Im Recruiting spart KI die meisten Stunden – und genau hier ist das EU-Recht am strengsten. Ein Tool, das über Nacht 400 Bewerbungen liest und Ihnen die „Top 20“ vorlegt, fühlt sich nach reiner Produktivität an. Nach der KI-Verordnung ist es ein Hochrisiko-System. Nach der DSGVO ist eine automatische Absage eine Entscheidung mit erheblicher Wirkung. Und nach Artikel 5 sollten Sie die Mimik von Bewerbenden auf „Begeisterung“ gar nicht erst auswerten.
Der Markt bewegt sich trotzdem schnell. Workday hat Paradox übernommen, einen Recruiting-Assistenten mit 189 Millionen Bewerbergesprächen (HR Executive), und telefonische Vorab-Interviews per Sprach-KI sind ein wachsender Einsatzbereich bei Personaldienstleistern (a16z). Dieser Beitrag zeigt, was heute unproblematisch ist, was bis zum 2. Dezember 2027 Hochrisiko-Kontrollen braucht, was verboten ist – und wie Sie die Produktivität ohne die Haftung bekommen.
Warum Recruiting „Hochrisiko“ ist
Anhang III Nr. 4 der KI-Verordnung stuft zwei Gruppen von Systemen im Beschäftigungskontext als Hochrisiko ein:
- Einstellung und Auswahl – insbesondere Systeme, um gezielte Stellenanzeigen zu schalten, Bewerbungen zu analysieren und zu filtern und Bewerbende zu bewerten.
- Entscheidungen im Arbeitsverhältnis – Systeme für Beförderung oder Kündigung, für die Zuweisung von Aufgaben anhand von individuellem Verhalten oder persönlichen Merkmalen sowie zur Überwachung und Bewertung von Leistung und Verhalten.
Die Logik ist einfach: Diese Systeme entscheiden über Lebensgrundlagen, und historische Einstellungsdaten tragen historische Verzerrungen in sich. Nach dem Digital Omnibus (Verordnung 2026/1744) gelten die Hochrisiko-Pflichten für Anhang-III-Systeme ab dem 2. Dezember 2027 (AIActo). Das klingt weit weg – bis man bedenkt, dass Beschaffung, Betriebsvereinbarungen und Anbieterwechsel Monate dauern.
Die Termine für HR-Teams auf einen Blick:
- Seit 2. Februar 2025 – EU-Verbot der Emotionserkennung am Arbeitsplatz; KI-Kompetenz für Beschäftigte, die KI nutzen.
- Seit 1. Januar 2026 – in den USA gelten Illinois HB 3773 und Texas TRAIGA für KI in Beschäftigungsentscheidungen.
- Seit 2. August 2026 – Chatbots und Voicebots für Bewerbende müssen in der EU offenlegen, dass sie KI sind.
- 1. Januar 2027 – das überarbeitete, auf Offenlegung ausgerichtete KI-Gesetz in Colorado tritt in Kraft.
- 2. Dezember 2027 – volle Hochrisiko-Pflichten für Recruiting- und HR-Systeme in der EU.
Die Ampel: was erlaubt, was Hochrisiko, was verboten ist
| KI-Einsatz im Recruiting | Status in der EU | Warum |
|---|---|---|
| Stellenbeschreibungen und Interviewfragen entwerfen | Grün – minimales Risiko | Unterstützt Menschen; Formulierungen auf Diskriminierung prüfen |
| FAQ-Chatbot für Bewerbende, Terminkoordination | Grün – Transparenzpflicht | Offenlegen, dass es KI ist (Art. 50) |
| Lebensläufe in ATS-Felder übertragen, ohne Ranking | Gelb – evtl. kein Hochrisiko | Kann „eng begrenzte Verfahrensaufgabe“ nach Art. 6 Abs. 3 sein; Prüfung dokumentieren |
| Bewerbungen für Recruiter zusammenfassen | Gelb | Wird Hochrisiko, wenn es faktisch filtert oder bewertet |
| Gezielte Ausspielung von Stellenanzeigen | Rot – Hochrisiko | Ausdrücklich in Anhang III |
| Bewerbende ranken, filtern oder bewerten | Rot – Hochrisiko | Ausdrücklich in Anhang III |
| Automatische Bewertung von Video- oder Telefoninterviews | Rot – Hochrisiko | Bewertet Bewerbende |
| Emotions- oder „Persönlichkeits“-Ableitung aus Interviews | Schwarz – als verboten behandeln | Art. 5 Abs. 1 lit. f: Emotionserkennung am Arbeitsplatz |
| Herkunft, Religion, Orientierung aus Biometrie ableiten | Schwarz – verboten | Art. 5 Abs. 1 lit. g: biometrische Kategorisierung |
| KI-Leistungsüberwachung von Beschäftigten | Rot – Hochrisiko | Anhang III Nr. 4 lit. b |
Zur Emotionserkennung: Art. 5 Abs. 1 lit. f verbietet sie am Arbeitsplatz und in Bildungseinrichtungen, außer aus medizinischen oder Sicherheitsgründen, und gilt seit dem 2. Februar 2025 (KI-Verordnung, Artikel 5). Das Bewerbungsgespräch ist das Tor zum Arbeitsplatz; wir empfehlen, Emotions-Scoring von Bewerbenden als erfasst zu behandeln und schlicht nicht einzusetzen. Auch außerhalb der EU geht der Trend in diese Richtung – Kasachstans KI-Gesetz, in Kraft seit 18. Januar 2026, verbietet Emotionserkennung ohne Einwilligung (Kursiv).
