KI-Recruiting-Tools: Analyse der Governance für den Einsatz in der EU

Ein Recruiter öffnet einen Laptop und stellt fest, dass eine Software über Nacht 500 Lebensläufe geprüft, jede Kandidatin und jeden Kandidaten bewertet und eine Shortlist mit 10 Personen erstellt hat. Ropes & Gray nutzt dieses Beispiel, um die Frage zu stellen, die die meisten HR-Dashboards lieber ausblenden: Hat das System entschieden, oder hat es nur einen Menschen unterstützt? Das ist keine philosophische Übung mit besseren Snacks. Genau hier beginnen der EU AI Act, die DSGVO-Regeln zu automatisierten Entscheidungen und die britischen Vorschriften, Arbeitgeber in unterschiedliche Papierkram-Stapel zu ziehen.

Der Zeitpunkt ist nicht theoretisch. Die Europäische Kommission sagt, dass eine Umfrage der Gemeinsamen Forschungsstelle auf mehr als 70.000 Beschäftigten in allen 27 Mitgliedstaaten basiert und ergeben hat, dass 90 % der Beschäftigten in der EU digitale Geräte nutzen und 30 % inzwischen KI-Tools wie Chatbots verwenden, die von großen Sprachmodellen angetrieben werden. KI am Arbeitsplatz ist alltäglich genug geworden, um routinemäßig beschafft zu werden. Genau dann hört ein Compliance-Thema auf, ein Memo zu sein, und wird zur Installationslogik der Einführung.

Die Compliance-Frage beginnt vor der Demo

Ogletree Deakins beschreibt das Thema in seinem Leitfaden von Simon J. McMenemy und Nicola McCrudden als Pflichten von Arbeitgebern sowohl nach der DSGVO als auch nach dem EU AI Act. Das wichtige Wort ist Arbeitgeber. Das Unternehmen, das das Recruiting-Tool kauft, wählt nicht nur einen Funktionsumfang aus, sondern entscheidet, wie Kandidatinnen und Kandidaten bewertet, weitergeleitet und möglicherweise ausgeschlossen werden.

Die Europäische Kommission beschreibt den AI Act als Regelwerk, das risikobasierte Vorschriften für KI-Entwickler und Betreiber festlegt. Diese Betreiber-Rolle ist wichtig, denn ein Anbieterlogo ist kein rechtliches Schutzschild. Vor der Einführung braucht der Arbeitgeber eine schriftliche Beschreibung dazu, was das Tool tut, welchen Schritt im Einstellungsprozess es betrifft, welche Kandidatendaten es nutzt und was eine menschliche Prüferin oder ein menschlicher Prüfer kontrollieren soll. Wenn das so klingt, als sei Beschaffung zu Governance geworden: Ja, genau darum geht es.

Unterstützung ist kein Zauberwort

Ropes & Gray verweist auf Anhang III(4) des EU AI Act, der KI-Systeme als Hochrisiko-Systeme einstuft, wenn sie „bestimmungsgemäß“ für Einstellungs-, Auswahl- oder Bewertungsentscheidungen im Beschäftigungskontext verwendet werden. Das erfasst mehr als nur die gruselige Version der Automatisierung, bei der eine Maschine Kandidatinnen und Kandidaten ablehnt, ohne dass ein Mensch in Sicht ist. Ein System, das Lebensläufe bewertet, Bewerberinnen und Bewerber rankt oder eine Shortlist erstellt, kann die Entscheidung trotzdem so stark prägen, dass die menschliche Prüfung zur Inszenierung wird.

Ab dem 2. August 2026, so Ropes & Gray, liegt die Einstufungsfrage an der Schnittstelle von drei Regelwerken: dem EU AI Act, dem DSGVO-Regime für automatisierte Entscheidungen und dem britischen Data (Use and Access) Act 2025. Die Kanzlei merkt außerdem an, dass das britische Regime weniger streng ist – das ist Juristensprache für: Bitte hören Sie auf, in jedem Land dieselbe Compliance-Folie wiederzuverwenden. Der praktische Test für Arbeitgeber lautet, ob die Führungskraft wirklich vom Systemergebnis abweichen kann, die Grundlage dieses Ergebnisses versteht und Zeit hat, mehr als nur die obersten 10 Namen zu prüfen.

