DSGVO und EU AI Act
KI im Personalmanagement ist Realität und bietet Stoff für die Disruption der HR-Funktion in Organisationen. Serviceprozesse für Mitarbeitende sind vollständig automatisierbar. Die HR-Produkte, die angeboten werden sollen, können mit Unterstützung von KI einsatzbereit erarbeitet werden. Dabei gilt es sorgsam den Rechtsraum nach Gesetzen und Rechtsprechung zu prüfen. Organisationen können sich nicht damit entlasten, ein paar Leitlinien zu formulieren und daraus abzuleiten, dass der KI-Einsatz schon verantwortbar sein werde. Gerade dort, wo Systeme Auswahl, Bewertung, Entwicklung, Kontrolle oder Trennung von Beschäftigten beeinflussen, entscheidet nicht die technologische Umsetzung, sondern die rechtliche Zulässigkeit.
Im europäischen Raum sind dafür insbesondere die DSGVO und der EU AI Act maßgeblich. Hinzu kommen arbeitsrechtliche Schutzvorschriften, Mitbestimmungsrechte, Gleichbehandlungs- und Antidiskriminierungsrecht, nationale Regeln zum Beschäftigtendatenschutz sowie Anforderungen an Informationssicherheit und Governance. Wer KI in HR ernsthaft einführen will, muss diese Ebenen gemeinsam denken. Die Frage lautet deshalb nicht nur, was ein IT-System kann. Die eigentlich entscheidende Frage lautet, was es darf, unter welchen Bedingungen es das darf und wie ein Unternehmen diese Bedingungen im Alltag belastbar sicherstellt.
Warum HR rechtlich ein Hochrisikofeld ist
HR ist deshalb ein besonders sensibler Raum für KI, weil hier nicht über neutrale Verwaltung, sondern über Erwerbschancen, Entwicklungsmöglichkeiten, Leistungseinordnung, Sichtbarkeit, Kontrolle und im Zweifel über berufliche Zukunft mitentschieden wird. Genau deshalb setzt die DSGVO an dieser Stelle strenge Grenzen. Sobald personenbezogene Daten verarbeitet werden, braucht es eine tragfähige Rechtsgrundlage, eine klare Zweckbindung, Datenminimierung, Transparenz und eine kontrollierte Verarbeitung. Besonders scharf wird die Lage dort, wo Entscheidungen ausschließlich automatisiert erfolgen und für die betroffene Person rechtliche oder ähnlich erhebliche Wirkung entfalten. Genau hier greift Art. 22 DSGVO.
Für HR bedeutet das in der Praxis: Eine KI darf nicht einfach Menschen aussortieren, Rankings verbindlich festlegen oder personelle Maßnahmen auslösen, ohne dass rechtliche Voraussetzungen, Schutzrechte und echte menschliche Kontrolle vorhanden sind. Wer ein automatisiertes oder agentisiertes HR-Modell ernsthaft denkt, muss also akzeptieren, dass nicht jede technisch mögliche Vollautomatisierung auch rechtlich tragfähig ist. Der Mensch verschwindet vielleicht aus vielen operativen Routinen, aber der Mensch darf nicht aus jeder entscheidungsrelevanten Schleife verschwinden. Gerade an dieser Stelle endet die naive KI-Euphorie und beginnt die Realität eines regulierten Einsatzes.
Der EU AI Act verschärft diese Perspektive noch einmal aus einer zweiten Richtung. IT-Systeme, die in Beschäftigung, Recruiting, Leistungsbewertung, Aufgabenzuweisung, Überwachung oder Zugangsentscheidungen eingesetzt werden, gelten im Regelfall als Hochrisiko-Systeme. Das bedeutet nicht, dass solche Systeme verboten wären. Es bedeutet aber, dass sie nur unter einem dichten Pflichtenkatalog betrieben werden dürfen: Risikomanagement, Datenqualität, technische Dokumentation, Logging, Transparenz, menschliche Aufsicht, Robustheit und Governance sind dann keine freiwilligen Reifezeichen mehr, sondern regulatorische Anforderungen. KI in HR ist damit kein harmloses Software-Feature, sondern ein regulierter Eingriff in einen grundrechtlich sensiblen Bereich.
