Der Digital Omnibus hat die Fristen des EU AI Act verschoben – aber nicht aufgehoben. Mit der Verordnung (EU) 2026/1744, seit dem 27. Juli 2026 in Kraft, gilt die Hochrisiko-Einstufung für Recruiting- und Personal-KI nach Anhang III nicht mehr ab dem 2. August 2026, sondern erst ab dem 2. Dezember 2027. Für Unternehmen in Deutschland und Österreich bedeutet das mehr Zeit zur Vorbereitung, aber keinen Freifahrtschein: Mehrere zentrale Pflichten gelten schon heute, unverändert durch den Aufschub. 


Wer KI zur Bewerberauswahl, Leistungsbewertung oder Mitarbeiterüberwachung einsetzt, bewegt sich nach Anhang III grundsätzlich im Hochrisiko-Bereich des AI Act. Entscheidend ist jetzt, welche Pflichten bereits greifen und welche erst 2027 verbindlich werden. 


Was sich durch den Digital Omnibus verschoben hat 

Die Verordnung 2026/1744 verschiebt die allgemeine Geltung der Hochrisiko-Pflichten für eigenständige KI-Systeme nach Art. 6 Abs. 2 in Verbindung mit Anhang III – darunter die meisten Recruiting- und HR-Anwendungen – vom 2. August 2026 auf den 2. Dezember 2027. KI, die Bestandteil regulierter Produkte ist (Art. 6 Abs. 1 in Verbindung mit Anhang I), erhält sogar bis zum 2. August 2028 Zeit. Zusätzlich wurden einige Anforderungen inhaltlich abgeschwächt: Die KI-Kompetenzpflicht nach Art. 4 verlangt nun die Förderung von Kompetenz statt eines garantierten Kompetenzniveaus, die Definition von „Sicherheitsbauteil" wurde enger gefasst, und kleinere Unternehmen profitieren von Erleichterungen bei der Registrierung. 


Was schon heute gilt – unabhängig vom Digital Omnibus 

  1. Das Verbot von Emotionserkennung am Arbeitsplatz nach Art. 5 gilt bereits seit dem 2. Februar 2025 – mit Bußgeldern bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. 
  2. Die Transparenzpflichten nach Art. 50 gelten seit dem 2. August 2026 unverändert: Bewerbende müssen beim ersten Kontakt erfahren, wenn sie mit einem Chatbot oder einer KI-Stimme interagieren. 
  3. Die KI-Kompetenzpflicht nach Art. 4 gilt ebenfalls seit Februar 2025, wenn auch in abgeschwächter Form. 
  4. Art. 22 DSGVO verlangt bereits seit 2018 eine echte menschliche Überprüfung bei automatisierten Absagen, Rankings oder Shortlists – die prüfende Person muss die Logik verstehen, das Ergebnis tatsächlich bewerten und es überstimmen können. Ein reiner Freigabe-Klick genügt nicht. 


Was Unternehmen bis Dezember 2027 vorbereiten müssen 

Für als hochriskant eingestufte Recruiting-KI werden ab Dezember 2027 verbindlich: ein dokumentiertes Risikomanagementsystem, Bias-Audits zur Prüfung diskriminierender Effekte, eine Grundrechte-Folgenabschätzung (Fundamental Rights Impact Assessment), eine formale Konformitätsbewertung samt Registrierung in der EU-Datenbank sowie eine intern benannte verantwortliche Person. Wer diese Prozesse erst kurz vor der Frist aufbaut, unterschätzt in der Regel den Aufwand für Bias-Audits und Folgenabschätzung. 


Sonderfall Schweiz: Warum der EU AI Act trotzdem relevant sein kann 

Der EU AI Act ist EU-Recht und gilt nicht automatisch für rein inländische Bewerbungsprozesse in der Schweiz. Relevant werden kann er dennoch, wenn das Ergebnis eines KI-Systems Personen in der EU betrifft – etwa bei grenzüberschreitendem Recruiting oder EU-Tochtergesellschaften. Unabhängig von der direkten Anwendbarkeit verlangen Art. 328b OR und das revidierte Datenschutzgesetz in der Schweiz bereits heute eine vergleichbare Zurückhaltung bei automatisierten Personalentscheidungen – der praktische Abstand zur EU-Regelung ist damit kleiner, als die fehlende direkte Geltung vermuten lässt. 


Warum Aufschub nicht Untätigkeit bedeutet 

Die verschobene Frist betrifft vor allem die aufwendigen Hochrisiko-Pflichten – Risikomanagement, Bias-Audits, Folgenabschätzung. Verbote, Transparenzpflichten und die DSGVO-Anforderung an menschliche Überprüfung gelten unverändert weiter. Unternehmen in Deutschland und Österreich, die jetzt nichts tun, laufen Gefahr, 2027 unter Zeitdruck Prozesse nachzuholen, die eigentlich schon heute hätten beginnen sollen. 


Validatos Ansatz 

Validato verifiziert Background-Check-Ergebnisse grundsätzlich durch erfahrene Analystinnen und Analysten, nicht durch automatisierte Entscheidungen allein – ein Prinzip, das Validato als „Human-in-the-loop" bezeichnet und das inhaltlich genau dort ansetzt, wo Art. 22 DSGVO und die kommenden Hochrisiko-Pflichten des AI Act echte menschliche Prüfung verlangen. Validato ist nach ISO 27001 und ISO 27701 zertifiziert, arbeitet DSGVO-konform und unterstützt Unternehmen in Deutschland, Österreich und der Schweiz dabei, KI-gestützte Vorsortierung von menschlicher Verifizierung sauber zu trennen. 


„Der Digital Omnibus verschafft Unternehmen mehr Zeit, aber die Grundfrage bleibt dieselbe: Wer trifft am Ende die Entscheidung – ein Algorithmus oder ein Mensch, der das Ergebnis tatsächlich verantworten kann? Wer diese Frage schon heute sauber beantwortet, ist für 2027 ohnehin vorbereitet." 

— Reto Marti, Managing Partner, Validato