Künstliche Intelligenz im Personalwesen: Zwischen Effizienzgewinn, Datenschutz und unternehmerischer Verantwortung

Wie Unternehmen KI im Recruiting und Personalmanagement rechtskonform einsetzen und welche Anforderungen durch die EU-KI-Verordnung entstehen
Künstliche Intelligenz verändert die Arbeitsweise von Personalabteilungen. Bewerbungsunterlagen können automatisiert ausgewertet, Stellenprofile erstellt, Personalentwicklungsmaßnahmen vorbereitet und administrative Abläufe beschleunigt werden. Was zunächst nach einer technologischen Erleichterung klingt, wirft jedoch grundlegende Fragen auf: Wie zuverlässig sind algorithmische Bewertungen? Wer trägt die Verantwortung für fehlerhafte Empfehlungen? Und welche rechtlichen Grenzen gelten, wenn KI-Systeme Entscheidungen über Menschen beeinflussen?
Insbesondere im Personalwesen treffen technologische Möglichkeiten auf sensible personenbezogene Daten und Entscheidungen mit erheblichen Auswirkungen auf die berufliche Zukunft von Beschäftigten und Bewerbern.
Mit der europäischen KI-Verordnung (EU) 2024/1689, dem sogenannten AI Act, entstehen zusätzliche regulatorische Anforderungen. Gemeinsam mit der Datenschutz-Grundverordnung (DSGVO), dem Allgemeinen Gleichbehandlungsgesetz (AGG) und dem Betriebsverfassungsrecht bilden sie einen Rechtsrahmen, den Unternehmen bei der Einführung und Nutzung entsprechender Systeme berücksichtigen müssen.

1. Nicht jede KI-Anwendung ist gleich riskant
Bei der rechtlichen Bewertung kommt es nicht allein darauf an, ob eine Software künstliche Intelligenz verwendet. Entscheidend sind vielmehr ihr vorgesehener Einsatzzweck, ihre Funktionsweise und ihr Einfluss auf betroffene Personen.
Wird beispielsweise ein KI-Assistent zur sprachlichen Überarbeitung einer Stellenanzeige eingesetzt, entstehen grundsätzlich andere Risiken als bei einem System, das Bewerbungen eigenständig bewertet und eine Rangfolge geeigneter Kandidaten erstellt.
Die EU-KI-Verordnung unterscheidet deshalb verschiedene Risikokonstellationen. Nach Art. 6 Abs. 2 in Verbindung mit Anhang III Nr. 4 können insbesondere KI-Systeme im Bereich der Personalauswahl, Leistungsbewertung, Aufgabenverteilung oder bei Entscheidungen über Beschäftigungsverhältnisse als Hochrisiko-KI-Systeme einzustufen sein.
Eine solche Einstufung ist allerdings nicht für jede KI-Unterstützung zwingend. Art. 6 Abs. 3 der Verordnung enthält eng begrenzte Ausnahmen, etwa für bestimmte vorbereitende Tätigkeiten, sofern die gesetzlichen Voraussetzungen erfüllt sind und keine erhebliche Gefährdung der geschützten Rechtsgüter vorliegt. Führt ein unter Anhang III fallendes System Profiling natürlicher Personen durch, ist es nach dieser Vorschrift stets als Hochrisiko-KI-System einzustufen.
Für Unternehmen bedeutet dies: Die Auswahl einer KI-Lösung sollte nicht mit einer Produktentscheidung beginnen, sondern mit einer strukturierten Bewertung des geplanten Anwendungsfalls.

