Der Begriff KI im HR umfasst eine breite Palette von Werkzeugen: Systeme, die Stellenanzeigen formulieren und optimieren, aktiv nach passenden Profilen suchen (Sourcing), eingehende Bewerbungen vorsortieren (Screening), Kandidat:innen mit Stellen abgleichen (Matching), Interviews auswerten oder Kennzahlen zur Belegschaft analysieren (People Analytics). Manche dieser Funktionen arbeiten im Hintergrund, tief in eingekaufter HR-Software eingebettet, ohne prominent als „KI“ ausgewiesen zu sein. Genau das macht die nüchterne Bestandsaufnahme zum unverzichtbaren ersten Schritt.
Der Reiz ist offensichtlich: HR-Abteilungen im Mittelstand sind oft schlank besetzt und stehen unter Druck, in einem angespannten Arbeitsmarkt schnell qualifizierte Menschen zu finden und zu binden. KI verspricht, repetitive Arbeit abzunehmen – etwa das Durchsehen hunderter Lebensläufe – und Entscheidungen auf eine breitere Datenbasis zu stellen. Die Kehrseite: Personalentscheidungen greifen unmittelbar in die Lebenschancen von Menschen ein. Fehler, Verzerrungen oder intransparente Automatik wirken sich hier ungleich schwerer aus als etwa bei einem Produktempfehlungssystem im Onlineshop.
Der Personalprozess lässt sich grob als Kette denken: Bedarf und Stellenprofil, Ansprache und Sourcing, Bewerbereingang und Screening, Auswahl und Interviews, Entscheidung und Vertrag, schließlich Onboarding, Entwicklung und Bindung. KI kann heute an nahezu jedem dieser Punkte ansetzen. Im vorderen Teil geht es meist um Effizienz und Reichweite – etwa Formulierungshilfen oder die Suche nach passenden Profilen. Je weiter man in Richtung Auswahl und Entscheidung wandert, desto stärker verschiebt sich der Charakter: Aus einem unterstützenden Werkzeug wird ein System, das über Menschen urteilt.
Diese Verschiebung ist der Schlüssel zum Verständnis der rechtlichen Sensibilität. Ein KI-System, das Textbausteine für eine Stellenanzeige vorschlägt, trägt ein anderes Risiko als ein System, das Bewerbungen automatisiert nach „Eignung“ sortiert. Deshalb betrachten wir in Kapitel 03 die einzelnen Anwendungsfälle differenziert – und ordnen sie bewusst nach ihrer Nähe zur eigentlichen Personalentscheidung.
Kein anderes Anwendungsfeld von KI ist in der DACH-Region so dicht reguliert wie das Personalwesen. Vier Regelungsstränge greifen hier ineinander: der EU AI Act als produkt- und grundrechtsorientierter Rahmen, die DSGVO und das BDSG für den Umgang mit personenbezogenen Daten (in Deutschland speziell im Beschäftigtenkontext), das Allgemeine Gleichbehandlungsgesetz (AGG) als Schutz vor Diskriminierung sowie das kollektive Arbeitsrecht mit der Mitbestimmung des Betriebsrats. Diese Regime verfolgen unterschiedliche Zwecke, überschneiden sich aber im HR-Kontext auf engem Raum. Wer KI im Personalbereich einsetzen will, muss sie zusammendenken – und die konkrete Ausgestaltung fachjuristisch absichern.
Der AI Act folgt einem risikobasierten Ansatz: Je stärker ein KI-System Gesundheit, Sicherheit oder Grundrechte berühren kann, desto höher die Anforderungen. Personalentscheidungen berühren Grundrechte im Kern – den Zugang zu Erwerbsarbeit, das Diskriminierungsverbot, die informationelle Selbstbestimmung. Deshalb hat der Gesetzgeber den HR-Bereich nicht dem Zufall überlassen, sondern in den Anhang III aufgenommen, der die Bereiche für Hochrisiko-KI konkretisiert.
