KI-Richtlinie für HR: Vorlage, Pflichten & AI Act 2026 im Überblick

Der Einsatz von KI im Personalwesen wirft konkrete Fragen auf: Welche Tools dürfen HR-Mitarbeitende nutzen? Welche Daten dürfen sie eingeben? Und welche Anforderungen stellt der EU AI Act an KI im Recruiting und Personalmanagement?

Eine KI-Richtlinie für HR legt fest, wie Mitarbeitende KI-Anwendungen sicher und verantwortungsvoll nutzen dürfen. Sie definiert erlaubte Einsatzbereiche, regelt den Umgang mit Personaldaten und legt fest, wer KI-Tools freigibt und Ergebnisse kontrolliert.

Der EU AI Act macht klare Vorgaben für bestimmte KI-Anwendungen. Dazu gehören die Förderung der KI-Kompetenz, Verbote bestimmter Praktiken und besondere Anforderungen an Hochrisiko-KI im Beschäftigungskontext. Welche Pflichten konkret gelten, hängt unter anderem von der Funktion des Systems und der Rolle des Unternehmens ab.

In diesem Beitrag erfahren Sie, welche Inhalte eine KI-Richtlinie für HR enthalten sollte, welche Pflichten der AI Act mit sich bringt und wie Sie eine passende Vorlage für Ihr Unternehmen erstellen. Eine Muster-Richtlinie und praktische Checklisten helfen Ihnen bei der Umsetzung.

Was ist eine KI-Richtlinie für HR?

Eine KI-Richtlinie für HR legt verbindlich fest, wie Unternehmen künstliche Intelligenz im Personalwesen einsetzen dürfen. Die Richtlinie definiert, welche KI-Tools für HR freigegeben sind, welche Daten verarbeitet werden dürfen und wie Mitarbeitende KI-generierte Ergebnisse prüfen müssen.

Eine solche KI-Richtlinie für die Personalabteilung betrifft beispielsweise den Einsatz von ChatGPT für Stellenanzeigen, KI-gestützte Bewerberauswahl oder die automatisierte Verarbeitung von Personaldokumenten. Sie schafft klare Regeln für den Umgang mit KI im Personalwesen und hilft, Datenschutzverstöße, diskriminierende Ergebnisse und unkontrollierte Anwendungen zu vermeiden.

Dabei geht eine KI-Richtlinie über eine reine Liste erlaubter Tools hinaus. Sie legt auch Zuständigkeiten, Freigabeprozesse und Kontrollmaßnahmen fest. Je nach Einsatzbereich müssen Unternehmen dabei Anforderungen des EU AI Act, der DSGVO und des Beschäftigungsrechts berücksichtigen.

Welche Ziele verfolgt eine KI-Richtlinie für die Personalabteilung?

Eine KI-Richtlinie für HR schafft einen verbindlichen Rahmen für die Nutzung von KI-Anwendungen im Arbeitsalltag. Sie verfolgt vier zentrale Ziele:

• KI-Tools für HR regulieren: Die Richtlinie legt fest, welche Anwendungen zugelassen sind und für welche Aufgaben sie verwendet werden dürfen.
• Personaldaten schützen: Sie definiert, welche personenbezogenen und vertraulichen Informationen in KI-Systeme eingegeben werden dürfen.
• KI-Ergebnisse kontrollieren: Sie regelt, wie HR-Mitarbeitende Ergebnisse prüfen, Fehler erkennen und mögliche Diskriminierungen vermeiden.
• Verantwortlichkeiten festlegen: Sie bestimmt, wer KI-Anwendungen freigibt, Risiken bewertet, Schulungen organisiert und bei Verstößen eingreift.

Eine klare KI-Richtlinie unterstützt damit sowohl die sichere Nutzung generativer KI als auch den kontrollierten Einsatz spezialisierter HR-Software.

Für wen gilt eine KI-Richtlinie für HR?

Eine KI-Richtlinie für HR richtet sich an alle Personen, die KI für Aufgaben im Personalwesen einsetzen. Welche Bereiche einbezogen werden, hängt von den verwendeten Anwendungen und den internen Prozessen ab.

Typische Anwendungsbereiche sind:

• KI im Recruiting: Stellenanzeigen erstellen, Bewerbungen zusammenfassen und die Kommunikation mit Kandidatinnen und Kandidaten unterstützen.
• KI in der Personalverwaltung: Dokumente strukturieren, Personalinformationen verwalten und administrative Texte erstellen.
• KI in der Personalentwicklung: Schulungsinhalte vorbereiten und Weiterbildungsangebote unterstützen.
• KI in der Personalplanung: Daten auswerten und Planungsprozesse unterstützen, sofern der konkrete Einsatz zulässig ist.

Eine KI-Richtlinie für die Personalabteilung sollte außerdem regeln, wie Führungskräfte, IT, Datenschutz und gegebenenfalls der Betriebsrat in die Freigabe und Kontrolle von KI-Anwendungen eingebunden werden.

KI-Richtlinie, KI-Strategie und Betriebsvereinbarung: Was ist der Unterschied?

Eine KI-Richtlinie für HR ist nur ein Bestandteil der unternehmensweiten KI-Governance. Sie unterscheidet sich von einer KI-Strategie und einer Betriebsvereinbarung durch ihren konkreten Zweck.

• KI-Richtlinie für HR: Regelt die praktische Nutzung von KI in der Personalabteilung, etwa zugelassene Tools, Datenschutz und menschliche Kontrolle.
• KI-Strategie: Definiert, welche Unternehmensziele mit KI erreicht werden sollen und in welchen Bereichen KI zum Einsatz kommt.
• Betriebsvereinbarung: Kann verbindliche Regelungen zur KI-Nutzung zwischen Arbeitgeber und Betriebsrat festlegen; bestehende Mitbestimmungsrechte sind zu beachten.

Beispielsweise kann die KI-Strategie den Einsatz von KI im Recruiting vorsehen. Die KI-Richtlinie für HR legt darauf aufbauend fest, welche Anwendungen zugelassen sind und wie Mitarbeitende mit den Ergebnissen umgehen müssen. Eine Betriebsvereinbarung kann ergänzende Regelungen enthalten, sofern sie vereinbart wird.

Wichtig: Eine KI-Richtlinie für HR ersetzt weder die gesetzlichen Pflichten aus dem EU AI Act und der DSGVO noch eine gegebenenfalls erforderliche Beteiligung des Betriebsrats. Sie übersetzt die relevanten Anforderungen in konkrete Regeln und Verantwortlichkeiten für den HR-Alltag.

Warum brauchen Personalabteilungen eine KI-Richtlinie?

KI im Personalwesen bietet viele Möglichkeiten: HR-Teams können Stellenanzeigen erstellen, Bewerbungsunterlagen zusammenfassen und administrative Aufgaben schneller erledigen. Gleichzeitig entstehen neue Risiken, wenn Mitarbeitende KI-Tools ohne klare Vorgaben nutzen oder KI-Ergebnisse ungeprüft übernehmen.

