Dürfen Sie ChatGPT oder andere KI-Tools nutzen, um Lebensläufe zu prüfen?

KI-Tools fassen einen Lebenslauf in Sekunden zusammen, vergleichen Erfahrung mit einer Stellenbeschreibung oder helfen, relevante Fähigkeiten zu erkennen. Das ist attraktiv, wenn ein Arbeitgeber Hunderte Bewerbungen erhält.

Aber Lebensläufe in ein KI-Tool zu kopieren bleibt eine Verarbeitung personenbezogener Daten. Bevor Sie das tun, müssen Sie verstehen, was mit diesen Informationen geschieht.

Was genau soll die KI tun?

Es gibt einen erheblichen Unterschied zwischen:

• Den Wortlaut einer allgemeinen Recruiting-Mail verbessern
• Den Lebenslauf eines Bewerbers zusammenfassen
• Einen Lebenslauf mit Stellenkriterien vergleichen
• Bewerber ranken
• Empfehlen, wer eingeladen wird
• Bewerbungen automatisch ablehnen

Je näher das Werkzeug daran kommt, die Entscheidung zu treffen oder zu bestimmen, desto größer das rechtliche und praktische Risiko. Das System allein entscheiden zu lassen führt Sie ins Gebiet der automatischen Ablehnung.

Ein Lebenslauf enthält personenbezogene Daten

Den Dateinamen zu entfernen anonymisiert einen Lebenslauf nicht.

Das Dokument kann enthalten:

• Name
• E-Mail-Adresse
• Telefonnummer
• Berufsverlauf
• Ausbildung
• Ort
• Foto
• Berufliche Mitgliedschaften
• Weitere Informationen, die die Person identifizieren

Es kann sogar sensible Informationen enthalten, die der Bewerber selbst aufgenommen hat.

Behandeln Sie das Hochladen als Offenlegung personenbezogener Daten gegenüber einem Technologieanbieter.

Prüfen Sie zuerst den KI-Anbieter

Klären Sie vor dem Einsatz eines KI-Dienstes mit Bewerberdaten:

• Welches Produkt oder welchen Kontotyp Sie nutzen
• Welche Vertragsbedingungen gelten
• Ob übermittelte Daten gespeichert werden
• Ob sie zum Modelltraining oder zur Verbesserung genutzt werden können
• Wo die Verarbeitung stattfindet
• Welche weiteren Auftragsverarbeiter beteiligt sind
• Welche Sicherheitsmaßnahmen verfügbar sind
• Ob passende Auftragsverarbeitungsbedingungen angeboten werden
• Wie die Löschung funktioniert

Diese Antworten können sich zwischen Verbraucher- und Geschäftsversion desselben Dienstes unterscheiden. Dieselben Fragen gelten für jedes KI-Tool, das personenbezogene Daten berührt, nicht nur für Recruiting-Werkzeuge.

Minimieren Sie, was Sie hochladen

Wollen Sie nur Hilfe beim Erkennen von Fähigkeiten, brauchen Sie dann Name, Adresse, Foto und Kontaktdaten des Bewerbers?

Wahrscheinlich nicht.

Entfernen Sie nach Möglichkeit Informationen, die für die Aufgabe nicht nötig sind.

Denken Sie daran, dass Pseudonymisierung das Risiko senkt, die Information aber personenbezogen und damit voll der DSGVO unterworfen bleibt.

Vertrauen Sie dem Ergebnis nicht blind

KI kann sich irren, Erfahrung falsch verstehen oder Schlüsse ziehen, die der Lebenslauf nicht trägt.

Recruiting-Entscheidungen dürfen nicht auf der Annahme beruhen, eine KI-generierte Zusammenfassung sei zutreffend.

Eine prüfende Person muss die relevanten Quellinformationen nachvollziehen und das Ergebnis hinterfragen können.

Ranken ist etwas anderes als Zusammenfassen

KI für eine neutrale Zusammenfassung zu nutzen bringt bereits DSGVO-Pflichten mit sich.

Sie zu nutzen, um Bewerber zu bewerten, zu ranken oder abzulehnen, wirft zusätzliche Fragen zu Fairness, Transparenz, automatisierter Entscheidungsfindung und womöglich zu den Hochrisikoregeln des europäischen AI Act auf.

Behandeln Sie diese Anwendungsfälle nicht als gleichwertig.

Schaffen Sie eine interne KI-Regel

Beschäftigte müssen wissen, ob sie Bewerberdaten in öffentliche oder generative KI-Tools einfügen dürfen.

Eine einfache KI-Nutzungsrichtlinie kann festlegen:

• Welche KI-Tools freigegeben sind
• Welche Nutzung im Recruiting erlaubt ist
• Welche Informationen nicht hochgeladen werden dürfen
• Welche menschliche Prüfung erforderlich ist
• Welche Sicherheitsanforderungen gelten
• Wie bei Anwendungen mit höherem Risiko eskaliert wird

Ohne eine solche Regel entstehen bei Führungskräften „Schatten-KI“-Prozesse, ohne dass Personalabteilung oder Leitung davon wissen.

Bewerten Sie das Werkzeug vor dem Lebenslauf

Die praktische Regel ist einfach: Testen Sie keinen KI-Recruiting-Ablauf mit echten Bewerberdaten, bevor Sie das Werkzeug bewertet haben.

GDPRWise hilft Organisationen, Dritte und Verarbeitungstätigkeiten zu erfassen, damit neue KI-Werkzeuge im bestehenden DSGVO-Rahmen bewertet statt informell eingeführt werden.