Einsatz von KI im Personalwesen

Der Einsatz von KI-Tools in Unternehmen nimmt stetig zu. Inzwischen bietet der Markt spezialisierte KI-Tools an, die Personalabteilungen bei ihren Aufgaben unterstützen, z. B. bei der Sichtung zahlreicher Bewerbungen oder bei der Suche nach geeigneten Kandidatinnen und Kandidaten in beruflichen Netzwerken wie LinkedIn oder XING. Dieser Beitrag soll Personalverantwortlichen helfen, sich einen Überblick über die Voraussetzungen und Risiken des KI-Einsatzes zu verschaffen.

Pflichten nach der KI-VO

Zunächst muss sich das Unternehmen bewusst sein, dass es bei Nutzung fertiger KI-Tools grundsätzlich als Betreiber des jeweiligen KI-Systems im Sinne von Art. 3 Nr. 4 KI-VO gilt und daher gewissen Pflichten aus der KI-VO unterliegt. Zu den zentralen Betreiberpflichten gehören:

• Mitarbeitenden die Möglichkeit bieten, KI-Kompetenz aufzubauen (Art. 4 KI-VO),
• keine Anwendung verbotener Praktiken (Art. 5 KI-VO) und
• ggf. Erfüllung von Transparenzpflichten (Art. 50 KI-VO).

Umfang der Pflichten abhängig vom Risiko

Der Umfang der Betreiberpflichten erhöht sich aber risikobasiert, wenn die HR-Abteilung ein sog. Hochrisiko-KI-System einsetzen will. Art. 6 Abs. 1 KI-VO kann bei der Prüfung von KI-Systemen im Personalwesen außer Acht gelassen werden, da dies vor allem KI als Produkt oder Sicherheitsbauteil betrifft. Bei typischen eigenständigen HR-Systemen sind regelmäßig Art. 6 Abs. 2 KI-VO i. V. m. Anhang III Nr. 4 lit. a und b) Dreh- und Angelpunkt:

„Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit

a) KI‑Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten;

b) KI‑Systeme, die bestimmungsgemäß für Entscheidungen, die die Bedingungen von Arbeitsverhältnissen, Beförderungen und Kündigungen von Arbeitsvertragsverhältnissen beeinflussen, für die Zuweisung von Aufgaben aufgrund des individuellen Verhaltens oder persönlicher Merkmale oder Eigenschaften oder für die Beobachtung und Bewertung der Leistung und des Verhaltens von Personen in solchen Beschäftigungsverhältnissen verwendet werden sollen.“

Die Prüfung, ob es sich um ein Hochrisiko-KI-System handelt, ist aber an dieser Stelle noch nicht abgeschlossen, da Art. 6 Abs. 3 KI-VO Ausnahmen sowie Gegenausnahmen hiervon regelt. Zunächst ist zu klären, ob das KI-System ein Profiling natürlicher Personen vornimmt. Ist das der Fall, gilt es nach Art. 6 Abs. 3 Unterabsatz 3 KI-VO stets als Hochrisiko-KI-System. Andernfalls ist das System ausnahmsweise nicht hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt, insbesondere weil es das Ergebnis der Entscheidungsfindung nicht wesentlich beeinflusst. Dafür muss nach Art. 6 Abs. 3 Unterabsatz 2 KI-VO eine der folgenden Bedingungen erfüllt sein:

• das KI‑System ist dazu bestimmt, eine eng gefasste Verfahrensaufgabe durchzuführen;
• das KI‑System ist dazu bestimmt, das Ergebnis einer zuvor abgeschlossenen menschlichen Tätigkeit zu verbessern;
• das KI‑System ist dazu bestimmt, Entscheidungsmuster oder Abweichungen von früheren Entscheidungsmustern zu erkennen, und ist nicht dazu gedacht, die zuvor abgeschlossene menschliche Bewertung ohne eine angemessene menschliche Überprüfung zu ersetzen oder zu beeinflussen oder
• das KI‑System ist dazu bestimmt, eine vorbereitende Aufgabe für eine Bewertung durchzuführen, die für die Zwecke der in Anhang III aufgeführten Anwendungsfälle relevant ist.