Anbieter oder Betreiber: Die Rolle bestimmt den Aufwand
| Anbieter (baut oder verkauft das Tool) | Betreiber (der einsetzende Arbeitgeber) | |
|---|---|---|
| Risikomanagement | Risikomanagementsystem (Art. 9) | Bestimmungsgemäße Nutzung; Risiken melden (Art. 26) |
| Daten | Daten-Governance inkl. Prüfung auf Verzerrungen (Art. 10) | Eingabedaten unter eigener Kontrolle relevant und repräsentativ halten |
| Dokumentation | Technische Dokumentation (Art. 11), Gebrauchsanweisung (Art. 13) | Unterlagen des Anbieters vorhalten; eigene Nutzung dokumentieren |
| Protokollierung | Automatische Protokolle eingebaut (Art. 12) | Protokolle mindestens sechs Monate aufbewahren (Art. 26 Abs. 6) |
| Menschliche Aufsicht | Auf Aufsicht ausgelegt (Art. 14) | Kompetente, geschulte Personen mit Befugnis bestimmen (Art. 26 Abs. 2) |
| Genauigkeit und Sicherheit | Art. 15 | Betrieb überwachen; schwerwiegende Vorfälle melden |
| Marktzugang | Qualitätsmanagement, Konformitätsbewertung, CE-Kennzeichnung, Registrierung in der EU-Datenbank | – |
| Betroffene | – | Beschäftigtenvertretung und Beschäftigte vor Einsatz informieren (Art. 26 Abs. 7); Bewerbende informieren (Art. 26 Abs. 11); Entscheidungen auf Anfrage erläutern (Art. 86) |
Die Falle für KMU: Wer seinen eigenen Screening-Workflow baut – etwa einen Prompt, der ein Allzweckmodell Lebensläufe gegen ein Anforderungsprofil bewerten lässt –, kann zum Anbieter eines Hochrisiko-Systems werden (Artikel 25). Dann gelten Konformitätsbewertung und Dokumentationspflichten, die für Softwarehersteller gedacht sind. Bei einem Anbieter zu kaufen, der diese Pflichten übernimmt, ist meist günstiger und sicherer als Improvisieren.
Die DSGVO gilt schon heute – und in Deutschland das AGG
Die Fristen der KI-Verordnung liegen in 2027, aber die DSGVO regelt jeden KI-Kontaktpunkt im Bewerbungsprozess bereits jetzt:
- Art. 22 – automatisierte Entscheidungen. Bewerbende haben das Recht, keiner ausschließlich automatisierten Entscheidung mit erheblicher Wirkung unterworfen zu werden. Eine automatische Absage gehört dazu. Die menschliche Beteiligung muss echt sein: Eine Recruiterin, die jedes KI-„Nein“ abnickt, ist keine Aufsicht.
- Art. 13–14 – Transparenz. Informieren Sie Bewerbende, dass und wofür KI eingesetzt wird, und – wo Art. 22 greift – über die involvierte Logik.
- Art. 35 – DSFA. Die systematische Bewertung von Bewerbenden mit neuer Technologie ist ein klassischer Auslöser für eine Datenschutz-Folgenabschätzung.
- Art. 9 – besondere Kategorien. Gesundheit, Herkunft oder Religion dürfen weder abgeleitet noch als Auswahlsignal genutzt werden.
- Speicherbegrenzung. Legen Sie fest, wie lange Bewerberdaten und KI-Scores nach Abschluss des Verfahrens gespeichert werden.
Hinzu kommt in Deutschland das Allgemeine Gleichbehandlungsgesetz, das Benachteiligungen unter anderem wegen Geschlecht, Alter, Behinderung, ethnischer Herkunft oder Religion verbietet – auch dann, wenn sie aus einem Algorithmus kommen. Ein verzerrtes Ranking ist kein technischer Fehler, sondern ein Haftungsrisiko.