Bei Nichbeachtung von DSGVO und EU AI Act gilt ein beachtenswerter Bußgeldrahmen. Für Verstöße gegen die DSGVO sind zwei Bußgeldrahmen vorgesehen:
Bis 10 Mio. EUR oder 2% des weltweiten Jahresumsatzes für eher formelle Pflichten (z. B. bestimmte Dokumentations-, Verfahrens- oder Meldepflichten).
Bis 20 Mio. EUR oder 4% des weltweiten Jahresumsatzes für materielle Kernpflichten (z. B. unzulässige Verarbeitung, Verletzung von Betroffenenrechten, mangelnde Sicherheit).
Die tatsächlich festgesetzte Höhe hängt von mehreren Faktoren ab: Art, Schwere und Dauer des Verstoßes, Verschulden, getroffene Maßnahmen, Kooperation mit der Aufsichtsbehörde, frühere Verstöße, Kategorie der betroffenen Daten und Schadenshöhe.
Der EU AI Act beinhaltet drei Bußgeldstufen gemäß Art. 99:
Stufe 1 (schwerste Verstöße): Bis 35 Mio. EUR oder 7% des weltweiten Jahresumsatzes (je nachdem, was höher ist) für verbotene KI‑Praktiken nach Art. 5 (z. B. manipulative Systeme, soziales Scoring, bestimmtes biometrisches Monitoring im öffentlichen Raum).
Stufe 2 (Kernpflichten): Bis 15 Mio. EUR oder 3% des weltweiten Jahresumsatzes für die meisten anderen Pflichten von Anbietern, Betreibern, Importeuren, Distributoren oder benannten Stellen (z. B. Risikomanagement, Daten‑Governance, technische Dokumentation, menschliche Aufsicht, Transparenz).
Stufe 3 (Falschangaben): Bis 7,5 Mio. EUR oder 1% des weltweiten Jahresumsatzes für das Liefern von unrichtigen, unvollständigen oder irreführenden Informationen an Behörden bzw. benannte Stellen.
Für KMU und Start‑ups gelten Erleichterungen: Die prozentuale Obergrenze wird nicht nach dem höheren, sondern nach dem niedrigeren Wert (Fixbetrag vs. Prozent) begrenzt, und es gibt zusätzliche Reduktionen (z. B. 50% für KMU, 75% für Kleinstunternehmen).
Was Unternehmen vor dem Einsatz von KI in HR klären müssen
Die vielleicht größte Fehlannahme vieler Organisationen besteht darin, mit einem Tool zu beginnen, bevor sie den eigenen Anwendungsfall verstanden haben. Genau das ist der falsche Einstieg. Wer KI in HR verantwortbar einsetzen will, muss zuerst unterscheiden, worüber überhaupt gesprochen wird: über Assistenz, über Vorbereitung, über Empfehlung, über Automatisierung oder über Entscheidung. Ein System, das Formulierungsvorschläge für Stellenanzeigen macht oder Richtlinien verständlicher erklärt, ist rechtlich und organisatorisch anders zu beurteilen als ein System, das BewerberInnen bewertet, Beschäftigte überwacht oder Entwicklungspfade vorbereitet. Je näher eine Anwendung an personellen Entscheidungen liegt, desto höher werden Risiko, Prüfpflichten und Steuerungsbedarf.
Ebenso zentral ist die Datenfrage. Schlechte, unvollständige oder verzerrte Daten führen nicht nur zu schwachen Ergebnissen, sondern zu Diskriminierungsrisiken, rechtlichen Angriffspunkten und Vertrauensverlust. Hinzu kommt die Frage der Governance: Wer ist fachlich verantwortlich, wer prüft Datenschutz und Arbeitsrecht, wer gibt Modelle frei, wer kontrolliert sie im Betrieb und wer stoppt sie im Zweifel? Ohne diese Rollenklärung bleibt jede KI-Architektur in HR ein Risikoaufbau mit Ansage.
