Guides

Die EU-AI-Act-Frist verschiebt sich auf 2027. Was Recruiting-Agenturen jetzt wirklich tun sollten

Die Hochrisiko-Pflichten der EU-KI-Verordnung für Recruiting-KI wurden auf den 2. Dezember 2027 verschoben. Was sich geändert hat, was nicht (die DSGVO gilt schon heute) - und was Agenturen jetzt konkret tun sollten.

TB Team Boilr

· July 23, 2026 · 15 Min. Lesezeit

Abstrakte dunkle Flüssigmetall-Textur als Sinnbild für sich verschiebende regulatorische Fristen

TL;DR

Am 19. November 2025 schlug die Europäische Kommission vor, die Hochrisiko-Pflichten der EU-KI-Verordnung für Annex-III-Systeme - darunter Recruiting- und Beschäftigungs-KI - vom 2. August 2026 auf den 2. Dezember 2027 zu verschieben [1]. Das Europäische Parlament billigte die Verschiebung am 16. Juni 2026 (423 Stimmen dafür, 57 dagegen, 174 Enthaltungen) [2], der Rat gab am 29. Juni 2026 grünes Licht [3], und der finale Rechtsakt wurde am 8. Juli 2026 unterzeichnet und wartet nun auf die Veröffentlichung im Amtsblatt [4]. Das ist eine echte 16-monatige Vorlaufzeit - kein Grund, das Thema abzuhaken. DSGVO Art. 22 schränkt automatisierte Einstellungsentscheidungen schon seit 2018 ein und ist von der Verschiebung unberührt [5]. Agenturen, die KI einsetzen, um Kandidaten zu screenen, zu ranken oder zu bewerten - oder um Leads zu priorisieren - sind "Betreiber" im Sinne der Verordnung und tragen eigene Pflichten, sobald die Hochrisiko-Regeln greifen [6]. Die Agenturen, die im Dezember 2027 am besten dastehen, sind nicht die, die "erledigt, Wiedervorlage 2027" notiert haben, sondern die, die 2026 genutzt haben, um eine dokumentierte, nachvollziehbare Begründung für jede Unternehmens- oder Kandidaten-Bewertung aufzubauen.

Das betrifft deine Agentur, wenn:

Du Kandidaten mit KI-gestützten Tools screenst, rankst, shortlistest oder bewertest - egal ob eingekauft oder selbst gebaut.
Du Leads oder Unternehmen mit KI für BD priorisierst oder bewertest, auch ohne dass ein Kandidat gerankt wird.
Du Kandidaten bei Kunden in der EU platzierst oder selbst in einer EU- oder DACH-Jurisdiktion tätig bist.
Ein Kunde, Prospect oder Betriebsrat schon gefragt hat, was deine KI-Tools mit Kandidaten- oder Unternehmensdaten machen.

Was sich am 19. November 2025 wirklich geändert hat

Der "Digital Omnibus on AI" der Europäischen Kommission schlug vor, die Compliance-Frist für Hochrisiko-KI-Systeme nach Annex III der EU-KI-Verordnung - die Kategorie, die Recruiting, Kandidaten-Screening, Bewerbungsfilterung, Kandidatenbewertung und Mitarbeiterüberwachung umfasst - vom 2. August 2026 auf den 2. Dezember 2027 zu verschieben [1]. KI, die in bereits regulierte Produkte eingebettet ist (Annex I, etwa Medizinprodukte oder Maschinen mit KI-Komponente), bekommt eine noch längere Frist bis zum 2. August 2028 [1].

19. November 2025: Die Europäische Kommission schlägt die Verschiebung als Teil des größeren Digital-Omnibus-Pakets vor [1].
7. Mai 2026: Rat und Parlament erzielen eine vorläufige politische Einigung zur Vereinfachung und Straffung der Regeln [3].
16. Juni 2026: Das Europäische Parlament billigt die Verschiebung formal, mit 423 zu 57 Stimmen bei 174 Enthaltungen [2].
29. Juni 2026: Der Rat der EU gibt endgültig grünes Licht für das Vereinfachungspaket [3].
8. Juli 2026: Der finale Rechtsakt wird unterzeichnet. Er wartet nun auf die Veröffentlichung im Amtsblatt, mit Inkrafttreten drei Tage nach Veröffentlichung [4].

