--- title: "KI im Personalwesen: Hochrisiko nach der KI-Verordnung" description: "KI im Personalwesen gilt als Hochrisikoanwendung. Welche Pflichten daraus folgen, was verboten ist und was der Betriebsrat zu sagen hat." canonical: "https://www.dsb-datenschutz.de/ki-compliance/wissen-ai-in-hr/" --- # KI im Personalwesen Von allen Einsatzfeldern künstlicher Intelligenz ist das Personalwesen dasjenige, das die KI-Verordnung am strengsten behandelt. Wer **KI im Personalwesen** einsetzt – zur Vorauswahl von Bewerbungen, zur Bewertung von Leistung, zur Steuerung von Aufgaben –, bewegt sich in aller Regel im Hochrisikobereich. Das ist kein Randfall, sondern ausdrücklich so vorgesehen. ## Warum der Bereich als Hochrisiko eingestuft ist Anhang III der Verordnung nennt Beschäftigung, Personalmanagement und Zugang zur Selbständigkeit ausdrücklich. Erfasst sind Systeme, die - für die **Einstellung oder Auswahl** eingesetzt werden – insbesondere für gezielte Stellenanzeigen, das Sichten und Filtern von Bewerbungen und die Bewertung von Kandidaten, sowie - Entscheidungen über **Beförderung, Kündigung, Aufgabenzuweisung** oder die **Überwachung und Bewertung von Leistung und Verhalten** beeinflussen. Der Grund liegt in den Folgen. Eine fehlerhafte Vorauswahl trifft Menschen an einer Stelle, an der sie sich kaum wehren können: Wer aussortiert wird, erfährt in der Regel nicht warum – und oft nicht einmal, dass ein System beteiligt war. Die Einstufung führt zu einem umfangreichen Pflichtenkatalog. Für Sie als **Betreiber** – die Rolle, in der die allermeisten Unternehmen sind – sind vor allem [Art. 26](https://www.dsb-datenschutz.de/ki-compliance/verordnung-artikel-26/) und die [Grundrechte-Folgenabschätzung](https://www.dsb-datenschutz.de/ki-compliance/verordnung-artikel-27/) einschlägig. ## Was ausdrücklich verboten ist [Art. 5](https://www.dsb-datenschutz.de/ki-compliance/verordnung-artikel-5/) verbietet unabhängig von jeder Abwägung: **Emotionserkennung am Arbeitsplatz.** Systeme, die aus Stimme, Mimik oder Verhalten auf Gefühlslagen schließen, sind im Beschäftigungskontext untersagt – von engen Ausnahmen für Sicherheit und Medizin abgesehen. Das betrifft auch Anwendungen, die in Bewerbungsgesprächen oder in der Kundenkommunikation „Stimmung" auswerten. **Biometrische Kategorisierung** zur Ableitung sensibler Merkmale wie ethnischer Herkunft, politischer Einstellung oder Gewerkschaftszugehörigkeit. Diese Verbote greifen bereits – unabhängig von den gestaffelten Fristen für die übrigen Pflichten. ## Die Pflichten des Betreibers **Menschliche Aufsicht.** Die Verordnung verlangt, dass Personen den Betrieb wirksam überwachen und eingreifen können ([Art. 14](https://www.dsb-datenschutz.de/ki-compliance/verordnung-artikel-14/)). Ein Freigabeklick auf eine Rangliste, die niemand nachvollziehen kann, erfüllt das nicht. Wer aufsichtsführend tätig ist, braucht Zugang zu den Kriterien und die tatsächliche Möglichkeit, das Ergebnis zu verwerfen. **Zweckkonformer Einsatz.** Das System darf nur so verwendet werden, wie es der Anbieter vorgesehen hat – die Anleitung ist zu beachten, nicht zu ignorieren. **Kompetente Bedienung.