Wird ein KI-System als Hochrisiko-KI-System eingestuft, treffen den Betreiber die Pflichten aus Art. 26 KI-VO. Dazu gehört insbesondere, Arbeitnehmervertretungen und betroffene Beschäftigte vor der Inbetriebnahme zu informieren (Art. 26 Abs. 7 KI-VO). Eine Grundrechte-Folgenabschätzung nach Art. 27 KI-VO müssen dagegen nur öffentliche Stellen und private Einrichtungen durchführen, die öffentliche Dienste erbringen.

Bedeutung für die Praxis

Wem die Prüfung zur Hochrisiko-KI-Systemen und den dazugehörigen Pflichten zu kompliziert ist, der kann kurz aufatmen: Die Hochrisiko-Pflichten nach Anhang III gelten erst ab dem 2. Dezember 2027. Dennoch schadet eine gute Vorbereitung nicht, denn aufgeschoben ist nicht aufgehoben.

Für Recruiting und Bewerberauswahl lässt sich zusammenfassend sagen, dass Personalverantwortliche sich durchaus bei der Erstellung von Stellenanzeigen und Terminkoordination durch KI unterstützen lassen können. KI-gestützte Emotionserkennung sollte in Bewerbungsgesprächen nicht eingesetzt werden. Sie fällt im Beschäftigungskontext regelmäßig unter das Verbot des Art. 5 KI-VO. Je mehr das KI-Tool im Personalwesen unterstützt, umso größer werden die zu ergreifenden Pflichten und Prüfungen.

Datenschutz nicht vergessen

Da insbesondere die HR-Abteilung viele personenbezogene Daten verarbeitet, sind die Pflichten aus der DSGVO und dem BDSG unbedingt zu beachten. Hierzu gehören insbesondere:

• Aufnahme der Datenverarbeitung durch das KI-System in das Verarbeitungsverzeichnis (Art. 30 Abs. 1 DSGVO);
• ggf. Dokumentation der Interessenabwägung (Art. 6 Abs. 1 lit. f i. V. m. Art. 5 Abs. 2 DSGVO);
• Erfüllung der Informationspflichten gegenüber Mitarbeitenden und Bewerbern und Bewerberinnen (Art. 13 DSGVO);
• Ergreifen angemessener technischer und organisatorischer Maßnahmen (Art. 24 und 32 DSGVO);
• ggf. Abschluss eines Auftragsverarbeitungsvertrages mit dem KI-Anbieter (Art. 28 DSGVO);
• Gewährleisten eines angemessenen Datenschutzniveaus bei Drittlandsbezug (Art. 44 f. DSGVO);
• ggf. Durchführung einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO).

Die vorgenannten Pflichten bestehen unabhängig davon, ob es sich um ein Hochrisiko-KI-System handelt oder nicht.

Datenschutzanforderungen regelmäßig hoch

Entscheidungen durch Personalverantwortliche haben oft große Auswirkungen auf die Rechte und Freiheiten von Mitarbeitenden. Auch besteht ein Über- und Unterordnungsverhältnis zwischen Arbeitnehmer und Personalverantwortliche auf Seiten des Arbeitgebers. Diese Umstände sind beispielsweise bei der Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO zu berücksichtigen, ebenso bei der Wirksamkeit einer Einwilligung der Beschäftigten in die KI-gestützte Datenverarbeitung, die neben der Informiertheit auch die Freiwilligkeit voraussetzt.

Wenn sensible Daten zur Gesundheit des Mitarbeitenden, Mutterschutz, Elternzeiten oder Ähnliches verarbeitet werden, müssen die besonderen Voraussetzungen von Art. 9 Abs. 2 DSGVO erfüllt sein.