Diese Timeline zählt aus einem Grund: Das war keine stille Verwaltungskorrektur. Sie durchlief den vollständigen EU-Gesetzgebungsprozess, eine große Mehrheit stand dahinter, und der Grund war praktisch, nicht politisch - die harmonisierten technischen Normen, an denen Unternehmen ihre Compliance eigentlich messen sollen, waren zur ursprünglichen Frist im August 2026 schlicht nicht fertig [7].

Warum "Compliance kann warten" die falsche Lesart ist

"Verschoben auf Dezember 2027" klingt leicht nach "erledigt sich von selbst bis nächstes Jahr". Diese Lesart übersieht vier Dinge, die schon jetzt, im Juli 2026, gelten - unabhängig davon, was mit Annex III passiert:

1. Die DSGVO hat sich nicht bewegt

DSGVO Art. 22 schränkt ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung seit Mai 2018 ein, und die Verschiebung der KI-Verordnung ändert daran nichts [5]. Das SCHUFA-Urteil des EuGH (Rechtssache C-634/21, Dezember 2023) bestätigte, dass ein Scoring-Tool in den Anwendungsbereich von Art. 22 fällt, wenn es eine Entscheidung "maßgeblich beeinflusst" - selbst wenn im Nachgang formal ein Mensch gegenzeichnet [8]. Wenn das Screening-Tool deiner Agentur Kandidaten rankt oder aussortiert und die Prüfung durch einen Recruiter eher ein Abnicken als eine echte Überprüfung ist, ist das schon heute ein Art.-22-Risiko, nicht erst 2027.

2. Die Transparenzpflichten aus Art. 50 landen weiter im August 2026

Das Hochrisiko-Regime hat sich verschoben, die separaten Transparenzpflichten der KI-Verordnung aus Art. 50 nicht. Anbieter müssen offenlegen, dass Menschen mit einem KI-System interagieren, KI-generierte Inhalte müssen, soweit technisch machbar, gekennzeichnet werden, und Betreiber von Biometrie- oder Emotionserkennungssystemen müssen die betroffenen Personen informieren [9]. Wenn ein kundenseitiger Chatbot, ein KI-Telefonscreening oder ein kandidatenseitiges Assessment-Tool davon betroffen ist, bleibt der 2. August 2026 ein reales Datum.

3. Betreiberpflichten sind unabhängig von der Compliance deines Anbieters

Art. 26 legt Pflichten auf den Betreiber eines Hochrisiko-KI-Systems - nicht nur auf den Anbieter, der es gebaut hat. Eine Agentur, die ein Tool eines Drittanbieters für Screening oder Scoring einsetzt, kann ihre eigenen Pflichten nicht über die Vertragsbedingungen dieses Anbieters auslagern - die Pflichten sind nicht übertragbar [6]. Sobald das Hochrisiko-Regime greift, müssen Betreiber, die Arbeitgeber sind, unter anderem eine menschliche Aufsicht durch eine Person mit entsprechender Schulung und Befugnis sicherstellen und Beschäftigte sowie ihre Vertretungen vor dem Einsatz des Systems informieren [6].

4. Der EDSA prüft die Lücke schon jetzt

Die 2026er Coordinated-Enforcement-Framework-Aktion des Europäischen Datenschutzausschusses (EDSA) untersucht gerade Transparenz-Compliance in rund 25 Jurisdiktionen, mit einem konkreten Fokus darauf, ob Organisationen tatsächlich belegen können, dass ein Mensch ein automatisiertes Ergebnis inhaltlich geprüft hat - und nicht nur dem Namen nach abgenickt hat [8]. Das ist eine DSGVO-Durchsetzungsmaßnahme, die parallel zur KI-Verordnung-Timeline läuft, nicht von ihr abhängig ist.

