Beschäftigung & Personalwesen: AI Act, Data Act & DSGVO-Pflichten

Anhang III Nr. 4 AI Act stuft KI als hochriskant ein, die bestimmt ist, für die Einstellung oder Verwaltung von Personalwesen verwendet zu werden — insbesondere für die zielgerichtete Werbung von Stellenangeboten, die Analyse und Filterung von Bewerbungen und die Bewertung von Bewerbern. Erfasst sind zudem Systeme zur Personenbeurteilung oder -bewertung von bereits Beschäftigten (Leistung, Verhalten, Kündigungsrisiko). Nicht erfasst sind reine administrative Werkzeuge ohne Entscheidungscharakter (z. B. Lohnabrechnungs-Hilfen ohne personenbezogene Bewertung).

Konkret: Lebenslauf-Ranking und Matching-Systeme (hochriskant); KI-gestützte Video-Interview-Auswertung mit Verhaltens- oder Mimikanalyse (hochriskant, teils Art. 5 berührend); automatisierte Leistungsbeurteilung von Beschäftigten (hochriskant); Kündigungs- oder Fluktuationsrisiko-Scoring (hochriskant); zielgerichtete Stellenanzeigenschaltung, die bestimmte Gruppen ausschließt (hochriskant und AGG-relevant); Chatbots zur Erstinformation ohne Bewertung (begrenzt); Emotionserkennung im Büro oder Bewerbungsgespräch (verboten, Art. 5 Abs. 1 lit. f); biometrische Kategorisierung nach Geschlecht/Ethnie (verboten, Art. 5 Abs. 1 lit. g). Die Differenzierung zwischen hochriskant, verboten und begrenzt ist die zentrale Compliance-Aufgabe.

Hochrisiko-HR-KI berührt weitere Rechtsakte: Das AGG verbietet Diskriminierung u. a. wegen Geschlecht, ethnischer Herkunft, Religion, Alter, sexueller Identität — ein System, das mittelbar diskriminiert, verstößt unabhängig vom AI Act. Art. 22 DSGVO gibt Beschäftigten das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die rechtliche oder ähnlich weitreichende Wirkung hat; Ausnahmen verlangen ausdrückliche Einwilligung oder gesetzliche Grundlage. Die Datenschutz-Folgenabschätzung (Art. 35 DSGVO) ist bei HR-KI regelmäßig erforderlich. Der AI Act ergänzt diese Vorgaben um die KI-spezifischen Pflichten aus Art. 8–15.

Anbieter erfüllen Art. 8–15 (Risikomanagement, Daten-Governance, technische Dokumentation, Logs, menschliche Aufsicht, Genauigkeit/Robustheit/Cybersecurity), Konformitätsbewertung, CE-Kennzeichnung und Registrierung — gültig spätestens am 2. Dezember 2027 (verschoben durch AI Omnibus 2026). Arbeitgeber als Betreiber treffen die Art. 26-Pflichten (Verwendung gemäß Anweisungen, menschliche Aufsicht, Monitoring, Meldung schwerer Vorfälle) und müssen die DSGVO-/AGG-Pflichten sicherstellen. Aufsichtlich wirken in Deutschland die Marktüberwachungsbehörden, die Datenschutz-Aufsichten der Länder und der BfDI; in Österreich der Rat für KI und die DSB; in der Schweiz der EDÖB und kantonale Stellen.