäss Anhang III des EU AI Act als sogenannte Hochrisiko-KI-Systeme. Damit liegt der Bereich des Recruitings, der Anstellung und des Personalmanagements im Hochrisikosegment.

Das bedeutet für Unternehmen beim Einsatz von KI-Tools im HR, dass sie es in den meisten Fällen mit den strengsten regulatorischen Anforderungen des EU AI Act zu tun haben.

Risiko als Massstab für Compliance-Anforderungen

Der EU AI Act unterscheidet vier Risikokategorien:

Verbotene KI-Systeme

KI-Systeme, die als klare Bedrohung für die Sicherheit, die Lebensgrundlagen und die Rechte der Menschen wahrgenommen werden, sind unter dem EU AI Act verboten. Im HR-Kontext besonders relevant sind folgende verbotene Praktiken:

• Soziales Scoring bzw. Bewertung
• Emotionserkennung, ein im HR-Kontext häufig diskutierter Anwendungsfall (z.B. Emotionserkennung in Bewerbungsgesprächen oder zur Mitarbeitendenüberwachung)

Kein grundsätzliches Verbot von Hochrisiko-KI-Systemen

Grundsätzlich ist der Einsatz von KI im HR nach dem EU AI Act nicht verboten, aber er muss regelkonform erfolgen. Zulässig bleibt etwa:

• KI als Unterstützung bei der Vorauswahl von Bewerbungen, solange die finale Entscheidung beim Menschen liegt und alle Anforderungen des EU AI Act erfüllt werden
• KI-gestützte Assistenzsysteme im HR, die Vorbereitungsarbeiten übernehmen, ohne direkt über Personen zu entscheiden
• KI-Tools zur Textgenerierung (z.B. Stelleninserate), sofern keine Personen daten bearbeitet werden und Transparenzpflichten eingehalten werden

Praxisbeispiel KI-System mit hohen Risiken: KI-gestützte Recruiting-Software

KI-gestützte Recruiting-Software, die eingehende Lebensläufe analysiert, bewertet und ggf. automatisch Absagen versendet, ist ein klassisches Beispiel für ein Hochrisiko-KI-System gemäss AI Act EU. Setzt ein Schweizer Unternehmen eine solche Software ein und richtet sich damit an Bewerberinnen und Bewerber in der EU, gelten die umfassenden Hochrisikoanforderungen des EU AI Act, und zwar auch dann, wenn das Unternehmen ein bestehendes System unter eigenem Namen oder eigener Marke betreibt (z.B. als Whitelabel-Lösung). In diesem Fall gilt es gemäss EU AI Act als Anbieter im rechtlichen Sinn und unterliegt den entsprechenden Compliance-Pflichten.

Anforderungen an Hochrisiko-KI-Systeme

Insbesondere für KI-Systeme mit hohen Risiken definiert der EU AI Act folgende Anforderungen:

• Hohe Datenqualität (Trainings-, Validierungs- und Testdaten müssen relevant, repräsentativ und fehlerarm sein)
• Dokumentations- und Aufzeichnungspflichten (technische Unterlagen und automatisierte Protokolle)
• Transparenz gegenüber Nutzern (sachgerechte Bedienung und Information über wesentliche Systemeigenschaften)
• Menschliche Aufsicht (Mechanismen zur Erkennung und Verhinderung von Fehlfunktionen) sowie
• Anforderungen an Genauigkeit, Robustheit und Cybersicherheit

Darüber hinaus verlangt der EU AI Act für Hochrisikosysteme unter anderem die Einführung eines Qualitätsmanagementsystems, eine Konformitätsbewertung, eine Registrierung in einer EU-weiten Datenbank und ggf. die Benennung eines EU-Vertreters.

Bei Verstössen drohen erhebliche Bussen von bis zu EUR 35 Mio. bzw. 7% des weltweiten Jahresumsatzes für Verstösse gegen verbotene Anwendungen oder die Nichteinhaltung der Anforderungen an Daten sowie bis zu EUR 15 Mio. bzw. 3% des weltweiten Jahresumsatzes bei Verstössen gegen andere Anforderungen oder Verpflichtungen.