Anhang III des AI Act nennt nach aktuellem Stand unter anderem KI-Systeme, die für die Einstellung und Auswahl natürlicher Personen eingesetzt werden – etwa zur gezielten Platzierung von Stellenanzeigen, zur Analyse und Filterung von Bewerbungen und zur Bewertung von Kandidat:innen. Ebenso erfasst sind nach aktuellem Stand Systeme, die im bestehenden Arbeitsverhältnis über Beförderung und Kündigung mitentscheiden, Aufgaben zuteilen oder Leistung und Verhalten überwachen und bewerten. Damit deckt Anhang III genau jene Anwendungen ab, die im HR am verlockendsten erscheinen – von der Vorauswahl bis zur Leistungsbeurteilung.
Ob ein konkretes System tatsächlich als Hochrisiko einzustufen ist, hängt von seiner genauen Zweckbestimmung und Funktionsweise ab. Der AI Act sieht nach aktuellem Stand in bestimmten Konstellationen Einschränkungen vor – etwa wenn ein System nur eine eng begrenzte, vorbereitende Aufgabe erfüllt und das Ergebnis menschlicher Entscheidungen nicht wesentlich beeinflusst. Wo genau diese Grenze verläuft, ist juristisch anspruchsvoll und im Einzelfall mit einer Fachjurist:in zu klären. Grundsätzlich gilt: Im HR-Bereich sollte man eher von einer Hochrisiko-Vermutung ausgehen und diese sorgfältig prüfen, statt sie vorschnell zu verneinen.
Ist ein HR-System als Hochrisiko einzustufen, greift nach aktuellem Stand ein umfangreiches Pflichtenprogramm des AI Act. Beim Anbieter – also der Stelle, die das System entwickelt oder unter eigenem Namen in Verkehr bringt – liegt die Hauptlast: Risikomanagement, Daten-Governance, technische Dokumentation, Protokollierung, menschliche Aufsicht, Robustheit sowie eine Konformitätsbewertung. Der Betreiber – also das Unternehmen, das die HR-Software einsetzt – trägt eigene Betriebspflichten, etwa die Nutzung gemäß den Anbieter-Vorgaben, die Sicherstellung menschlicher Aufsicht und in bestimmten Fällen Informationspflichten gegenüber betroffenen Personen. Die meisten Mittelständler sind hier Betreiber. Die genaue Verteilung dieser Verantwortlichkeiten vertiefen wir in Kapitel 09.
Beim Sourcing unterstützt KI die aktive Suche nach Kandidat:innen. Das ist zunächst ein Effizienzthema – doch schon hier lauert eine Falle: Wenn ein System aus historischen Einstellungsdaten lernt, welche Profile „erfolgreich“ waren, reproduziert es womöglich vergangene Muster und blendet Gruppen aus, die bislang unterrepräsentiert waren. Der scheinbar neutrale Algorithmus zementiert dann bestehende Ungleichheiten, statt den Bewerberpool zu verbreitern.
Beim Screening wird es deutlich sensibler. Ein System, das hunderte Bewerbungen in Sekunden vorsortiert, trifft de facto eine Vorauswahl. Formal mag ein Mensch am Ende entscheiden – praktisch aber sieht dieser Mensch oft nur noch die von der KI nach oben sortierten Kandidat:innen. Wer nie in die Auswahl gelangt, hat keine Chance. Deshalb ist gerade das Screening ein Anwendungsfall, bei dem die Frage nach echter menschlicher Aufsicht (Kapitel 07) besonders drängend wird.
Matching-Systeme geben oft eine konkrete Passungszahl aus – etwa eine Prozentangabe zur Übereinstimmung von Profil und Stelle. Diese Zahlen wirken objektiv und präzise, verdecken aber die dahinterliegende Unsicherheit. Eine Passung von scheinbar hoher Genauigkeit kann auf lückenhaften oder verzerrten Daten beruhen, auf Schlüsselwort-Abgleich statt echter Eignungsbewertung. Die Gefahr besteht darin, dass Entscheider:innen der Zahl mehr vertrauen, als sie verdient – und ihr eigenes Urteil zurückstellen. Verantwortungsvoller Einsatz heißt hier: die Passung als einen Hinweis unter mehreren behandeln, nicht als Urteil.
