Fachmagazin IT-Recruiting · KI & Governance
KI im Recruiting nach dem EU AI Act ist nicht pauschal verboten. Aber zwischen einer Schreibhilfe für Stellenanzeigen und einem System, das Bewerbungen filtert oder Kandidat:innen bewertet, liegt regulatorisch und praktisch ein großer Unterschied. Seit der jüngsten Fristverschiebung bleibt Unternehmen mehr Zeit für Hochrisiko-Pflichten – nicht mehr Spielraum für Blindflug.
Im ATS taucht plötzlich eine neue Funktion auf: „AI Match Score“. Der Anbieter wirbt mit schnellerer Vorauswahl. Recruiting sieht Entlastung, der Fachbereich bessere Shortlists, die Datenschutzbeauftragte stellt Fragen zum Entscheidungsweg. Niemand kann auf Anhieb sagen, ob das Feature nur sortiert, Empfehlungen gibt oder Bewerbungen faktisch aussiebt.
Genau hier beginnt die Antwort auf die Frage, ob Unternehmen KI im Recruiting einsetzen dürfen. Ja – sofern sie den konkreten Einsatzzweck, die Datenverarbeitung und den Einfluss auf Menschen sauber prüfen. Der Produktname hilft dabei kaum. „Copilot“, „Matching“ oder „Automation“ beschreibt nicht, was ein System im Prozess tatsächlich tut.
Was für KI im Recruiting nach dem EU AI Act jetzt gilt
Der Zeitplan hat sich im Sommer 2026 verändert. Die Digital-Omnibus-Verordnung (EU) 2026/1744 verschiebt die Anwendung der zentralen Hochrisiko-Anforderungen für Systeme nach Anhang III auf den 2. Dezember 2027. Dazu gehören bestimmte KI-Systeme für Beschäftigung und Recruiting – etwa Systeme, die Bewerbungen analysieren, filtern oder Kandidat:innen bewerten.
Die Verschiebung ist relevant, aber sie setzt den übrigen Rechtsrahmen nicht außer Kraft. Die Pflicht zu angemessener KI-Kompetenz und die Verbote bestimmter Praktiken gelten bereits. Datenschutz, Diskriminierungsschutz, arbeitsrechtliche Beteiligungsrechte und interne Beschaffungsregeln laufen ebenfalls weiter. Ein Recruiting-Team darf deshalb weder bis Ende 2027 warten noch jedes neue KI-Feature vorsorglich abschalten.
Seit 2. Februar 2025
Kapitel I und II des AI Act gelten weitgehend. Dazu zählen KI-Kompetenz nach Artikel 4 und Verbote nach Artikel 5.
Seit 2. August 2026
Ein großer Teil der übrigen Verordnung ist anwendbar. Die Kernpflichten für Hochrisiko-Systeme aus Anhang III wurden jedoch verschoben.
Ab 2. Dezember 2027
Die aufgeschobenen Anforderungen für eigenständige Hochrisiko-KI nach Artikel 6 Absatz 2 und Anhang III werden verbindlich.
Unabhängig vom Stichtag
DSGVO, AGG, Betriebsverfassungsrecht und vertragliche Pflichten müssen für den konkreten Einsatz geprüft werden.
Stand: 25.08.2026. Die Einordnung basiert auf der geltenden EU-Verordnung und ersetzt keine Rechtsberatung. Bei konkreten Tools und Auswahlprozessen sollten Datenschutz, Arbeitsrecht, Mitbestimmung und gegebenenfalls externe Fachberatung einbezogen werden.
Nicht das KI-Label entscheidet, sondern die Funktion im Prozess
Die Europäische Kommission nennt in ihren aktuellen Hinweisen zum AI Act ausdrücklich KI-Systeme zum Platzieren zielgerichteter Stellenanzeigen, zum Analysieren und Filtern von Bewerbungen sowie zum Bewerten von Kandidat:innen als Beispiele für sensible Beschäftigungsanwendungen. Das heißt nicht, dass jede automatische Funktion im Recruiting identisch zu behandeln ist. Es heißt aber: Sobald ein System Zugangschancen strukturiert, reicht ein unverbindliches „Der Mensch entscheidet am Ende“ nicht als Konzept.