Eine KI-Richtlinie für die Personalabteilung legt fest, welche KI-Anwendungen im HR erlaubt sind, wie personenbezogene Daten geschützt werden und wer für die Prüfung der Ergebnisse verantwortlich ist. Sie unterstützt Unternehmen dabei, KI effizient und verantwortungsvoll einzusetzen und rechtliche Anforderungen wie den EU AI Act, die DSGVO und die Mitbestimmung im Betrieb zu berücksichtigen.

Rechtliche Risiken beim Einsatz von KI im HR reduzieren

Der Einsatz von KI im Personalwesen kann unterschiedliche rechtliche Pflichten auslösen. Neben dem EU AI Act für HR sind insbesondere die Datenschutz-Grundverordnung (DSGVO), der Beschäftigtendatenschutz und gegebenenfalls die Mitbestimmungsrechte des Betriebsrats relevant.

Entscheidend ist, wofür ein KI-System eingesetzt wird. Eine generative KI, die eine allgemeine Stellenanzeige formuliert, ist anders zu bewerten als eine Anwendung, die Bewerbungen bewertet, Kandidaten priorisiert oder die Leistung von Beschäftigten analysiert. Solche Unterschiede müssen Unternehmen bei der Auswahl und Freigabe von HR-Software mit KI berücksichtigen.

Eine KI-Richtlinie hilft, die erforderlichen Prüfungen in verbindliche Prozesse zu übersetzen. Sie sollte regeln:

• KI-Tools freigeben: Wer prüft neue Anwendungen, bevor sie im HR eingesetzt werden?
• Rechtliche Anforderungen bewerten: Wann müssen Datenschutz, IT-Sicherheit oder Rechtsabteilung einbezogen werden?
• Verantwortlichkeiten festlegen: Wer kontrolliert KI-Ergebnisse und trifft die abschließende Personalentscheidung?
• Einsatz dokumentieren: Welche KI-Anwendungen werden für welche HR-Aufgaben genutzt?
• Regelmäßige Kontrollen durchführen: Wer überprüft, ob Tools und Anwendungsfälle weiterhin den internen Vorgaben entsprechen?

Eine interne KI-Richtlinie ersetzt keine gesetzlich vorgeschriebenen Maßnahmen. Sie schafft jedoch einen klaren Rahmen, damit Unternehmen die Anforderungen des AI Act und anderer relevanter Vorschriften im HR-Alltag umsetzen können.

Datenschutz bei KI im Personalwesen sicherstellen

Im Personalwesen werden zahlreiche personenbezogene und vertrauliche Daten verarbeitet – darunter Lebensläufe, Bewerbungsunterlagen, Gehaltsinformationen, Leistungsbeurteilungen und Angaben zur beruflichen Entwicklung. Werden diese Informationen in nicht freigegebene KI-Anwendungen eingegeben, können erhebliche Datenschutzrisiken entstehen.

Beim Datenschutz für KI im HR kommt es darauf an, welche Daten ein Tool verarbeitet, zu welchem Zweck sie genutzt werden und welche Bedingungen für Speicherung und Weiterverarbeitung gelten. Unternehmen sollten unter anderem prüfen, wer Zugriff auf die Eingaben hat, wie lange Daten gespeichert werden und ob sie zum Training von KI-Modellen verwendet werden können. Eine praxisnahe Prüfhilfe bietet die Orientierungshilfe „Künstliche Intelligenz und Datenschutz“ der Datenschutzkonferenz (DSK).

Eine praxistaugliche KI-Richtlinie sollte deshalb klare Regeln zum Umgang mit Personaldaten enthalten:

• Keine personenbezogenen oder vertraulichen Daten in nicht freigegebene KI-Tools eingeben.
• Prüfen, ob sich eine Aufgabe mit anonymisierten oder fiktiven Daten erledigen lässt.
• Nur Daten verwenden, die für den jeweiligen Zweck erforderlich sind.
• Ausschließlich freigegebene Anwendungen für die vorgesehenen HR-Aufgaben nutzen.
• Bei Unsicherheit Datenschutzbeauftragte oder IT-Sicherheit einbeziehen.

Beispiel aus dem HR-Alltag: Soll eine KI eine Stellenanzeige sprachlich überarbeiten, benötigt sie in der Regel weder Namen von Bewerbenden noch vollständige Bewerbungsunterlagen. Unternehmen sollten daher bereits in der KI-Richtlinie festlegen, welche Informationen für solche Aufgaben zulässig sind.

Diskriminierung durch KI im Recruiting und Personalmanagement vermeiden

KI-Systeme können fehlerhafte, unvollständige oder verzerrte Ergebnisse erzeugen. Im Recruiting und Personalmanagement ist das besonders kritisch, wenn KI-Ausgaben Einfluss auf Einstellungen, Beförderungen, Leistungsbewertungen oder Weiterbildungsangebote haben.

Ein KI-System kann beispielsweise Bewerbungsprofile anhand ungeeigneter Kriterien priorisieren oder bestimmte Lebensläufe systematisch schlechter bewerten. Ein scheinbar objektiver Score ist kein Beleg dafür, dass eine Bewertung fair oder fachlich korrekt ist. Verzerrungen können unter anderem durch Trainingsdaten, die Auswahl der Kriterien oder die konkrete Verwendung des Systems entstehen.

Wichtig: Benachteiligt ein KI-System Bewerbende etwa wegen Geschlecht, Alter oder ethnischer Herkunft, bleibt der Arbeitgeber nach dem Allgemeinen Gleichbehandlungsgesetz (AGG) verantwortlich – auch wenn die Benachteiligung von der Software ausgeht. Eine KI-Richtlinie für HR sollte deshalb festlegen, wie Mitarbeitende KI-Ergebnisse prüfen und mit möglichen Fehlern oder Benachteiligungen umgehen. Bei Personalentscheidungen müssen Zuständigkeiten und erforderliche menschliche Kontrollen eindeutig geregelt sein. Je nach System und Verwendungszweck können darüber hinaus besondere Anforderungen des EU AI Act gelten.

Das gilt insbesondere für KI-Anwendungen, die Bewerbungen analysieren oder Beschäftigte bewerten. Unternehmen sollten vor dem Einsatz prüfen, ob das System als Hochrisiko-KI einzustufen ist und welche Anforderungen daraus folgen.

Praxisbeispiel: Eine KI kann Bewerbungsunterlagen nach vorab festgelegten Kriterien strukturieren oder zusammenfassen. HR-Mitarbeitende müssen die Ergebnisse jedoch auf Fehler, Auslassungen und mögliche Verzerrungen kontrollieren. Eine Einstellungsentscheidung sollte nicht ungeprüft aus einer KI-Bewertung abgeleitet werden.

Schatten-KI im Unternehmen verhindern

Als Schatten-KI wird die Nutzung von KI-Anwendungen bezeichnet, die nicht offiziell freigegeben oder dem Unternehmen nicht bekannt sind. Sie entsteht häufig, wenn Mitarbeitende alltägliche Aufgaben schneller erledigen möchten und dafür eigenständig frei verfügbare Tools verwenden.

Für die Personalabteilung ist das besonders riskant: Bewerbungsdaten, interne Dokumente oder vertrauliche Personalinformationen können in Anwendungen gelangen, deren Datenschutz- und Sicherheitsbedingungen nicht geprüft wurden. Gleichzeitig fehlt dem Unternehmen ein verlässlicher Überblick darüber, welche KI-Tools tatsächlich im Einsatz sind.

