Einsatz von KI im Personalwesen

Den Ausgangspunkt bildet die Rolle des Unternehmens unter der KI-Verordnung. Wer eine fertige, am Markt bezogene KI-Lösung im Personalbereich einsetzt, ist in aller Regel Betreiber im Sinne von Art. 3 Nr. 4. Daraus folgen Grundpflichten, die unabhängig von der Risikoeinstufung gelten: Nach Art. 4 müssen Beschäftigte über ausreichende KI-Kompetenz verfügen, also verstehen, wie das Werkzeug funktioniert und wo seine Grenzen liegen. Nach Art. 5 sind verbotene Praktiken strikt zu unterlassen, und nach Art. 50 besteht, soweit einschlägig, eine Transparenzpflicht gegenüber den betroffenen Personen.

Für die Frage, ob ein HR-System als Hochrisiko einzustufen ist, kommt es auf Art. 6 Abs. 2 in Verbindung mit Anhang III Nr. 4 Buchstaben a und b an. Dieser Katalog erfasst zwei große Bereiche: einerseits das Einstellen und Auswählen von Personal, also das Sichten, Filtern und Bewerten von Bewerbungen, andererseits Entscheidungen, die sich auf das laufende Arbeitsverhältnis auswirken – Arbeitsbedingungen, Beförderungen, Kündigungen, die Zuweisung von Aufgaben und die Überwachung von Leistung und Verhalten. Art. 6 Abs. 3 enthält allerdings Ausnahmen. Ein System kann dem Hochrisiko-Status entgehen, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt und das Ergebnis menschlicher Entscheidungen nicht wesentlich beeinflusst. Das ist etwa denkbar, wenn es nur eine eng umrissene prozedurale Aufgabe erledigt oder eine spätere Bewertung lediglich vorbereitet. Eine wichtige Rückausnahme gilt jedoch: Sobald ein System natürliche Personen profiliert, bleibt es stets Hochrisiko.

Ist ein System als Hochrisiko einzustufen, greifen die Betreiberpflichten nach Art. 26. Dazu gehört insbesondere, dass Arbeitnehmervertretung und betroffene Beschäftigte vor der Inbetriebnahme informiert werden (Art. 26 Abs. 7). Die Grundrechte-Folgenabschätzung nach Art. 27 betrifft dagegen nur öffentliche Stellen sowie private Einrichtungen, die öffentliche Dienste erbringen; der normale Arbeitgeber ist davon nicht erfasst. Zeitlich ist zu beachten, dass die eigentlichen Hochrisiko-Pflichten aus Anhang III erst ab dem 2. Dezember 2027 gelten. In der betrieblichen Praxis bedeutet das: KI-Unterstützung beim Formulieren von Stellenanzeigen oder bei der Dienstplanung ist grundsätzlich machbar. Emotionserkennung im Vorstellungsgespräch sollte dagegen unterbleiben, weil sie typischerweise unter das Verbot des Art. 5 fällt.

Vollständig und sofort anwendbar ist das Datenschutzrecht, und zwar unabhängig davon, ob ein System hochriskant ist oder nicht. Die typischen Pflichten lassen sich wie eine Checkliste lesen: Eintrag der Verarbeitung in das Verzeichnis nach Art. 30, Dokumentation der Interessenabwägung bei Stützung auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f, Information von Bewerbern und Beschäftigten nach Art. 13, technische und organisatorische Maßnahmen nach Art. 24 und 32, ein Auftragsverarbeitungsvertrag mit dem KI-Anbieter nach Art. 28, die Absicherung von Übermittlungen in Drittländer nach Art. 44 ff. sowie eine Datenschutz-Folgenabschätzung dort, wo sie erforderlich ist, nach Art. 35.

Bei der Wahl der Rechtsgrundlage ist das Machtungleichgewicht zwischen Arbeitgeber und Beschäftigten zentral. Es spricht gegen die Einwilligung als tragfähige Grundlage und fließt zugleich in die Interessenabwägung ein, weil die Freiwilligkeit im Abhängigkeitsverhältnis zweifelhaft ist. Werden besondere Datenkategorien verarbeitet, etwa Gesundheitsdaten oder Angaben zu Mutterschutz und Elternzeit, ist zusätzlich eine Erlaubnis nach Art. 9 Abs. 2 notwendig. Wie hoch das Risiko tatsächlich ist, hängt stark vom Anwendungsfall ab: Das bloße Erstellen oder Überarbeiten von Texten ist etwas grundlegend anderes als ein KI-Assistent, der Zugriff auf Gehalts- und Leistungsdaten erhält und damit personalrelevante Entscheidungen vorbereitet.

Besondere Aufmerksamkeit verdient Art. 22 DSGVO. Danach haben Betroffene das Recht, nicht ausschließlich automatisierten Entscheidungen unterworfen zu werden, die ihnen gegenüber erhebliche Wirkung entfalten. Für das Personalwesen ist das bei Einstellung, Kündigung und Beförderung von hoher Bedeutung. Eine nur formale, nachträgliche Bestätigung des Maschinenergebnisses – das sprichwörtliche Abnicken – genügt nicht. Die menschliche Überprüfung muss wirklich ergebnisoffen sein und auch zu einem anderen Resultat führen können. Damit das gelingt, verlangen Art. 14 und Art. 26 Abs. 2, dass die prüfenden Personen über angemessene Fachkompetenz, Schulung und Entscheidungsbefugnis verfügen. Hinzu kommt das Black-Box-Problem: Weil die Entscheidungswege vieler Modelle schwer nachvollziehbar sind, werden Erklärbarkeit und Korrekturmöglichkeiten zur Pflicht. Verzerrungen können aus schiefen Trainingsdaten, unterrepräsentierten Gruppen oder schlecht gewählten Zielgrößen entstehen; der Beitrag vergleicht KI mit lernenden Kindern, die Muster aus ihren Vorbildern übernehmen.

Nicht zu vergessen ist die Betriebsverfassung. Die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG greift, wenn ein System objektiv dazu geeignet ist, Verhalten oder Leistung der Beschäftigten zu überwachen. Entscheidend ist die objektive Eignung, nicht die Absicht des Arbeitgebers. § 95 BetrVG kann einschlägig sein, wenn KI in Auswahlrichtlinien einfließt. Eine frühzeitige Beteiligung über § 90 BetrVG ist zu empfehlen, und § 80 Abs. 3 BetrVG erlaubt dem Betriebsrat, Sachverständige hinzuzuziehen. In der Praxis werden Dienstplanwerkzeuge erfahrungsgemäß eher akzeptiert, während ein individuelles Leistungs-Scoring regelmäßig kritisch beurteilt wird.

Die Sanktionsseite unterstreicht, warum sorgfältige Vorbereitung lohnt. Nach der DSGVO drohen Bußgelder von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83). Die KI-Verordnung sieht bis zu 35 Mio. Euro oder 7 % für verbotene Praktiken und bis zu 15 Mio. Euro oder 3 % für sonstige Verstöße vor (Art. 99). Führt der KI-Einsatz zu Diskriminierung, kommen Entschädigungs- und Schadensersatzansprüche nach § 15 AGG hinzu.

Das Fazit des Beitrags fällt differenziert aus: KI im Personalwesen ist möglich, erfordert aber sorgfältige Planung und eine laufende Steuerung. Jeder Einsatz sollte einzeln rechtlich bewertet werden, statt pauschal als erlaubt oder verboten behandelt zu werden. Verantwortung, Dokumentation und menschliche Kontrolle bilden den roten Faden eines datenschutzkonformen Einsatzes.