KI-Verordnung und Dienstplan-Software: Wann automatische Dienstplanung als Hochrisiko-KI gilt

Die KI-Verordnung ist am 1. August 2024 in Kraft getreten und wird gestaffelt anwendbar. Für Dienstplan-Software zählen fünf Termine. Der wichtigste hat sich im Sommer 2026 verschoben: Die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III sollten ursprünglich am 2. August 2026 greifen. Mit der Omnibus-Verordnung (EU) 2026/1744 — vom Europäischen Parlament am 16. Juni 2026 und vom Rat am 29. Juni 2026 angenommen, veröffentlicht am 24. Juli, in Kraft seit 27. Juli 2026 — wurde dieser Termin auf den 2. Dezember 2027 gelegt. Die Anforderungen selbst sind unverändert; nur die Frist hat sich bewegt.

Zwei Punkte der Omnibus-Verordnung sind für Betriebe zusätzlich relevant: Die vereinfachten Pflichten für kleine und mittlere Unternehmen gelten nun auch für kleine Unternehmen mittlerer Kapitalisierung (Small Mid-Caps), und die Pflicht zur KI-Kompetenz wurde abgeschwächt — Anbieter und Betreiber sollen die Kompetenz ihres Personals fördern, statt ein bestimmtes Niveau garantieren zu müssen. Der Kern bleibt: Wer eine KI-Funktion einsetzt, muss wissen, was sie tut.

Die Verordnung gilt nur für KI-Systeme im Sinne von Art. 3 Nr. 1: maschinengestützte Systeme, die mit einem gewissen Grad an Autonomie arbeiten und aus Eingaben ableiten, wie sie Ausgaben — Vorhersagen, Empfehlungen, Entscheidungen — erzeugen. Die Leitlinien der Kommission zur Definition grenzen davon Systeme ab, die ausschließlich vom Menschen festgelegte Regeln anwenden oder klassische mathematische Optimierung ohne Lernkomponente betreiben.

Für die Dienstplanung ist das die entscheidende Weiche. Ein regelbasierter Solver, der Schichten so verteilt, dass Verfügbarkeiten, Qualifikationen, Ruhezeiten und Besetzungsvorgaben eingehalten werden, tut nichts anderes als das, was eine Planerin mit genügend Zeit von Hand täte — nur schneller. Er lernt nichts, er bewertet niemanden, und jede Regel stammt vom Betrieb. Ein System dagegen, das aus der Historie Präferenzen einzelner Personen vorhersagt, ein Zuverlässigkeits- oder Fehlzeitenprofil bildet und die Zuweisung daran ausrichtet, leitet seine Ausgaben aus Daten ab — und ist damit ein KI-System, das zugleich genau die Beschreibung in Anhang III Nr. 4 b) erfüllt.

Art. 6 Abs. 3 sieht Ausnahmen vor, etwa für Systeme, die nur eine eng begrenzte Verfahrensaufgabe erledigen oder eine bereits abgeschlossene menschliche Tätigkeit verbessern. Diese Ausnahmen greifen jedoch nicht, wenn das System natürliche Personen im Sinne der DSGVO profiliert — und genau das ist bei einer Zuweisung nach individuellem Verhalten der Fall. Wer sich auf die Ausnahme berufen will, muss die Einstufung dokumentieren und das System dennoch in der EU-Datenbank registrieren.

Die Verordnung unterscheidet zwischen Anbietern, die ein System entwickeln und in Verkehr bringen, und Betreibern, die es in eigener Verantwortung verwenden. Ein Betrieb, der Dienstplan-Software mit einer Hochrisiko-Funktion einsetzt, ist Betreiber. Seine Pflichten sind überschaubar, aber konkret — und sie ähneln in der Struktur dem, was ein AV-Vertrag nach DSGVO bereits verlangt.

Die Pflicht zur menschlichen Aufsicht ist in der Dienstplanung leichter zu erfüllen als in anderen Anhang-III-Bereichen, weil der Planungsprozess ohnehin eine Freigabe kennt. Entscheidend ist, dass die Freigabe nicht zur Formsache wird: Wer einen automatisch erzeugten Plan jede Woche ungelesen veröffentlicht, übt keine Aufsicht aus. Wie das in einer Betriebsvereinbarung verankert wird, zeigt der Beitrag zur Betriebsvereinbarung zur Dienstplan-Software.

Die schwereren Pflichten treffen den Anbieter: ein Risikomanagementsystem über den gesamten Lebenszyklus (Art. 9), Daten-Governance mit Prüfung auf Verzerrungen (Art. 10), technische Dokumentation (Art. 11), automatische Protokollierung (Art. 12), Transparenz und Betriebsanleitung (Art. 13), Gestaltung für menschliche Aufsicht (Art. 14), Genauigkeit, Robustheit und Cybersicherheit (Art. 15), dazu Konformitätsbewertung, CE-Kennzeichnung und Registrierung in der EU-Datenbank. Für den Betrieb ist das vor allem eine Frage der Auswahl: Ein Anbieter, der bis Dezember 2027 keine Konformitätserklärung für seine Hochrisiko-Funktion vorlegt, darf sie danach nicht mehr in Verkehr bringen — und der Betrieb sie nicht mehr nutzen.

