Welche Pflichten des EU AI Act gelten für KI-gestützte HR-Prozesse in Deutschland?

Der EU AI Act (Verordnung (EU) 2024/1689) klassifiziert KI-Systeme nach Risikostufe. Für HR und Recruiting gilt: Systeme, die Bewerbungen filtern oder Kandidaten bewerten, fallen unter „Hohes Risiko“ (Anhang III, Nr. 4). Das verlangt u. a. eine Risikobewertung, menschliche Aufsicht und Transparenz gegenüber den Betroffenen. Bei der internen Wissenssuche (RAG) handelt es sich meist um ein „Minimales Risiko“, sofern keine biometrische oder emotionale Analyse erfolgt. Unternehmen müssen dennoch die Grundpflichten aus Art. 4 (Schulung) und Art. 13 (Transparenz) erfüllen.

Kann ein Fixed-Scope-Pilot bei 201–500 Mitarbeitern als Compliance-Nachweis dienen?

Ja, aber nur, wenn der Pilot klar abgegrenzt ist. Ein Fixed-Scope-Pilot (z. B. 8 Wochen, ein Use Case, definierte KPIs) reduziert das Risiko, weil der Umfang vertraglich fixiert ist. Wichtig: Der Pilot darf keine produktiven HR-Entscheidungen treffen. Er dient der Validierung der Genauigkeit (z. B. Recall/Precision der Wissenssuche) und der Akzeptanz. Die Skalierung auf weitere Abteilungen erfolgt erst nach erfolgreicher Abnahme und Anpassung der Compliance-Dokumentation.

Was ist pgvector und warum ist es für interne Wissenssuche geeignet?

pgvector ist ein Open-Source-Erweiterung für PostgreSQL, die Vektor-Similarity-Suche ermöglicht. Im Vergleich zu spezialisierten Vektor-Datenbanken (wie Pinecone oder Weaviate) bietet pgvector den Vorteil, dass die Vektoren direkt neben den relationalen Daten liegen. Das vereinfacht Transaktionen, Berechtigungen und Backups. Für Unternehmen mit 201–500 Mitarbeitern ist pgvector oft die wirtschaftlich sinnvollste Wahl, da keine zusätzliche Infrastruktur betrieben werden muss und die Latenz für interne Suchanfragen typischerweise unter 50 ms liegt.

Wie funktioniert Predictive Scoring im Recruiting?

Predictive Scoring in HR bedeutet, dass ein Modell auf Basis historischer Daten (z. B. Zeit bis zur Einstellung, Fluktuationsrate, Skill-Matching) eine Wahrscheinlichkeit für einen Erfolg (z. B. „Kandidat wird nach 6 Monaten noch im Unternehmen sein“) berechnet. Wichtig: Das Modell darf keine geschützten Merkmale (Alter, Geschlecht, Ethnie) direkt verwenden. Stattdessen werden proxy-Variablen (z. B. Berufserfahrung, Ausbildung) genutzt. Die Ergebnisse dienen nur als Entscheidungsunterstützung, nicht als automatisierte Ablehnung.

Wie wird die KI-Wissenssuche in Slack oder Microsoft Teams integriert?

Die Integration in Slack oder Microsoft Teams erfolgt über Webhooks oder Bot-APIs. Der Nutzer stellt eine Frage im Chat, der Bot ruft die RAG-Pipeline auf (Embedding → pgvector-Suche → LLM-Antwort) und liefert die Antwort mit Quellenverweis. Für Compliance ist entscheidend, dass die Logs der Anfragen und Antworten gespeichert werden (Audit-Trail). Bei sensiblen Daten (z. B. Gehaltsverhandlungen) sollte die Integration so konfiguriert werden, dass keine PII in den Logs landet oder dass die Daten vor der Übertragung an das LLM anonymisiert werden.

Wie sieht ein 8-Wochen-Pilot für eine interne KI-Wissenssuche aus?

Ein typischer 8-Wochen-Pilot gliedert sich in: Woche 1–2: Prozess-Audit und Datenanalyse (welche Dokumente, welche Fragen?). Woche 3–4: Setup der Infrastruktur (pgvector, Embedding-Modell, LLM-Anbindung) und Entwicklung der RAG-Pipeline. Woche 5–6: Pilotbetrieb mit einer kleinen Nutzergruppe (z. B. 5–10 HR-Mitarbeiter), Messung der Genauigkeit und Latenz. Woche 7: Feedback-Loop, Feinjustierung der Prompts und der Retrieval-Logik. Woche 8: Abnahme, Dokumentation und Übergabe an den Betrieb. Der Scope ist fixiert: Ein Use Case (z. B. interne Wissenssuche), keine neuen Features während des Piloten.

Welche Stolperfallen führen zu hohen Fehlerquoten bei KI-gestützter Wissenssuche?