** Die aufsichtsführenden Personen müssen fachlich in der Lage sein; das ist zugleich der Anwendungsfall von Art. 4 – siehe [KI-Grundschulung](https://www.dsb-datenschutz.de/software/e-learning-ki-grundschulung/). **Information der Beschäftigten.** Vor der Inbetriebnahme sind die betroffenen Beschäftigten und ihre Vertretung zu informieren. **Protokolle aufbewahren.** Die vom System erzeugten Aufzeichnungen sind vorzuhalten. **Grundrechte-Folgenabschätzung**, soweit Sie zum erfassten Kreis gehören. ## Der Datenschutz gilt daneben Beide Regelwerke stehen nebeneinander; ein nach der KI-Verordnung zulässiges System kann datenschutzrechtlich unzulässig sein. **Rechtsgrundlage.** § 26 BDSG für den Beschäftigungskontext; die Einwilligung trägt hier selten, weil es an der Freiwilligkeit fehlt – siehe [Beschäftigtendatenschutz](https://www.dsb-datenschutz.de/datenschutz/wissen-beschaeftigtendatenschutz/). **Automatisierte Entscheidungen.** [Art. 22 DSGVO](https://www.dsb-datenschutz.de/datenschutz/dsgvo-artikel-22/) verbietet Entscheidungen mit rechtlicher Wirkung, die ausschließlich auf automatisierter Verarbeitung beruhen – von engen Ausnahmen abgesehen. Eine Absage ohne menschliche Befassung fällt darunter. Achtung: Auch eine Vorauswahl, die faktisch nie überstimmt wird, ist praktisch eine automatisierte Entscheidung. **Datenschutz-Folgenabschätzung** nach [Art. 35 DSGVO](https://www.dsb-datenschutz.de/datenschutz/beratung-datenschutz-folgenabschaetzung/) – bei diesen Anwendungen regelmäßig erforderlich, und mit der Grundrechte-Folgenabschätzung verbindbar. **Verzeichnis und Vertrag.** Eintrag ins [Verarbeitungsverzeichnis](https://www.dsb-datenschutz.de/datenschutz/beratung-verarbeitungsverzeichnis/), [Auftragsverarbeitungsvertrag](https://www.dsb-datenschutz.de/datenschutz/beratung-auftragsverarbeitungsvertrag/) mit dem Anbieter. ## Diskriminierung und Mitbestimmung Zwei Risiken außerhalb beider Regelwerke, die in der Praxis zuerst eintreten. **Das AGG.** Ein System, das aus historischen Einstellungsdaten lernt, übernimmt die Muster dieser Daten – einschließlich der unbewussten. Wurden früher überwiegend Männer eingestellt, lernt das System, dass Männer passen. Das ist keine theoretische Sorge, sondern der am besten dokumentierte Fehlermodus dieser Anwendungen. Der Nachweis der Diskriminierungsfreiheit liegt bei Ihnen. **Der Betriebsrat.** Systeme, die zur Überwachung von Verhalten oder Leistung geeignet sind, unterliegen der Mitbestimmung. „Geeignet" genügt – auf die Absicht kommt es nicht an. Wer ohne Beteiligung einführt, riskiert die Untersagung. ## Der praktische Rat Beginnen Sie mit der Frage, welche Entscheidung das System tatsächlich beeinflusst. Ein Werkzeug, das Stellenanzeigen formuliert, ist unkritisch. Eines, das Bewerbungen in eine Rangfolge bringt, ist es nicht – auch wenn beide vom selben Anbieter stammen und gleich beworben werden. Die Bestandsaufnahme leistet die [KI-Risikoanalyse](https://www.dsb-datenschutz.de/kuenstliche-intelligenz/ki-risikoanalyse/), den Rahmen die [KI-Richtlinie](https://www.dsb-datenschutz.de/ki-compliance/wissen-ki-richtlinien/). ## Kontakt Sie erwägen KI in der Personalauswahl oder setzen sie bereits ein? Diese Anwendung sollten Sie nicht ohne Prüfung betreiben. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [KI-Beauftragter](https://www.dsb-datenschutz.de/ki-compliance/ki-beauftragter/)