KI im Recruiting: Was AI Act, DSGVO und Betriebsrat verlangen

Viele Personalabteilungen nutzen KI schon, oft ohne es so zu nennen. Das Bewerbermanagementsystem rankt eingehende Lebensläufe nach Passung, ein Matching-Modul schlägt Kandidaten aus dem Talentpool vor, ein Chatbot beantwortet Fragen auf der Karriereseite, und für die Stellenanzeige schreibt ein Sprachmodell den ersten Entwurf.

Rechtlich liegen diese Anwendungen weit auseinander. Der Textentwurf für eine Anzeige ist unkritisch. Ein System, das Bewerbungen filtert oder bewertet, gehört dagegen zu den Hochrisiko-Anwendungen der KI-Verordnung. Dazu kommen die DSGVO, das Allgemeine Gleichbehandlungsgesetz und die Mitbestimmung des Betriebsrats.

Warum Recruiting-KI fast immer Hochrisiko ist

Anhang III Nr. 4 der KI-Verordnung erfasst den Bereich Beschäftigung und Personalmanagement. Unter lit. a fallen KI-Systeme für die Einstellung oder Auswahl von Personen, und zwar ausdrücklich:

• das gezielte Schalten von Stellenanzeigen,
• das Sichten und Filtern von Bewerbungen,
• das Bewerten von Bewerberinnen und Bewerbern.

Lit. b erfasst außerdem Systeme, die über Beförderung, Kündigung oder Aufgabenverteilung mitentscheiden oder Leistung und Verhalten von Beschäftigten überwachen. Eine Übersicht aller Bereiche finden Sie im Ratgeber zu Anhang III und Hochrisiko-KI.

Art. 6 Abs. 3 erlaubt zwar eine Ausnahme für Systeme, die nur eine eng begrenzte Hilfsaufgabe erledigen. Im Recruiting hilft sie selten weiter, denn ein System aus Anhang III, das ein Profiling natürlicher Personen vornimmt, gilt immer als Hochrisiko-System. Wer Lebensläufe nach Eignung sortiert, profiliert.

Nicht erfasst sind Werkzeuge ohne Bewertungsfunktion, etwa eine KI, die Anzeigentexte formuliert, Termine koordiniert oder eingehende Unterlagen nur nach Dokumenttyp ablegt.

Die Rolle des Arbeitgebers: Betreiber, nicht Anbieter

Wer ein fertiges Tool einkauft und nutzt, ist in der Regel Betreiber im Sinne von Art. 3 Nr. 4. Die schwersten Pflichten wie Konformitätsbewertung, technische Dokumentation und CE-Kennzeichnung trägt der Anbieter. Das ändert sich, wenn Sie ein System unter eigenem Namen anbieten oder es so wesentlich verändern, dass es einen neuen Zweck erhält. Dann werden Sie nach Art. 25 selbst zum Anbieter.

Für Betreiber gilt Art. 26. Ab dem 2. Dezember 2027 müssen Arbeitgeber, die Recruiting-KI einsetzen, unter anderem:

• das System nach der Gebrauchsanweisung des Anbieters verwenden,
• die menschliche Aufsicht Personen übertragen, die dafür kompetent, geschult und befugt sind,
• dafür sorgen, dass die Eingabedaten dem Zweck entsprechen, soweit sie diese kontrollieren,
• den Betrieb überwachen und schwerwiegende Vorfälle melden,
• die automatisch erzeugten Protokolle mindestens sechs Monate aufbewahren,
• vor der Inbetriebnahme am Arbeitsplatz die Arbeitnehmervertretung und die betroffenen Beschäftigten informieren (Art. 26 Abs. 7),
• Bewerber darüber informieren, dass ein Hochrisiko-System an der Entscheidung über sie mitwirkt (Art. 26 Abs. 11).

Hinzu kommt Art. 86: Wer von einer Entscheidung betroffen ist, die maßgeblich auf einem solchen System beruht, kann eine Erklärung zur Rolle der KI verlangen. Das deutsche Durchführungsgesetz (KI-MIG) sieht für Verstöße gegen diese Erklärungspflicht bei Systemen aus Anhang III Nr. 4 ein Bußgeld bis 50.000 € vor. Verstöße gegen die Betreiberpflichten aus Art. 26 kann die Aufsicht nach Art. 99 Abs. 4 mit bis zu 15 Mio. € oder 3 % des weltweiten Jahresumsatzes ahnden. Eine Grundrechte-Folgenabschätzung nach Art. 27 brauchen private Arbeitgeber dagegen in der Regel nicht. Sie ist für öffentliche Stellen und private Anbieter öffentlicher Dienstleistungen vorgesehen.

Die vollständige Liste der Betreiberpflichten steht im Ratgeber Betreiberpflichten nach dem EU AI Act.