Die Frist hat sich verschoben. Die Anforderung an eine nachvollziehbare Begründung nicht. Genau in dieser Lücke werden Agenturen erwischt.

Was konkret auf den 2. Dezember 2027 verschoben wurde

Damit klar ist, was sich geändert hat und was nicht: hier die Fristen, die für eine Recruiting-Agentur zählen.

Pflicht	Ursprüngliche Frist	Neue Frist / Status
Hochrisiko-Pflichten für Annex-III-Systeme (Recruiting, Kandidaten-Screening/-Ranking, Mitarbeiterüberwachung)	2. August 2026	2. Dezember 2027 [1]
Hochrisiko-Pflichten für KI in Annex-I-Produkten	2. August 2026	2. August 2028 [1]
Transparenzpflichten aus Art. 50 (KI-Interaktions-Offenlegung, Kennzeichnung von Deepfakes/synthetischen Inhalten)	2. August 2026	Unverändert - weiterhin 2. August 2026 [9]
DSGVO Art. 22 (Einschränkung ausschließlich automatisierter Entscheidungen mit erheblicher Wirkung)	In Kraft seit Mai 2018	Unverändert - bereits in Kraft [5]
Mitbestimmungsrechte des Betriebsrats bei neuen Hiring-Systemen (BetrVG § 87)	Bereits in Kraft	Unverändert - bereits in Kraft

Wo Recruiting-Agenturen in der Verordnung stehen

Annex III, Punkt 4 stuft KI für die "Einstellung oder Auswahl natürlicher Personen" als hochriskant ein - insbesondere Systeme, die gezielte Stellenanzeigen schalten, Bewerbungen analysieren und filtern oder Kandidaten bewerten [6]. Diese Beschreibung ist nicht nur für HR-Abteilungen isoliert geschrieben. Eine Recruiting-Agentur, die KI-gestütztes Kandidaten-Screening, CV-Parsing und Ranking oder automatisiertes Shortlisting für einen Kunden betreibt, macht genau das - weshalb Agenturen (nicht nur der einstellende Endkunde) selbst Betreiber - und in manchen Konstellationen sogar Anbieter - im Sinne der Verordnung sein können.

Wenn du ein Drittanbieter-ATS/Screening-Tool kaufst und wie vorgesehen einsetzt: bist du in der Regel Betreiber, mit den oben beschriebenen Pflichten aus Art. 26.
Wenn du ein Tool über seinen vorgesehenen Zweck hinaus anpasst oder fine-tunest: riskierst du, als Anbieter eingestuft zu werden - mit wiederum schwereren Pflichten.
Wenn KI nur Leads, Signale oder Recherche für einen menschlichen Consultant liefert: ist das ein grundsätzlich anderes Risikoprofil als KI, die Bewerbungen filtert oder rankt, weil keine automatisierte Entscheidung über die Beschäftigungschancen einer natürlichen Person getroffen wird. Diese Unterscheidung solltest du für deinen eigenen Stack genau kennen - sie ist keine Formalität.

Ad-hoc-Excel vs. nachvollziehbare Scoring-Historie

Egal in welche Kategorie deine Tools fallen: Die praktische Frage, die Regulatoren, Betriebsräte und Kunden zunehmend stellen, ist dieselbe: Kannst du deine Bewertung begründen? Zwei Agenturen mit funktional ähnlicher KI können sehr unterschiedlich dastehen:

Praxis	Ad hoc / Black Box	Dokumentiert, nachvollziehbar
Warum wurde dieser Kandidat/dieses Unternehmen so eingestuft?	"Das Tool hat es so ausgegeben" - keine abrufbare Begründung	Gespeicherte Aufzeichnung des Signals oder ICP-Musters, das die Bewertung ausgelöst hat
Nachweis menschlicher Prüfung	Ein Freigabeklick ohne inhaltliche Aufzeichnung	Nachvollziehbare Historie, was eine Person tatsächlich geprüft hat und hätte ändern können
Konsistenz über Consultants hinweg	Jedes Excel-Sheet nutzt andere, undokumentierte Kriterien	Ein gemeinsames, versioniertes Kriterienset für die ganze Agentur
Kontinuität bei Personalwechsel	Scoring-Logik und Begründung gehen mit dem Consultant	Begründung bleibt zentral erhalten, unabhängig vom Personalstand
Antwort auf die "Warum"-Frage von Kunde oder Regulator	Nachträglich, inkonsistent, unter Zeitdruck rekonstruiert	Bereits dokumentiert, auf Anfrage abrufbar

