Künstliche Intelligenz (KI) ist längst im Recruiting angekommen. Bewerbungen werden automatisiert vorsortiert, Lebensläufe analysiert, Kandidaten mit Stellenprofilen abgeglichen oder mit Hilfe von Chatbots durch den Bewerbungsprozess geführt. Was auf den ersten Blick nach Effizienz und einfach klingt, ist rechtlich und organisatorisch deutlich anspruchsvoller.
Recruiting betrifft Menschen in einer sensiblen Situation. Sie bewerben sich um einen Arbeitsplatz, stehen in einem Abhängigkeits- und Erwartungsverhältnis und haben regelmäßig nur begrenzten Einblick, wie ihre Daten verarbeitet und bewertet werden. Werden in diesem Prozess KI-Systeme eingesetzt, treffen Datenschutz, Gleichbehandlung, Arbeitsrecht und die KI-Verordnung direkt aufeinander.
Für Unternehmen bedeutet das: KI im Recruiting ist kein reines IT- oder HR-Thema. Es ist ein Governance-Thema.
KI im Bewerbungsprozess: Wo beginnt das Risiko?
Nicht jedes digitale Bewerbermanagementsystem ist automatisch ein KI-System. Kritisch wird es dann, wenn Systeme nicht nur Daten verwalten, sondern Bewerberdaten analysieren, bewerten, sortieren oder Empfehlungen aussprechen.
Typische Beispiele sind:
- automatisierte CV-Analysen,
- Matching-Systeme zwischen Bewerberprofil und Stellenbeschreibung,
- Ranking- oder Scoring-Funktionen,
- automatisierte Vorauswahl,
- Chatbots im Bewerbungsprozess,
- Tools zur Auswertung von Interviews oder Videoaufnahmen,
- Systeme zur Persönlichkeits-, Verhaltens- oder Eignungsbewertung.
Gerade solche Funktionen können erheblichen Einfluss darauf haben, ob Bewerber überhaupt in die nächste Auswahlrunde kommen. Selbst wenn am Ende formal ein Mensch entscheidet, kann eine vorherige KI-Bewertung die Entscheidung faktisch vorprägen.
Das ist datenschutzrechtlich und organisatorisch relevant.
Datenschutz: Bewerberdaten sind besonders sensibel
Im Recruiting werden zahlreiche personenbezogene Daten verarbeitet: Kontaktdaten, Lebenslauf, Zeugnisse, Qualifikationen, beruflicher Werdegang, Gehaltsvorstellungen, Kommunikationsdaten sowie Informationen, die Rückschlüsse auf Alter, Herkunft, Geschlecht, Gesundheit, Religion oder andere besonders geschützte Merkmale zulassen.
Der Einsatz von KI kann diese Risiken verstärken. Denn KI-Systeme erkennen Muster, bilden Wahrscheinlichkeiten und können auch aus scheinbar neutralen Informationen Rückschlüsse ziehen. Das gilt besonders dann, wenn große Datenmengen ausgewertet oder Bewerber miteinander verglichen werden.
Unternehmen müssen daher prüfen:
- Welche Daten verarbeitet das System?
- Zu welchem Zweck erfolgt die Verarbeitung?
- Ist die Verarbeitung für den konkreten Recruiting-Prozess erforderlich?
- Welche Ergebnisse erzeugt das System?
- Wer sieht diese Ergebnisse?
- Wie werden Bewerber informiert?
- Wie lange werden die Daten gespeichert?
- Welche Rolle spielt das KI-Ergebnis bei der Entscheidung?
Die Grundsätze der DSGVO gelten auch beim Einsatz moderner Recruiting-Tools unverändert: Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht.
Gerade die Rechenschaftspflicht wird in der Praxis häufig unterschätzt. Es reicht nicht aus, ein Tool einzusetzen und darauf zu vertrauen, dass der Anbieter schon alles richtig macht. Das Unternehmen muss nachweisen können, dass der Einsatz des Systems geprüft, bewertet und organisatorisch eingebunden wurde.
KI-Verordnung: Recruiting kann Hochrisiko-Bereich sein
Die KI-Verordnung stuft bestimmte KI-Systeme im Bereich Beschäftigung und Personalmanagement als Hochrisiko-KI ein. Dazu können insbesondere Systeme gehören, die für die Einstellung oder Auswahl natürlicher Personen eingesetzt werden, etwa zur Schaltung zielgerichteter Stellenanzeigen, zur Analyse oder Filterung von Bewerbungen oder zur Bewertung von Kandidaten.