Ein pauschales KI-Verbot ist deshalb nicht immer die beste Lösung. Wirksamer sind verständliche Nutzungsregeln, geeignete freigegebene Anwendungen und ein unkomplizierter Prozess für neue Tools.

Eine KI-Richtlinie sollte dazu:

• Freigegebene KI-Tools auflisten: Mitarbeitende müssen erkennen können, welche Anwendungen erlaubt sind.
• Erlaubte HR-Anwendungsfälle definieren: Zum Beispiel Textentwürfe, Übersetzungen oder die Überarbeitung allgemeiner Stellenanzeigen.
• Unzulässige Eingaben benennen: Dazu können vertrauliche Personalunterlagen oder personenbezogene Daten in nicht freigegebenen Anwendungen gehören.
• Einen Freigabeprozess schaffen: Neue KI-Tools sollten über einen klaren, nachvollziehbaren Weg geprüft werden können.
• KI-Schulungen anbieten: Mitarbeitende müssen wissen, wie sie KI sicher nutzen und Risiken erkennen.

So wird die KI-Richtlinie zu einer praktischen Orientierung für den Arbeitsalltag. Sie schafft Klarheit darüber, welche KI-Anwendungen im HR zulässig sind, schützt vertrauliche Informationen und ermöglicht es Unternehmen, neue KI-Lösungen kontrolliert einzuführen.

EU AI Act 2026: Welche Pflichten gelten für HR?

Stand: 13. Oktober 2026 – berücksichtigt die Änderungen durch die Digital-Omnibus-Verordnung zur KI.

Der EU AI Act für HR legt fest, welche Anforderungen Unternehmen beim Einsatz von künstlicher Intelligenz erfüllen müssen. Für Personalabteilungen sind insbesondere die KI-Kompetenz der Mitarbeitenden, verbotene KI-Praktiken, Transparenzpflichten und die Einstufung bestimmter HR-Anwendungen als Hochrisiko-KI relevant.

Welche Pflichten gelten, hängt vom jeweiligen KI-System und seinem Verwendungszweck ab. Wer generative KI für interne Textentwürfe nutzt, muss andere Risiken berücksichtigen als ein Unternehmen, das Bewerbungen automatisiert bewertet oder KI zur Leistungsbeurteilung von Beschäftigten einsetzt.

Seit dem 2. August 2026 gilt der überwiegende Teil der Regelungen des AI Act. Mit der Digital-Omnibus-Verordnung zur KI (Verordnung (EU) 2026/1744), die am 27. Juli 2026 in Kraft getreten ist, hat die EU den Anwendungsbeginn für Hochrisiko-KI-Systeme nach Anhang III auf den 2. Dezember 2027 verschoben. Dazu zählen zentrale Anwendungen im Recruiting und Personalmanagement. Andere Pflichten wie die KI-Kompetenz und die Verbote bestimmter Praktiken gelten bereits. Unternehmen sollten deshalb nicht bis 2027 warten, sondern ihre KI-Anwendungen jetzt erfassen, Risiken bewerten und interne Zuständigkeiten festlegen. Einen Überblick über den aktuellen Zeitplan des AI Act gibt die Europäische Kommission.

In Deutschland ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde für KI. Grundlage ist das Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG), das seit Ende Juli 2026 in Kraft ist. Für Hochrisiko-KI im Personalbereich, für die keine Fachaufsicht zuständig ist, übernimmt die Bundesnetzagentur die Aufsicht.

EU AI Act: Die wichtigsten Fristen für HR im Überblick

Für Personalabteilungen sind vor allem diese Termine und Regelungen relevant:

• Seit 2. Februar 2025: Vorgaben zur KI-Kompetenz nach Artikel 4 und Verbote bestimmter KI-Praktiken gelten.
• Seit 2. August 2025: Bestimmte Governance-Regeln und Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck gelten.
• Seit 2. August 2026: Die meisten Vorschriften des AI Act gelten, darunter die Transparenzpflichten nach Artikel 50. Zudem können die nationalen Behörden die Einhaltung, etwa der Verbote, nun aktiv durchsetzen.
• Ab 2. Dezember 2026: Neue Verbote für KI-Systeme, die nicht einvernehmliche intime Inhalte oder Material über sexuellen Kindesmissbrauch erzeugen, greifen. Anbieter generativer KI-Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, müssen bis dahin die maschinenlesbare Kennzeichnung KI-generierter Inhalte nach Artikel 50 Abs. 2 umsetzen.
• Ab 2. Dezember 2027: Die Anforderungen für Hochrisiko-KI-Systeme nach Anhang III gelten, darunter KI-Anwendungen für Recruiting, Bewerberauswahl, Beförderung, Aufgabenzuweisung und Leistungsbewertung.

Die Termine beziehen sich auf die geltende EU-Regelung einschließlich der Änderungen durch die Digital-Omnibus-Verordnung (EU) 2026/1744. Sie entsprechen den Angaben des AI Act Service Desk der EU-Kommission zum Anwendungsbeginn. Für die konkrete Umsetzung sollten Unternehmen die jeweils aktuelle Rechtslage und mögliche Übergangsregelungen prüfen.

Für HR bedeutet das: Auch wenn die besonderen Anforderungen an Hochrisiko-KI im Beschäftigungskontext erst später greifen, sind andere Pflichten bereits relevant. Dazu zählen die KI-Kompetenz, die Beachtung verbotener Praktiken und – soweit einschlägig – die Transparenzanforderungen.

Artikel 4: KI-Kompetenz und Schulungspflichten

Artikel 4 des AI Act verpflichtet Anbieter und Betreiber von KI-Systemen dazu, Maßnahmen zur Förderung der KI-Kompetenz ihrer Mitarbeitenden und anderer Personen zu ergreifen, die KI in ihrem Auftrag betreiben oder verwenden. Die Maßnahmen sollen unter anderem die Vorkenntnisse, Erfahrung, Ausbildung und den konkreten Einsatzkontext berücksichtigen.

Für HR reicht es daher nicht, lediglich eine Liste erlaubter KI-Tools bereitzustellen. Mitarbeitende müssen auch verstehen, wie sie die Anwendungen sicher und sachgerecht einsetzen, welche Grenzen die Ergebnisse haben und wann eine menschliche Prüfung notwendig ist.

Eine KI-Richtlinie für die Personalabteilung sollte deshalb festlegen:

• welche Mitarbeitenden eine KI-Schulung benötigen,
• welche Regeln für die Eingabe von Bewerbungs- und Beschäftigtendaten gelten,
• wie KI-Ergebnisse auf Fehler und Verzerrungen geprüft werden,
• welche Anwendungen besondere Kenntnisse erfordern,
• und an wen sich Mitarbeitende bei Unsicherheiten wenden können.

Die Schulung sollte sich an den tatsächlichen Aufgaben orientieren. Wer generative KI zur Überarbeitung von Stellenanzeigen verwendet, benötigt andere praktische Beispiele als Personen, die KI-gestützte Bewerbermanagementsysteme bedienen.