| Anwendung | Praktische Frage | Risikohinweis | Was HR vor Einsatz klären sollte |
|---|---|---|---|
| Textentwurf | Formuliert die KI nur eine Stellenanzeige oder Ansprache? | Meist keine Auswahlentscheidung, aber Fehler, Bias und vertrauliche Eingaben bleiben möglich. | Freigabeprozess, zulässige Eingaben, Faktencheck und redaktionelle Verantwortung. |
| Termin- oder FAQ-Assistent | Organisiert das System Gespräche oder beantwortet Standardfragen? | Kann niedrigere Wirkung haben, solange es keine Eignung bewertet oder Personen benachteiligt. | Transparenz, Barrierefreiheit, Eskalation an Menschen und Datenminimierung. |
| CV-Parsing | Überträgt das Tool Daten – oder gewichtet es Qualifikationen? | Die Grenze verläuft zwischen administrativer Extraktion und bewertender Vorselektion. | Felder, Fehlerraten, Ausschlusslogik, Korrekturmöglichkeit und Folgen falscher Zuordnung. |
| Matching oder Ranking | Ordnet das System Kandidat:innen nach vermuteter Passung? | Hohe Nähe zu den in Anhang III genannten Recruiting-Anwendungen. | Intended Purpose, Anbieterunterlagen, Kriterien, Protokollierung, Bias-Kontrolle und menschliche Aufsicht. |
| Automatische Filterung | Kann ein Score dazu führen, dass ein Mensch die Bewerbung nie sieht? | Besonders kritisch, weil Zugangschancen unmittelbar beeinflusst werden. | Keine versteckten Cut-offs, begründbare Kriterien, Stichproben und wirksamer Korrekturweg. |
| Video- oder Emotionsanalyse | Leitet das System Eignung aus Stimme, Mimik oder vermeintlichen Emotionen ab? | Kann in verbotene oder besonders problematische Praktiken führen. | Nicht pilotieren, bevor eine spezialisierte rechtliche und technische Prüfung erfolgt ist. |
Gerade im IT-Recruiting entstehen schnell Fehlurteile. Ein Modell sieht zwölf Jahre Java, aber nicht, ob jemand Produktverantwortung, Architekturentscheidungen oder lediglich Wartung übernommen hat. Es erkennt Kubernetes im Lebenslauf, verwechselt jedoch Nutzung mit Plattformbetrieb. Bei CISO-, Cloud-, SAP- oder Data-Rollen wirkt ein sauber aussehender Score deshalb oft präziser, als seine fachliche Grundlage ist.
Die Fristverschiebung ist Arbeitszeit, keine Wartezeit
Bis Dezember 2027 können Unternehmen ihre Prozesse geordnet aufbauen. Wer erst kurz vor dem Stichtag beginnt, muss zugleich Tools inventarisieren, Verträge prüfen, Verantwortlichkeiten klären, Dokumentation nachfordern und Recruiting-Teams schulen. Das ist unnötig hektisch – vor allem, weil KI-Funktionen oft unbemerkt über Updates in bestehende Systeme gelangen.
Ein häufiger Denkfehler lautet: Wir kaufen keine „Recruiting-KI“, also haben wir keine. In Wirklichkeit können Kandidatenranking, Textgenerierung, Gesprächszusammenfassungen oder Empfehlungsfunktionen in ATS, Sourcing-Suiten, Videointerview-Tools und Office-Software stecken. Auch ein allgemeines Sprachmodell wird zum Recruiting-Werkzeug, wenn Beschäftigte dort Bewerberdaten eingeben oder Auswahlurteile vorbereiten.
Zwölf Fragen vor dem nächsten KI-Feature
- Einsatzzweck: Welche konkrete Aufgabe soll das System übernehmen – und welche ausdrücklich nicht?
- Wirkung: Verändert das Ergebnis, wer gesehen, angesprochen, eingeladen oder abgelehnt wird?
- Daten: Welche Bewerber-, Profil- oder Kommunikationsdaten fließen ein, wo werden sie verarbeitet und wie lange gespeichert?
- Kriterien: Nach welchen Merkmalen sortiert, bewertet oder empfiehlt das System?
- Ausschlüsse: Gibt es Schwellenwerte, Knock-out-Regeln oder unsichtbare Priorisierungen?
- Fehlerbild: Welche Profile werden typischerweise falsch gelesen – etwa Quereinsteiger:innen, internationale CVs oder ungewöhnliche Karrierewege?
- Menschliche Aufsicht: Kann eine qualifizierte Person das Ergebnis verstehen, verwerfen und korrigieren?
- Anbieterrolle: Welche Einstufung, Dokumentation, Versionierung und Änderungsinformation liefert der Hersteller?
- Transparenz: Welche Information erhalten Kandidat:innen verständlich und zum richtigen Zeitpunkt?