People Analytics beschreibt die datengestützte Analyse von Belegschaftsdaten. Solange sie auf aggregierter Ebene bleibt – etwa um Muster in Fluktuation oder Weiterbildungsbedarf zu erkennen – ist der Nutzen oft groß und das Risiko überschaubar. Kritisch wird es, wenn die Analyse auf einzelne Beschäftigte heruntergebrochen wird: individuelle Leistungsprognosen, Kündigungswahrscheinlichkeiten oder Verhaltensbewertungen. Hier verschwimmt die Grenze zwischen Analyse und Überwachung, und es berühren sich Datenschutz, Persönlichkeitsrecht und Mitbestimmung zugleich. Solche Anwendungen sollten nie ohne vorherige Klärung von Rechtsgrundlage, Beteiligung des Betriebsrats und fachjuristischer Begleitung eingeführt werden.
Das Allgemeine Gleichbehandlungsgesetz (AGG) verbietet in Deutschland Benachteiligungen unter anderem wegen der ethnischen Herkunft, des Geschlechts, der Religion oder Weltanschauung, einer Behinderung, des Alters oder der sexuellen Identität – und zwar ausdrücklich auch bei der Begründung von Beschäftigungsverhältnissen, also im Bewerbungsverfahren. Entscheidend ist: Das AGG stellt nicht darauf ab, ob eine Benachteiligung von einem Menschen oder einer Maschine ausgeht. Wer ein KI-System einsetzt, das Bewerber:innen einer geschützten Gruppe systematisch benachteiligt, trägt das rechtliche Risiko selbst.
KI-Systeme lernen aus Daten – und Daten spiegeln die Vergangenheit. Wenn ein Unternehmen in der Vergangenheit überwiegend bestimmte Profile eingestellt hat, lernt ein darauf trainiertes System, ähnliche Profile zu bevorzugen. Das ist der Kern des Problems: Ein Algorithmus, der auf historische „Erfolge“ optimiert, reproduziert die impliziten Vorurteile der Vergangenheit, ohne dass jemand dies bewusst beabsichtigt. Man spricht von algorithmischer Verzerrung oder Bias.
Besonders tückisch sind mittelbare Benachteiligungen über sogenannte Stellvertretermerkmale (Proxys). Ein System muss das Geschlecht oder die Herkunft gar nicht direkt kennen, um dennoch danach zu diskriminieren – es genügen korrelierende Merkmale wie Postleitzahl, Lücken im Lebenslauf, bestimmte Vereine oder die Wortwahl in Texten. Solche indirekten Zusammenhänge sind schwer zu erkennen und erfordern gezielte Prüfung. Das Thema wird in der Kategorie „KI-Strategie, Ethik & Compliance“ im Beitrag zu Bias und Fairness vertieft behandelt.
Ein verbreiteter Irrtum lautet, man könne sich hinter der Undurchschaubarkeit eines KI-Systems verstecken: „Wir wissen doch nicht, wie der Algorithmus zu seinem Ergebnis kommt.“ Rechtlich und ethisch trägt das nicht. Wer ein System einsetzt, muss sich vergewissern, dass es nicht diskriminiert – und im Streitfall kann die Beweislastverteilung des AGG dazu führen, dass das Unternehmen darlegen muss, dass keine unzulässige Benachteiligung vorlag. Eine nicht nachvollziehbare Blackbox ist im HR-Kontext daher nicht nur ein ethisches, sondern ein handfestes rechtliches Risiko.
Der AI Act regelt, unter welchen Bedingungen ein KI-System betrieben werden darf. Die DSGVO regelt parallel dazu den Umgang mit personenbezogenen Daten – und beide gelten gleichzeitig. Im HR-Kontext kommt in Deutschland eine Besonderheit hinzu: Der Beschäftigtendatenschutz ist traditionell eigens geregelt, in Deutschland vor allem über §26 BDSG. Diese Norm knüpft die Verarbeitung von Beschäftigtendaten an die Erforderlichkeit für das Beschäftigungsverhältnis – von der Anbahnung über die Durchführung bis zur Beendigung. Zu beachten ist, dass die rechtliche Grundlage des Beschäftigtendatenschutzes in Bewegung ist; einzelne Regelungen stehen fachlich und gerichtlich unter Beobachtung. Die maßgebliche Rechtslage im Einzelfall ist daher mit einer Fachjurist:in zu klären.