Die praktikable Vorgehensweise ist dieselbe wie beim Auftragsverarbeitungsvertrag: schriftlich fragen, Antworten dokumentieren, im Fragenkatalog an Anbieter mitführen. Fünf Fragen reichen für die Vorprüfung.

Für regelbasierte Systeme gilt die Umkehrung: Ein Anbieter, dessen automatische Planung ausschließlich mit den vom Betrieb hinterlegten Regeln arbeitet und den Plan zur Freigabe vorlegt, sollte genau das schriftlich bestätigen — die Bestätigung ist die Grundlage dafür, dass der Betrieb die Funktion außerhalb des Anwendungsbereichs einordnen darf. Beim Testsieger dieses Dossiers, Aplano, folgt die automatische Planung den im System hinterlegten Verfügbarkeiten, Qualifikationen und Besetzungsregeln, und die Veröffentlichung des Plans bleibt bei der planenden Person; welche Anbieter welche Planungslogik einsetzen, ordnet der Vergleich ein.

Die KI-Verordnung fügt dem deutschen Mitbestimmungsrecht nichts Neues hinzu, sie verdoppelt es. Art. 26 Abs. 7 verlangt die Information der Arbeitnehmervertretung vor der Inbetriebnahme eines Hochrisiko-Systems am Arbeitsplatz „im Einklang mit den Vorschriften und Gepflogenheiten auf Unionsebene und nationaler Ebene“. In Deutschland sind das drei Normen, die seit dem Betriebsrätemodernisierungsgesetz 2021 ausdrücklich KI erfassen: § 90 Abs. 1 Nr. 3 BetrVG verpflichtet den Arbeitgeber, den Betriebsrat rechtzeitig über die geplante Einführung von KI zu unterrichten und mit ihm zu beraten; § 80 Abs. 3 BetrVG stellt klar, dass die Hinzuziehung eines Sachverständigen für KI-Fragen als erforderlich gilt; und § 87 Abs. 1 Nr. 6 BetrVG begründet das erzwingbare Mitbestimmungsrecht bei technischen Einrichtungen, die zur Überwachung geeignet sind — was auf ein System, das Verhalten auswertet, ohne Weiteres zutrifft.

Praktisch heißt das: Die Einführung einer Dienstplan-Software mit lernender Zuweisung ist ohne Betriebsvereinbarung nicht zulässig, und die Betriebsvereinbarung sollte die Betreiberpflichten der Verordnung aufnehmen — wer die Aufsicht ausübt, wie Beschäftigte informiert werden, welche Daten die Zuweisung nutzen darf und welche nicht, wie lange Protokolle aufbewahrt werden. Die Gliederung dafür steht im Beitrag zur Betriebsvereinbarung; die Rolle des Betriebsrats im Einführungsprojekt insgesamt beschreibt die Seite Einführung & Betriebsrat.

Die Verschiebung auf Dezember 2027 ist kein Grund zu warten, sondern die Gelegenheit, die Einstufung ohne Zeitdruck zu klären. Drei Schritte sind in der Reihenfolge sinnvoll. Erstens die Inventur: Welche Funktionen der eingesetzten oder geplanten Software leiten Ausgaben aus Daten ab, und welche davon nutzen personenbezogene Verhaltens- oder Leistungsdaten? Diese Liste ist die Grundlage für alles Weitere. Zweitens die bereits geltenden Pflichten: KI-Kompetenz der Planenden dokumentieren, Chatbot-Kennzeichnung prüfen, jede Form von Emotionserkennung ausschließen. Drittens die Vorbereitung auf 2027: Anbieterzusagen schriftlich einholen, Betriebsvereinbarung ergänzen, DSFA um die KI-Funktion erweitern, Protokollexport vertraglich sichern.

Für die Anbieterauswahl ergibt sich daraus ein klares Kriterium, das in Vergleichstabellen selten steht: Erklärbarkeit der Planungslogik. Ein Betrieb, der auf Nachfrage des Betriebsrats erklären kann, warum eine Person eine Schicht bekommen hat und eine andere nicht, hat die Aufsichtspflicht faktisch erfüllt. Ein Betrieb, der auf ein Modell verweist, das niemand erklären kann, hat sie nicht — unabhängig davon, ob die Funktion formal als Hochrisiko eingestuft ist. Die übrigen Kriterien für die Auswahl stehen im Anforderungskatalog; die Gesamtkosten inklusive Compliance-Aufwand ordnet die Seite Gesamtkosten (TCO) ein.