Sechs praktische Schritte für den Rest von 2026

Erfasse jeden KI-Berührungspunkt mit Kandidaten- oder Unternehmensdaten. Screening, Ranking, CV-Parsing, Lead-Scoring, automatisiertes Entwerfen von Outreach - liste alles auf, auch fertig eingekaufte SaaS-Tools.
Klassifiziere Betreiber- vs. Anbieterstatus für jedes Tool. Von der Stange und wie vorgesehen eingesetzt bedeutet meist Betreiber; starke Anpassung kann in Richtung Anbieter kippen. Hol dir das schriftlich vom Anbieter, wo es unklar ist.
Trenne "was heute gilt" von "was 2027 dazukommt" in jedem Kundengespräch. DSGVO Art. 22 und Betriebsratsrechte sind das heutige Thema. Die Annex-III-Hochrisiko-Konformität ist das 2027er-Thema. Wer das vermischt, verliert Glaubwürdigkeit bei Kunden mit eigener Rechtsabteilung.
Baue einen echten menschlichen Override-Schritt vor jede automatisierte Bewerber-Bewertung oder -Filterung und dokumentiere, dass der Prüfer sich tatsächlich mit dem konkreten Fall auseinandergesetzt hat - nicht nur "genehmigt" geklickt hat.
Fang schon jetzt an, das "Warum" hinter jeder Bewertung festzuhalten, auch wo es noch nicht zwingend vorgeschrieben ist. 16 Monate Vorlauf sind genau die Zeit, um sich die Gewohnheit anzueignen, bevor sie Pflicht wird - nicht danach.
Prüfe das quartalsweise, nicht jährlich. Amtsblatt-Veröffentlichung, nationale Umsetzungsvorschriften und harmonisierte technische Normen sind 2026 und 2027 weiterhin in Bewegung [1]. Behandle das als laufende Akte, nicht als einmal abgehaktes Kästchen.

Wo boilr passt - und wo nicht

boilr ist ein KI-Sales-Mitarbeiter für Recruiting-Agenturen: Er erkennt Hiring- und Buying-Signale, reichert Unternehmen und Kandidaten an, bewertet sie gegen dein ICP und entwirft Outreach, die ein Consultant prüft und versendet. Es lohnt sich, genau zu benennen, was das für deine Compliance-Position bedeutet - und was nicht:

Company Brain führt eine Aufzeichnung, keine Black Box. Jede Bewertung ist an das ICP-Muster oder Signal gekoppelt, das sie ausgelöst hat, und das Dashboard ist darauf ausgelegt, diese Begründung dem Consultant sichtbar zu machen - "du siehst die Intelligenz, nicht nur eine Black Box" ist ein explizites Designprinzip, keine Compliance-Aussage.
Die Scoring-Logik übersteht Personalwechsel. Erfolgsmuster, ICP-Fit und Message-Angles werden zentral gespeichert statt im Kopf oder Excel einer Person, sodass die Begründung hinter einer Priorisierung nicht verschwindet, wenn jemand kündigt.
Consultants prüfen und senden - das Tool entscheidet nicht. boilr liefert bewertete, gerankte Leads und entworfene Outreach; ein Mensch prüft, bearbeitet und versendet. Die finale Handlung bleibt klar menschengeführt.
boilr ist ein BD-Tool, kein Kandidaten-Screening- oder Einstellungsentscheidungs-System. Es trifft keine Beschäftigungsentscheidungen über Bewerber im Auftrag eines Kunden - das ist genau die Tätigkeit, um die Annex III, Punkt 4 gebaut ist. Das ist eine wichtige, ehrliche Abgrenzung: Verstehe diesen Artikel nicht so, dass boilr "Hochrisiko"-zertifiziert nach der KI-Verordnung sein müsste - das ist nicht die Kategorie, in der es operiert.
Die Disziplin überträgt sich trotzdem. Wenn deine Agentur zusätzlich ein separates ATS oder Screening-Tool betreibt, das Bewerbungen filtert oder rankt, ist genau diese Praxis - dokumentierte, nachvollziehbare, menschlich geprüfte Bewertung - das, was Art. 26 und DSGVO Art. 22 immer wieder verlangen werden, egal welches Tool im Einsatz ist.