Was schon heute gilt

Der Stichtag 2027 ist kein Grund zum Abwarten. Einige Regeln sind bereits in Kraft:

• Emotionserkennung ist verboten. Art. 5 Abs. 1 lit. f untersagt seit dem 2. Februar 2025 KI-Systeme, die Emotionen von Personen am Arbeitsplatz ableiten, Ausnahmen gibt es nur aus medizinischen oder Sicherheitsgründen. Video-Interview-Tools, die aus Mimik oder Stimmlage auf Motivation, Stress oder Ehrlichkeit schließen, dürfen nicht eingesetzt werden. Das gilt auch im Bewerbungsverfahren.
• Chatbots müssen sich zu erkennen geben. Seit dem 2. August 2026 verlangt Art. 50 Abs. 1, dass Bewerber erfahren, wenn sie auf der Karriereseite mit einer KI chatten.
• KI-Kompetenz fördern. Nach Art. 4 sollen Unternehmen Maßnahmen ergreifen, damit Recruiter die Grenzen der eingesetzten Systeme kennen. Ein eigenes Bußgeld gibt es dafür nicht, für eine wirksame menschliche Aufsicht ist die Schulung aber Voraussetzung.

DSGVO: Art. 22 setzt die engste Grenze

Für den Datenschutz ist nicht der AI Act maßgeblich, sondern die DSGVO, und die gilt ohne Übergangsfrist.

Keine automatisierte Absage. Art. 22 DSGVO verbietet Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Betroffene erheblich beeinträchtigen. Eine Absage gehört dazu. Seit dem SCHUFA-Urteil des EuGH vom 7. Dezember 2023 (C-634/21) reicht der formale Blick eines Menschen nicht aus: Wenn ein Score die Entscheidung maßgeblich bestimmt, kann schon die Score-Berechnung unter Art. 22 fallen. Recruiter müssen also einen echten Entscheidungsspielraum haben und ihn nachweisbar nutzen, etwa indem sie auch niedrig bewertete Bewerbungen stichprobenartig selbst lesen.

Transparenz. Bewerber müssen nach Art. 13 erfahren, dass und wofür KI eingesetzt wird. Auf Nachfrage haben sie nach Art. 15 Anspruch auf aussagekräftige Informationen über die involvierte Logik.

Datenschutz-Folgenabschätzung. Bewertung von Personen, neue Technologie und ein deutliches Machtgefälle: Bei Recruiting-KI sind mehrere Kriterien für ein hohes Risiko erfüllt. Eine DSFA nach Art. 35 ist deshalb fast immer nötig. Sie lässt sich mit der Dokumentation für den AI Act verbinden, wie der Ratgeber zur KI-Folgenabschätzung zeigt.

Auftragsverarbeitung und Drittland. Viele Recruiting-Plattformen verarbeiten Daten in den USA oder trainieren Modelle mit Kundendaten. Vertrag, Serverstandort und Trainingsnutzung gehören vor den Vertragsschluss auf den Tisch. Für die allgemeinen Datenschutzregeln im Bewerbungsprozess, etwa Rechtsgrundlage, Löschfristen und Talentpool-Einwilligung, gibt es einen eigenen Beitrag zu Datenschutz bei Bewerbungen.

AGG: Verzerrte Daten werden zum Haftungsrisiko

Ein Modell, das mit den Einstellungen der Vergangenheit trainiert wurde, übernimmt deren Muster. Bevorzugte das Unternehmen früher bestimmte Hochschulen, Altersgruppen oder Lebensläufe ohne Lücken, kann die KI das fortschreiben. Für das Allgemeine Gleichbehandlungsgesetz spielt keine Rolle, ob ein Mensch oder eine Software benachteiligt hat.

Gefährlich ist die Beweislastregel in § 22 AGG. Legt ein abgelehnter Bewerber Indizien für eine Benachteiligung vor, muss der Arbeitgeber beweisen, dass keine Diskriminierung vorlag. Ohne Protokolle und ohne Wissen darüber, wie das Tool gewichtet, ist das kaum möglich. Fragen Sie den Anbieter deshalb nach Bias-Tests und Dokumentation, und werten Sie die Auswahlquoten selbst regelmäßig aus.

Betriebsrat: Mitbestimmung vor dem Go-live

Wo es einen Betriebsrat gibt, führt an ihm kein Weg vorbei. Das Betriebsrätemodernisierungsgesetz von 2021 hat die Rechte bei KI ausdrücklich gestärkt:

• § 90 Abs. 1 Nr. 3 BetrVG: rechtzeitige Unterrichtung über den geplanten Einsatz von KI.
• § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmung, sobald das System Verhalten oder Leistung von Beschäftigten überwachen kann. Das trifft bei internen Bewerbungen und Talentpools mit Mitarbeiterprofilen regelmäßig zu.
• § 95 Abs. 2a BetrVG: Auswahlrichtlinien bleiben mitbestimmungspflichtig, auch wenn eine KI sie aufstellt oder anwendet.
• § 80 Abs. 3 BetrVG: Zur Bewertung von KI darf der Betriebsrat einen Sachverständigen hinzuziehen.