Ein kurzer Blick in die USA
Ein Bundesgesetz zu KI gibt es nicht, aber die Bundesstaaten sind aktiv. Illinois HB 3773 (KI bei Beschäftigungsentscheidungen) und Texas TRAIGA gelten seit dem 1. Januar 2026; Colorado hat sein KI-Gesetz zu einem Offenlegungsregime umgeschrieben, das am 1. Januar 2027 in Kraft tritt (GC AI, Sigma Law). Die Executive Order 14365 vom 11. Dezember 2025 soll Landesgesetze verdrängen, hebt sie aber nicht selbst auf, und Gerichtsentscheidungen dazu gibt es noch nicht (Paul Hastings). Wer in beiden Märkten einstellt, baut auf den strengeren EU-Standard und ergänzt bundesstaatliche Hinweise.
So sieht es in der Praxis aus
Nehmen wir ein Logistikunternehmen mit 60 Beschäftigten im Ruhrgebiet, das das ganze Jahr über Lager- und Fahrpersonal sucht. Jede Stelle bringt einen Stapel Bewerbungen, zwei Recruiterinnen sortieren vormittags, Bewerbende warten tagelang auf Antwort. So kann dasselbe Unternehmen KI auf beiden Seiten der Linie einsetzen:
- Risikoarmes Setup. Ein KI-Assistent beantwortet rund um die Uhr Fragen zu Schichten, Gehaltsbändern und Führerscheinklassen, bucht Interviewtermine in die Kalender der Recruiterinnen und verschickt Erinnerungen. Bewerbungen werden strukturiert ins ATS übernommen. Lesen und entscheiden tun weiterhin Menschen. Pflichten: KI-Hinweis im Chat, Datenschutzinformation, Löschfristen. Was es spart: das manuelle Hin und Her mit Bewerbenden.
- Hochrisiko-Setup. Dasselbe System bewertet zusätzlich jede Bewerbung gegen das Profil und blendet alle unter einem Schwellenwert aus. Jetzt filtert es: Ab Dezember 2027 braucht das Unternehmen die Dokumentation des Anbieters, geschulte Aufsicht, sechs Monate Protokolle, Information von Betriebsrat und Bewerbenden – und schon heute eine DSGVO-Grundlage für das, was faktisch eine automatisierte Absage ist.
Beginnen Sie mit dem risikoarmen Setup und messen Sie, wie viel Zeit es tatsächlich spart, bevor Sie entscheiden, ob Scoring die zusätzlichen Pflichten wert ist. Wenn Sie zum Scoring übergehen, dann bewusst, mit einem Anbieter, der die Anbieterpflichten trägt, und mit einer menschlichen Entscheidung bei jeder Absage.
Praxisleitfaden für KMU
1. Prozess kartieren. Schreiben Sie jeden Schritt von der Stellenanzeige bis zum Angebot auf und markieren Sie, wo KI Daten oder Entscheidungen berührt – auch Funktionen, die Ihr Bewerbermanagementsystem standardmäßig aktiviert hat.
2. KI auf der unterstützenden Seite halten. Die sichersten wertvollen Einsätze helfen Recruitern, statt ihr Urteil zu ersetzen: Anzeigen entwerfen, Fragen von Bewerbenden rund um die Uhr beantworten, Termine koordinieren, Notizen strukturieren.
3. Wenn Sie ranken: sorgfältig einkaufen. Fragen Sie den Anbieter vor Vertragsschluss nach seinem Fahrplan zur KI-Verordnung. Die Antworten trennen seriöse Anbieter von umetikettierten Prompts:
| Frage an den Anbieter | Gute Antwort | Warnsignal |
|---|---|---|
| Wer ist Anbieter im Sinne der KI-Verordnung? | Der Hersteller, mit Plan für Konformitätsbewertung, CE-Kennzeichnung und Registrierung bis Dezember 2027 | „Compliance ist Sache des Kunden“ |
| Wie prüfen Sie auf Verzerrungen? | Dokumentierte Tests über Gruppen hinweg, Ergebnisse für Kunden einsehbar | „Unser Modell ist neutral“ |
| Was enthalten die Protokolle, sind sie exportierbar? | Protokolle je Entscheidung, exportierbar, mindestens sechs Monate | Scores nur im Dashboard |
| Sehen Recruiter Gründe und können sie übersteuern? | Begründung je Kandidat, Übersteuern mit Audit-Trail | Ein einzelner undurchsichtiger Score |
| Enthält das Tool Emotions- oder Persönlichkeitsanalyse? | Nein – oder vollständig abschaltbar | „Engagement“- oder „Begeisterungs“-Scores aus Video |
| Wo werden Bewerberdaten verarbeitet? | EU-Region, AVV nach Art. 28, Liste der Unterauftragsverarbeiter | Unklare Regionen, kein AVV |
| Trainieren Sie mit Daten unserer Bewerbenden? | Nein, vertraglich ausgeschlossen | Opt-out tief in den Einstellungen |
4. Mit Evals auf Verzerrungen testen. Vor dem Start und nach jeder Modell- oder Prompt-Änderung läuft das System gegen einen repräsentativen Testdatensatz; Ergebnisse werden – soweit rechtlich zulässig – zwischen Gruppen verglichen. Ein Tool, das im Durchschnitt „funktioniert“, kann eine Gruppe trotzdem benachteiligen. Wie man solche Testsets aufbaut, zeigt unser Leitfaden zu KI-Evals.