Was immer einen Menschen braucht: die Motivation eines Kandidaten einzuordnen, Konditionen zu verhandeln, eine Kundenbeziehung zu lesen, und jede Entscheidung, die die Beschäftigungschancen einer Person spürbar beeinflusst. Keine AI-Act-Compliance-Haltung ändert das.

Fünf Fehler, die du jetzt vermeiden solltest

Fehler #1: Die Verschiebung als Streichung missverstehen

Warum es scheitert: "Verschoben auf Dezember 2027" leistet in diesem Satz viel Arbeit - und ist nicht dasselbe wie "gestrichen". Annex-III-Recruiting-KI bleibt klar in der Hochrisiko-Kategorie [6].

Fix: Kommuniziere die Verschiebung präzise gegenüber Kunden und intern: Das Datum hat sich verschoben, die Kategorie nicht.

Fehler #2: Die DSGVO ignorieren, weil "das große Ding verschoben wurde"

Warum es scheitert: DSGVO Art. 22 war nie Teil der Verschiebung. Er gilt seit 2018, und der EuGH hat ihn bereits gegen automatisierte Scoring-Tools getestet [5] [8].

Fix: Prüfe dein Art.-22-Risiko jetzt, unabhängig von der Timeline der KI-Verordnung.

Fehler #3: Annehmen, die Compliance eines Anbieters decke dich ab

Warum es scheitert: Betreiberpflichten nach Art. 26 sind nicht übertragbar. Der Vertrag mit einem Screening- oder ATS-Anbieter schützt nicht vor den eigenen Pflichten deiner Agentur [6].

Fix: Kläre Betreiber- vs. Anbieterstatus pro Tool schriftlich und dokumentiere deine eigene Aufsichtspraxis getrennt von der Zertifizierung des Anbieters.

Fehler #4: Keine abrufbare Aufzeichnung menschlicher Prüfung

Warum es scheitert: Der aktuelle Durchsetzungsfokus des EDSA liegt explizit darauf, ob Agenturen belegen können, dass ein Mensch ein automatisiertes Ergebnis inhaltlich geprüft hat - nicht nur dem Namen nach abgenickt [8].

Fix: Baue ein schlankes Log auf: was wurde geprüft, von wem, und was hätte geändert werden können.

Fehler #5: Bis Ende 2027 warten, um anzufangen

Warum es scheitert: 16 Monate klingen nach viel Vorlauf, bis die harmonisierten technischen Normen mittendrin landen und jede Agentur in deinem Markt gleichzeitig um dieselbe Fachberatung ringt [1].

Fix: Nutze 2026, um die Gewohnheit dokumentierter, nachvollziehbarer Bewertung aufzubauen, bevor sie Pflicht wird - solange es noch ein Wettbewerbsvorteil ist statt eine Compliance-Kosten.

Ein 30-Tage-Plan, um dem voraus zu sein

Tag 1-5: Bestand aufnehmen

Liste jedes KI-Tool auf, das Kandidaten- oder Unternehmensdaten berührt - ATS, Screening, Sourcing, Lead-Scoring, Outreach-Entwürfe. Notiere, wer es gebaut hat, wer es konfiguriert hat und wer die Ergebnisse prüft.

Tag 6-10: Klassifizieren

Kläre für jedes Tool Betreiber- vs. Anbieterstatus, und separat, ob es eine Entscheidung über eine natürliche Person (Kandidat) trifft oder maßgeblich beeinflusst - oder ob es nur Informationen für einen menschlichen Consultant liefert.