In der Praxis landet all das in einer Betriebsvereinbarung. Wie man sie aufbaut, beschreibt der Ratgeber zur KI-Betriebsvereinbarung.

Checkliste für HR-Abteilungen

1. Bestand erfassen: Welche Funktionen im Bewerbermanagement, in Jobbörsen-Tools und Matching-Modulen nutzen KI? Oft steckt sie in Standardsoftware, ohne dass sie gesondert eingekauft wurde.
2. Einstufen: Filtert oder bewertet das System Bewerber? Dann Hochrisiko nach Anhang III Nr. 4. Wertet es Emotionen aus? Dann sofort abschalten.
3. Anbieter prüfen: Gebrauchsanweisung, Bias-Tests, Protokollierung, Serverstandort, Trainingsnutzung, Zeitplan für die Konformität bis Dezember 2027.
4. Menschliche Entscheidung absichern: klare Regel, dass die KI nur vorsortiert, Stichproben im unteren Ranking, Begründungspflicht bei Abweichungen.
5. Informieren: Datenschutzhinweise für Bewerber ergänzen, KI-Chatbot kennzeichnen, Betriebsrat früh einbinden.
6. DSFA durchführen und mit der KI-Dokumentation verbinden.
7. Recruiter schulen: Funktionsweise, Grenzen und typische Verzerrungen des Systems.

Unterstützung durch einen externen KI-Beauftragten

Recruiting-KI berührt gleich vier Rechtsgebiete: KI-Verordnung, DSGVO, AGG und Betriebsverfassung. Ein KI-Beauftragter für das Personalwesen behält den Überblick, prüft Tools vor dem Kauf, bereitet Betriebsvereinbarung und DSFA mit vor und schult die Recruiter. Wenn Sie wissen möchten, welche Ihrer HR-Systeme unter Anhang III fallen und was bis Dezember 2027 zu tun ist, sprechen Sie mit uns über eine Beratung zum EU AI Act.

Häufige Fragen

Ist KI im Recruiting nach dem EU AI Act ein Hochrisiko-System? +

In der Regel ja. Anhang III Nr. 4 lit. a der KI-Verordnung nennt KI-Systeme, die für die Einstellung oder Auswahl von Personen bestimmt sind, ausdrücklich, insbesondere zum gezielten Schalten von Stellenanzeigen, zum Sichten und Filtern von Bewerbungen und zum Bewerten von Bewerbern. Die Ausnahme nach Art. 6 Abs. 3 greift kaum, weil ein System, das Bewerber profiliert, immer als Hochrisiko-System gilt.

Ab wann gelten die Pflichten für KI in der Bewerberauswahl? +

Die Hochrisiko-Pflichten für Systeme aus Anhang III gelten nach dem KI-Omnibus ab dem 2. Dezember 2027. Schon heute gelten das Verbot der Emotionserkennung am Arbeitsplatz (seit 2. Februar 2025) und die Transparenzpflicht für Chatbots nach Art. 50 (seit 2. August 2026). Die DSGVO, das AGG und das Betriebsverfassungsgesetz gelten ohnehin unabhängig vom AI Act.

Darf eine KI Bewerbern automatisch absagen? +

Grundsätzlich nicht. Art. 22 DSGVO verbietet Entscheidungen, die ausschließlich automatisiert getroffen werden und Betroffene erheblich beeinträchtigen, und eine Absage ist eine solche Entscheidung. Nach dem SCHUFA-Urteil des EuGH (C-634/21) reicht es auch nicht, wenn formal ein Mensch entscheidet, aber praktisch immer dem Score folgt. Die KI darf vorsortieren, die Entscheidung muss ein Mensch mit echtem Spielraum treffen.

Muss der Betriebsrat bei KI-Recruiting-Tools zustimmen? +

Meist ja. Ein Tool, das Verhalten oder Leistung von Beschäftigten auswerten kann, fällt unter § 87 Abs. 1 Nr. 6 BetrVG. Legt die KI Auswahlkriterien fest oder wendet sie an, gelten nach § 95 Abs. 2a BetrVG die Regeln für Auswahlrichtlinien. Außerdem muss der Arbeitgeber den Betriebsrat nach § 90 BetrVG rechtzeitig unterrichten, und der Betriebsrat darf einen Sachverständigen hinzuziehen.

Sind Video-Interviews mit KI-Auswertung erlaubt? +

Eine Auswertung von Emotionen aus Mimik oder Stimme ist seit dem 2. Februar 2025 verboten. Art. 5 Abs. 1 lit. f der KI-Verordnung untersagt Emotionserkennung am Arbeitsplatz, und das Bewerbungsverfahren zählt dazu. Erlaubt bleiben zeitversetzte Video-Interviews, die Menschen ansehen, oder eine Transkription ohne Persönlichkeitsbewertung, sofern Datenschutz und Information der Bewerber stimmen.