- Kontrolle: Wie werden Qualität, Benachteiligungsmuster und unerwartete Veränderungen regelmäßig geprüft?
- Beteiligung: Welche Funktionen müssen Datenschutz, Legal, IT-Security und Betriebsrat vor Einführung prüfen?
- Kompetenz: Wissen die Nutzer:innen, was das System kann, wo es irrt und wann sie eskalieren müssen?
Menschliche Aufsicht muss eine echte Entscheidung ermöglichen
Ein Recruiter, der in zehn Sekunden einen KI-Vorschlag bestätigt, ist formal beteiligt, aber nicht zwingend wirksam. Menschliche Aufsicht braucht Zeit, fachliche Kompetenz und Zugriff auf die entscheidungsrelevanten Informationen. Wer einen CISO-Score prüft, muss beispielsweise erkennen können, ob Governance, technische Tiefe und Führungsverantwortung sauber auseinandergehalten wurden.
Hilfreich ist eine einfache Gegenprobe: Könnte die zuständige Person einem abgelehnten Kandidaten erklären, welche Kriterien maßgeblich waren, welche Systemausgabe sie geprüft hat und warum sie zu einer eigenen Entscheidung kam? Wenn die Antwort nein lautet, ist der Prozess noch nicht belastbar.
So verteilt sich die Verantwortung im Unternehmen
| Funktion | Beitrag | Typische Lücke |
|---|---|---|
| Recruiting / Talent Acquisition | Beschreibt den realen Prozess, Einsatzzweck, Entscheidungspunkte und Candidate Experience. | Kennt das Tool im Alltag, aber nicht jede technische oder rechtliche Nebenwirkung. |
| Hiring Manager | Definiert fachliche Kriterien und prüft, ob das System IT-Rollen überhaupt angemessen unterscheiden kann. | Verwechselt ein plausibles Ergebnis mit valider Bewertung. |
| Datenschutz / Legal | Prüft Rechtsgrundlagen, Information, Betroffenenrechte, automatisierte Entscheidungen und Verträge. | Wird erst nach dem Pilot oder Vertragsabschluss einbezogen. |
| IT, Security & Einkauf | Klärt Datenflüsse, Zugriffe, Unterauftragnehmer, Versionen, Protokolle und Anbieterzusagen. | Prüft Sicherheit, aber nicht den Einfluss auf Auswahlentscheidungen. |
| Betriebsrat | Wird entsprechend der konkreten Anwendung und der geltenden Beteiligungsrechte früh eingebunden. | Erfährt vom System erst, wenn die technische Einführung praktisch abgeschlossen ist. |
Niemand in dieser Runde kann die Prüfung allein tragen. HR kennt den Prozess, der Fachbereich die Rolle, IT die Architektur und Datenschutz die rechtlichen Grenzen. Ein gutes Governance-Modell verbindet diese Perspektiven, ohne jede Textkorrektur zum Großprojekt zu machen.
Ein pragmatischer Start in vier Wochen
Woche 1: Inventur statt Grundsatzdebatte
Alle Systeme und Funktionen zusammentragen, die im Recruiting Inhalte erzeugen, Profile strukturieren, Personen empfehlen, bewerten oder filtern. Auch Testzugänge und automatisch aktivierte Features gehören auf die Liste.
Woche 2: Nach Wirkung sortieren
Anwendungen danach ordnen, ob sie nur unterstützen oder Auswahlchancen beeinflussen. Zuerst die Fälle prüfen, in denen Kandidat:innen gerankt, ausgeblendet oder automatisch bewertet werden.
Woche 3: Nachweise und Zuständigkeiten
Vom Anbieter Intended Purpose, technische Dokumentation, Datenflüsse, Änderungsprotokolle und vorhandene Prüfberichte anfordern. Intern Verantwortliche für Freigabe, Betrieb und Kontrolle benennen.
Woche 4: Leitplanken im Alltag testen
Mit realistischen, datenschutzkonformen Testfällen prüfen, ob Menschen Ergebnisse nachvollziehen und korrigieren können. Schulung, Eskalationsweg und Abschaltkriterien festlegen.
Für die datenschutzrechtliche Bewertung bleibt insbesondere Artikel 22 DSGVO relevant, wenn Entscheidungen ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche oder ähnlich erhebliche Wirkung entfalten. Daneben können weitere Datenschutzpflichten greifen, auch wenn ein Mensch beteiligt ist. Die genaue Einordnung hängt vom Prozess ab.
