Arbeitgeber, die KI im Recruiting einsetzen, müssen unter Umständen zwei große europäische Rahmen zugleich einhalten: die DSGVO und den AI Act.
Sie überschneiden sich, tun aber nicht dasselbe. Den einen einzuhalten bedeutet nicht automatisch, auch den anderen einzuhalten.
Was regelt die DSGVO?
Die DSGVO betrifft die Verarbeitung personenbezogener Daten.
Für Recruiting-KI heißt das Fragen wie:
- Welche Bewerberdaten werden verarbeitet?
- Warum werden sie verarbeitet?
- Was ist die Rechtsgrundlage?
- Sind die Daten erforderlich?
- Wie lange werden sie aufbewahrt?
- Wer erhält sie?
- Werden sie in Drittländer übermittelt?
- Sind Bewerber korrekt informiert?
- Ist eine Datenschutz-Folgenabschätzung erforderlich?
- Greifen die Regeln zur automatisierten Entscheidungsfindung?
Diese Pflichten können gelten, ob die Technologie nun „KI“ heißt oder nicht.
Was regelt der AI Act?
Der AI Act reguliert KI-Systeme und stellt unterschiedliche Regeln auf, je nach Art des Systems und Rolle der Organisation, die es nutzt oder liefert.
Bestimmte KI-Systeme, die für Recruiting oder Auswahl natürlicher Personen bestimmt sind, gelten als hochriskant. Dazu zählen bestimmte Systeme, die Bewerbungen analysieren und filtern und Bewerber bewerten.
Anhang III Nummer 4 reicht über die Einstellung hinaus. Er erfasst auch KI für Entscheidungen über Beförderung und Beendigung, Aufgabenzuweisung sowie Überwachung oder Bewertung der Leistung von Beschäftigten. Ein Arbeitgeber, der seine Recruiting-Werkzeuge in Ordnung bringt, aber ein KI-Tool zur Leistungsmessung oder Überwachung betreibt, ist noch nicht fertig.
Für Hochrisikosysteme gelten detaillierte Anforderungen.
Ist jeder KI-Einsatz im Personalbereich hochriskant?
Nein.
Die Einstufung hängt von Zweckbestimmung und Funktionsweise des Systems ab, und der AI Act enthält Unterscheidungen und Ausnahmen, die sorgfältig zu prüfen sind.
Ein allgemeines KI-Tool zur Grammatikkorrektur einer Stellenanzeige zu nutzen ist nicht dasselbe wie ein KI-System einzusetzen, das Bewerber ranken soll.
Gehen Sie vom tatsächlichen Anwendungsfall aus statt vom Etikett „KI“.
Anbieter oder Betreiber?
Ihre Pflichten nach dem AI Act hängen auch von Ihrer Rolle ab.
Ein Unternehmen, das ein KI-Recruiting-System entwickelt und in Verkehr bringt, kann Anbieter sein.
Ein Arbeitgeber, der ein KI-System unter seiner Aufsicht nutzt, ist häufig Betreiber.
Organisationen können unter bestimmten Umständen jedoch andere oder zusätzliche Verantwortlichkeiten übernehmen, etwa bei wesentlicher Änderung eines Systems oder bei einer Nutzung, die dessen Zweckbestimmung berührt.
Nehmen Sie nicht an, dass der Anbieter jede Pflicht trägt. Nach der DSGVO gehört seine Rolle auch in Ihr Drittanbieter-Dossier.
Wo überschneiden sich DSGVO und AI Act?
Beiden Rahmen geht es um verantwortungsvolle Verarbeitung und wirksame Kontrolle, sie gehen es aber unterschiedlich an.
Wichtige Überschneidungsbereiche:
- Datenqualität
- Transparenz
- Risikobewertung
- Menschliche Aufsicht
- Sicherheit
- Dokumentation
- Rechenschaftspflicht
- Fairness und mögliche Verzerrung
Eine Bewertung kann in die andere einfließen, aber gehen Sie nicht davon aus, dass eine DSFA nach der DSGVO automatisch jede Anforderung des AI Act erfüllt.
Automatisierte Entscheidungen nach der DSGVO
Recruiting-KI kann auch Artikel 22 DSGVO auslösen, wenn eine Entscheidung ausschließlich auf automatisierter Verarbeitung beruht und rechtliche Wirkung entfaltet oder den Bewerber in ähnlicher Weise erheblich beeinträchtigt.
Diese Prüfung bleibt erforderlich, auch wenn das KI-System daneben als hochriskant nach dem AI Act reguliert ist.
Der Zeitplan zählt
Der AI Act trat 2024 in Kraft und gilt nach einem gestuften Zeitplan, und dieser Zeitplan hat sich 2026 verschoben.
Die Hochrisikopflichten für die eigenständigen Systeme des Anhangs III, die Recruiting und Beschäftigung abdecken, sollten ursprünglich ab dem 2. August 2026 gelten. Der Digital Omnibus on AI, Verordnung (EU) 2026/1744, hat dieses Datum auf den 2. Dezember 2027 verschoben. Systeme, die in Produkte eingebettet sind, die bereits unter europäisches Produktsicherheitsrecht fallen, rücken auf den 2. August 2028.
Diese Verschiebung leert den Kalender nicht. Die Transparenzpflichten des Artikels 50 wurden nicht verschoben und gelten seit dem 2. August 2026. Interagieren Bewerber mit einem Recruiting-Chatbot oder erhalten sie KI-generierte Inhalte, sind diese Pflichten also bereits aktiv. Die DSGVO gilt durchgehend in vollem Umfang, unabhängig vom Zeitplan des AI Act.
Die praktische Lesart für Arbeitgeber: Sie haben bis Dezember 2027 Zeit, die Hochrisikoanforderungen für Recruiting-KI zu erfüllen, und keinen Tag zusätzlich bei der Transparenz oder bei dem, was die DSGVO ohnehin verlangte.
Bauen Sie einen Governance-Prozess
Statt getrennte Silos für Datenschutz und KI zu schaffen, können Arbeitgeber einen einzigen Aufnahmeprozess für Recruiting-Technologie einrichten.
Fragen Sie vor der Freigabe eines neuen Werkzeugs:
- Was tut es?
- Verarbeitet es personenbezogene Daten?
- Welche DSGVO-Anforderungen gelten?
- Ist es ein KI-System im Sinne des AI Act?
- Welche Risikoeinstufung hat es?
- Welche Rolle hat unsere Organisation?
- Welche Bewertungen und Dokumentation sind erforderlich?
- Welche menschliche Aufsicht ist vorgesehen?
GDPRWise hilft Organisationen, die DSGVO-Seite dieser Governance aufzubauen, indem Verarbeitungstätigkeiten, Daten, Rechtsgrundlagen, Anbieter und Datenschutzrisiken strukturiert erfasst werden.
GDPRWise erfasst Verarbeitungstätigkeiten, Rechtsgrundlagen, Anbieter und Datenschutzrisiken und liefert Ihnen die DSGVO-Hälfte einer KI-Governance-Prüfung an einem Ort.