Cybersecurity
Mai 20, 2026
Seit dem 2. Februar 2025 gelten die Artikel-5-Verbote der EU-KI-Verordnung. Was damals noch nach Zukunftsrecht klang, ist heute harte Realität für HR-Tech-Anbieter: Emotion Recognition am Arbeitsplatz ist verboten, Social-Scoring-Systeme stehen unter massivem Compliance-Druck – und erste Unternehmen ziehen Konsequenzen. Die Frage ist nicht mehr ob, sondern wie schnell der Markt reagiert.
Wer die Debatte um den EU AI Act verfolgt hat, kennt die Schlagworte. Jetzt zählt der Gesetzestext. Die konsolidierte Fassung von Artikel 5 der KI-Verordnung (EU) 2024/1689 ist eindeutig: Das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen zur Ableitung von Emotionen natürlicher Personen im Bereich Arbeitsplatz und Bildungseinrichtungen sind verboten – mit enger Ausnahme für medizinische oder sicherheitstechnische Zwecke.
Das klingt nach einem Randthema. Ist es nicht. Emotion Recognition war in den vergangenen Jahren ein Wachstumssegment im HR-Tech-Bereich. Video-Interview-Plattformen werteten Mikroexpressionen aus. Recruiting-Tools vergaben „Enthusiasmus-Scores“. Sentiment-Analysen aus Video-Calls flossen in Mitarbeiterbewertungen ein. All das fällt nun unter das Verbot.
Artikel 5 verbietet darüber hinaus KI-gestütztes Social Scoring: Systeme, die natürliche Personen über einen bestimmten Zeitraum auf Basis ihres Sozialverhaltens oder persönlicher Merkmale bewerten und dadurch zu ungerechtfertigter oder unverhältnismäßiger Benachteiligung in anderen Kontexten führen. Verboten sind zudem KI-Systeme, die das Risiko einer Straftat ausschließlich auf Basis von Profiling und Persönlichkeitsmerkmalen vorhersagen – was bestimmte „Fraud-Risk-Score“-Lösungen direkt trifft.
Wer jetzt denkt: „Das betrifft uns nicht, wir nutzen doch nur Performance-Analytics“ – der sollte genauer hinschauen. Denn die Grenze zwischen zulässiger Leistungsanalyse und verbotsnahem Social Scoring ist dünn.
Konkret bedeutet das Verbot für den HR-Tech-Markt: Features müssen abgeschaltet, Produkte geografisch beschränkt oder vollständig umgebaut werden. Die Bundesnetzagentur hält als zuständige Stelle fest, dass diese Verbote seit dem 2. Februar 2025 gelten – ohne Übergangsfrist für bereits im Einsatz befindliche Systeme.
Anbieter, die EU-Kunden bedienen, stehen vor drei Optionen: Erstens, das betroffene Feature vollständig deaktivieren. Zweitens, es durch Geo-Blocking auf nicht-europäische Märkte beschränken. Drittens, den Einsatzbereich fundamental umbauen – etwa auf industrielle Safety-Anwendungen wie Müdigkeitserkennung bei Fahrzeugführern, die als sicherheitstechnische Ausnahme gelten können. Alle drei Wege kosten. Und der zweite ist regulatorisch riskant, wenn EU-Beschäftigte trotzdem auf Tools zugreifen können.
Meine Einschätzung: Emotion Recognition im HR-Kontext ist in der EU de facto erledigt. Nicht weil die Technologie schlecht wäre – sondern weil das Bußgeldrisiko jeden Business Case zerstört. Bis zu 35 Millionen Euro oder sieben Prozent des weltweiten Jahresumsatzes bei Verstößen gegen Artikel 5 – das ist kein kalkulierbares Risiko, das sich ein Anbieter gegenüber Investoren schönreden lässt.
Praktisch sieht das so aus: Ein mittelgroßes HR-SaaS-Unternehmen mit zehn Millionen Euro Jahresumsatz riskiert ein Bußgeld von bis zu 700.000 Euro. Für ein Scale-up mit 50 Millionen Euro Umsatz wären es bis zu 3,5 Millionen Euro. Selbst wenn die Aufsichtsbehörden nicht sofort handeln – kein seriöser Investor nimmt dieses Restrisiko in Kauf.