2. Der Arbeitgeber bleibt für den KI-Einsatz verantwortlich
Ein verbreitetes Missverständnis besteht darin, dass sich Unternehmen durch den Einsatz externer KI-Dienstleister von ihrer eigenen Verantwortung lösen könnten.
Die KI-Verordnung unterscheidet unter anderem zwischen Anbietern und Betreibern von KI-Systemen. Unternehmen, die eine bestehende KI-Lösung unter eigener Verantwortung einsetzen, nehmen regelmäßig die Betreiberrolle nach Art. 3 Nr. 4 KI-VO ein.
Damit gehen abhängig von der Risikoeinstufung unterschiedliche Pflichten einher. Bei Hochrisiko-KI-Systemen können insbesondere Anforderungen an die bestimmungsgemäße Nutzung, menschliche Aufsicht, Überwachung des Betriebs und den Umgang mit Risiken relevant werden.
Die gesetzlichen Betreiberpflichten nach Art. 26 KI-VO umfassen unter anderem die Verpflichtung, geeignete technische und organisatorische Maßnahmen für eine ordnungsgemäße Nutzung zu treffen.
Auch wenn der Softwareanbieter die technische Funktionsfähigkeit gewährleistet, verbleiben wesentliche organisatorische Verantwortlichkeiten beim einsetzenden Unternehmen.
Das betrifft insbesondere die Festlegung zulässiger Verwendungszwecke, die Berechtigungsvergabe und die Kontrolle der Ergebnisse.

3. Datenschutz beginnt bereits bei der Auswahl des Systems
Personalabteilungen verarbeiten zahlreiche personenbezogene Informationen. Dazu gehören Kontaktdaten, berufliche Qualifikationen, Gehaltsinformationen, Leistungsbeurteilungen und gegebenenfalls Gesundheitsdaten.
Die Übermittlung solcher Informationen an einen KI-Dienst kann eine eigenständige datenschutzrechtlich relevante Verarbeitung darstellen.
Bereits vor der Einführung ist deshalb zu prüfen, auf welche Rechtsgrundlage sich die Datenverarbeitung stützen lässt. Neben Art. 6 DSGVO sind im Beschäftigungskontext insbesondere die einschlägigen arbeitsrechtlichen Datenschutzbestimmungen und § 26 BDSG zu berücksichtigen.
Bei besonderen Kategorien personenbezogener Daten sind zusätzlich die Voraussetzungen des Art. 9 DSGVO zu erfüllen.
Die datenschutzrechtliche Zulässigkeit hängt unter anderem davon ab, ob die Verarbeitung erforderlich, verhältnismäßig, zweckgebunden und hinreichend transparent ist.
Von besonderer Bedeutung sind folgende organisatorische Fragen:

• Welche Beschäftigten- oder Bewerberdaten erhält das KI-System?
• Wo werden diese Daten verarbeitet und gespeichert?
• Werden die eingegebenen Informationen zum Training oder zur Verbesserung von KI-Modellen verwendet?
• Welche Unterauftragnehmer und möglichen Drittlandübermittlungen sind beteiligt?
• Wie werden Zugriffsrechte, Aufbewahrungsfristen und Löschung umgesetzt?
• Ist eine Datenschutz-Folgenabschätzung erforderlich?

Abhängig von der konkreten Vertrags- und Verarbeitungskonstellation kann außerdem eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich sein.
Bei Drittlandübermittlungen müssen die Voraussetzungen der Art. 44 ff. DSGVO eingehalten werden.
Die bloße Behauptung eines Softwareanbieters, seine Anwendung sei DSGVO-konform, ersetzt keine eigene Prüfung durch das verantwortliche Unternehmen.

4. Wenn Algorithmen über berufliche Chancen mitentscheiden
Ein besonders sensibler Bereich ist die automatisierte Bewertung von Bewerbern oder Beschäftigten.
KI-Systeme können statistische Zusammenhänge erkennen und Informationen anhand vorgegebener Kriterien gewichten. Dabei besteht jedoch das Risiko, dass ungeeignete Bewertungskriterien, nicht repräsentative Daten oder bereits vorhandene Ungleichheiten zu systematischen Benachteiligungen führen.
Ein Bewerberauswahlsystem könnte beispielsweise bestimmte berufliche Werdegänge bevorzugen, obwohl diese für die tatsächliche Eignung nicht ausschlaggebend sind.
Dabei ist auch das Allgemeine Gleichbehandlungsgesetz zu beachten. Nach §§ 1 und 7 AGG sind Benachteiligungen aus gesetzlich geschützten Gründen grundsätzlich untersagt. Verstöße können unter den Voraussetzungen des § 15 AGG Schadensersatz- und Entschädigungsansprüche auslösen.
Unternehmen sollten deshalb nicht lediglich die technische Genauigkeit eines KI-Systems untersuchen, sondern auch die sachliche Rechtfertigung seiner Bewertungskriterien.
Ein geeignetes Kontrollkonzept muss insbesondere sicherstellen, dass Bewertungen auf arbeitsplatzbezogenen Anforderungen beruhen, mögliche Benachteiligungen erkannt werden können und fehlerhafte Ergebnisse korrigierbar bleiben.
Die Verantwortung für diskriminierungsfreie Personalprozesse lässt sich nicht an einen Algorithmus übertragen.

5. Menschliche Kontrolle darf keine Formalität sein
Art. 22 DSGVO setzt der ausschließlich automatisierten Entscheidungsfindung Grenzen, wenn Entscheidungen rechtliche Wirkungen entfalten oder betroffene Personen in vergleichbarer Weise erheblich beeinträchtigen. Das Gesetz sieht bestimmte Ausnahmen vor, die jedoch an zusätzliche Voraussetzungen geknüpft sind.
Für das Personalwesen kann dies insbesondere bei automatisierten Entscheidungen über Einstellungen, Beförderungen oder andere wesentliche Beschäftigungsbedingungen relevant werden.
Problematisch ist nicht ausschließlich eine vollständig autonom handelnde Software.
Auch ein System, dessen Vorschläge von Personalverantwortlichen grundsätzlich ungeprüft übernommen werden, kann erhebliche rechtliche Schwierigkeiten verursachen.
Der Europäische Gerichtshof hat in seiner Entscheidung vom 7. Dezember 2023 zur automatisierten Bonitätsbewertung (C-634/21) hervorgehoben, dass die maßgebliche Bedeutung eines automatisiert erzeugten Wertes für eine nachgelagerte Entscheidung bei der Anwendung von Art. 22 DSGVO entscheidend sein kann. Das Urteil betraf zwar keinen personalrechtlichen Sachverhalt, verdeutlicht jedoch die Relevanz des tatsächlichen Einflusses algorithmischer Ergebnisse.
Für die betriebliche Praxis folgt daraus eine wesentliche Anforderung: Menschliche Kontrolle muss wirksam ausgestaltet sein.
Personalverantwortliche müssen in der Lage sein, die Bedeutung einer KI-Empfehlung zu beurteilen, sie kritisch zu hinterfragen und unabhängig davon zu entscheiden.
Eine lediglich formelle Freigabe eines automatisiert ermittelten Ergebnisses genügt nicht zwangsläufig.

6. Betriebsverfassungsrechtliche Anforderungen berücksichtigen
In Unternehmen mit Betriebsrat ist dessen Beteiligung frühzeitig zu prüfen.
Nach § 90 Abs. 1 Nr. 3 BetrVG gehört der Einsatz künstlicher Intelligenz ausdrücklich zu den Arbeitsverfahren und Arbeitsabläufen, über deren Planung der Betriebsrat rechtzeitig zu unterrichten ist.
Weitere Mitbestimmungsrechte können insbesondere bestehen, wenn technische Einrichtungen zur Überwachung des Verhaltens oder der Leistung von Beschäftigten geeignet sind (§ 87 Abs. 1 Nr. 6 BetrVG).
Auch beim Einsatz von KI im Zusammenhang mit personellen Auswahlrichtlinien ist § 95 BetrVG zu beachten.
Der Gesetzgeber hat darüber hinaus in § 80 Abs. 3 BetrVG besondere Regelungen zur Hinzuziehung von Sachverständigen beim Einsatz künstlicher Intelligenz vorgesehen.
Eine frühzeitige Abstimmung kann dazu beitragen, unterschiedliche Erwartungen an den Technologieeinsatz zu klären und die Einführung rechtlich wie organisatorisch nachvollziehbar zu gestalten.