Die häufigsten Fehlerquellen sind: 1. Schlechte Datenqualität (veraltete oder widersprüchliche Dokumente im Knowledge Base). 2. Unklare Prompts (das LLM interpretiert die Frage falsch). 3. Fehlende Quellenverweise (Nutzer vertrauen der Antwort nicht). 4. Keine menschliche Überprüfung (Fehler werden nicht korrigiert). 5. Mangelnde Schulung (Nutzer wissen nicht, wie sie die KI effektiv nutzen können). Um die Fehlerquote zu senken, muss die Datenbasis regelmäßig aktualisiert werden, die Prompts iterativ verbessert und ein Feedback-Mechanismus (z. B. Daumen-hoch/runter) implementiert werden.

Wie hoch sind die Kosten für einen KI-Piloten in der internen Wissenssuche?

Die Kosten setzen sich aus drei Komponenten zusammen: 1. Infrastruktur (pgvector auf eigener Hardware oder Cloud, LLM-API-Kosten). Bei Open-Weight-Modellen auf eigener Hardware fallen keine pro-Token-Kosten an, aber Strom- und Wartungskosten. Bei Cloud-APIs (OpenAI/Anthropic) hängen die Kosten von der Nutzung ab (z. B. 0,0005 USD pro 1k Tokens für GPT-4o). 2. Entwicklung (Fixed-Scope-Pilot: typischerweise 15.000–30.000 EUR für 8 Wochen, je nach Komplexität). 3. Betrieb (Monitoring, Datenpflege, Support). Für ein Unternehmen mit 201–500 Mitarbeitern liegt der monatliche Betriebskostenrahmen oft zwischen 500 und 2.000 EUR, je nach Nutzungsvolumen.

Wie kann man sicherstellen, dass sensible Daten nicht das Gebäude verlassen?

Ja, aber nur, wenn die Daten nicht das Gebäude verlassen. Das bedeutet: 1. Open-Weight-Modelle (z. B. Llama 3, Mistral) auf eigener Hardware oder in einem deutschen Rechenzentrum betreiben. 2. Die Embedding-Generierung und die pgvector-Suche lokal laufen. 3. Keine Cloud-APIs für die Verarbeitung sensibler Daten (z. B. Gesundheitsdaten, Gehaltsdaten) nutzen. 4. Die Datenübertragung verschlüsseln (TLS 1.3). 5. Die Zugriffsberechtigungen strikt regeln (RBAC). Für Healthcare und Medtech ist dies besonders wichtig, da hier oft Patientendaten oder sensible Unternehmensdaten im Spiel sind.

Wie skaliert man eine KI-Lösung von einer Abteilung auf mehrere?

Die Skalierung erfordert: 1. Eine klare Governance-Struktur (wer ist verantwortlich für die KI-Systeme?). 2. Eine standardisierte Dokumentation (Prozesse, Datenflüsse, Compliance-Nachweise). 3. Eine Schulungsstrategie (alle Abteilungen müssen die KI nutzen können). 4. Eine Monitoring-Infrastruktur (Latenz, Genauigkeit, Nutzerfeedback). 5. Eine iterative Verbesserung (regelmäßige Updates der Modelle und Prompts). Wichtig: Nicht alle Abteilungen haben die gleichen Anforderungen. Die HR-Abteilung braucht andere Compliance-Nachweise als die Logistik. Die Skalierung sollte daher moduliert erfolgen, mit klaren Meilensteinen für jede Abteilung.