KI-Kompetenzen als Pflicht

Eine in der Praxis oft übersehene Anforderung des EU AI Act betrifft die sogenannte KI-Kompetenz. Anbieter und Betreiber von KI-Systemen sind verpflichtet, sicherzustellen, dass ihr Personal und alle anderen Personen, die in ihrem Auftrag mit dem Betrieb und der Nutzung von KI-Systemen befasst sind, über ein ausreichendes Mass an KI-Kompetenz verfügen. Wer KI-gestützte Recruiting- oder Performance-Management-Tools einsetzt, muss sicherstellen, dass die damit arbeitenden Mitarbeitenden die Funktionsweise, die Grenzen und die Risiken dieser Systeme verstehen. Sie müssen in der Lage sein, die Ausgaben des KI-Systems kritisch zu beurteilen, Fehlfunktionen zu erkennen und die menschliche Aufsicht wirksam wahrzunehmen.

Checkliste: Wie Schweizer Unternehmen den Anwendungsbereich prüfen können

Die folgende Checkliste unterstützt HR Verantwortliche und Entscheidungsträger bei der strukturierten Prüfung, ob und wie der EU AI Act auf ihre KI-Tools anwendbar ist.

Schritt 1: KI-Inventar erstellen

Erfassen Sie die Verwendung oder Entwicklung von KI-Lösungen im Unternehmen. Typische HR-Anwendungen sind: Recruiting-Plattformen mit automatisierter Bewerberauswahl, Performance-Management-Tools, HR-Chatbots, Tools zur Analyse von Mitarbeitendenzufriedenheit.

Schritt 2: Anwendbarkeit des EU AI Act prüfen

Analysieren Sie, ob Sie in den sachlichen, persönlichen und örtlichen Anwendungsbereich des EU AI Act fallen. Stellen Sie sich dabei beispielsweise folgende Fragen: Setzen wir ein KI-gestütztes Recruiting-Tool ein, um Mitarbeitende aus der EU zu rekrutieren? Werden die KI-Outputs in der EU genutzt? Nutzen EU-Kunden oder EU-Mitarbeitende das KI-System?

Schritt 3: Risikoklassifizierung vornehmen

Teilen Sie Ihre KI-Systeme in eine der Risikokategorien ein: verboten, Hochrisiko, begrenztes Risiko (Transparenzpflichten) und geringes Risiko. Im HR gilt: Systeme für Recruiting, Beurteilung und Personalmanagement sind in der Regel Hochrisikosysteme.

FAQ: AI Act EU

Gilt der AI Act EU auch für Schweizer Unternehmen?

Ja, der AI Act EU gilt extraterritorial. Er erfasst Schweizer Unternehmen, wenn sie KI-Systeme in der EU in Verkehr bringen, betreiben oder wenn Personen in der EU von der Nutzung betroffen sind.

Welche KI-Anwendungen im HR gelten als Hochrisiko?

Systeme zur Einstellung, Auswahl, Bewertung von Bewerbenden sowie zur Leistungsbeurteilung oder Beförderung von Mitarbeitenden werden gemäss Anhang III als Hochrisiko-KI-Systeme eingestuft.

Was sind die Konsequenzen bei Verstössen gegen den AI Act?

Bei Verstössen gegen verbotene Anwendungen drohen Bussen von bis zu 35 Mio. EUR oder 7 % des weltweiten Umsatzes. Bei Verstössen gegen andere Anforderungen sind bis zu 15 Mio. EUR oder 3 % des weltweiten Umsatzes möglich.

Wann müssen die Pflichten des AI Act EU umgesetzt sein?

Die meisten Pflichten sind ab dem 2. Dezember 2027 anwendbar, nachdem die Fristen durch den AI Omnibus verschoben wurden.

Müssen alle HR-Mitarbeitenden KI-Kenntnisse haben?

Ja, der AI Act verlangt, dass das Personal, das KI-Systeme bedient oder überwacht, über ausreichende KI-Kompetenzen verfügt, um Funktionsweise, Grenzen und Risiken zu verstehen und Fehlfunktionen zu erkennen.