5. Echte menschliche Aufsicht. Benennen Sie die Prüfenden, schulen Sie sie zu den Grenzen des Systems, geben Sie ihnen die Befugnis zum Übersteuern und protokollieren Sie Übersteuerungen. Widersprechen die Prüfenden der KI nie, sollten Sie nachforschen.
6. Bewerbende informieren. Ein Absatz in der Stellenanzeige oder im Bewerbungsformular: was die KI tut, dass ein Mensch entscheidet und wie man eine Erläuterung oder menschliche Prüfung verlangt. KI-Chatbots als KI kennzeichnen (Leitfaden zu Artikel 50).
7. Betriebsrat früh einbinden. Die KI-Verordnung verlangt, Beschäftigtenvertretungen vor dem Einsatz eines Hochrisiko-Systems am Arbeitsplatz zu informieren. In Deutschland bestimmt der Betriebsrat zudem bei technischen Einrichtungen mit, die Verhalten oder Leistung überwachen können (§ 87 BetrVG), und bei Auswahlrichtlinien (§ 95 BetrVG). Eine Betriebsvereinbarung zu KI im Recruiting schafft Klarheit für beide Seiten.
8. Nachweise führen. Eintrag im KI-Verzeichnis, DSFA, Anbieterdokumentation, Aufsichtsprozess, Schulungsnachweise, Protokolle für mindestens sechs Monate. Derselbe Ordner beantwortet Bewerbende, Behörden und Großkunden. Die Datenseite behandelt unser DSGVO-Leitfaden für KI-Assistenten ausführlich.
Typische Fehler
- „Ist doch nur eine Zusammenfassung.“ Lesen Recruiter nur noch die Top-Kandidaten der KI, ist die Zusammenfassung ein Filter – und das System Hochrisiko.
- Selbstgebaute Screening-Prompts. Ein cleverer Prompt über einem Allzweckmodell kann Sie zum Anbieter eines Hochrisiko-Systems machen.
- Emotions- und „Cultural Fit“-Scoring aus Video. In der EU verboten oder nahezu verboten – und wissenschaftlich überall schwach.
- Abnick-Aufsicht. Wer 100 % der KI-Entscheidungen ungeprüft bestätigt, erfüllt weder Art. 22 DSGVO noch Art. 26 KI-Verordnung.
- Standardmäßig aktivierte Funktionen übersehen. Viele Bewerbermanagementsysteme liefern KI-Matching eingeschaltet aus; Ihre Bestandsaufnahme muss das erfassen.
- Bis Dezember 2027 warten. DSGVO, Artikel 5 und Artikel 50 gelten heute, und Verhandlungen mit dem Betriebsrat brauchen Zeit.
Fazit
KI kann dem Recruiting die Fleißarbeit abnehmen – Bewerbende informieren, Termine koordinieren, Informationen strukturieren – und das bei geringem regulatorischem Aufwand. Sobald sie Menschen filtert, rankt oder bewertet, wird sie zum Hochrisiko-System mit echten Pflichten ab dem 2. Dezember 2027, und die DSGVO-Grenzen für automatische Absagen gelten schon jetzt. Emotionsauswertung ist vom Tisch. Wer Aufsicht, Bias-Tests und Transparenz jetzt aufsetzt, behält die Produktivitätsgewinne, wenn die Frist kommt; den Gesamtzeitplan finden Sie im Leitfaden zur KI-Verordnung für KMU.
Lotus Libre entwickelt Recruiting-Assistenten und KI-Agenten, bei denen Menschen die Entscheidung behalten, sowie die Schicht aus Protokollierung, Evals und Governance, die Hochrisiko-Einsätze verlangen. Sie möchten wissen, wo Ihre heutigen Recruiting-Tools stehen? Buchen Sie ein kostenloses 15-Minuten-Audit.
Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. Arbeits- und KI-Recht unterscheiden sich je nach Land; lassen Sie den Einsatz von KI in Personalentscheidungen vorab von einer qualifizierten Rechtsanwältin oder einem Rechtsanwalt prüfen.