Beim Social Scoring ist die Lage differenzierter – und deshalb gefährlicher für Unternehmen, die sich in falscher Sicherheit wiegen. Der Verbotstatbestand aus Artikel 5 Absatz 1 Buchstabe c trifft nicht jede Art von Scoring. Er trifft Systeme, die Personen langfristig anhand ihres Sozialverhaltens bewerten und diese Bewertung in Kontexten anwenden, die nichts mit dem ursprünglichen Erhebungskontext zu tun haben.
Konkretes Beispiel: Ein Tool, das Mitarbeitende anhand von Kommunikationsverhalten, Social-Media-Aktivität und Interaktionsmustern über Monate hinweg bewertet und diesen Score für Beförderungsentscheidungen oder Kündigungsabwägungen nutzt, erfüllt die Verbotskriterien. Es handelt sich um eine kontextübergreifende Bewertung des Sozialverhaltens mit konkreten Konsequenzen für die betroffene Person.
Klassische, arbeitsbezogene Performance-Metriken – Zielerreichung, Projektergebnisse, Verkaufszahlen – sind nicht per se verboten. Sie können aber als Hochrisiko-KI eingestuft sein, wenn sie in Einstellungs-, Beförderungs- oder Entlassungsentscheidungen einfließen. Das bedeutet: kein absolutes Verbot, aber strenge Auflagen zu Transparenz, Risikomanagement und menschlicher Aufsicht (Human Oversight).
HR-Analytics Compliance ist damit nicht mehr eine Frage des Datenschutzes allein. Sie ist eine eigenständige KI-Regulierungsfrage – mit eigenen Dokumentationspflichten, eigenen Risikobewertungen und eigenem Bußgeldregime.
Der Markt sortiert sich. Nicht lautstark – aber erkennbar. Beobachtbar sind mehrere Muster.
Muster eins: Feature-Streichung. Anbieter von Video-Interview-Software, die bislang Körpersprache, Tonlage oder Mimik auswerteten, deaktivieren diese Funktionen für EU-Kunden still. Das ist das pragmatischste Vorgehen, zerstört aber den zentralen Differenzierungsvorteil gegenüber klassischer HR-Software.
Muster zwei: Markt-Exit. Einige Nischenanbieter, deren Alleinstellungsmerkmal ausschließlich in der Emotionsauswertung bestand, werden den EU-Markt aufgeben. Das klingt nach einer Extremreaktion – ist aber ökonomisch rational, wenn das Kernprodukt rechtlich nicht anpassbar ist.
Muster drei: Pivot auf sichere Anwendungsfelder. Emotion-Recognition-Technologie landet künftig im Bereich industrieller Sicherheitsanwendungen: Müdigkeitserkennung in Fahrzeugen, Stressüberwachung in sicherheitskritischen Kontrollräumen, medizinisch begleitete Burnout-Früherkennung. Das sind enge, aber regulatorisch haltbarere Nischen.
Muster vier: Hochriskant statt verboten. Viele HR-Analytics-Anbieter versuchen aktiv, ihre Systeme als Hochrisiko-KI zu klassifizieren – nicht weil das angenehm ist, sondern weil es zumindest einen legalen Betrieb ermöglicht. Hochrisiko-KI darf eingesetzt werden, erfordert aber Konformitätsbewertungen, technische Dokumentation, Transparenz gegenüber Betroffenen und nachweisbare menschliche Kontrolle. Das ist aufwendig und teuer, aber machbar.
Die Frage, die Compliance-Verantwortliche in Unternehmen gerade beschäftigt, ist praktischer Natur: Welche Tools muss ich abschalten, welche darf ich behalten – und wie weise ich das nach?
Erster Schritt ist ein KI-Inventar. Unternehmen müssen erfassen, welche KI-Systeme im HR-Bereich eingesetzt werden – direkt durch das Unternehmen oder über Drittanbieter. Viele Firmen haben keinen vollständigen Überblick darüber, welche KI-Funktionen in ihren HR-Tools stecken. Das ist das erste Problem.
Zweiter Schritt ist die Klassifizierung. Für jedes Tool muss geprüft werden: Fällt es unter Artikel-5-Verbote? Ist es Hochrisiko-KI? Oder ist es regulatorisch unkritisch? Diese Klassifizierung erfordert juristische Kompetenz und technisches Verständnis – beides gleichzeitig.
Dritter Schritt: Vertragsanpassungen mit Anbietern. Unternehmen sollten von ihren HR-Software-Lieferanten schriftlich bestätigen lassen, dass keine verbotenen Praktiken nach Artikel 5 implementiert sind oder aktiviert werden können. Diese Zusicherung gehört in die Vertragsgrundlage – nicht in eine informelle E-Mail.
Vierter Schritt ist Schulung. Die KI-Verordnung verlangt explizit KI-Kompetenz bei Beschäftigten, die mit KI-Systemen arbeiten. Das gilt auch für HR-Mitarbeitende, die Recruiting-Tools bedienen. DATEV hat das im Februar 2025 explizit als Teil der neuen Anforderungen kommuniziert. Wer hier nicht handelt, schafft ein weiteres Compliance-Risiko.
Was in der Compliance-Diskussion häufig unterbelichtet bleibt: Betriebsräte haben nach dem Betriebsverfassungsgesetz weitreichende Mitbestimmungsrechte beim Einsatz technischer Einrichtungen, die das Verhalten oder die Leistung von Arbeitnehmenden überwachen können. KI-gestützte HR-Analytics-Systeme fallen in aller Regel darunter. Die Artikel-5-Verbote schaffen hier eine neue Situation, die Betriebsräte aktiv nutzen.
In der Praxis bedeutet das: Betriebsräte haben heute eine deutlich stärkere Verhandlungsposition gegenüber der Unternehmensleitung, wenn es um den Einsatz von People-Analytics-Tools geht. Sie können verlangen, dass für jedes eingesetzte KI-System eine nachvollziehbare Klassifizierung vorliegt – verboten, hochriskant oder unkritisch. Fehlt diese Dokumentation, können sie den Einsatz blockieren oder aussetzen lassen.
Unternehmen sollten Betriebsräte daher nicht als Hindernis im Compliance-Prozess betrachten, sondern als strukturierten Anlass, das eigene KI-Inventar endlich sauber aufzubauen. Wer auf eine entsprechende Anfrage des Betriebsrats keine belastbare Antwort geben kann, hat sein KI-Risikomanagement noch nicht ernsthaft begonnen. Betriebsvereinbarungen, die den zulässigen Einsatz von HR-KI explizit regeln, sind in diesem Kontext kein bürokratischer Mehraufwand – sie sind eine Dokumentation gelebter Compliance.
Es wäre unehrlich, die offenen Fragen zu verschweigen. Einige Graubereiche sind noch nicht ausjudiziert.
Remote-Work und Home-Office: Fällt Emotion-Recognition in einer „freiwillig“ installierten App auf dem privaten Gerät im Heimarbeitsplatz unter das Workplace-Verbot? Juristisch liegt die Antwort nahe: Ja, wenn es im Beschäftigungskontext eingesetzt wird. Aber Gerichtsentscheidungen fehlen noch. Wer auf diese Lücke setzt, geht ein erhebliches Risiko ein.
Wellbeing-Programme: Was ist mit KI, die Burnout-Symptome erkennen soll? Kamera-basierte Stressanalyse im Home-Office, angeboten als „Fürsorge-Tool“? Ohne klaren medizinischen oder sicherheitstechnischen Rahmen fällt das wahrscheinlich unter das Verbot. Die freiwillige Nutzung schützt nicht automatisch vor dem Verbotstatbestand.
Textbasierte Analyse: Sentiment-Analyse von Schriftsprache – aus Slack-Nachrichten, E-Mails oder Ticket-Systemen – fällt nicht unter Artikel 5 Absatz 1 Buchstabe f, der explizit auf das „Ableiten von Emotionen“ abzielt. Sie kann aber Social-Scoring-nah sein und datenschutzrechtliche Probleme aufwerfen. HR-Analytics Compliance bedeutet, diese Systeme einzeln zu bewerten – nicht pauschal abzuhaken.
Der Deutschlandfunk hat die regulatorischen Ambivalenzen des AI Act früh beschrieben: Die Grenzen zwischen verbotenen, hochriskanten und unkritischen Systemen sind in der Praxis fließend. Das ist kein Fehler des Gesetzes – es ist die unvermeidliche Komplexität, wenn Technologieentwicklung und Regulierung gleichzeitig laufen.
Ein weiterer kaum beachteter Graubereich betrifft Gamification-Elemente in HR-Software. Systeme, die Mitarbeitenden Punkte, Badges oder Rankings auf Basis ihres Arbeitsverhaltens zuweisen und diese Bewertungen im Zeitverlauf akkumulieren, können in das Spektrum des Social Scorings fallen – insbesondere wenn solche Rankings explizit oder implizit in Personalentscheidungen einfließen. Hier fehlt bislang eine klare Aufsichtspraxis, doch das Risiko ist real genug, um eine eigene Prüfung zu rechtfertigen.
Eine ehrliche Einschätzung: Die Aufsichtsbehörden in Deutschland und Europa bauen gerade erst ihre KI-spezifischen Kontrollstrukturen auf. Erste Bußgeldverfahren wegen Verstößen gegen Artikel-5-Verbote sind noch nicht breit dokumentiert. Das verleitet manche Unternehmen dazu, die Sache auf die lange Bank zu schieben.
Das ist ein Fehler. Erstens, weil Betriebsräte und Arbeitnehmervertretungen inzwischen aktiv fragen, welche KI im HR-Bereich eingesetzt wird. Verbotene Praktiken können intern eskaliert werden – und landen dann nicht selten öffentlich. Zweitens, weil die KI-Verordnung ausdrücklich auch die Verwendung verbietet, nicht nur das Inverkehrbringen. Ein Unternehmen, das ein verbotenes Tool eines Drittanbieters einsetzt, ist selbst im Risiko.
Und drittens: Enforcement folgt bekanntermaßen mit Verzögerung. Wer die DSGVO-Geschichte kennt, weiß, dass die ersten Jahre ruhig wirken – und dann kommen die Fälle. Wer bis dahin nicht aufgeräumt hat, steht schlechter da als jemand, der frühzeitig dokumentiert hat, was er geändert hat und warum.
Dieses Argument wird in der HR-Tech-Branche offen diskutiert, und es verdient eine ehrliche Auseinandersetzung. Kritiker der Artikel-5-Verbote argumentieren, dass gerade im Bereich psychischer Gesundheit und Mitarbeiterfürsorge KI-gestützte Früherkennung einen echten Mehrwert bieten könnte – und dass das pauschale Verbot von Emotion Recognition auch solche potenziell fürsorglichen Anwendungen verhindert.
Das Argument hat eine gewisse Substanz. Ein KI-System, das frühzeitig warnt, wenn ein Mitarbeitender Anzeichen von Überlastung zeigt, klingt nach einem nützlichen Werkzeug. Das Problem ist struktureller Natur: Genau dieselbe Technologie, die Fürsorge ermöglichen soll, schafft die Infrastruktur für Überwachung und Kontrolle. Und in einem Beschäftigungsverhältnis, in dem Machtasymmetrien grundsätzlich bestehen, ist das Missbrauchspotenzial nicht hypothetisch.
Der EU-Gesetzgeber hat sich bewusst für ein klares Verbot entschieden, statt für einen Erlaubnisvorbehalt mit Auflagen – weil Auflagen in der Praxis schwer zu kontrollieren sind und weil das Grundrechtsrisiko für Beschäftigte als zu hoch eingestuft wurde. Das ist eine politische Abwägungsentscheidung, über die man streiten kann. Aber sie ist getroffen, und Unternehmen müssen sich daran orientieren.
Der Markt für HR-Tech wird sich nicht auflösen. Er wird sich verschieben. Weg von intimen biometrischen Signalen, hin zu nachvollziehbaren, arbeitsbezogenen Metriken. Weg von Emotion Recognition, hin zu strukturierten Bewerbungsverfahren mit erklärbaren Auswahlkriterien. Das ist kein Verlust von Innovation – es ist eine Neuausrichtung an Grundrechten.
Was bleibt, ist die Frage, die viele HR-Verantwortliche ungern stellen: Wie viel ihrer bisherigen „People Analytics“ war tatsächlich erkenntnisreich – und wie viel war Technologie um der Technologie willen? Wer Emotion-Scores aus Video-Interviews ernsthaft für Einstellungsentscheidungen genutzt hat, sollte diese Frage dringend intern stellen.
Die nächste Regulierungswelle ist bereits absehbar: Hochrisiko-KI-Systeme im HR-Bereich – also KI für Einstellung, Beförderung, Leistungsbewertung – unterliegen ab den nächsten Fristen strengen Dokumentations- und Transparenzpflichten. Die Unternehmen, die jetzt ihr KI-Inventar aufbauen und ihre Anbieter zu Konformitätsnachweisen verpflichten, werden diese Welle deutlich besser überstehen als jene, die noch überlegen, ob Artikel-5-Verbote sie wirklich betreffen.
Was haben Sie in Ihrem Unternehmen bereits konkret überprüft – und welche HR-Tools stehen noch auf Ihrer Audit-Liste?