Jede Verarbeitung personenbezogener Daten braucht eine tragfähige Rechtsgrundlage. Im Beschäftigtenkontext ist die Einwilligung heikel, weil sie freiwillig sein muss – und Freiwilligkeit im Über-/Unterordnungsverhältnis zwischen Arbeitgeber und Bewerber:in oder Beschäftigten oft in Frage steht. Umso wichtiger sind die Grundsätze der Erforderlichkeit und der Datenminimierung: Ein KI-System darf nicht mehr Daten verarbeiten, als für den konkreten, legitimen Zweck nötig ist. Gerade People-Analytics-Systeme neigen dazu, „auf Vorrat“ möglichst viele Daten heranzuziehen – das steht im Spannungsverhältnis zu diesen Grundsätzen.
Ein weiterer kritischer Punkt sind besondere Kategorien personenbezogener Daten – etwa Gesundheitsdaten oder Angaben, aus denen sich Herkunft, Religion oder Ähnliches ableiten lässt. Solche Daten unterliegen einem verschärften Schutz. KI-Systeme, die etwa aus Videointerviews Persönlichkeitsmerkmale oder Emotionen ableiten wollen, bewegen sich hier auf besonders dünnem Eis – sowohl datenschutzrechtlich als auch mit Blick auf die verbotenen und hochsensiblen Praktiken des AI Act.
Eine für das HR besonders relevante Vorschrift der DSGVO betrifft automatisierte Entscheidungen im Einzelfall, einschließlich Profiling. Vereinfacht gesagt: Entscheidungen, die einer Person gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen, dürfen nach aktuellem Stand nicht ausschließlich auf einer automatisierten Verarbeitung beruhen – es gibt Ausnahmen, aber der Grundsatz ist streng. Eine vollständig automatisierte Ablehnung von Bewerbungen ohne jede menschliche Beteiligung ist damit ein rechtlich hochriskantes Vorgehen. Diese datenschutzrechtliche Vorgabe verstärkt die Anforderung an menschliche Aufsicht, die auch der AI Act stellt (Kapitel 07).
Verarbeitet ein HR-System personenbezogene Daten in einer Weise, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten der Betroffenen mit sich bringt, kann nach aktuellem Stand eine Datenschutz-Folgenabschätzung erforderlich sein – gerade bei umfangreichem Profiling oder systematischer Bewertung. Sie ist nicht mit dem Risikomanagement des AI Act identisch, ergänzt es aber sinnvoll. Hinzu kommen die Betroffenenrechte: Bewerber:innen und Beschäftigte haben Rechte auf Auskunft, Berichtigung und – in Grenzen – Löschung. Diese Rechte müssen auch dann erfüllbar sein, wenn Daten in KI-Systemen verarbeitet werden. Ob und wie eine Folgenabschätzung im konkreten Fall nötig ist, ist mit Datenschutzbeauftragten und Fachjurist:innen zu klären – dies ist keine Rechtsberatung.
In Deutschland ist die zentrale Grundlage das Betriebsverfassungsgesetz (BetrVG). Ein für KI im HR besonders relevanter Anknüpfungspunkt ist das Mitbestimmungsrecht bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen. Die Rechtsprechung legt „bestimmt“ weit aus: Es genügt in der Regel, dass ein System zur Überwachung objektiv geeignet ist – auf die Absicht des Arbeitgebers kommt es dann nicht an. Viele HR-KI-Systeme erfüllen dieses Kriterium leicht, weil sie Daten über einzelne Beschäftigte erfassen und auswerten.