Die besonderen Hochrisiko-Anforderungen für solche Systeme werden nach aktuellem EU-Zeitplan nicht vollständig sofort anwendbar. Für bestimmte Hochrisiko-KI-Systeme in Bereichen wie Beschäftigung, Bildung, kritische Infrastruktur oder Migration nennt die EU-Kommission derzeit den 2. Dezember 2027 als maßgeblichen Anwendungszeitpunkt.
Das bedeutet aber nicht, dass Unternehmen bis dahin abwarten können. Denn viele Vorarbeiten brauchen Zeit: Bestandsaufnahme, Risikobewertung, Datenschutzprüfung, Vertragsprüfung, Anpassung von Datenschutzhinweisen, interne Zuständigkeiten, Schulung der beteiligten Personen und Dokumentation.
Hinzu kommt: Andere Pflichten der KI-Verordnung gelten bereits früher. Die Pflicht zur KI-Kompetenz gilt bereits seit Februar 2025. Transparenzpflichten für bestimmte KI-Systeme gelten nach aktueller EU-Information ab August 2026. Unternehmen sollten daher spätestens jetzt wissen, wo im Recruiting KI eingesetzt wird und welche Rolle diese Systeme im Auswahlprozess spielen.
Menschliche Entscheidung reicht nicht immer aus
Ein häufiger Irrtum ist: „Die KI entscheidet ja nicht allein, am Ende schaut immer noch ein Mensch darauf.“
Das kann richtig sein, reicht aber nicht automatisch aus. Entscheidend ist, ob die menschliche Kontrolle tatsächlich wirksam ist. Können Recruiter oder Führungskräfte das Ergebnis nachvollziehen? Können sie es kritisch hinterfragen? Gibt es klare Vorgaben, wann ein KI-Vorschlag überprüft oder überstimmt werden muss? Wird dokumentiert, wie die Entscheidung zustande gekommen ist?
Wenn ein System Bewerbungen vorsortiert und nur die „besten“ Bewerber sichtbar macht, kann die menschliche Entscheidung bereits erheblich beeinflusst sein. Der Mensch entscheidet dann möglicherweise nur noch innerhalb einer zuvor technisch verengten Auswahl. Deshalb müssen Unternehmen nicht nur das Tool, sondern den gesamten Prozess betrachten.
Diskriminierungsrisiken ernst nehmen
Recruiting ist auch aus Gleichbehandlungssicht sensibel. KI-Systeme können bestehende Muster aus Trainingsdaten übernehmen oder scheinbar neutrale Kriterien verwenden, die bestimmte Gruppen mittelbar benachteiligen. Beispiele sind:
- Lücken im Lebenslauf,
- bestimmte Ausbildungswege,
- Sprachmuster,
- Wohnorte,
- frühere Arbeitgeber,
- Teilzeitbiografien,
- Auslandserfahrung,
- Altersindikatoren,
- Angaben zu Staatsangehörigkeit oder Herkunft.
Nicht jedes dieser Kriterien ist per se unzulässig. Problematisch wird es aber, wenn ein System daraus Bewertungen ableitet, die für die konkrete Position nicht erforderlich oder nicht sachlich gerechtfertigt sind. Unternehmen sollten daher besonders sorgfältig prüfen, welche Bewertungskriterien einfließen und ob diese Kriterien tatsächlich stellenbezogen, erforderlich und diskriminierungsarm sind.
Dienstleister und Tools: Nicht nur auf Anbieterzusagen verlassen
Viele Recruiting-Tools werden von externen Anbietern bereitgestellt. Damit stellen sich zusätzliche Fragen:
- Liegt eine Vereinbarung zur Auftragsverarbeitung vor (inkl. TOM)?
- Wer ist für welche Verarbeitung verantwortlich?
- Werden Daten für eigene Zwecke des Anbieters genutzt?
- Werden Bewerberdaten zum Training von Modellen verwendet?
- Wo werden die Daten gespeichert?
- Welche Unterauftragnehmer gibt es?
- Kommt es zu Drittlandübermittlungen?
- Wie werden Löschung und Export geregelt?
- Welche Informationen stellt der Anbieter zur Funktionsweise des Systems bereit?
Gerade bei KI-Funktionen sollten Unternehmen nicht nur die Marketingbeschreibung des Tools betrachten. Entscheidend sind belastbare Informationen zur tatsächlichen Verarbeitung, zu Rollen, Datenflüssen, Risiken, Kontrollmöglichkeiten und Nachweisen.
Was Unternehmen jetzt konkret tun sollten
Unternehmen müssen ihre Recruiting-Prozesse systematisch überprüfen. Dabei geht es nicht darum, KI pauschal zu vermeiden. Es geht darum, KI bewusst, kontrolliert und nachvollziehbar einzusetzen.
Empfehlenswert sind nachstehende Schritte:
- KI-Bestandsaufnahme im Recruiting durchführen
Welche Tools werden genutzt? Welche Funktionen enthalten KI oder automatisierte Bewertung? Werden Bewerbungen nur verwaltet oder auch analysiert, sortiert, bewertet oder empfohlen? - Zwecke und Rechtsgrundlagen prüfen
Für jeden Einsatz ist klar zu dokumentieren, warum das Tool verwendet wird, welche Daten verarbeitet werden und auf welcher Rechtsgrundlage dies erfolgt. - Datenschutz-Folgenabschätzung prüfen
Bei KI-gestützten Bewertungs- oder Auswahlprozessen kann eine Datenschutz-Folgenabschätzung erforderlich sein. - Bewerberinformationen aktualisieren
Datenschutzhinweise müssen verständlich erklären, welche Daten verarbeitet werden, ob KI oder automatisierte Verfahren eingesetzt werden, welche Zwecke verfolgt werden und welche Rechte Bewerber haben. - Zugriffe beschränken
Nicht jede Information gehört zu jeder Person im Recruiting-Prozess. Führungskräfte sollten nur die Informationen erhalten, die sie für die fachliche Bewerberauswahl benötigen. - Menschliche Kontrolle festlegen
Es ist klar zu regeln, wer KI-Ergebnisse prüft, wie mit Zweifelsfällen umzugehen ist und dass KI-Vorschläge nicht ungeprüft übernommen werden dürfen. - Löschfristen definieren
Bewerberdaten dürfen nicht unbegrenzt im System verbleiben. Für eingestellte und abgelehnte Bewerber sind unterschiedliche Aufbewahrungs- und Löschkonzepte erforderlich. - Verträge und Dienstleister prüfen
Vereinbarungen zur Auftragsverarbeitung, Drittlandübermittlungen, Unterauftragnehmer, Trainingszwecke und Löschmechanismen sollten vor dem Einsatz geprüft und dokumentiert – und umgesetzt – werden. - KI-Kompetenz sicherstellen
Personen, die KI-Systeme im Recruiting einsetzen oder deren Ergebnisse bewerten, benötigen ein grundlegendes Verständnis der Funktionsweise, der Grenzen und der Risiken. - Datenschutzbeauftragten frühzeitig einbinden
Der Datenschutzbeauftragte sollte nicht erst hinzugezogen werden, wenn das Tool bereits eingeführt ist. Seine Einbindung ist besonders wichtig bei der Bewertung von Risiken, Informationspflichten, Datenschutz-Folgenabschätzung, Dienstleistersteuerung und Nachweisdokumentation. Er sollte von Anfang an mit am Tisch sitzen.
Fazit: KI im Recruiting braucht klare Leitplanken
KI kann Recruiting-Prozesse unterstützen und Unternehmen entlasten. Sie kann Bewerbungen strukturieren, Abläufe beschleunigen und HR-Abteilungen bei wiederkehrenden Aufgaben helfen.
Sie darf aber nicht dazu führen, dass Auswahlentscheidungen intransparent, schwer überprüfbar oder diskriminierungsanfällig werden.
Unternehmen dürfen KI im Recruiting nicht isoliert als Effizienzthema betrachten. Entscheidend ist eine saubere Prozessgestaltung: klare Zwecke, geprüfte Rechtsgrundlagen, transparente Information, beschränkte Zugriffe, wirksame menschliche Kontrolle, angemessene Löschfristen und nachvollziehbare Dokumentation.
Gerade im Bewerbungsprozess gilt: Nicht alles, was technisch möglich ist, gehört in einen rechtssicheren und fairen Auswahlprozess.
Wir unterstützen Unternehmen gerne bei der Prüfung bestehender Recruiting-Prozesse, der Bewertung eingesetzter KI-Tools, der Anpassung von Datenschutzhinweisen sowie beim Aufbau geeigneter interner Vorgaben und Nachweise. Sprechen Sie uns gerne an: consulting@AdOrgaSolutions.de