Forfis Blog

KI-Piloten-Checkliste: Compliance-sichere Wissenssuche in HR und Back Office

Verfasst von

Forfis

Healthcare and Medtech

Checkliste: 10 Schritte für einen compliance-konformen KI-Piloten

Prozess-Audit durchführen und Use Case priorisieren.
Identifiziere die drei workflows mit der höchsten Fehlerquote und dem größten Zeitaufwand. Dokumentiere den Ist-Zustand (Cycle Time, Fehlerrate) als Baseline für den Piloten.
Compliance-Anforderungen des EU AI Act analysieren.
Klassifiziere den Use Case nach Risikostufe (Anhang III). Für HR und Recruiting gilt „Hohes Risiko“; für interne Wissenssuche meist „Minimales Risiko“. Dokumentiere die Pflichten aus Art. 4, 13 und 14.
Datenbasis für die RAG-Pipeline bereinigen.
Sammle alle relevanten Dokumente (HR-Richtlinien, Prozessbeschreibungen, FAQ). Entferne veraltete oder widersprüchliche Inhalte. Definiere die Berechtigungen (wer darf welche Dokumente sehen?).
pgvector-Infrastruktur aufsetzen.
Installiere PostgreSQL mit der pgvector-Erweiterung. Erzeuge die Tabelle für die Vektoren und die Metadaten (Quelle, Datum, Berechtigung). Teste die Latenz der Similarity-Suche (Ziel: < 50 ms).
Embedding-Modell und LLM auswählen.
Wähle ein Embedding-Modell (z. B. BGE-M3 oder OpenAI text-embedding-3-small) und ein LLM (OpenAI GPT-4o oder Anthropic Claude 3.5 Sonnet). Für sensible Daten: Open-Weight-Modell auf eigener Hardware.
RAG-Pipeline entwickeln und testen.
Implementiere die Pipeline: Frage → Embedding → pgvector-Suche → Top-K-Ergebnisse → Prompt mit Kontext → LLM-Antwort. Teste die Genauigkeit mit 20–30 typischen Fragen (Recall/Precision).
Integration in Slack oder Microsoft Teams einrichten.
Erstelle einen Bot, der auf Fragen im Chat antwortet. Konfiguriere die Webhooks und die Authentifizierung. Stelle sicher, dass die Antwort mit Quellenverweis geliefert wird.
Predictive Scoring-Modell für HR vorbereiten.
Definiere die Zielvariable (z. B. „Kandidat bleibt nach 6 Monaten“). Sammle historische Daten (Bewerbungen, Einstellungsdaten, Fluktuationsrate). Trainiere ein Modell (z. B. Random Forest oder XGBoost) und validiere es auf einer Testmenge.
Pilotbetrieb mit kleiner Nutzergruppe starten.
Wähle 5–10 HR-Mitarbeiter als Pilotgruppe. Sammle Feedback (Daumen-hoch/runter, Kommentare). Messe die Latenz, die Genauigkeit und die Akzeptanz. Dokumentiere alle Fehler und Korrekturen.
Abnahme, Dokumentation und Übergabe an den Betrieb.
Präsentiere die Ergebnisse (Vorher/Nachher: Cycle Time, Fehlerrate). Übergabe an den Betrieb: Monitoring-Setup, Schulung der Nutzer, Wartungsplan. Definiere die nächsten Schritte für die Skalierung auf weitere Abteilungen.

Wartung und Weiterentwicklung der Checkliste

Die Checkliste ist kein statisches Dokument, sondern ein lebendiger Prozess. Nach dem Piloten sollte sie quartalsweise überprüft und aktualisiert werden. Neue Compliance-Anforderungen (z. B. Änderungen am EU AI Act), neue Use Cases oder Feedback aus dem Betrieb fließen in die nächste Version ein. Wichtig: Die Baseline (Cycle Time, Fehlerrate) muss regelmäßig neu gemessen werden, um die Wirksamkeit der KI-Lösung zu belegen. Die Dokumentation der Entscheidungen (warum wurde dieses Modell gewählt? warum diese Datenquelle?) ist Teil des Audit-Trail und muss aufbewahrt werden. Bei der Skalierung auf weitere Abteilungen sollte die Checkliste angepasst werden: Jede Abteilung hat andere Daten, andere Compliance-Anforderungen und andere Nutzergruppen. Die Checkliste dient als Rahmen, der für jede Abteilung individuell gefüllt wird.

Timeline: 8 Wochen vom Audit zur Abnahme

Ein 8-Wochen-Pilot für eine interne KI-Wissenssuche in einem Unternehmen mit 201–500 Mitarbeitern im Healthcare- und Medtech-Bereich erfordert eine präzise Planung. Woche 1–2: Prozess-Audit und Datenanalyse. Welche Dokumente sind relevant? Welche Fragen stellen die HR-Mitarbeiter? Welche Fehlerquoten gibt es im Ist-Zustand? Woche 3–4: Infrastruktur-Setup. pgvector auf eigener Hardware (wegen Compliance), Embedding-Modell und LLM-Anbindung. Woche 5–6: Pilotbetrieb. 5–10 Nutzer, Feedback-Sammlung, Genauigkeitsmessung. Woche 7: Feinjustierung. Prompts verbessern, Retrieval-Logik anpassen, Fehler korrigieren. Woche 8: Abnahme und Übergabe. Dokumentation, Schulung, Monitoring-Setup. Der Scope ist fixiert: Ein Use Case (interne Wissenssuche), keine neuen Features während des Piloten. Die Kosten liegen typischerweise zwischen 15.000 und 30.000 EUR, je nach Komplexität und Infrastruktur.

KI-Piloten-Checkliste: Compliance-sichere Wissenssuche in HR und Back Office

Checkliste: 10 Schritte für einen compliance-konformen KI-Piloten

Wartung und Weiterentwicklung der Checkliste

Timeline: 8 Wochen vom Audit zur Abnahme

Kommentare

Leave a Reply Cancel reply

Weitere Beiträge

Kandidatensichtung in der Versicherung: Lokale LLMs statt manueller Datenpflege

KI-Glossar für Logistik und HR: Automatisierung in der Schweiz

RAG-Pilot für interne Knowledge Search in B2B-SaaS: 14-Tage-Plan

Voice-Agent für B2B-Support in Deutschland: ISO 27001-konforme Implementierung