Für die Praxis heißt das: Sobald ein KI-System geeignet ist, Leistung oder Verhalten von Beschäftigten zu erfassen oder zu bewerten, ist im mitbestimmten Betrieb regelmäßig der Betriebsrat zu beteiligen. Das betrifft nicht nur offensichtliche Überwachungssysteme, sondern auch People-Analytics-Werkzeuge, KI-gestützte Leistungsbewertungen oder Systeme, die im Recruiting Daten über Beschäftigte des eigenen Hauses auswerten. Auch die Einführung von KI-Assistenzsystemen kann je nach Ausgestaltung Beteiligungsrechte auslösen. Ob und in welchem Umfang Mitbestimmung im konkreten Fall greift, ist eine juristische Bewertung, die mit einer Fachjurist:in zu klären ist.
Neben dem klassischen Überwachungstatbestand können weitere Beteiligungsrechte einschlägig sein – etwa bei Fragen der Ordnung des Betriebs, bei Auswahlrichtlinien für Einstellungen und Versetzungen oder bei der Ausgestaltung von Arbeitsabläufen. Für Österreich und die Schweiz gelten eigene Regelungen der Arbeitnehmervertretung, die im jeweiligen Kontext gesondert zu betrachten sind. Der Grundgedanke ist überall ähnlich: Wo KI die Arbeitswelt und die Bewertung von Menschen verändert, sind die Vertretungen der Beschäftigten einzubeziehen.
Aus unserer Projektpraxis ist das wirksamste Instrument die Betriebsvereinbarung. Statt Mitbestimmung als Hindernis zu begreifen, lohnt es sich, sie als Chance zur gemeinsamen, verbindlichen Gestaltung zu nutzen. Eine gute KI-Betriebsvereinbarung regelt typischerweise, welche Systeme zu welchem Zweck eingesetzt werden, welche Daten verarbeitet werden, wie menschliche Aufsicht sichergestellt ist, welche Auswertungen ausdrücklich ausgeschlossen sind und wie Beschäftigte informiert werden. Sie schafft Rechtssicherheit für das Unternehmen und Vertrauen bei der Belegschaft zugleich.
Der AI Act verlangt für Hochrisiko-Systeme ausdrücklich menschliche Aufsicht: Systeme müssen so gestaltet sein, dass Menschen sie wirksam beaufsichtigen können. Die DSGVO verstärkt dies durch die Grenzen für ausschließlich automatisierte Einzelentscheidungen. Und das Diskriminierungsrecht macht deutlich, dass Verantwortung nicht an eine Maschine delegierbar ist. Im HR-Kontext bündeln sich diese Anforderungen zu einem klaren Grundsatz: KI darf im Personalbereich unterstützen, aber nicht allein entscheiden.
Menschliche Aufsicht ist mehr als ein formaler Klick am Ende des Prozesses. Ein Mensch, der eine vom System vorsortierte Rangliste nur noch abnickt, übt keine echte Kontrolle aus – man spricht von einem Rubber-Stamping, einem bloßen Abstempeln. Wirksame Aufsicht setzt voraus, dass die aufsichtsführende Person das Ergebnis tatsächlich hinterfragen, abweichen und übersteuern kann und dies auch tut. Dafür braucht sie drei Dinge: ausreichende Kompetenz, um die Grenzen des Systems zu verstehen; ausreichende Zeit und Informationen, um das Ergebnis zu bewerten; und die reale Befugnis, dem System zu widersprechen.
Praktisch bedeutet das etwa, dass Screening-Ergebnisse nicht als endgültige Sortierung präsentiert werden, sondern als Hinweise, die eine Fachperson bewusst prüft. Es bedeutet, dass auch von der KI niedrig eingestufte Kandidat:innen nicht automatisch aus dem Blick geraten. Und es bedeutet, dass ablehnende Entscheidungen von einem Menschen verantwortet und begründet werden – nicht von einer Zahl.
Menschliche Aufsicht setzt Nachvollziehbarkeit voraus: Wer nicht versteht, warum ein System zu einem Ergebnis kommt, kann es auch nicht sinnvoll hinterfragen. Deshalb ist die Erklärbarkeit von KI-Ergebnissen im HR nicht nur ein technisches Detail, sondern eine Grundvoraussetzung für verantwortungsvollen Einsatz. Betreiber sollten von Anbietern verlangen, dass Ergebnisse in verständlicher Form begründet werden – zumindest so weit, dass eine Fachperson die maßgeblichen Faktoren erkennen kann. Reine Blackbox-Systeme, deren Ergebnisse niemand erklären kann, sind im sensiblen HR-Bereich besonders kritisch zu sehen.