Tag 11-15: Das "Warum" dokumentieren

Fang bei deinen risikoreichsten Tools an - allem, was Bewerber rankt oder filtert - und zeichne die Begründung hinter jedem Ergebnis auf, samt Nachweis, dass ein Mensch es tatsächlich geprüft hat, nicht nur "genehmigt" geklickt hat.

Tag 16-20: Team briefen

Stelle sicher, dass jeder Consultant in einem Satz erklären kann, was sich an der Timeline der KI-Verordnung geändert hat und was nicht. Das im Kundengespräch falsch darzustellen, schadet der Glaubwürdigkeit schneller, als es richtig zu sagen sie aufbaut.

Tag 21-25: Rechtsberatung einholen

Dieser Artikel ist keine Rechtsberatung - nutze ihn, um deiner eigenen Rechtsabteilung präzisere Fragen zu deinen konkreten Tools, Jurisdiktionen und deinem Kundenstamm zu stellen, besonders wenn du in mehreren EU-Mitgliedstaaten mit unterschiedlichen Mitbestimmungsregimen tätig bist.

Tag 26-30: Quartalsreview einrichten

Setze eine wiederkehrende Erinnerung, um den Stand der Amtsblatt-Veröffentlichung, nationale Umsetzungsmaßnahmen und technische Normen zu prüfen, sobald sie 2026 und 2027 fortlaufend erscheinen.

Willst du eine Scoring- und Priorisierungsschicht, die für jedes Unternehmens- und Kandidatensignal bereits eine nachvollziehbare Begründung mitführt? Sieh dir an, wie boilrs Company Brain funktioniert.

Häufige Fragen

Wann greifen die Hochrisiko-Regeln der EU-KI-Verordnung für Recruiting jetzt?

Hochrisiko-Pflichten für eigenständige Annex-III-Systeme, einschließlich Recruiting- und Beschäftigungs-KI, wurden vom 2. August 2026 auf den 2. Dezember 2027 verschoben. Die Verschiebung wurde von der Europäischen Kommission am 19. November 2025 vorgeschlagen, vom Europäischen Parlament am 16. Juni 2026 gebilligt und erhielt am 29. Juni 2026 die endgültige Zustimmung des Rates [1] [2] [3]. Der finale Rechtsakt wurde am 8. Juli 2026 unterzeichnet und wartet auf die Veröffentlichung im Amtsblatt [4].

Bedeutet die Verschiebung, dass Recruiting-Agenturen bis 2027 keine KI-Pflichten haben?

Nein. DSGVO Art. 22, der ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung einschränkt, gilt seit Mai 2018 und ist von der Verschiebung der KI-Verordnung völlig unberührt [5]. Separat davon wurden die Transparenzpflichten aus Art. 50 der KI-Verordnung (Offenlegung von KI-Interaktionen, Kennzeichnung KI-generierter oder synthetischer Inhalte) nicht verschoben und gelten weiterhin ab dem 2. August 2026 [9]. Auch nationale Betriebsrats- und Mitbestimmungsrechte bei neuen Systemen am Arbeitsplatz bleiben unberührt.

Sind Recruiting-Agenturen "Betreiber" im Sinne der EU-KI-Verordnung?

Häufig ja. Annex III, Punkt 4 stuft KI für Einstellung oder Auswahl, einschließlich Filterung von Bewerbungen und Bewertung von Kandidaten, als hochriskant ein. Eine Agentur, die ein Drittanbieter-Tool dafür wie vorgesehen einsetzt, ist in der Regel Betreiber nach Art. 26, mit eigenen Pflichten wie menschlicher Aufsicht und Beschäftigten-Information, sobald das Hochrisiko-Regime greift [6]. Agenturen, die KI nur zur Lead-Recherche für einen menschlichen Consultant nutzen, ohne dass die KI selbst Bewerbungen filtert oder rankt, stehen in einer anderen Risikokategorie - diese Unterscheidung solltest du für deine konkreten Tools bestätigen lassen, statt sie in die eine oder andere Richtung anzunehmen.

Was unterscheidet einen Anbieter von einem Betreiber nach der KI-Verordnung?

Ein Anbieter baut oder passt ein KI-System substanziell an und bringt es in Verkehr. Ein Betreiber setzt ein System unter eigener Verantwortung ein, in der Regel wie vom Anbieter konfiguriert. Die meisten Recruiting-Agenturen, die Screening- oder Scoring-Tools von der Stange nutzen, sind Betreiber - eine Anpassung über den vorgesehenen Zweck hinaus kann eine Agentur jedoch in die Anbieterrolle mit weitreichenderen Pflichten rücken [6].

Was hat das SCHUFA-Urteil des EuGH zu automatisiertem Scoring festgelegt?

In der Rechtssache C-634/21 (Dezember 2023) stellte der Europäische Gerichtshof fest, dass ein Scoring-Tool in den Anwendungsbereich von DSGVO Art. 22 fällt, wenn es eine Entscheidung maßgeblich beeinflusst - selbst wenn ein Mensch die Ausgabe im Nachgang formal prüft. Das schränkt die Verteidigung "es gab ja einen Menschen im Loop" für Agenturen deutlich ein, deren Prüfschritt keine echte inhaltliche Kontrolle ist [8].

Sollten wir Kunden sagen, dass die Frist der KI-Verordnung verschoben wurde?

Sei präzise statt beruhigend. Die ehrliche Version lautet: Die Hochrisiko-Compliance-Frist hat sich auf Dezember 2027 verschoben, aber die DSGVO-Pflichten bei automatisierten Kandidatenentscheidungen sind unverändert und gelten heute, und die Transparenzpflichten aus Art. 50 landen weiterhin im August 2026. "Bis 2027 muss man sich keine Sorgen machen" zu behaupten, ist genau die Art von Aussage, die bei Kunden mit eigener Rechts- und Compliance-Abteilung Glaubwürdigkeit kostet.

Wie hilft boilr dabei, ohne sich als Compliance-Produkt auszugeben?

Boilrs Company Brain führt eine nachvollziehbare, zentral gespeicherte Aufzeichnung darüber, warum ein Unternehmen oder Kandidat so bewertet wurde, gekoppelt an das ICP-Muster oder Signal dahinter - und diese Aufzeichnung übersteht Personalwechsel. Das ist dieselbe Disziplin - dokumentierte, nachvollziehbare, menschlich geprüfte Bewertung - die DSGVO Art. 22 und irgendwann Art. 26 der KI-Verordnung immer wieder verlangen. boilr selbst ist ein BD- und Sourcing-Tool, kein Kandidaten-Screening- oder Einstellungsentscheidungs-System, fällt also nicht unter die Annex-III-"Hochrisiko"-Kategorie der KI-Verordnung - aber die Gewohnheit, eine belastbare Scoring-Historie zu führen, sollte jede Agentur aufbauen, unabhängig davon, welches konkrete Tool Kandidatendaten berührt.

Was sollte eine Recruiting-Agentur in den nächsten 30 Tagen konkret tun?

Erfasse jedes KI-Tool, das Kandidaten- oder Unternehmensdaten berührt, klassifiziere jedes als Betreiber oder Anbieter, dokumentiere die Begründung hinter jedem Tool, das Bewerbungen rankt oder filtert, briefe dein Team über das, was sich geändert hat und was nicht, und lass deine konkreten Tools und Jurisdiktionen von einer Rechtsberatung prüfen, statt dich auf allgemeine Kommentare - einschließlich dieses Artikels - zu verlassen.

Quellen

Informationen basieren auf öffentlichen EU-Institutionsmitteilungen, Analysen von Anwaltskanzleien und Branchenberichten, Stand Juli 2026. Dieser Artikel dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar; hole für deine Agentur, deine Tools und deine Jurisdiktionen qualifizierte Rechtsberatung ein.

Zurück zu allen Artikeln