Datenschutzrechtlich macht es auch einen erheblichen Unterschied, ob Personalverantwortliche Claude, ChatGPT und Co. bei der Erstellung von Stellenprofilen, Übersetzung von Texten oder Erstellen von Antworten auf Bewerbungen einsetzen wollen oder ob ein KI-Assistent vollständigen Zugriff auf die Personaldatenbank erhält, um Auswertungen zu Gehältern und Bonusleistungen oder Prognosen zur Mitarbeiterperformance zu erstellen, auf deren Grundlage Personalverantwortliche arbeitsrelevante Entscheidungen treffen. Der geplante Einsatz von KI-Systemen wirkt sich einerseits auf Risikobeurteilungen im Rahmen von Datenschutz-Folgenabschätzung und Transfer Impact Assessment aus. Andererseits beeinflusst er auch die Auswahl der zu ergreifenden technischen und organisatorischen Maßnahmen.

Der Mensch muss Entscheider bleiben

An dieser Stelle sei auch noch einmal auf Art. 22 DSGVO besonders hinzuweisen. Danach hat die betroffene Person das Recht, nicht einer ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhenden Entscheidung unterworfen zu werden, die ihr gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Diese Vorschrift ist insbesondere dann zu prüfen, wenn eine Personalentscheidung ausschließlich oder faktisch maßgeblich automatisiert getroffen wird. Relevante Entscheidungen wären beispielsweise, ob eine Bewerberin oder ein Bewerber eingestellt wird, ob eine Kündigung gegenüber einem Mitarbeitenden ausgesprochen wird oder ob ein Mitarbeitender befördert werden soll. Es genügt also nicht, dass das KI-Ergebnis lediglich durchgelesen und dann von einer natürlichen Person abgezeichnet wird. Eine echte menschliche Prüfung muss vielmehr ergebnisoffen sein. Dies erklärt auch, warum auf dem deutschen Markt übliche HR-Tools explizit damit werben, dass die KI-Assistenten die Entscheidung zwar vorbereiten, aber ein Mensch am Ende die Entscheidung trifft.

Menschliche Aufsicht nach der KI-VO

Im Übrigen ist in Art. 14 KI-VO für Hochrisiko-KI-Systeme ebenfalls klar normiert, „dass [diese] während der Dauer ihrer Verwendung – auch mit geeigneten Instrumenten einer Mensch-Maschine-Schnittstelle – von natürlichen Personen wirksam beaufsichtigt werden können“. Die Vorschrift erläutert anschließend, wie die menschliche Aufsicht auszugestalten ist. Art. 26 Abs. 2 KI-VO verlangt sodann vom Betreiber eines solchen KI-Systems, dass die überwachenden Personen über die erforderliche Kompetenz, Ausbildung und Befugnis verfügen, um die menschliche Aufsicht übernehmen zu können. Das geht weiter als die allgemein in Art. 4 KI-VO geregelte KI-Kompetenz.

Risikofaktor: Blackbox-Phänomen

Bei vielen KI-Systemen ist nur schwer nachvollziehbar, wie sie zu einem bestimmten Ergebnis gelangen. Dieses sogenannte Blackbox-Phänomen ist im Personalwesen besonders problematisch: Bewerberinnen, Bewerber und Beschäftigte müssen darauf vertrauen können, dass Entscheidungen nach sachlichen und diskriminierungsfreien Kriterien getroffen werden. Unternehmen sollten daher nur Systeme einsetzen, deren Ergebnisse ausreichend erklärt, von Menschen überprüft und bei Bedarf korrigiert werden können.

