KI kann Arbeitgebern helfen, Stellenbeschreibungen zu schreiben, Lebensläufe zusammenzufassen, Bewerber zu ranken, Gespräche zu planen und Einstellungsentscheidungen zu unterstützen. Aber Recruiting betrifft Entscheidungen, die das Leben von Menschen stark beeinflussen können.
Das macht KI im Recruiting zu einem wichtigen Feld für die DSGVO wie für den europäischen AI Act.
Beginnen Sie beim Anwendungsfall
„KI im Recruiting einsetzen“ kann sehr Verschiedenes bedeuten.
Beispiele:
- Eine Stellenanzeige entwerfen
- Lebensläufe zusammenfassen
- Fähigkeiten aus Bewerbungen extrahieren
- Bewerber ranken
- Tests auswerten
- Videointerviews auswerten
- Bewerber empfehlen
- Bewerbungen automatisch ablehnen
Das Risiko hängt stark davon ab, was das System tatsächlich tut.
KI zur Verbesserung des Wortlauts einer Stellenanzeige zu nutzen ist etwas ganz anderes, als einen Algorithmus entscheiden zu lassen, wer ein Gespräch bekommt.
Welche personenbezogenen Daten gelangen in das KI-System?
Bestimmen Sie vor dem Einsatz eines KI-Tools, welche Informationen Sie hineingeben wollen.
Ein Lebenslauf kann Namen, Adressen, Berufsverlauf, Ausbildung und weitere personenbezogene Daten enthalten. Er kann auch Fotos oder sensible Informationen enthalten, die der Bewerber selbst ergänzt hat.
Wenden Sie Datenminimierung an.
Lässt sich die Aufgabe ohne identifizierbare Bewerberdaten erledigen, prüfen Sie, ob Sie den vollständigen Lebenslauf überhaupt hochladen müssen. Dieselbe Frage stellt sich, wenn Sie einen Lebenslauf in einen allgemeinen KI-Assistenten einfügen.
Was tut der Anbieter mit den Daten?
Fragen Sie:
- Werden Bewerberdaten gespeichert?
- Wie lange?
- Werden sie zum Training oder zur Verbesserung von Modellen genutzt?
- Wer hat Zugriff?
- Wo findet die Verarbeitung statt?
- Sind weitere Auftragsverarbeiter beteiligt?
- Können die Daten gelöscht werden?
- Welche vertraglichen Schutzvorkehrungen gelten?
Nehmen Sie nicht an, dass ein KI-Tool für vertrauliche Recruiting-Daten geeignet ist, nur weil es bekannt ist. Verarbeitet der Anbieter Bewerberdaten in Ihrem Auftrag, brauchen Sie in der Regel auch einen Auftragsverarbeitungsvertrag.
Nehmen Sie den KI-Anbieter in Ihr Drittanbieter-Dossier auf
Verarbeitet ein externer KI-Anbieter Bewerberdaten, nehmen Sie ihn in Ihr Drittanbieter-Dossier auf. Dokumentieren Sie, was der Anbieter tut, welche Daten er erhält, wo verarbeitet wird, ob weitere Auftragsverarbeiter beteiligt sind und welche vertraglichen und Übermittlungsregelungen gelten.
So wird das KI-Tool wie jeder andere externe Dienstleister behandelt und nicht zum undokumentierten Teil Ihres Recruiting-Prozesses.
Automatisierte Entscheidungsfindung nach der DSGVO
Die DSGVO enthält besondere Regeln für Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche Wirkung entfalten oder Personen in ähnlicher Weise erheblich beeinträchtigen.
Eine vollautomatisierte Entscheidung, einen Bewerber abzulehnen, kann daher ernste Fragen aufwerfen.
Ob ein konkreter Prozess unter diese Regeln fällt, hängt davon ab, wie System und menschliche Beteiligung tatsächlich funktionieren.
Jemanden ans Ende des Prozesses zu setzen löst nichts, wenn diese Person die Empfehlung des Algorithmus einfach übernimmt. Ist das automatisierte Ergebnis faktisch ausschlaggebend und steuert der Mensch keine echte Beurteilung bei, bleibt die Verarbeitung in Artikel 22 DSGVO. Siehe darf KI einen Bewerber automatisch ablehnen? für die praktische Bedeutung.
Auch der AI Act zählt
Der europäische AI Act reguliert KI-Systeme nach ihrem Risiko.
Bestimmte KI-Systeme, die für Recruiting oder Auswahl bestimmt sind, etwa zum Analysieren und Filtern von Bewerbungen oder zum Bewerten von Bewerbern, gelten als hochriskant.
Diese Einstufung bringt erhebliche Pflichten mit sich, und welche davon Sie treffen, hängt davon ab, ob Ihre Organisation als Anbieter, Betreiber oder in einer anderen regulierten Rolle handelt.
Zum Zeitplan: Diese Hochrisikopflichten sollten ab dem 2. August 2026 gelten, aber die Verordnung (EU) 2026/1744 hat dieses Datum für die eigenständigen Systeme des Anhangs III, die das Recruiting abdecken, auf den 2. Dezember 2027 verschoben. Die Transparenzpflichten des Artikels 50 wurden nicht verschoben und gelten jetzt. Siehe DSGVO und AI Act im Recruiting für das Zusammenspiel beider Rahmen.
Verzerrung und Genauigkeit
KI-Systeme können Muster in den genutzten Daten und Kriterien reproduzieren oder verstärken.
Ein Arbeitgeber prüft daher:
- Ob die Kriterien stellenrelevant sind
- Ob die Ergebnisse zutreffen
- Ob bestimmte Gruppen benachteiligt werden können
- Wie Fehler erkannt werden können
- Wie Bewerber Entscheidungen anfechten können
- Ob prüfende Personen die Grenzen des Systems verstehen
Die DSGVO-Grundsätze der Richtigkeit und Fairness gelten weiter, auch wenn Software die Verarbeitung ausführt.
Bewerten Sie vor dem Einsatz
Je nach Art und Risiko der Verarbeitung kann eine Datenschutz-Folgenabschätzung nach der DSGVO erforderlich sein.
Führen Sie sie vor dem Einsatz durch, nicht erst nach Beschwerden.
Die Konformität mit dem AI Act kann zusätzliches Risikomanagement, Dokumentation, menschliche Aufsicht und weitere Maßnahmen verlangen.
KI soll einen gesteuerten Prozess stützen
Die richtige Frage lautet nicht „Kann KI uns Zeit sparen?“
Sie lautet:
Können wir dieses konkrete System für diese konkrete Recruiting-Aufgabe rechtmäßig, transparent und gesteuert einsetzen?
GDPRWise hilft Organisationen, die personenbezogenen Daten, Anbieter, Zwecke und Risiken ihrer Verarbeitungstätigkeiten zu erfassen und so eine strukturierte DSGVO-Grundlage zu haben, wenn neue Werkzeuge wie KI eingeführt werden.
GDPRWise erfasst Ihre Verarbeitungstätigkeiten und externen Anbieter, damit ein neues Recruiting-KI-Tool dokumentiert und bewertet statt still hinzugefügt wird.