Auch die Nachvollziehbarkeit ist kein Nebenthema. Unternehmen müssen erklären können, welche Daten ein System verwendet, welche Logik es anwendet, welche Risiken identifiziert wurden und wie menschliche Aufsicht konkret funktioniert. Das ist besonders herausfordernd, denn die neusten Meldungen rund um eigenständige und autonome KI lassen die Vermutung zu, dass Unternehmen wie OpenAI oder Anthropic (nur als Beispiele genannt) selbst nicht verstehen, wie ihre LLMs arbeiten. Wie soll das dann eine Organisation tun, die ein LLM einsetzt? Dazu kommen Mitbestimmungsfragen, Informationspflichten und die Notwendigkeit, sensible Anwendungsfälle frühzeitig juristisch und organisatorisch prüfen zu lassen. Wer diese Themen erst dann ernst nimmt, wenn das System bereits eingeführt ist, baut kein modernes HR-Modell, sondern die Grundlage für den späteren Konflikt. Jetzt stellt sich die Frage, ob in Europa gegenüber China und USA übervorsichtig vorgegangen wird. Dies ist sicher Stoff für Diskussionen.
Der Weg in einen rechtlich sicheren Zielzustand
Der Weg in einen rechtlich sicheren und risikoarmen KI-Einsatz beginnt nicht mit maximaler Automatisierung, sondern mit Ordnung. Zuerst müssen Prozesse verstanden, beschrieben und priorisiert werden. Welche Anliegen sind standardisierbar, welche transaktional, welche datenabhängig und welche so sensibel, dass sie auch künftig nur unter enger menschlicher Verantwortung bearbeitet werden dürfen? Danach folgt die Bereinigung der Datenlandschaft: Stammdaten, Organisationsdaten, Rollen, Richtlinien, Dokumente und Prozessmodelle müssen auffindbar, konsistent, maschinenlesbar und kontrollierbar sein. Zudem muss die Ehtikfrage beantwortet werden. Damit beschäftigt sich ein weiterer Blog-Beitrag. Ohne diese Vorarbeit bleibt jede KI-Einführung im Nebel.
Erst auf dieser Grundlage entsteht ein tragfähiger Zielzustand. Zunächst kommen risikoarme Assistenzfälle, danach kontrollierte Teilautomatisierung, erst später stärker entscheidungsnahe Anwendungen mit dokumentierter menschlicher Aufsicht. Parallel dazu braucht es ein verbindliches Governance-Modell zwischen HR, Datenschutz, Legal, IT, Informationssicherheit und Arbeitnehmervertretung. Genau dort entscheidet sich, ob KI in HR nicht nur beeindruckend wirkt, sondern im Alltag belastbar, rechtskonform und risikoarm betrieben werden kann. Die Zukunft liegt deshalb nicht in der rechtsfreien Vollautomatisierung, sondern in einer Automatisierung, die technisch stark, organisatorisch beherrschbar und rechtlich sauber gebaut ist.
Was haben wir gelernt?
Erstens: Ein Modell wie Automated-HR bzw. eine fast Vollautomatisierung von HR ist mit heutiger KI technisch in weiten Teilen umsetzbar. Sprachmodelle, agentische Systeme, strukturierte Daten, klar beschriebene Prozesse und steuerbare Integrationen machen es realistisch, operative HR-Leistungen weitgehend zu automatisieren. Die technische Debatte ist deshalb längst keine Science-Fiction mehr, sondern eine Architekturfrage.
Zweitens: Die eigentliche Grenze verläuft im HR nicht primär entlang der technischen Machbarkeit und der Ethikfrage, sondern entlang des Rechts. DSGVO, EU AI Act, arbeitsrechtliche Schutzmechanismen, Mitbestimmung und Antidiskriminierungsrecht bilden gemeinsam den Rahmen dafür, was zulässig, kontrollierbar und verantwortbar ist. Wer diese Ebene ignoriert, modernisiert HR nicht, sondern verlagert Risiko nur in eine neue Technologieform und riskiert hohe Bußgelder im EU-Raum.
Drittens: Die reifste Zukunftsstrategie für KI in HR ist weder reflexhafte Begeisterung noch pauschale Ablehnung, sondern ein rechtlich informierter und organisatorisch sauber gebauter Einsatz. Nicht alles, was automatisierbar ist, ist auch sofort zulässig. Nicht alles, was effizient erscheint, ist im individuellen Unternehmenskontext auch klug. Und nicht alles, was im HR technisch durch KI ersetzt werden kann, sollte auch ohne klare Governance, menschliche Aufsicht und belastbare Schutzmechanismen ersetzt werden. Gute Personalarbeit der Zukunft entsteht dort, wo Unternehmen den Mut haben, KI konsequent zu nutzen, sie ebenso konsequent rechtlich zu prüfen und schrittweise in ein tragfähiges Zielbild zu überführen.