Die DSGVO ist die ältere Falle im Raum

IAPP berichtet, dass KI, die in Beschäftigung und am Arbeitsplatz eingesetzt wird, nach dem AI Act als Hochrisiko gilt, wenn sie Gesundheit und Sicherheit oder die Beschäftigung einer Person beeinflussen kann, und dass Systeme zur Emotionserkennung am Arbeitsplatz verboten sind. IAPP zitiert außerdem Cian O'Brien von der irischen Datenschutzkommission mit dem Hinweis, dass nicht alle HR-orientierten KI-Einsätze Hochrisiko sind. Diese Unterscheidung ist kein Schlupfloch. Sie ist eine Abgrenzungsübung, die stattfinden muss, bevor jemand das Bestellformular des Anbieters unterschreibt.

Die DSGVO bleibt die ältere Falle, weil Ropes & Gray Recruiting-KI sowohl in die Analyse zu automatisierten Entscheidungen als auch in die Analyse nach dem AI Act einordnet. Arbeitgeber sollten daher Datenschutz-Folgenabschätzung, Bewerberhinweise, Rechtsgrundlage und sinnvolle menschliche Beteiligung als Designanforderungen behandeln, nicht als Anmerkungen nach dem Go-live. Transparenz bedeutet hier nicht ein Banner mit dem Hinweis, dass das Unternehmen KI nutzt. Es bedeutet ausreichend operative Details, damit Kandidatinnen und Kandidaten, HR-Mitarbeitende und Prüfer verstehen können, welche Rolle das System gespielt hat.

Was Entwickler und Käufer jetzt ändern sollten

Die Umfrage der Europäischen Kommission ergab, dass 37 % der Beschäftigten sagen, Arbeitgeber nutzten KI und andere Tools zur Überwachung der Arbeitszeit, während 24 % von algorithmischem Management berichten, das eine automatische Zuweisung oder Bewertung von Arbeit umfasst. Recruiting ist Teil desselben Musters der Arbeitsplatzautomatisierung. Sobald ein Tool den Zugang zu Arbeit berührt, ist es nicht mehr nur ein Effizienzprojekt, sondern wird zu einem Rechenschaftsprojekt.

Für Entwickler bedeutet das, Bewertung, Ranking und Entscheidungsempfehlungen im Produktdesign zu trennen, damit Kunden echte menschliche Prüfung konfigurieren können. Für Käufer bedeutet es, dass die Anbieterprüfung nach Zusammenfassungen der Trainingsdaten, Leistungsdokumentation, Informationen zu Bias-Tests, Audit-Unterstützung und Lösch- oder Aufbewahrungskontrollen fragen und diese Antworten anschließend dem tatsächlichen Einstellungsprozess zuordnen sollte. Der Leitfaden von Ogletree Deakins ist hilfreich, weil er die Diskussion weg von der Frage führt, ob KI-Recruiting clever ist. Die bessere Frage ist, ob der Arbeitgeber die Einführung erklären kann, ohne dass seine Anwältinnen und Anwälte stumm an die Decke starren.

Das Nächste, worauf man achten sollte, ist nicht eine weitere Ankündigung zu verantwortungsvoller KI im Recruiting. Achten Sie auf die langweiligen Artefakte: Beschaffungsfragebögen, Datenverarbeitungsverzeichnisse, Anweisungen für Führungskräfte, Bewerberhinweise und Audit-Logs. Dort wird sich zeigen, ob EU-Compliance für KI im Recruiting zu routinemäßiger Governance wird oder zu einer teuren Rekonstruktionsübung.