Künstliche Intelligenz (KI) ist in der HR angekommen: So werden im Recruiting die Bewerbungen automatisch vorsortiert, Chatbots beantworten Mitarbeiterfragen, und People-Analytics-Tools werten Leistungs- und Kommunikationsdaten aus. Für Personalverantwortliche stellt sich damit die Frage, wie sie die KI rechtssicher einsetzen können. Der rechtliche Rahmen steckt dafür der europäische AI-Act (KI-Verordnung). Im Juli 2026 hat die EU mit dem sogenannten Digitalen-Omnibus-Verfahren ein Legislativpaket geschnürt, das genau diese Verordnung vereinfachen und aktualisieren soll. Ziel ist es, Klarheit und Planungssicherheit für Unternehmen zu verbessern. Gleichzeitig bleiben die Datenschutzgrundverordnung (DSGVO), das Allgemeines Gleichbehandlungsgesetz (AGG) und betriebliche Mitbestimmung uneingeschränkt anwendbar.

Dieser Leitfaden bündelt wichtige Anwendungsfälle im HR-Alltag, zeigt die Rechtslage auf EU- und Bundesebene sowie einen praxistauglichen Einführungspfad – inklusive einer Checkliste für die Umsetzung.

KI im Personalwesen – wo sie heute eingesetzt wird

KI im HR bezeichnet den Einsatz künstlicher Intelligenz in Personalprozessen: von der Auswahl von Bewerbungen über Chatbots bis zu People Analytics. In der EU gelten viele dieser Systeme als Hochrisiko-KI und unterliegen dem KI-VO, der DSGVO und der betrieblichen Mitbestimmung.

Der Einsatz von KI begleitet ein gesamtes Mitarbeiterleben: vom Recruiting über das Onboarding bis hin zur strategischer Personalplanung kann künstliche Intelligenz unterstützen. Sie kann Prozesse effektiver gestalten, sie automatisieren und so HR-Mitarbeitende nachhaltig entlasten.

Die eingesetzten KI-Lösungen sind unterschiedlich komplex: Ein einfacher Chatbot beantwortet Fragen von Mitarbeitenden, umfassende Systeme, treffen auf der Grundlage ihrer Datenverarbeitung eigenständige Entscheidungen. Unterschiedliche Tools, haben dabei verschiedene rechtliche Anforderungen. Im Kern geht es ums Risiko, das mit dem Einsatz verbunden ist. Verkürzt kann man sagen: Je höher das Risiko einer Rechtsverletzung durch den Einsatz von KI, desto strenger sind die regulatorischen Auflagen.

Die folgenden Anwendungsfelder zeigen, wo KI im HR-Alltag heute bereits eingesetzt wird, welchen Nutzen sie hat und wo der rechtliche Haken liegen kann.

Recruiting & Robot Recruiting (CV-Parsing, Chatbots, Video-Interview-Analyse)

Im Recruiting ist KI weit verbreitet: So gibt es Tools, die Lebensläufe analysieren („CV-Parsing“) und Bewerberqualifikationen automatisch auslesen. Ranking-Algorithmen sortieren Bewerbungen nach Passgenauigkeit („Robot Recruiting“) vor und Chatbots beantworten gängige Kandidatenfragen rund um die Uhr. Der Nutzen liegt in der Zeitersparnis und der Steigerung der Passgenauigkeit bei der Stellenbesetzung. Der rechtliche Haken: Sobald ein System Bewerbende bewertet oder vorsortiert, bewegt es sich meist im Hochrisikobereich der KI-VO. Das bedeutet höhere rechtliche Ansprüche.

Onboarding & HR-Service (Chatbots, Wissensdatenbanken)

Chatbots und interne Wissensdatenbanken beantworten Standardfragen, die neue, aber auch eingearbeitete Mitarbeitenden immer wieder haben. Oft geht es um Urlaubsregelungen, Informationen zu Incentives oder IT-Zugängen. Diese automatisierten Antworten entlasten den HR-Service spürbar. Deutlich als KI gekennzeichnet sind diese Anwendungen meist unproblematisch einsetzbar.

Personalentwicklung & Skill-Matching (KI-Personalentwicklung)

KI-gestütztes Skill-Matching gleicht vorhandene Kompetenzen der Mitarbeitenden mit Anforderungsprofilen des Unternehmens ab und schlägt passende Weiterbildungen oder interne Wechselmöglichkeiten vor. Der Nutzen ist eine zielgerichtetere Personalentwicklung. Rechtlich kritisch wird es, sobald die Ergebnisse einer KI in Beförderungs- oder Vergütungsentscheidungen einfließen. Jetzt wächst das Risiko ein Mitarbeiterrecht zu verletzten, wenn eine automatisierte Antwort eine Entscheidung mit weitreichenden Konsequenzen trifft .

People Analytics & Workforce Planning

Auswertungen von Arbeitszeiten, Produktivitätsdaten oder Kommunikationsmustern geben Einblick in Teameffizienz und helfen bei der effektiven Personalplanung. Der Nutzen liegt in besserer Steuerbarkeit, besonders bei Remote-Arbeit. Rechtlich gesehen, führt der Einsatz dieser Systeme aber meist zu Mitbestimmungsrechten des Betriebsrates (§ 87 Abs. 1 Nr. 6 BetrVG). Denn
sie sind beinah immer auch zur Verhaltens- oder Leistungsüberwachung geeignet. Das genügt, selbst wenn keine Absicht zur Überwachung besteht, um Mitbestimmungsrechte auszulösen. Auch die KI-VO weist solchen Systemen, eingesetzt zum Zwecke der Entscheidungen über Einstellungen oder Aufgabenverteilungen üblicherweise dem Hochrisikobereich zu (KI VO Anhang III Nr. 4) und fordert so ein genaues Hinsehen.

Der EU AI Act – warum HR-KI meist „Hochrisiko“ ist

Beschäftigungsbezogene KI-Systeme – Recruiting, Auswahl, Bewertung, Beförderung – sind nach Anhang III der Verordnung (EU) 2024/1689 in der Regel als Hochrisiko-KI eingestuft und unterliegen entsprechend strengen Pflichten.

Kaum ein anderer Bereich zeigt so deutlich, wie eng technologische Innovation und rechtliche Verantwortung miteinander verknüpft sind, wie das Personalwesen. Wenn Algorithmen darüber mitentscheiden, wer zum Bewerbungsgespräch eingeladen oder wer befördert wird, geht es um ganz grundlegende Fragen der Fairness und des Schutzes von Beschäftigten. Genau hier setzt die KIVO an: Er stuft beschäftigungsbezogene KI-Systeme, von der Rekrutierung über die Auswahl bis hin zur Leistungsbewertung, in der Regel als Hochrisiko-KI ein und unterwirft sie entsprechend strengen Pflichten. Das ergibt sich explizit aus Annex III der Verordnung, die das Personalwesen einige seiner Tätigkeiten ausdrücklich erwähnt. Um zu verstehen, was das für HR-Abteilungen konkret bedeutet, lohnt sich zunächst ein Blick auf die Systematik der Verordnung.

Die vier Risikostufen

Die KI-VO verfolgt einen risikobasierten Ansatz: Je größer die potenziellen Auswirkungen einer KIAnwendung auf Gesundheit, Sicherheit oder Grundrechte, desto strenger die Anforderungen. Die gibt dabei vier Kategorien:

• Verbotene KI: unannehmbares Risiko, vollständig untersagt (z. B. unterschwellige Manipulationen).
• Hochrisiko-KI: KI im Einsatz für Rekrutierung, Auswahl, Beförderung, Aufgabenzuweisung, Leistungsüberwachung, Kündigungsentscheidungen. Der Einsatz ist unter strengen Regeln möglich.
• Begrenztes Risiko: z. B. Chatbots, die als KI erkennbar sind. Hier gibt es Transparenzpflichten.
• Minimales Risiko: unkritische Anwendungen wie Spamfilter, keine zusätzlichen Pflichten.

Für HR-Verantwortliche ist vor allem die zweite Kategorie relevant: Die gängigen Systeme zur Bewerberauswahl oder Leistungsbeurteilung fallen in den Anwendungsbereich von Anhang III der Verordnung und damit unter die strengsten Anforderungen.

Verbotene Praktiken am Arbeitsplatz

Bereits seit dem 2. Februar 2025 gelten die Verbote aus Art. 5 KI-VO und das unabhängig von allen späteren Fristverschiebungen. Für den Arbeitsplatz besonders relevant: das Verbot der Emotionserkennung am Arbeitsplatz, außer aus medizinischen oder Sicherheitsgründen. Wer also etwa Software einsetzt, die die Stimmung oder das emotionale Befinden von Mitarbeitenden während eines Bewerbungsgesprächs oder im Arbeitsalltag analysiert, bewegt sich unabhängig vom weiteren Zeitplan der Verordnung bereits jetzt außerhalb des rechtlich Zulässigen.

Neue Fristen durch den Digital Omnibus

Das Digital-Omnibus-Paket hat den HR-Abteilungen Zeit verschafft, um für einen rechtssicheren Einsatz von KI-Tools zu sorgen. Das Paket verschiebt den Geltungsbeginn der Hochrisiko-Pflichten von ursprünglich 2. August 2026 auf den 2. Dezember 2027.

Für die HR bedeutet das: Mehr Vorlauf für die Klassifizierung der KI-Tools in die unterschiedlichen Risikoklassen und die Identifizierung der Hochrisiko-Bereiche. So auch mehr Zeit für den Aufbau bzw. die Anpassung des Compliance-Systems und das schulen der KI-Kenntnisse der Belegschaft, (Art. 4 KI VO). Grundlegende Sorgfalt- und Transparenzpflichten gelten aber schon jetzt. Ebenso bleiben die Informationspflicht gegenüber Beschäftigten und Arbeitnehmervertretern (Art. 26 Abs. 7 KI VO) davon unberührt. Auch der Datenschutz und die Gleichbehandlungsregeln gelten weiter. Das bedeutet: Auch wenn die vollständigen Hochrisiko-Pflichten erst später greifen, bestehen bereits jetzt konkrete Handlungspflichten.

Damit stellt sich die nächste wichtige Frage: Wer trägt eigentlich welche dieser Pflichten? Die Antwort hängt maßgeblich davon ab, welche Rolle ein Unternehmen im Sinne der KI-VO einnimmt.

Betreiber oder Anbieter

Neben den Risikoklassen legt die KI-VO auch verschiedene Rollen fest, die jeweils mit unterschiedlichen Pflichten verbunden sind. Sie unterscheidet insbesondere zwischen Anbietern und Betreibern.

• Anbieter: Unternehmen, die KI-Systeme entwickeln, entwickeln lassen, in Verkehr bringen oder vertreiben.
• Betreiber: Unternehmen, die KI-Systeme in eigener Verantwortung nutzen. Das trifft auf alle Unternehmen zu, die für berufliche oder geschäftliche Tätigkeiten gezielt KI-Systeme einsetzen (lassen) oder dies aktiv dulden.

Wichtig zu wissen: Die Rollen sind nicht fixiert. Wer beispielsweise ein KI-System für einen anderen als den vorgesehenen Zweck einsetzt, wechselt vom Betreiber zum Anbieter. Mit diesem Wechsel ändern sich auch die einzuhaltenden Pflichten grundlegend.

Welche Pflichten auf Arbeitgeber (Deployer) zukommen

Da HR-Abteilungen in aller Regel als Betreiber einzustufen sind, lohnt sich ein genauerer Blick auf die damit verbundenen Pflichten:

Im Hochrisiko-Bereich, etwa bei Systemen zur Bewerberauswahl, Leistungsbewertung oder Einsatzplanung, regelt insbesondere Art. 26 KI VO die Anforderungen an Betreiber. Sie müssen KI-Systeme ausschließlich entsprechend der bestimmungsgemäßen Verwendung nutzen und die Vorgaben des Anbieters beachten (Art. 26 Abs. 1 KI VO). Soweit HR die Eingabedaten steuert, ist sicherzustellen, dass diese repräsentativ, relevant und sachgerecht sind, um Verzerrungen und Diskriminierungen zu vermeiden (Art. 26 Abs. 2 KI VO), im Zusammenspiel mit den Grundsätzen der Datenminimierung und Richtigkeit aus Art. 5 Abs. 1 lit. c, d DSGVO.

Zudem ist der laufende Betrieb zu überwachen: HR muss Auffälligkeiten, systematische Benachteiligungen oder Sicherheitsrisiken erkennen und bei gravierenden Problemen den Einsatz anpassen oder unterbrechen (Art. 26 Abs. 3 KI VO). Treten Risiken für Gesundheit, Sicherheit oder Grundrechte auf, sind Anbieter und Marktüberwachungsbehörden zu informieren (Art. 26 Abs. 4 KI VO). Die automatisch erzeugten Protokolle des Systems sind aufzubewahren, damit Entscheidungen und KI-Beiträge nachvollzogen werden können (Art. 26 Abs. 5 KI VO, ergänzt durch Vorgaben zur Speicherdauer und Sicherheit aus Art. 5 Abs. 1 lit. e, Art. 32 DSGVO).

Besonders wichtig im HR-Kontext sind die Transparenzpflichten: Arbeitgeber müssen Beschäftigte und ihre Vertretungen darüber informieren, dass ein KI-System eingesetzt wird, etwa bei Screening-Tools, Performance-Bewertung oder der Schichtplanung (Art. 26 Abs. 6 KI VO). Werden Entscheidung, etwa über eine Einstellung oder Beförderung, durch ein solches System wesentlich beeinflusst, sind die betroffenen Personen darüber zu unterrichten, welche Rolle die KI bei dieser Entscheidung gespielt hat (Art. 26 Abs. 7 KI VO). Zugleich muss eine qualifizierte menschliche Aufsicht gewährleistet sein: Verantwortliche Personen müssen das System verstehen, Ergebnisse einordnen und KI-Empfehlungen korrigieren oder ignorieren können (Art. 14 i.V.m. Art. 26 Abs. 1, 3 KI VO).

Ein Verstoß gegen dieser Pflichten kann empfindliche Strafen nach sich ziehen: Artikel 99 KI VO regelt, dass beim Einsatz von Hochrisiko-KI Bußgelder bis 15 Mio. € oder 3 % des weltweiten Jahresumsatzes drohen; bei verbotenen Praktiken sogar bis 35 Mio. € oder 7 %.

DSGVO & deutsches Recht – was schon heute gilt

Neben der KI-VO greifen im HR-Bereich weitere Regelwerke: Die DSGVO begrenzt automatisierte Entscheidungen und verlangt oft eine Datenschutz-Folgenabschätzung, das AGG schützt vor algorithmischer Diskriminierung, und der Betriebsrat hat bei KI-gestützter Verhaltens- oder Leistungsüberwachung ein zwingendes Mitbestimmungsrecht. Diese Vorgaben bestehen unabhängig von den Fristen der KI-VO bereits jetzt und ergänzen deren Anforderungen.

Unabhängig vom EU AI Act schnürt der Datenschutz und das Arbeitsrecht im Bereich HR ein enges rechtliches Korsett, das sich zum Teil mit den Vorgaben der KI-VO überschneidet und diese ergänzt. Die wichtigsten Punkte:

Automatisierte Entscheidungen (Art. 22 DSGVO)

Beschäftigte haben nach Art. 22 Abs. 1 DSGVO grundsätzlich das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die rechtliche Wirkungen entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Für das Recruiting bedeutet das: Eine KI kann Bewerbungen vorsortieren oder Scores liefern, die finale Entscheidung über Zu- oder Absage aber muss von einem Menschen verantwortet werden und nachvollziehbar dokumentiert sein. Der EuGH hat mit dem SCHUFA-Urteil (7. Dezember 2023, Rs. C-634/21) klargestellt, dass bereits ein automatisch erzeugter Score, der maßgeblich in eine Entscheidung einfließt, unter Art. 22 DSGVO fallen kann. Diese richterliche Wertung, lässt sich grundsätzlich auch auf KI-gestütztes Bewerber-Scoring übertragen, wenn der Score maßgeblich über die Einstellung oder Beförderung entscheidet und kein menschliches Korrektiv mehr eingreift.

Datenschutz-Folgenabschätzung (Art. 35 DSGVO)

Bei hohem Risiko für die Rechte Betroffener ist eine Datenschutz-Folgenabschätzung (DSFA) durchzuführen. Gemäß Art. 35 DSGVO ist das ein strukturierter Prüf- und Dokumentationsprozess, mit dem der Verantwortliche vor Beginn einer Datenverarbeitung die Risiken für die Rechte und Freiheiten der betroffenen Personen systematisch beschreibt, bewertet und durch geeignete Schutzmaßnahmen reduziert. HR-KI, die systematisch personenbezogene Bewerber- oder Mitarbeiterdaten auswertet, etwa für umfassendes Scoring, Profiling oder People Analytics, erfüllt diese Voraussetzungen in der Praxis regelmäßig. Unternehmen sollten daher standardmäßig prüfen, ob Art, Umfang und Zweck der jeweiligen KI-Verarbeitung eine DSFA auslösen und dies nachvollziehbar dokumentieren.

Beschäftigtendatenschutz (§ 23 BDSG)

Ein Beschäftigtendatenschutzgesetzt gibt es in Deutschland noch nicht. Ein Referentenentwurf für ein eigenständiges Gesetz aus der Zeit der Ampelregierung wird nicht weiterverfolgt. Bis der Datenschutz für Beschäftigte also separat geregelt ist, bildet § 26 BDSG in Verbindung mit der DSGVO die zentrale Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten. Während das BDSG mit der DSGVO festlegt, ob Personaldaten verarbeitet werden dürfen, bestimmt die KIVerordnung die Sicherheits- und Transparenzanforderungen für die verwendeten KI-Systeme, die die Daten verarbeiten. Die Erhebung personenbezogener Daten im HR-Bereich ist also zulässig, soweit sie für Begründung, Durchführung oder Beendigung des Arbeitsverhältnisses erforderlich ist und auf einer tragfähigen Rechtsgrundlage beruht. Dabei gelten die allgemeinen Datenschutzgrundsätze wie Datenminimierung, Zweckbindung, und Speicherbegrenzung (Art. 5 DSGVO), ergänzt um Informationspflichten gegenüber Beschäftigten (Art. 13 DSGVO) und die Wahrung ihrer Betroffenenrechte, etwa auf Auskunft, Berichtigung und Transparenz Löschung (Art. 15–17 DSGVO). Für sensible Daten wie Gesundheits- oder Religionsdaten greifen die erhöhten Schutzanforderungen des Art. 9 DSGVO und § 26 Abs. 3 BDSG. Unternehmen müssen zudem angemessene technische und organisatorische Maßnahmen zur Datensicherheit treffen (Art. 24, 32 DSGVO) und ihre Verarbeitungstätigkeiten, einschließlich KI-gestützter Auswertungen, nachvollziehbar dokumentieren (Art. 5 Abs. 2, 30 DSGVO).

Diskriminierungsschutz (AGG)

Das AGG verbietet die Benachteiligung u. a. wegen Geschlecht, Alter oder Herkunft. Das kann etwa durch ein Scoring-Modell und dessen algorithmischer Bias entstehen. Damit ist gemeint, dass ein KI‑System aufgrund seiner Trainingsdaten oder Programmierung vorhersehbar verzerrte Ergebnisse liefert und dadurch bestimmte Personengruppen systematisch benachteiligt oder bevorzugt. Nach § 22 AGG reicht es, wenn Betroffene Indizien für eine Benachteiligung vortragen; dann muss der Arbeitgeber nachweisen, dass keine unzulässige Diskriminierung vorlag. Damit liegt das praktische Haftung- und Prozessrisiko bei dem Unternehmen, das die HR-KI einsetzt. Ein weiterer Grund, Modelle, Trainingsdaten und Ergebnisse auf Fairness und mögliche Bias sorgfältig zu prüfen.

Mitbestimmung – die Rolle des Betriebsrats

Welche BetrVG-Paragrafen greifen

Unabhängig von der KI VO ist die betriebliche Mitbestimmung zu beachten: Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat ein zwingendes Mitbestimmungsrecht, sobald eine KI zur Verhaltens- oder Leistungsüberwachung objektiv geeignet ist, was bei den meisten im HR-Bereich eingesetzten KI-Systemen der Fall sein wird. Es entsteht auch eine Unterrichtungspflichten bei der Planung (§ 90 Abs. 1 Nr. 3 BetrVG), das Recht auf Mitbestimmung bei Auswahlrichtlinien (§ 95 Abs. 2a BetrVG) und den Anspruch auf einen Sachverständigen (§ 80 Abs. 3 S. 2 BetrVG).

Warum eine KI-Betriebsvereinbarung sinnvoll ist

In der Praxis empfiehlt sich daher eine KI-Betriebsvereinbarung, die Zweck, zulässige Systeme, Kontrollgrenzen und die menschliche Letztentscheidung verbindlich regelt.

KI im HR rechtssicher einführen – 8-Schritte-Checkliste

Die rechtssichere Einführung von KI im HR-Bereich gelingt nur mit einem strukturierten Vorgehen, das Datenschutz, Beschäftigtenrechte und die Vorgaben der KI-VO von Anfang an mitdenkt.

1. KI-Bestandsaufnahme: Eingesetzte/ geplante KI-Systeme im HR, Einsatzzwecke und betroffene Daten erfassen (Art. 5 DSGVO).
2. Risikoklasse nach KI-VO: Einstufung nach KI-Verordnung prüfen, insbesondere Hochrisiko-KI im Bereich Beschäftigung, Personalmanagement und Zugang zur Selbstständigkeit (Art. 6 KI-VO i. V. m. Anhang III).
3. Datenschutz & automatisierte Entscheidungen: Rechtsgrundlage für HR-KI (Art. 6 DSGVO i. V. m. § 26 BDSG bzw. § 26 Abs. 2 BDSG, Art. 7 DSGVO) prüfen und dokumentieren und klären, ob eine ausschließlich automatisierte Entscheidung i. S. d. Art. 22 DSGVO vorliegt und ggf. die dortigen Anforderungen erfüllen.
4. Datenschutz-Folgenabschätzung (DSFA): Bei voraussichtlich hohem Risiko (z. B. Profiling, KI-gestützte Leistungs-/Verhaltensbewertung) DSFA nach Art. 35 DSGVO durchführen und dokumentieren.
5. Betriebsrat & Mitbestimmung: Betriebsrat beteiligen und Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG sowie ggf. § 95 Abs. 2a BetrVG beachten.
6. Menschliche Aufsicht & Transparenz:„ Human-in-the-Loop“ bei HR-Entscheidungen mit erheblicher Rechtswirkung sicherstellen (z. B. Einstellung, Beförderung, Kündigung, Art. 13, 14 KI-VO) und Beschäftigte über KI-Einsatz und wesentliche Funktionslogik verständlich informieren. (Art.13, 14, 22 DSGVO)
7. KI-Kompetenz & Schulungen: HR und weitere Rollen zu Funktionsweise, Risiken (Bias/Fairness) und Rechtsrahmen der KI regelmäßig schulen; Nachweise dokumentieren (Art. 4, 17 ff. KI-VO; Art. 5 Abs. 2 DSGVO).
8. Fristen (KI-VO & Digital Omnibus): Zeitplan der KI-VO und des Digital-Omnibus-Pakets fortlaufend beobachten, insbesondere die Anwendung der Pflichten für Hochrisiko-KI (Anhang III), aktuell bis Dezember 2027. HR-KI-Projekte so terminieren, dass Risikoklassifizierung, DSFA, Dokumentation und Kenntnisse der Belegschaft vor den jeweils einschlägigen Stichtagen abgeschlossen sind (Art. 6, 50, 111 KI-VO).

Fazit & Ausblick

Die Latte für den rechtssicheren Einsatz der KI im HR liegt hoch. Die gute Nachricht: Die Hochrisiko-Pflichten verschieben sich auf den 2. Dezember 2027. Das verschafft Unternehmen Zeit für die technische und organisatorische Umsetzung. Doch: DSGVO, AGG und Mitbestimmungsrecht gelten uneingeschränkt schon heute, und die Verbote sowie die Pflicht KI-Wissen zu vermitteln sind bereits in Kraft. Wer jetzt mit Inventur, Risikoklassifizierung und Betriebsratseinbindung startet, ist gerüstet und schafft zugleich Vertrauen bei Beschäftigten und Bewerbenden.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Rechtsstand: 16.07.2026