Es sei an dieser Stelle darauf hinzuweisen, dass KI-Systeme mit lernenden Kindern vergleichbar sind: Sie übernehmen Muster aus den Beispielen, die ihnen vorgegeben werden. Anders als Menschen haben sie jedoch keine eigenen Absichten oder Wertvorstellungen. Diskriminierende Ergebnisse können entstehen, wenn die verwendeten Daten bereits Vorurteile enthalten, bestimmte Gruppen unzureichend abbilden oder ungeeignete Zielvorgaben gemacht werden. Vereinfacht gesagt kann eine KI also von uns lernen, diskriminierend zu entscheiden.

In unserem Blogartikel zum Thema „BSI Whitepaper zur Transparenz von KI-Systemen“ werden die Kernaussagen zusammengefasst, wie der Einsatz von KI-Systemen transparent gestaltet werden kann.

Betriebsrat rechtzeitig einbinden

Soweit ein Betriebsrat oder eine sonstige Personalvertretung in der Organisation vorhanden ist, ist deren frühzeitige Einbindung zu bedenken. Eine Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG besteht, wenn das KI-System zur Überwachung von Verhalten oder Leistung objektiv geeignet ist. Eine weitere Zustimmungspflicht ergibt sich zudem aus § 95 Abs. 1 und 2a BetrVG, wenn bei der Aufstellung von Richtlinien über die personelle Auswahl bei Einstellungen, Versetzungen, Umgruppierungen und Kündigungen auch KI eingesetzt werden. Diese Vorschrift sollten Recruiter also im Blick haben. Unabhängig davon kann der Betriebsrat nach § 90 Abs. 1 Nr. 3 BetrVG frühzeitig zu informieren und zu beteiligen sein.

Gemäß § 80 Abs. 3 S. 2 BetrVG kann der Betriebsrat beim Einsatz von KI einen Sachverständigen hinzuziehen.

Wenn eine Schicht- oder Aufgabenplanung mithilfe eines KI-Systems schneller erstellt wird, sind die Chancen einer Zustimmung durch den Betriebsrat wohl nicht so schlecht. Soweit aber KI-Systeme dazu eingesetzt werden sollen, um eine Leistungs- und Produktivitätsbewertung über einzelnen Mitarbeitende zu erstellen, stellt dies eine Leistungs- und Verhaltenskontrolle dar, der Betriebsräte häufig kritisch gegenüberstehen.

Verstöße können teuer werden

Verstößt der KI-Einsatz gegen Vorgaben der KI-VO oder der DSGVO, können Unternehmen Sanktionen drohen:

• Bei schweren Verstößen drohen nach der DSGVO Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (vgl. Art. 83 DSGVO).
• Für verbotene KI-Praktiken sieht die KI-VO sogar Geldbußen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes vor. Für die übrigen Verstöße gegen die KI-VO können bis zu 15 Millionen Euro bzw. 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres verhängt werden (vgl. Art. 99 KI-VO).

Werden Bewerberinnen, Bewerber oder Beschäftigte diskriminiert, kommen zudem Entschädigungs- und Schadensersatzansprüche nach § 15 AGG in Betracht.

Webinar zum Thema KI-Governance

Der Einsatz von KI im Personalwesen ist nicht unmöglich, sollte aber gut geplant und prozessual begleitet sein. Unternehmen, die bereits eine sog. KI-Governance aufgebaut haben und datenschutzrechtlich gut beraten sind, dürfte die rechtssichere Einführung leichter fallen. Wegen der unterschiedlichen Risiken von KI-Systemen sollte der konkrete Einsatz rechtlich im Einzelfall geprüft werden.

Wenn Sie bei den Herausforderungen von KI-VO und praktischer Umsetzung bzw. Einführung von KI-Systemen Unterstützung benötigen, besuchen Sie doch unser Webinar zum Thema „DSGVO und Künstliche Intelligenz“.

Mittwoch, den 28.10.2026
von 09:30 bis 12:00 Uhr

Hier können Sie sich anmelden.

Das Kleingruppenformat bietet praxisnahe Beispiele und Best-Practice-Ansätze für die Umsetzung in Ihrem Unternehmen.