KI im Personalwesen: Was Arbeitgeber jetzt regeln müssen

Warum die Funktion über Ihr Risiko entscheidet

Ein Tool, das Arbeitszeugnisse formuliert oder Stellenanzeigen textet, ist rechtlich harmlos. Ein Tool, das Bewerbungen vorsortiert, Leistung bewertet, über Beförderungen mitentscheidet oder Aufgaben zuteilt, ist es nicht – solche Anwendungen stuft die europäische KI-Verordnung als Hochrisiko-Systeme ein. Und ein Tool, das aus Stimme, Gesicht oder Tippverhalten auf Emotionen schließt, ist im Beschäftigungskontext schlicht verboten; dieses Verbot gilt seit Februar 2025 ohne Übergangsfrist.

Daraus folgt der erste praktische Schritt: Sie brauchen eine Übersicht, welche KI-Funktionen in Ihren HR-Systemen tatsächlich aktiv sind. Oft steckt KI nicht in einer eigenen Software, sondern als Zusatzfunktion in einem Bewerbermanagement- oder Zeiterfassungssystem, das Sie seit Jahren nutzen – aktiviert durch ein Update, das niemand geprüft hat.

Was heute gilt – und was erst Ende 2027 kommt

Im Sommer 2026 ging durch die Presse, die EU habe ihre KI-Regeln verschoben. Das stimmt nur zum Teil. Verschoben wurden die umfangreichen Pflichten für Hochrisiko-Systeme: Sie greifen für eigenständige HR-Anwendungen erst ab Dezember 2027, für in Produkte eingebettete Systeme ab August 2028.

Nicht verschoben wurden drei Punkte, die Ihr Unternehmen schon jetzt betreffen:

• Verbote: Emotionserkennung am Arbeitsplatz und im Bewerbungsgespräch ist unzulässig – unabhängig von jeder Übergangsfrist.
• Transparenz: Seit August 2026 müssen Menschen erkennen können, dass sie mit einem KI-System sprechen. Ihr HR-Chatbot darf sich nicht als Kollegin ausgeben.
• KI-Kompetenz: Wer KI einsetzt, muss die Mitarbeitenden, die damit arbeiten, dafür befähigen. Diese Pflicht wurde 2026 entschärft, abgeschafft wurde sie nicht. Verlangt sind nachweisbare Maßnahmen – keine Zertifikate.

Die Verschiebung ist also kein Grund, das Thema zu vertagen. Wer heute ein HR-System einkauft, bindet sich meist für mehrere Jahre. Ob der Anbieter die Hochrisiko-Anforderungen bis Ende 2027 erfüllt, sollte im Vertrag stehen und nicht im Prospekt.

Datenschutz und Betriebsrat: die beiden Punkte, an denen Projekte scheitern

Unabhängig von der KI-Verordnung gilt die DSGVO – und die ist im Personalwesen streng. Zwei Grundsätze sollten Sie kennen:

Eine Entscheidung mit erheblicher Wirkung für den Einzelnen – Absage, Abmahnung, Kündigung, Beförderung – darf nicht allein die Maschine treffen. Ein Mensch muss sie tatsächlich prüfen und abweichen können. Ein Klick auf „Vorschlag übernehmen“ genügt dafür nicht. Und vor dem Einsatz eines KI-Systems, das Beschäftigte bewertet oder deren Verhalten auswertet, brauchen Sie in aller Regel eine Datenschutz-Folgenabschätzung: eine dokumentierte Risikoprüfung, die Sie der Aufsichtsbehörde vorlegen können.

Hinzu kommt die Mitbestimmung. Sobald ein System geeignet ist, Leistung oder Verhalten von Beschäftigten zu überwachen, hat der Betriebsrat ein echtes Mitbestimmungsrecht – „geeignet“ genügt, eine tatsächliche Überwachungsabsicht ist nicht nötig. Das trifft in der Praxis fast jede KI-gestützte HR-Software. Wird der Betriebsrat erst eingebunden, wenn die Software bereits gekauft und konfiguriert ist, verliert das Projekt Monate. Eine saubere Betriebsvereinbarung, die Zweck, Datenarten, Auswertungen und Löschfristen festlegt, ist der schnellere Weg.

Ein dritter Aspekt wird häufig übersehen: Diskriminierungsrisiken. Lernt ein Auswahlsystem aus historischen Einstellungsdaten, übernimmt es deren Muster. Führt das zu systematischen Benachteiligungen etwa nach Alter oder Geschlecht, haften Sie als Arbeitgeber – nicht der Softwareanbieter.

Was Sie jetzt konkret tun sollten

Drei Schritte bringen Sie in kurzer Zeit in eine belastbare Position:

• Bestandsaufnahme: Welche KI-Funktionen laufen in Ihren Personalprozessen – inklusive der Zusatzfunktionen in bestehender Software und der Tools, die Mitarbeitende eigenständig nutzen?
• Einordnung: Welche Anwendung ist unkritisch, welche bewertet Menschen und fällt damit ab Ende 2027 in die Hochrisiko-Kategorie?
• Absicherung: Betriebsvereinbarung, Datenschutz-Folgenabschätzung, Verträge mit Anbietern, Schulung der HR-Mitarbeitenden – und eine Zuständigkeit, die KI-Themen zwischen HR, IT und Datenschutz zusammenführt.

Ein eigenes deutsches Beschäftigtendatengesetz ist angekündigt, aber noch nicht in Kraft (Stand Oktober 2026). Bis dahin bleibt es bei der heutigen, in Teilen unübersichtlichen Rechtslage – ein Grund mehr, die eigenen Prozesse sauber zu dokumentieren.

Wir begleiten Unternehmen bei genau diesen Schritten: von der Einordnung einzelner HR-Anwendungen über die Verhandlung mit Softwareanbietern bis zur Betriebsvereinbarung, die im Alltag funktioniert. Sprechen Sie uns an, bevor die Software eingeführt ist – das ist der Zeitpunkt, an dem sich Aufwand und Risiko am wirksamsten steuern lassen.