Woran ein ungeeignetes Tool früh zu erkennen ist
- Der Anbieter erklärt die Funktion nur mit „proprietärer KI“ und liefert keine belastbare Zweckbeschreibung.
- Recruiting kann nicht erkennen, warum Kandidat:innen höher oder niedriger gerankt werden.
- Ein automatischer Filter lässt sich weder deaktivieren noch stichprobenartig kontrollieren.
- Produktupdates verändern Kriterien, ohne dass Kund:innen eine nachvollziehbare Änderungsinformation erhalten.
- Das System verspricht, Persönlichkeit, Motivation oder kulturelle Passung aus Stimme, Gesicht oder Sprachmustern abzuleiten.
- Die menschliche Prüfung besteht faktisch aus dem Bestätigen einer vorsortierten Liste unter Zeitdruck.
- Es gibt keinen klaren Prozess für Auskunft, Korrektur, Beschwerden oder dokumentierte Abweichungen.
Im spezialisierten IT-Recruiting kommt eine weitere Grenze hinzu: Selbst ein rechtlich sauber eingeführtes Tool ist nicht automatisch fachlich gut. Wer Software Engineering, Cloud, Cybersecurity, SAP oder IT-Führung bewertet, braucht Rollenlogik statt Schlagwortnähe. KI kann Hinweise strukturieren. Die Verantwortung, technische Tiefe, Kontext und Motivation zu verstehen, bleibt bei qualifizierten Menschen.
Häufige Fragen zu KI im Recruiting und EU AI Act
Ist KI im Recruiting nach dem EU AI Act verboten?
Nein. Der AI Act verfolgt einen risikobasierten Ansatz. Bestimmte Recruiting-Anwendungen wie Analyse, Filterung oder Bewertung von Bewerbungen können als Hochrisiko-KI eingestuft werden und unterliegen strengeren Anforderungen. Andere Hilfsfunktionen sind anders zu bewerten. Entscheidend sind Zweck, Funktion und Wirkung im konkreten Prozess.
Gelten die Hochrisiko-Pflichten für Recruiting-KI schon seit August 2026?
Die zentralen Anforderungen für eigenständige Hochrisiko-Systeme nach Artikel 6 Absatz 2 und Anhang III wurden durch die Digital-Omnibus-Verordnung auf den 2. Dezember 2027 verschoben. Andere Teile des AI Act sowie DSGVO, AGG und weitere einschlägige Regeln gelten unabhängig davon bereits.
Ist ChatGPT für Stellenanzeigen automatisch Hochrisiko-KI?
Eine reine Schreibhilfe ist nicht mit einem System gleichzusetzen, das Bewerbungen filtert oder Menschen bewertet. Trotzdem müssen Unternehmen zulässige Eingaben, Datenschutz, Vertraulichkeit, sachliche Richtigkeit und menschliche Freigabe regeln. Nutzt ein Prozess das Modell für Auswahlurteile, ändert sich die Risikobetrachtung.
Darf KI Lebensläufe vorsortieren?
Vorsortierung kann die Chancen von Bewerber:innen erheblich beeinflussen und liegt nahe an den ausdrücklich genannten Hochrisiko-Anwendungen. Unternehmen sollten keine solche Funktion aktivieren, bevor Zweck, Kriterien, Anbieterunterlagen, Datenschutz, menschliche Aufsicht und Korrekturwege fachkundig geprüft sind.
Reicht es, wenn am Ende ein Mensch entscheidet?
Nicht automatisch. Die Person muss qualifiziert, informiert und tatsächlich in der Lage sein, eine Systemempfehlung zu verstehen, zu verwerfen und zu korrigieren. Bloßes Abnicken einer Blackbox-Ausgabe ist keine belastbare menschliche Aufsicht.
Was sollten Unternehmen 2026 zuerst tun?
Zuerst alle KI-Funktionen im Recruiting inventarisieren und nach ihrer Wirkung sortieren. Priorität haben Ranking, Scoring, Filterung und Bewertung. Danach folgen Anbieterunterlagen, Datenflüsse, Verantwortlichkeiten, Beteiligung der zuständigen Stellen, Schulung und ein dokumentierter Prüfprozess.
Passend dazu
Sie möchten KI im IT-Recruiting fachlich sauber einsetzen?
Wir klären mit Ihnen, welche Aufgaben Automatisierung unterstützen darf und wo menschliche Rollenkenntnis unverzichtbar bleibt. So entsteht ein Recruitingprozess, der Technologie nutzt, ohne Kandidat:innen oder Entscheider:innen einer Blackbox zu überlassen.