Der Schlüssel liegt in einer KI-Governance, die auf den HR-Bereich zugeschnitten ist. Das bedeutet nicht, eine eigene Abteilung aufzubauen. Für die meisten Mittelständler genügt ein schlankes Rahmenwerk: klare Verantwortlichkeiten, eine verständliche Leitlinie für den KI-Einsatz im HR, ein aktuelles Inventar der eingesetzten Systeme und ein einfacher, aber verbindlicher Freigabeprozess für neue Anwendungen. Wichtig ist, dass HR, IT, Datenschutz und – wo vorhanden – der Betriebsrat an einem Tisch sitzen, statt in Silos zu arbeiten.
Der häufigste Fehler im Mittelstand ist nicht zu viel, sondern zu wenig Struktur: KI-Funktionen schleichen sich unbemerkt in HR-Prozesse ein, weil sie in Software-Updates mitgeliefert werden oder einzelne Mitarbeitende eigenmächtig Tools nutzen (Schatten-KI). Ein einfacher Freigabeprozess setzt dem eine bewusste Entscheidung entgegen: Bevor eine KI-Funktion im HR aktiviert oder ein neues Tool eingeführt wird, durchläuft es eine kurze, standardisierte Prüfung. Diese klärt Zweck, Datenbezug, Risikoeinordnung, Beteiligung des Betriebsrats und die Sicherstellung menschlicher Aufsicht.
Wichtig ist das richtige Maß. Eine überbordende Bürokratie führt dazu, dass Prozesse umgangen werden – und damit ins Gegenteil des Gewünschten. Eine gute HR-KI-Governance ist so schlank wie möglich und so verbindlich wie nötig. Sie orientiert sich am Risiko: Für unkritische Assistenzfunktionen genügt eine leichte Prüfung, für Systeme nahe an der Personalentscheidung braucht es die volle Sorgfalt. Wer bereits Datenschutz-Strukturen oder ein Managementsystem etwa nach ISO/IEC 42001 betreibt, kann darauf aufsetzen, statt bei null zu beginnen. Themen wie KI-Governance im Detail werden in der Kategorie „KI-Strategie, Ethik & Compliance“ in eigenen Beiträgen vertieft.
Der AI Act unterscheidet nach aktuellem Stand zwischen dem Anbieter (Provider), der ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt, und dem Betreiber (Deployer), der es in eigener Verantwortung einsetzt. Beim Hochrisiko-System trägt der Anbieter das umfassende Pflichtenprogramm – von der Konformitätsbewertung bis zur technischen Dokumentation. Der Betreiber hat eigene, anteilige Pflichten, etwa die Nutzung gemäß Vorgaben, die Sicherstellung menschlicher Aufsicht und Informationspflichten. Als HR-Software-Nutzer sind Sie in aller Regel Betreiber – das entlastet Sie, befreit Sie aber nicht.
Eine wichtige Warnung: Unter bestimmten Umständen kann ein Betreiber rechtlich zum Anbieter werden – etwa wenn er ein System unter eigenem Namen vermarktet, dessen Zweckbestimmung wesentlich verändert oder es so umbaut, dass es zum Hochrisiko-System wird. Im HR passiert das schneller als gedacht, etwa wenn ein Unternehmen ein Tool stark anpasst, mit eigenen Modellen kombiniert oder für einen anderen als den vorgesehenen Zweck einsetzt. Wo genau diese Schwelle liegt, ist juristisch heikel und im Zweifel mit einer Fachjurist:in zu klären.
Bei der Auswahl eines HR-KI-Anbieters sollten Sie gezielt nach den Punkten fragen, die Ihre Betreiberpflichten berühren. Aus unserer Beratungspraxis haben sich folgende Fragen bewährt:
