Spätabends im Büro starrte ich auf das Glossar eines neuen Recruiting-Tools, während der Regen gegen das Fenster peitschte und die Begriffe 'KI' und 'Compliance' in meinem Kopf verschwammen. Es war Ende November, und eigentlich wollte ich nur die Auswahl für unser neues Bewerbermanagement-System abschließen. Aber da stand ich nun, als frisch ernannte AI-Act-Beauftragte unseres 78-köpfigen Betriebs, und fühlte mich wie eine Hochstaplerin mit einem gelben Textmarker.
Bevor ich dir erzähle, wie ich den Einkauf fast in den Wahnsinn getrieben habe, ein kleiner Hinweis: Auf diesem Blog findest du ab und zu Affiliate-Links zu Kursen oder Tools. Wenn du darüber etwas buchst, bekomme ich eine Provision — für dich kostet es keinen Cent mehr. Ich empfehle hier nur Dinge, die ich selbst für meine Arbeit nutze oder die meine Kollegen im Maschinenbau-Alltag wirklich weitergebracht haben. Ich bin übrigens keine Juristin, sondern HR-Managerin. Wenn es bei dir rechtlich brenzlig wird, frag bitte unbedingt eine Anwältin für IT-Recht.
Der Moment, in dem ich die Reißleine ziehen musste
Eigentlich war der Plan für unser neues Recruiting-Tool einfach: Der Einkauf wollte den Vertrag sofort unterschreiben, um den Rabatt für das Jahresende mitzunehmen. Doch als ich mir die Funktionsliste ansah — automatisches Ranking von Lebensläufen, Persönlichkeitsanalyse via Video-Interview — schrillten bei mir alle Alarmglocken. Ich wusste aus meinen ersten Lern-Sessions zum AI Act, dass HR-Software fast immer in die Hochrisiko-Kategorie fällt.
Ich erinnere mich noch genau an das raue Gefühl des gelben Textmarkers auf dem ausgedruckten Verordnungstext, während der Geruch von abgestandenem Automatenkaffee in der Luft hing. Ich hatte Anhang III (Annex III) der Verordnung markiert. Dort steht schwarz auf weiß: Systeme, die für die Rekrutierung oder Auswahl von natürlichen Personen verwendet werden, gelten als Hochrisiko-KI. Das bedeutet nicht, dass sie verboten sind, aber sie müssen verdammt strenge Regeln erfüllen.
In meinem Kopf hämmerte ein Gedanke: Wenn ich jetzt nicht nach der Risikoanalyse frage, unterschreibt der Chef das Ding und ich stehe später mit einem Bein in der Haftung, nur weil ich nicht mutig genug war, dumm zu fragen. Also habe ich den Prozess gestoppt. Der Einkaufsleiter war not amused, aber Sicherheit geht vor Schnelligkeit.
Verwirrung im IT-Büro: General Purpose vs. High-Risk
Vor etwa drei Wochen saß ich bei unserem ITler Tobias im Büro. Ich versuchte ihm den Unterschied zwischen 'General Purpose AI' und 'High-Risk AI' zu erklären, verhedderte mich aber so sehr in den Paragrafen, dass wir beide ratlos auf den Monitor starrten. Es ist aber auch kompliziert: Ein einfacher Chatbot für die Urlaubsanfrage ist meistens harmlos. Aber sobald die KI entscheidet, wer zum Vorstellungsgespräch eingeladen wird, befinden wir uns in einer der 4 Risikoklassen, die der AI Act definiert — und zwar in der zweithöchsten.
Tobias fragte nur: 'Muss der Anbieter uns jetzt garantieren, dass das Ding legal ist?' Und genau da liegt der Hund begraben. Der Anbieter muss eine EU-Konformitätserklärung ausstellen und das CE-Kennzeichen führen. Wenn er das nicht kann oder will, sollten wir als KMU die Finger davon lassen. Wir haben nicht die Ressourcen, um die Compliance-Prüfung für den Hersteller zu übernehmen.
Wir haben in dieser Phase gemerkt, dass wir ein gemeinsames Verständnis brauchen. Tobias und ich haben uns schließlich zusammengesetzt und ein paar Grundlagenmodule aus dem KI-Führerschein gemacht. Das hat geholfen, zumindest dieselbe Sprache zu sprechen, wenn wir über Trainingsdaten und Bias-Kontrolle reden. Schau dir das EU AI Act Glossar an, falls du auch öfter mal Begriffe nachschlagen musst.
Wenn der Vertriebler plötzlich nervös wird
Kurz vor Ostern hatte ich dann das Telefonat mit dem Vertriebler des Software-Anbieters. Ich hatte mir fünf Fragen notiert. Als ich ihn nach der technischen Dokumentation gemäß Artikel 11 fragte, wurde er am anderen Ende der Leitung sichtlich nervös. Er stammelte etwas von 'Datenschutz ist bei uns top', aber der AI Act geht weit über die DSGVO hinaus.
Ich wollte wissen: Wie wird die menschliche Aufsicht sichergestellt? Gibt es ein Risikomanagementsystem? Wie hoch ist die Genauigkeit des Modells? Das sind keine Schikanen, sondern Pflichten für Hochrisiko-Systeme. Wenn ein Anbieter hier nur ausweichend antwortet, ist das ein riesiges Warnsignal. Ein seriöser Anbieter von HR-KI sollte heute schon wissen, was Kennzeichnungspflichten für KI-Inhalte bedeuten und wie er die Anforderungen des AI Acts erfüllt.
Meine Checkliste für den Mittelstand
Nachdem ich gemerkt habe, dass juristisches Kauderwelsch uns im Alltag nicht weiterbringt, habe ich mir eine eigene Checkliste gebaut. Sie ist für uns in Düsseldorf beim Maschinenbau-Zulieferer jetzt der Standard, wenn jemand neue Software will. Hier sind die Kernpunkte, die ich abfrage:
- Ist das System eine Hochrisiko-KI gemäß Anhang III (z.B. Recruiting, Leistungsbewertung)?
- Kann der Anbieter eine EU-Konformitätserklärung vorlegen?
- Gibt es eine verständliche Gebrauchsanweisung für die menschliche Aufsicht?
- Wie werden Diskriminierungsrisiken (Bias) in den Trainingsdaten minimiert?
- Ist das CE-Kennzeichen auf dem Produkt oder in der Dokumentation vorhanden?
Besonders die Frage nach der menschlichen Aufsicht ist kritisch. Unsere Fertigungsleiterin Frau Krüger fragte mich neulich: 'Muss ich jetzt jede Entscheidung der KI händisch prüfen?' Nein, aber man muss verstehen, wie die KI zu einem Ergebnis kommt, um im Zweifel eingreifen zu können. Das ist ein wichtiger Teil der Transparenzregeln im Büro.
Das Problem der kleinen Teams
Was mir in den letzten Monaten klar geworden ist: Die Standard-Compliance-Fragen überfordern kleine IT-Teams komplett. Während Großkonzerne ganze Abteilungen für den AI Act abstellen, hängen Tobias und ich hier oft alleine an den Texten. Der manuelle Prüfaufwand sprengt eigentlich unsere Personaldecke. Wenn wir für jedes kleine Tool wochenlang prüfen müssen, lähmt das unseren Innovationsdruck.
Wir haben uns daher entschieden, uns auf die großen Brocken zu konzentrieren. Wenn eine Software wirklich tief in HR-Prozesse eingreift, gibt es keine Abkürzung. Aber bei kleineren Tools versuchen wir, pragmatisch zu bleiben und zumindest die Basisanforderungen abzuklopfen. Es bringt nichts, vor lauter Angst gar keine KI mehr einzuführen. Wir müssen nur lernen, die richtigen Fragen zu stellen.
Endlich wieder abschalten
Letzten Mittwoch nach dem Yoga saß ich noch kurz auf meiner Matte und dachte über den Fortschritt nach. Wir haben jetzt einen Prozess. Der Einkauf schickt mir neue Software-Anfragen automatisch zu, bevor sie in die finale Verhandlung gehen. Es ist nicht mehr dieses panische Reagieren in letzter Sekunde.
Ich habe gelernt, dass 'ich weiß es nicht genau' eine legitime Antwort ist, solange man bereit ist, es gemeinsam mit dem Anbieter herauszufinden. Die meisten Anbieter sind ja selbst noch am Lernen. Wenn du in einer ähnlichen Situation bist, fang klein an. Du musst nicht die ganze Verordnung auswendig kennen, aber du musst wissen, wo die Stolperfallen für dein Unternehmen liegen.
Falls du deine eigene KI-Kompetenz oder die deiner Kollegen stärken willst, kann ich dir den KI-Führerschein wirklich ans Herz legen. Er nimmt ein bisschen von dieser Ehrfurcht vor der Technik und macht sie greifbarer. Es hilft enorm, wenn man nicht mehr wie das Kaninchen vor der Schlange sitzt, wenn der IT-Leiter mit Fachbegriffen um sich wirft.
Ein Fazit aus der Praxis
Compliance im Software-Einkauf ist kein Sprint, sondern eher eine Daueraufgabe wie die jährliche Inventur — nur mit mehr Paragrafen. Ich fühle mich heute, Monate nach meiner Ernennung, deutlich sicherer. Nicht, weil ich alles weiß, sondern weil ich gelernt habe, welche Fragen den Unterschied machen. Und wenn ich mittwochs beim Yoga tief durchatme, denke ich nicht mehr an Haftungsfragen, sondern daran, dass wir als kleiner Mittelständler eigentlich ganz schön weit vorne mit dabei sind.
Bleib dran, stell deine Fragen und lass dich nicht von der Bürokratie unterkriegen. Wir sitzen alle im selben Boot. Wenn du mehr über die Einbindung von Kollegen wissen willst, lies dir mal meinen Bericht dazu durch, wie man den Betriebsrat bei KI-Regeln richtig mitnimmt. Das war nämlich meine nächste große Baustelle nach dem Software-Einkauf!