7. Welche Anforderungen der KI-Verordnung gelten bereits?
Die Umsetzung der europäischen KI-Verordnung erfolgt zeitlich gestaffelt. Für Unternehmen ist deshalb eine genaue Unterscheidung der gesetzlichen Anwendungszeitpunkte erforderlich.
Bereits seit dem 2. Februar 2025 gelten wesentliche Bestimmungen zu verbotenen KI-Praktiken sowie zur Förderung von KI-Kompetenz.
Zu den verbotenen Anwendungen gehört grundsätzlich der Einsatz von KI-Systemen zur Ableitung von Emotionen natürlicher Personen am Arbeitsplatz. Die Verordnung sieht hierfür eng begrenzte Ausnahmen für medizinische Zwecke und Sicherheitsgründe vor.
Durch die Änderungsverordnung (EU) 2026/1744 wurde zudem Art. 4 KI-VO zur KI-Kompetenz neu gefasst. Anbieter und Betreiber müssen Maßnahmen zur Förderung der KI-Kompetenz der mit KI-Systemen befassten Personen treffen. Eine Garantie für ein bestimmtes individuelles Kompetenzniveau verlangt die Vorschrift ausdrücklich nicht.
Die besonderen Anforderungen für Hochrisiko-KI-Systeme nach Art. 6 Abs. 2 und Anhang III gelten nach der geänderten Verordnung grundsätzlich ab dem 2. Dezember 2027.
Für Hochrisiko-KI-Systeme nach Art. 6 Abs. 1 und Anhang I ist grundsätzlich der 2. August 2028 maßgeblich. Daneben bestehen weitere Übergangsregelungen, die im Einzelfall zu berücksichtigen sind.
Diese zeitlichen Verschiebungen sind jedoch keine allgemeine Freistellung vom geltenden Recht.
Insbesondere die DSGVO, das AGG und einschlägige arbeitsrechtliche Anforderungen sind unabhängig von diesen künftigen Anwendungszeitpunkten zu beachten.

8. KI-Governance als Bestandteil der Unternehmensorganisation
Eine verantwortungsvolle KI-Nutzung lässt sich langfristig nicht allein durch einzelne Arbeitsanweisungen oder technische Sicherheitseinstellungen gewährleisten.
Vielmehr sollte sie in bestehende betriebliche Management- und Kontrollprozesse integriert werden.
Ein systematisches KI-Management kann Unternehmen dabei unterstützen, eingesetzte KI-Anwendungen zu erfassen, Zuständigkeiten festzulegen, Risiken zu bewerten und erforderliche Kontrollmaßnahmen nachvollziehbar zu dokumentieren.
Dabei bietet sich eine organisatorische Verbindung zwischen Datenschutzmanagement, Informationssicherheitsmanagement, Risikomanagement und KI-Governance an.
Die zugrunde liegenden Managementprozesse müssen nicht zwingend mehrfach aufgebaut werden. Bestehende Strukturen können vielmehr unter Berücksichtigung der unterschiedlichen gesetzlichen Anforderungen erweitert werden.
Für die praktische Umsetzung empfiehlt sich ein risikoorientiertes Vorgehen:
1. KI-Anwendungen erfassen: Alle eingesetzten Systeme und ihre konkreten Verwendungszwecke dokumentieren.
2. Risiken klassifizieren: Die rechtliche Einordnung nach der KI-Verordnung und die Auswirkungen auf betroffene Personen prüfen.
3. Datenschutz bewerten: Rechtsgrundlagen, Datenkategorien, Dienstleister und gegebenenfalls erforderliche Folgenabschätzungen untersuchen.
4. Zuständigkeiten definieren: Verantwortliche Personen für Einführung, Freigabe, Betrieb und Kontrolle benennen.
5. Menschliche Aufsicht sicherstellen: Kontroll- und Eingriffsmöglichkeiten verbindlich organisieren.
6. Beschäftigte qualifizieren: Anwendungsbezogene Maßnahmen zur Förderung der KI-Kompetenz durchführen.
7. Wirksamkeit überprüfen: Risiken, Auffälligkeiten und erforderliche Verbesserungen regelmäßig bewerten und dokumentieren.
Ein solches Vorgehen dient nicht nur der Rechtskonformität. Es kann gleichzeitig dazu beitragen, ungeeignete Anwendungen frühzeitig zu erkennen, Verantwortlichkeiten transparenter zu gestalten und die Qualität interner Prozesse zu verbessern.

9. Fazit: Verantwortliche KI-Nutzung ist eine Führungsaufgabe
Künstliche Intelligenz kann Personalabteilungen bei einer Vielzahl administrativer und analytischer Aufgaben unterstützen. Ihr Einsatz ist jedoch besonders sorgfältig zu gestalten, sobald personenbezogene Bewertungen und Entscheidungen über berufliche Entwicklungsmöglichkeiten betroffen sind.
Die rechtliche Herausforderung liegt dabei nicht ausschließlich in der eingesetzten Technologie. Entscheidend ist, wie Unternehmen deren Ergebnisse verwenden, welche Kontrollen vorgesehen sind und ob die Verantwortlichkeiten eindeutig geregelt wurden.
Die europäische KI-Verordnung erweitert die bestehenden Anforderungen um ein risikobasiertes Regelwerk. Datenschutzrecht, Antidiskriminierungsrecht und betriebliche Mitbestimmung bleiben dabei eigenständig relevant.
Unternehmen sollten die verbleibenden Übergangsfristen deshalb nutzen, um bestehende KI-Anwendungen zu überprüfen und geeignete Governance-Strukturen aufzubauen.
Eine leistungsfähige KI ist noch keine verlässliche Personalentscheidung. Erst durch nachvollziehbare Prozesse, wirksame menschliche Kontrolle und klare Verantwortlichkeiten wird aus technologischem Potenzial ein beherrschbarer betrieblicher Einsatz.

Quellenverzeichnis (APA 7)
Bundesrepublik Deutschland. (1972). Betriebsverfassungsgesetz (BetrVG) (in der geltenden Fassung). https://www.gesetze-im-internet.de/betrvg/BJNR000130972.html
Bundesrepublik Deutschland. (2006). Allgemeines Gleichbehandlungsgesetz (AGG) (in der geltenden Fassung). https://www.gesetze-im-internet.de/agg/BJNR189710006.html
Bundesrepublik Deutschland. (2017). Bundesdatenschutzgesetz (BDSG), insbesondere § 26 (in der geltenden Fassung). https://www.gesetze-im-internet.de/bdsg_2018/__26.html
Europäisches Parlament & Rat der Europäischen Union. (2016). Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutz-Grundverordnung). https://eur-lex.europa.eu/legal-content/DE/ALL/?uri=CELEX:32016R0679
Europäisches Parlament & Rat der Europäischen Union. (2024). Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-Verordnung; konsolidierte Fassung vom 27. Juli 2026). https://eur-lex.europa.eu/eli/reg/2024/1689/2026-07-27/eng
Europäisches Parlament & Rat der Europäischen Union. (2026). Verordnung (EU) 2026/1744 vom 8. Juli 2026 zur Änderung der Vorschriften über künstliche Intelligenz (Digital-Omnibus-Verordnung zur KI). https://eur-lex.europa.eu/eli/reg/2026/1744/oj?locale=de
Gerichtshof der Europäischen Union. (2023, 7. Dezember). Urteil in der Rechtssache C-634/21, SCHUFA Holding (Scoring), ECLI:EU:C:2023:957. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0634

Rechtsstand: 18. Oktober 2026. Der Beitrag vermittelt allgemeine rechtliche und organisatorische Anforderungen. Die Bewertung einzelner KI-Systeme hängt von deren konkreter Funktionsweise, Einsatzumgebung und rechtlicher Einordnung ab.