Praxisbeispiel: Eine HR-Mitarbeiterin nutzt ein freigegebenes Sprachmodell, um eine Stellenanzeige verständlicher zu formulieren. Sie sollte wissen, dass die KI fachliche Anforderungen verändern, unpassende Kriterien ergänzen oder unzutreffende Aussagen erzeugen kann. Der Entwurf muss deshalb vor der Veröffentlichung geprüft werden.

Wichtig ist außerdem die Abgrenzung: Mit der Digital-Omnibus-Verordnung wurde Artikel 4 neu gefasst. Statt „nach besten Kräften“ ein ausreichendes Maß an KI-Kompetenz sicherzustellen, müssen Anbieter und Betreiber nun Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz unterstützen. Ein bestimmtes Kompetenzniveau einzelner Personen müssen sie ausdrücklich nicht garantieren. Die Pflicht selbst bleibt aber bestehen. HR sollte Schulungen und andere Maßnahmen deshalb nachvollziehbar dokumentieren, um sie gegenüber Aufsichtsbehörden belegen zu können.

Verbotene KI-Praktiken im Personalwesen

Der AI Act verbietet bestimmte KI-Praktiken, die besonders schwerwiegende Risiken für Grundrechte und die Sicherheit von Menschen bergen. Diese Verbote gelten bereits seit dem 2. Februar 2025. Verstöße können nach Artikel 99 AI Act mit Bußgeldern von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes geahndet werden.

Für HR ist vor allem das Verbot bestimmter Formen der Emotionserkennung am Arbeitsplatz relevant. KI-Systeme, die Emotionen von Beschäftigten anhand biometrischer Daten ableiten, sind grundsätzlich verboten. Ausnahmen bestehen für eng begrenzte medizinische oder sicherheitsbezogene Zwecke. Die Leitlinien der EU-Kommission zu verbotenen KI-Praktiken stellen zudem klar, dass die Erkennung rein körperlicher Zustände wie Müdigkeit nicht als Emotionserkennung gilt.

Ein Unternehmen darf beispielsweise nicht ohne Weiteres ein System einsetzen, das anhand von Gesichtsausdruck oder Stimme die vermeintliche Motivation, Zufriedenheit oder emotionale Verfassung von Mitarbeitenden bewertet.

Auch weitere verbotene Praktiken können für den Beschäftigungskontext relevant sein, etwa bestimmte Formen manipulativer oder ausnutzender KI-Anwendungen oder unzulässige Bewertungen von Menschen anhand ihres sozialen Verhaltens.

Die KI-Richtlinie sollte deshalb klar benennen, welche Anwendungen nicht verwendet werden dürfen. Dazu gehören insbesondere Systeme, die vermeintliche Emotionen von Beschäftigten analysieren, sofern keine gesetzliche Ausnahme greift. Bei neuen Tools ist zu prüfen, welche Funktionen tatsächlich aktiviert sind und welche Daten sie auswerten.

Nicht jede Analyse von Arbeitsabläufen oder jede automatisierte Auswertung ist damit verboten. Entscheidend sind die konkrete Funktion, die verarbeiteten Daten und der Zweck der Anwendung. Im Zweifel sollten Datenschutz, Rechtsabteilung und gegebenenfalls der Betriebsrat frühzeitig eingebunden werden.

Hochrisiko-KI im Recruiting und Personalmanagement

Ein zentraler Punkt des EU AI Act für HR ist die Einstufung bestimmter Anwendungen als Hochrisiko-KI. Anhang III der Verordnung erfasst unter anderem KI-Systeme, die in bestimmten Bereichen des Beschäftigungs- und Personalmanagements eingesetzt werden.

Dazu gehören insbesondere Systeme, die:

• Stellenanzeigen gezielt ausspielen (Targeted Job Advertising),
• Bewerbungen analysieren oder Bewerbende filtern,
• Kandidatinnen und Kandidaten bewerten oder priorisieren,
• Entscheidungen über Beschäftigungsbedingungen, Beförderung oder Beendigung eines Arbeitsverhältnisses unterstützen,
• Aufgaben auf Grundlage des individuellen Verhaltens oder persönlicher Merkmale zuweisen,
• oder die Leistung und das Verhalten von Beschäftigten überwachen oder bewerten.

Ob ein konkretes System als Hochrisiko-KI gilt, hängt von der vorgesehenen Funktion und den gesetzlichen Einstufungskriterien ab. Nicht jede KI-Anwendung im HR ist automatisch Hochrisiko-KI. Ein Tool, das lediglich Rechtschreibung und Grammatik einer Stellenanzeige korrigiert, fällt nicht allein deshalb in diese Kategorie, weil es im Recruiting verwendet wird.

Nach Artikel 6 Abs. 3 AI Act gilt ein in Anhang III genanntes System ausnahmsweise nicht als hochriskant, wenn es kein erhebliches Risiko birgt – etwa weil es nur eine eng begrenzte Verfahrensaufgabe erfüllt oder lediglich eine vorbereitende Aufgabe übernimmt. Diese Ausnahme gilt jedoch nie, wenn das System ein Profiling natürlicher Personen vornimmt, also etwa Bewerbende anhand persönlicher Merkmale bewertet oder einordnet.

Für Hochrisiko-KI gelten besondere Anforderungen, unter anderem an Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung und menschliche Aufsicht. Welche Pflichten im Einzelfall greifen, hängt auch davon ab, ob ein Unternehmen das System selbst entwickelt, unter eigenem Namen bereitstellt oder als Betreiber einsetzt. Die Grundrechte-Folgenabschätzung nach Artikel 27 betrifft vor allem öffentliche Stellen und private Einrichtungen, die öffentliche Dienste erbringen; für die meisten privaten Arbeitgeber ist sie nicht vorgeschrieben.

Für Arbeitgeber als Betreiber besonders wichtig: Nach Artikel 26 AI Act müssen sie das System gemäß der Betriebsanleitung verwenden, die menschliche Aufsicht kompetenten Personen übertragen und automatisch erzeugte Protokolle aufbewahren. Vor der Inbetriebnahme eines Hochrisiko-KI-Systems am Arbeitsplatz sind außerdem die Arbeitnehmervertretung und die betroffenen Beschäftigten zu informieren. Auch Personen, über die mithilfe eines solchen Systems Entscheidungen getroffen werden – etwa Bewerbende –, müssen über den Einsatz informiert werden.

Die besonderen Vorschriften für Hochrisiko-KI nach Anhang III gelten nach der Digital-Omnibus-Verordnung ab dem 2. Dezember 2027. Unternehmen sollten die Einstufung und Vorbereitung jedoch bereits vorher angehen, insbesondere wenn sie KI zur Bewerberauswahl oder Beschäftigtenbewertung einsetzen. Orientierung mit Praxisbeispielen bieten die Leitlinien der EU-Kommission zur Einstufung von Hochrisiko-KI-Systemen, die im Sommer 2026 als Entwurf zur Konsultation veröffentlicht wurden.

Für die KI-Richtlinie bedeutet das: Personalabteilungen benötigen einen Prozess, mit dem sie neue KI-Anwendungen vor der Einführung einordnen und bei kritischen Einsatzbereichen die zuständigen Stellen beteiligen können.

Artikel 50: Transparenzpflichten beim Einsatz von KI

Artikel 50 des AI Act enthält Transparenzpflichten für bestimmte KI-Systeme und Anwendungsfälle. Die Vorschriften gelten grundsätzlich seit dem 2. August 2026. Sie verlangen jedoch nicht pauschal, dass jeder KI-generierte Text im Unternehmen gekennzeichnet werden muss.

Welche Pflichten greifen, hängt davon ab, welche Rolle das Unternehmen hat und welche Art von KI-System oder Inhalt betroffen ist. Die Pflicht, Menschen über die direkte Interaktion mit einem KI-System zu informieren, richtet sich in erster Linie an Anbieter: Sie müssen ihre Systeme entsprechend gestalten, sofern die KI-Interaktion nicht ohnehin offensichtlich ist. Betreiber treffen eigene Offenlegungspflichten, etwa bei Deepfakes und bei KI-generierten Texten, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren sollen – es sei denn, die Texte wurden menschlich geprüft und redaktionell verantwortet.

Für HR können diese Anforderungen beispielsweise relevant werden, wenn ein KI-System direkt mit Bewerbenden kommuniziert oder wenn KI-generierte Bild-, Audio- oder Videoinhalte veröffentlicht werden, etwa in Employer-Branding-Kampagnen. Setzt HR einen Chatbot eines Drittanbieters ein, sollte vertraglich und technisch geprüft werden, ob der Anbieter die Hinweispflicht umsetzt. Ob und wie ein Hinweis erforderlich ist, muss anhand des konkreten Einsatzfalls geprüft werden.

Eine KI-Richtlinie sollte daher festlegen:

• wann Bewerbende oder Beschäftigte über die Interaktion mit einem KI-System informiert werden müssen,
• welche KI-generierten Inhalte gegebenenfalls gekennzeichnet werden müssen,
• wer die Einhaltung der Transparenzvorgaben prüft,
• und wie die Kommunikation dokumentiert wird.

Praxisbeispiel: Beantwortet ein Chatbot auf der Karriereseite Fragen zu offenen Stellen, sollte geprüft werden, welche Informationspflichten für die konkrete Anwendung gelten. Nutzt HR dagegen intern eine generative KI zur Formulierung eines Entwurfs für eine Stellenanzeige, folgt daraus nicht automatisch eine allgemeine Kennzeichnungspflicht für den später veröffentlichten Text.

Die Anforderungen nach Artikel 50 sollten außerdem nicht mit anderen Informationspflichten verwechselt werden. Je nach Anwendung können sich zusätzliche Pflichten aus dem Datenschutzrecht oder – bei Hochrisiko-KI – aus Artikel 26 AI Act ergeben.

Anbieter und Betreiber: Wer trägt welche Verantwortung?

Bei der Umsetzung des AI Act ist wichtig, zwischen Anbietern und Betreibern von KI-Systemen zu unterscheiden. Im betrieblichen HR-Alltag ist das Unternehmen häufig Betreiber, wenn es ein KI-System für eigene Zwecke einsetzt. Anbieter ist in der Regel die Organisation, die das System entwickelt oder entwickeln lässt und unter ihrem Namen auf den Markt bringt oder in Betrieb nimmt. Die rechtliche Rolle kann sich im Einzelfall ändern, etwa wenn ein Unternehmen ein System wesentlich verändert oder unter eigenem Namen bereitstellt.

Für HR-Verantwortliche ist vor allem relevant, dass der Einkauf einer Software die Verantwortung für den konkreten Einsatz nicht vollständig auf den Anbieter überträgt.

• Anbieter: Je nach System unter anderem Anforderungen an Konformität, Risikomanagement, technische Dokumentation und Informationen für Betreiber erfüllen.
• Betreiber: Das System entsprechend den Vorgaben einsetzen, relevante Anweisungen beachten, erforderliche menschliche Aufsicht sicherstellen, Auffälligkeiten im vorgesehenen Verfahren behandeln und bei Hochrisiko-KI Beschäftigte und Arbeitnehmervertretung vorab informieren.
• HR: Anwendungsfälle definieren, Ergebnisse fachlich prüfen und die vereinbarten internen Prozesse einhalten.
• IT und Datenschutz: Technische Sicherheit, Datenverarbeitung und datenschutzrechtliche Anforderungen prüfen.
• Geschäftsleitung und zuständige Fachbereiche: Verantwortlichkeiten, Freigabeprozesse und Ressourcen für die Umsetzung festlegen.

Die konkrete Aufgabenverteilung hängt vom System und der jeweiligen rechtlichen Rolle ab. Auch Datenschutzrecht und Arbeitsrecht bleiben unabhängig davon zu beachten.

Eine wirksame KI-Richtlinie für HR verbindet deshalb die gesetzlichen Anforderungen mit klaren internen Zuständigkeiten. Sie legt fest, wer eine Anwendung beantragt, wer sie prüft, wer sie freigibt und wer ihre Nutzung kontrolliert. So wird der EU AI Act nicht nur zu einer Rechtsfrage, sondern zu einem nachvollziehbaren Prozess für die tägliche Personalarbeit.

Welche HR-Anwendungen sind beim Einsatz von KI besonders kritisch?

Nicht jede KI-Anwendung im Personalwesen birgt die gleichen Risiken. Während generative KI beispielsweise bei der Formulierung einer Stellenanzeige unterstützen kann, greifen andere Systeme direkt in die Bewertung von Bewerbenden oder die Steuerung von Beschäftigten ein.

Für HR ist deshalb entscheidend, welche Aufgabe die KI übernimmt und wie stark ihr Ergebnis Personalentscheidungen beeinflusst. Eine KI-Richtlinie sollte unterschiedliche Anwendungsfälle getrennt bewerten, zulässige Einsatzbereiche definieren und festlegen, wann eine zusätzliche rechtliche, datenschutzrechtliche oder technische Prüfung erforderlich ist.

KI im Recruiting: Von der Stellenanzeige bis zur Vorauswahl

KI im Recruiting kann Personalabteilungen bei der Erstellung von Stellenanzeigen, der Kommunikation mit Bewerbenden und der Strukturierung von Bewerbungsprozessen unterstützen. Viele dieser Anwendungen sparen Zeit. Kritischer wird es, wenn KI-Systeme Kandidatinnen und Kandidaten bewerten, filtern oder ihre Eignung für eine Stelle einschätzen.

Für die KI-Nutzung im Recruiting sollten Unternehmen zwischen unterstützenden und entscheidungsrelevanten Funktionen unterscheiden:

• Stellenanzeigen erstellen: Generative KI kann Formulierungen überarbeiten, Anforderungen strukturieren und inklusive Sprache unterstützen. HR muss prüfen, ob der Text fachlich korrekt ist und keine sachlich ungerechtfertigten Anforderungen enthält.
• Bewerberkommunikation vorbereiten: KI kann Antwortentwürfe für häufige Fragen erstellen. Persönliche oder individuelle Antworten sollten vor dem Versand geprüft werden.
• Bewerbungsunterlagen zusammenfassen: KI kann relevante Qualifikationen strukturieren. Dabei besteht das Risiko, dass wichtige Informationen fehlen oder falsch wiedergegeben werden.
• Bewerbungen bewerten oder priorisieren: Systeme, die Bewerbende anhand ihrer Daten analysieren oder filtern, können unter die Hochrisiko-KI-Regeln des EU AI Act fallen. Hier ist eine gesonderte Einstufung besonders wichtig.

Die KI-Richtlinie sollte festlegen, welche dieser Anwendungen erlaubt sind und ob zusätzliche Prüfungen erforderlich sind. Besonders bei Auswahl- und Bewertungssystemen darf nicht allein darauf vertraut werden, dass ein Algorithmus objektiv erscheint.

KI-gestützte Bewerberauswahl und automatisierte Bewertung

Eine KI-gestützte Bewerberauswahl geht über die bloße Unterstützung bei Texten hinaus. Solche Systeme können Lebensläufe analysieren, Bewerbungsprofile vergleichen, Kandidaten nach Kriterien sortieren oder Empfehlungen für die nächste Auswahlrunde abgeben.

Das kann die Vorauswahl beschleunigen, birgt jedoch erhebliche Risiken. Ein System kann ungeeignete Kriterien verwenden, Qualifikationen falsch gewichten oder bestimmte Bewerbergruppen benachteiligen. Auch historische Einstellungsdaten können Verzerrungen enthalten, die sich in automatisierten Bewertungen fortsetzen.

Unternehmen sollten vor dem Einsatz – idealerweise schon bei der Auswahl der Recruiting-Software – deshalb klären:

• Welche Kriterien nutzt das System zur Bewertung?
• Sind die Kriterien für die konkrete Stelle fachlich gerechtfertigt?
• Welche Daten verarbeitet das System und wie zuverlässig sind die Ergebnisse?
• Wie lassen sich Fehler oder mögliche Benachteiligungen erkennen?
• Welche Rolle spielen die KI-Ergebnisse bei der tatsächlichen Auswahlentscheidung?
• Welche rechtlichen Anforderungen gelten für das konkrete System?

Nach dem EU AI Act können KI-Systeme, die Bewerbungen analysieren, Bewerbende filtern oder bewerten, als Hochrisiko-KI einzustufen sein. Die genaue Einordnung hängt von der Funktion und den gesetzlichen Kriterien ab.

Praxisregel für HR: KI-Ergebnisse sollten nachvollziehbar geprüft werden. Eine niedrige Bewertung durch ein KI-System darf nicht ungeprüft zum Ausschluss einer qualifizierten Person führen. Die Richtlinie sollte außerdem dokumentieren, wer für die fachliche Prüfung und die abschließende Entscheidung verantwortlich ist.

KI zur Leistungsbewertung und Überwachung von Beschäftigten

KI-Systeme können im Personalmanagement auch dazu eingesetzt werden, Arbeitsleistungen auszuwerten, Verhaltensmuster zu analysieren oder Beschäftigte anhand bestimmter Kennzahlen zu bewerten. Solche Anwendungen sind besonders sensibel, weil sie sich auf Beurteilungen, Beförderungen, Aufgabenverteilung oder das Arbeitsverhältnis auswirken können.

Beispiele sind Systeme, die Produktivitätsdaten zusammenführen, Arbeitsabläufe analysieren oder individuelle Leistungswerte berechnen. Vor der Einführung muss geklärt werden, welche Daten verarbeitet werden, ob die Auswertung für den vorgesehenen Zweck zulässig ist und wie sich Fehlbewertungen verhindern lassen.

Besondere Vorsicht ist bei Systemen geboten, die vermeintliche Emotionen von Beschäftigten anhand biometrischer Daten ableiten. Solche Emotionserkennung am Arbeitsplatz ist nach dem AI Act grundsätzlich verboten, abgesehen von eng begrenzten Ausnahmen, etwa für medizinische oder sicherheitsbezogene Zwecke.

Bei anderen Formen der Leistungsbewertung ist zu prüfen, ob das System als Hochrisiko-KI gilt und welche Anforderungen sich aus dem AI Act, der DSGVO und dem Arbeitsrecht ergeben. Auch Mitbestimmungsrechte des Betriebsrats können betroffen sein, insbesondere wenn technische Einrichtungen dazu bestimmt sind, Verhalten oder Leistung von Beschäftigten zu überwachen.

Eine KI-Richtlinie sollte daher klar regeln, ob und unter welchen Voraussetzungen KI zur Leistungsanalyse eingesetzt werden darf. Sie sollte außerdem festlegen, wie Ergebnisse überprüft werden, wer Zugriff auf die Daten erhält und wie Beschäftigte über den Einsatz informiert werden.

KI in der Personalplanung und Aufgabenverteilung

KI kann HR bei der Personalbedarfsplanung, der Analyse von Qualifikationen oder der Zuordnung von Aufgaben unterstützen. Unternehmen können solche Anwendungen beispielsweise nutzen, um Personalengpässe zu erkennen, Kompetenzprofile zu strukturieren oder Weiterbildungsbedarfe abzuleiten.

Die Risiken hängen davon ab, wie die Ergebnisse verwendet werden. Eine aggregierte Auswertung im Sinne von People Analytics, etwa zum zukünftigen Personalbedarf, ist anders zu bewerten als ein System, das einzelnen Beschäftigten Aufgaben aufgrund ihres Verhaltens, ihrer persönlichen Merkmale oder einer automatisierten Leistungsbewertung zuweist.

Besonders kritisch sind Anwendungen, die Einfluss auf Arbeitsbedingungen, Entwicklungschancen oder die Verteilung von Aufgaben haben. Je nach Funktion kann eine Einstufung als Hochrisiko-KI erforderlich sein.

Vor der Einführung sollten Unternehmen deshalb prüfen:

• Welche Daten werden für die Planung verwendet?
• Sind die zugrunde liegenden Kriterien sachlich nachvollziehbar?
• Können bestimmte Beschäftigtengruppen systematisch benachteiligt werden?
• Wie stark beeinflusst die KI die tatsächliche Entscheidung?
• Wer prüft die Ergebnisse und korrigiert fehlerhafte Empfehlungen?

Die KI-Richtlinie sollte außerdem zwischen einer unverbindlichen Prognose und einer Entscheidung mit konkreten Auswirkungen auf Beschäftigte unterscheiden. So bleibt klar, wann eine KI lediglich Informationen bereitstellt und wann eine weitergehende Prüfung erforderlich ist.

Generative KI für Stellenanzeigen, Arbeitszeugnisse und HR-Kommunikation

Generative KI kann viele wiederkehrende Schreibaufgaben in der Personalabteilung erleichtern. Dazu gehören Stellenanzeigen, interne Mitteilungen, Einladungen zu Bewerbungsgesprächen, Schulungsunterlagen und erste Entwürfe für Arbeitszeugnisse. Konkrete Einsatzszenarien mit Beispiel-Prompts zeigt unser Whitepaper ChatGPT in der HR: 7 Einsatzmöglichkeiten.

Der Einsatz ist jedoch nicht automatisch risikofrei. KI kann falsche Angaben ergänzen, unpassende Formulierungen erzeugen oder Inhalte vorschlagen, die nicht zur tatsächlichen Leistung oder Qualifikation einer Person passen.

Besonders bei Arbeitszeugnissen, individuellen Personalmitteilungen und anderen Dokumenten mit arbeitsrechtlicher Bedeutung ist eine sorgfältige Prüfung notwendig. HR sollte keine Aussagen über Beschäftigte übernehmen, die nicht durch belastbare Informationen gedeckt sind.

Für generative KI im Personalwesen empfiehlt sich daher eine klare Regelung:

• KI darf Entwürfe und Formulierungsvorschläge erstellen, sofern das verwendete Tool freigegeben ist.
• Personenbezogene und vertrauliche Informationen dürfen nur im Rahmen der festgelegten Datenschutz- und Nutzungsregeln verarbeitet werden.
• Fachliche Angaben, rechtliche Aussagen und individuelle Bewertungen müssen geprüft werden.
• Verantwortliche Mitarbeitende müssen den Inhalt vor der Verwendung freigeben.
• KI-generierte Texte dürfen nicht ungeprüft als verbindliche Personalentscheidung oder als abschließende rechtliche Bewertung verwendet werden.

Praxisbeispiel: Ein HR-Team lässt einen Entwurf für ein Arbeitszeugnis sprachlich verbessern. Die KI darf den Text strukturieren und verständlicher formulieren. Ob die Aussagen zur Tätigkeit und Leistung korrekt sind, muss jedoch anhand der tatsächlichen Informationen geprüft werden.

KI in der digitalen Personalakte und im Employee Self-Service

Auch in der digitalen Personalakte und im Employee Self-Service kann KI Prozesse vereinfachen. Denkbar sind beispielsweise die automatische Klassifizierung von Dokumenten, die Suche nach internen HR-Informationen oder ein Chatbot, der Fragen zu Urlaubsregelungen und internen Abläufen beantwortet.

Solche Anwendungen können den Verwaltungsaufwand reduzieren. Gleichzeitig verarbeitet die digitale Personalakte häufig besonders vertrauliche Beschäftigtendaten. Deshalb müssen Zugriffsrechte, Speicherfristen, Datenqualität und die Trennung unterschiedlicher Informationsbereiche sorgfältig geprüft werden.

Ein HR-Chatbot sollte beispielsweise nicht automatisch auf sämtliche Inhalte einer Personalakte zugreifen können, nur weil er Fragen zu Personalprozessen beantwortet. Der Zugriff muss auf die für den jeweiligen Zweck erforderlichen Informationen begrenzt sein.

Vor der Einführung sollten Unternehmen insbesondere klären:

• Auf welche Dokumente und Daten darf das System zugreifen?
• Können Beschäftigte nur die Informationen einsehen, für die sie berechtigt sind?
• Wie werden falsche Antworten und fehlerhafte Dokumentenzuordnungen erkannt?
• Werden Anfragen oder Antworten gespeichert, und wenn ja, zu welchem Zweck?
• Welche Datenschutz- und Sicherheitsanforderungen gelten für den Anbieter?

Ob eine solche Anwendung als Hochrisiko-KI gilt, hängt von ihrem konkreten Zweck und ihrer Funktion ab. Ein reiner Such- oder Verwaltungsassistent ist nicht automatisch Hochrisiko-KI. Wird ein System dagegen für Bewertungen oder Entscheidungen im Beschäftigungskontext eingesetzt, ist eine gesonderte Prüfung erforderlich.

Fazit für die Praxis: Unternehmen sollten KI-Anwendungen im HR nicht pauschal freigeben oder verbieten. Sinnvoller ist eine risikobasierte Bewertung, die den konkreten Anwendungsfall, die verarbeiteten Daten und die Auswirkungen auf Bewerbende und Beschäftigte berücksichtigt. Diese Bewertung bildet die Grundlage für die zugelassenen Tools und verbindlichen Nutzungsregeln in der KI-Richtlinie.

Risikomatrix: Welche KI-Anwendungen im HR sind kritisch?

Nicht jede KI-Anwendung im Personalwesen benötigt dieselben Schutzmaßnahmen. Für die erste Einschätzung sollten HR-Verantwortliche vor allem prüfen, ob personenbezogene Daten verarbeitet werden, ob die Anwendung Menschen bewertet und wie stark das Ergebnis Personalentscheidungen beeinflusst.

Die folgende Risikomatrix dient als praktische Orientierung für die interne KI-Richtlinie. Sie ersetzt keine rechtliche Einstufung nach dem EU AI Act und keine Datenschutz- oder Sicherheitsprüfung.

Welche Inhalte muss eine KI-Richtlinie für HR enthalten?

Eine wirksame KI-Richtlinie für HR sollte mehr leisten als die Nutzung einzelner Tools zu erlauben oder zu verbieten. Sie muss Mitarbeitenden klare Handlungsregeln geben: Welche KI-Anwendungen dürfen sie verwenden? Welche Daten dürfen sie eingeben? Wann müssen Ergebnisse geprüft werden? Und wer ist für die Freigabe neuer Anwendungen verantwortlich?

Welche Inhalte erforderlich sind, hängt von der Größe des Unternehmens, den eingesetzten Systemen und den konkreten HR-Aufgaben ab. Als Grundlage empfiehlt sich eine schriftliche Richtlinie mit sieben zentralen Bausteinen: freigegebene KI-Tools, Datenschutzregeln, menschliche Kontrolle, Transparenz und Dokumentation, Fairness, Zuständigkeiten sowie regelmäßige Überprüfung.

Zugelassene KI-Tools und erlaubte Anwendungsfälle definieren

Die KI-Richtlinie sollte eindeutig festlegen, welche KI-Tools im Personalwesen zugelassen sind und für welche Aufgaben sie verwendet werden dürfen. Eine allgemeine Freigabe für „KI im HR“ ist zu ungenau, weil sich Datenschutzrisiken und rechtliche Anforderungen je nach Funktion erheblich unterscheiden.

Sinnvoll ist eine zentrale Liste freigegebener Anwendungen. Für jedes Tool sollte dokumentiert werden:

• Name und Anbieter: Welche Anwendung wird eingesetzt?
• Erlaubter Zweck: Darf das Tool beispielsweise Stellenanzeigen formulieren, Texte übersetzen oder Bewerbungsunterlagen zusammenfassen?
• Zulässige Daten: Welche Informationen dürfen eingegeben werden?
• Nutzungsgrenzen: Welche Aufgaben sind ausgeschlossen?
• Verantwortlichkeit: Wer hat die Anwendung geprüft und freigegeben?
• Prüftermin: Wann wird die Freigabe erneut bewertet?

Dabei sollte die Richtlinie zwischen allgemeinen Schreibassistenten, HR-Software mit KI-Funktionen und Systemen zur Bewertung von Personen unterscheiden.

Beispiel: Ein freigegebenes Sprachmodell darf allgemeine Stellenanzeigen überarbeiten. Für die Analyse personenbezogener Bewerbungsunterlagen ist es dagegen nicht automatisch zugelassen. Dafür müssen Zweck, Datenschutz, technische Bedingungen und mögliche Anforderungen des EU AI Act gesondert geprüft werden.

Regeln für personenbezogene und vertrauliche Daten festlegen

Der Schutz von Beschäftigten- und Bewerberdaten gehört zu den wichtigsten Bestandteilen einer KI-Richtlinie. Die DSGVO gilt auch dann, wenn personenbezogene Informationen mithilfe einer KI verarbeitet werden. Unternehmen benötigen daher einen zulässigen Verarbeitungszweck und müssen unter anderem Datenminimierung, Transparenz und angemessene Sicherheitsmaßnahmen berücksichtigen.

Die Richtlinie sollte konkret beschreiben, welche Informationen Mitarbeitende in KI-Anwendungen eingeben dürfen und welche nicht. Pauschale Aussagen wie „Keine sensiblen Daten verwenden“ reichen häufig nicht aus, wenn unklar bleibt, was darunter fällt.

Zu den typischen Schutzregeln gehören:

• Keine Bewerbungsunterlagen, Personalakten oder vertraulichen Beschäftigtendaten in nicht freigegebene KI-Anwendungen hochladen.
• Namen und andere identifizierende Angaben entfernen, wenn sie für die Aufgabe nicht benötigt werden.
• Nur die Daten verwenden, die für den jeweiligen Zweck erforderlich sind.
• Speicher-, Lösch- und Weiterverarbeitungsbedingungen des Tools vor der Freigabe prüfen.
• Bei besonderen Kategorien personenbezogener Daten, etwa Gesundheitsdaten, zusätzliche rechtliche Anforderungen beachten.
• Datenschutzbeauftragte oder IT-Sicherheit einbeziehen, wenn die Zulässigkeit der Verarbeitung unklar ist.

Anonymisierung und Pseudonymisierung sind dabei nicht gleichzusetzen: Pseudonymisierte Daten können weiterhin personenbezogen sein. Auch das Entfernen eines Namens macht einen Datensatz nicht automatisch anonym, wenn eine Person anhand anderer Angaben identifizierbar bleibt.

Menschliche Kontrolle und Verantwortung für KI-Ergebnisse regeln

KI-Ergebnisse können fehlerhaft, unvollständig oder verzerrt sein. Eine KI-Richtlinie muss deshalb festlegen, wann eine menschliche Prüfung erforderlich ist und wer die Verantwortung für die weitere Verwendung trägt.

Wie intensiv die Prüfung ausfallen sollte, hängt von der Aufgabe ab. Ein Textentwurf für eine interne Einladung erfordert in der Regel weniger Kontrolle als eine Zusammenfassung von Bewerbungsunterlagen oder ein Entwurf für ein Arbeitszeugnis.

Die Richtlinie sollte mindestens folgende Regeln enthalten:

• KI-Ausgaben vor der Weiterverwendung auf sachliche Richtigkeit prüfen.
• Zahlen, Quellen, rechtliche Aussagen und fachliche Empfehlungen verifizieren.
• Bei personenbezogenen Bewertungen prüfen, ob relevante Informationen fehlen oder verzerrt dargestellt werden.
• Keine folgenreichen Personalentscheidungen ungeprüft aus einer KI-Empfehlung ableiten.
• Festlegen, wer Ergebnisse freigibt und bei Fehlern Korrekturen veranlasst.

Bei KI-Systemen, die unter die Hochrisiko-Regelungen des AI Act fallen, können zusätzliche Anforderungen an die menschliche Aufsicht gelten. Eine allgemeine interne Kontrollregel ersetzt diese besonderen Anforderungen nicht.

Praxisregel: Wer ein KI-Ergebnis in einem HR-Prozess verwendet, muss nachvollziehen können, was geprüft werden soll und wer die abschließende Verantwortung trägt. Die Verantwortung darf nicht einfach an das Tool delegiert werden.

Transparenz, Dokumentation und Nachvollziehbarkeit sicherstellen

Unternehmen sollten nachvollziehen können, welche KI-Systeme in der Personalabteilung eingesetzt werden und für welche Zwecke. Eine zentrale Dokumentation erleichtert die Risikobewertung, die Überprüfung interner Regeln und die Reaktion auf Fehler oder Beschwerden.

Welche Informationen dokumentiert werden müssen, hängt vom jeweiligen Anwendungsfall und den gesetzlichen Anforderungen ab. Für ein internes KI-Register sind folgende Angaben sinnvoll:

• Bezeichnung des KI-Tools und des Anbieters
• Verantwortlicher Fachbereich und interne Ansprechperson
• Zweck und konkrete Einsatzbereiche
• Verarbeitete Datenarten
• Ergebnis der Datenschutz- und Risikoprüfung
• Einstufung nach dem EU AI Act, soweit relevant
• Freigabestatus und festgelegte Nutzungsgrenzen
• Datum der letzten Prüfung und nächster Überprüfungstermin

Zusätzlich sollte die Richtlinie bestimmen, wann Bewerbende oder Beschäftigte über den Einsatz einer KI informiert werden müssen. Die Transparenzpflichten nach Artikel 50 des AI Act gelten für bestimmte Systeme und Anwendungsfälle; sie bedeuten nicht, dass jeder intern mithilfe einer KI erstellte Text automatisch gekennzeichnet werden muss.

Auch andere Informationspflichten, etwa aus dem Datenschutzrecht, können je nach Einsatz hinzukommen.

Fairness, Bias-Prüfungen und Diskriminierungsschutz verankern

Wenn KI im Recruiting oder Personalmanagement eingesetzt wird, muss die Richtlinie den Umgang mit möglichen Verzerrungen und Benachteiligungen regeln. Ein Algorithmus kann bestimmte Profile systematisch bevorzugen oder benachteiligen, beispielsweise weil Trainingsdaten historische Ungleichheiten enthalten oder Bewertungskriterien ungeeignet sind.

Das ist besonders relevant bei der Vorauswahl von Bewerbenden, bei Leistungsbewertungen und bei Empfehlungen zu Beförderungen oder Weiterbildungsmaßnahmen.

Eine Richtlinie sollte deshalb vorsehen, dass Unternehmen:

• Bewertungskriterien auf ihre fachliche Eignung prüfen,
• Ergebnisse auf auffällige Verzerrungen und Fehler untersuchen,
• die Qualität und Aussagekraft der verwendeten Daten bewerten,
• Zuständigkeiten für die Prüfung und Korrektur festlegen,
• und Beschwerden oder Auffälligkeiten dokumentieren.

Nicht jede KI-Anwendung benötigt denselben Prüfaufwand. Ein Tool zur Rechtschreibkorrektur ist anders zu bewerten als ein System, das Bewerbende automatisch priorisiert. Umfang und Häufigkeit der Kontrollen sollten daher zum Risiko und zum tatsächlichen Einfluss der KI passen.

Schulungen, Zuständigkeiten und Meldewege festlegen

Eine KI-Richtlinie ist nur wirksam, wenn Mitarbeitende sie verstehen und wissen, wie sie im Alltag anzuwenden ist. Artikel 4 des EU AI Act verpflichtet Anbieter und Betreiber von KI-Systemen dazu, Maßnahmen zur Förderung der KI-Kompetenz der Personen zu ergreifen, die KI in ihrem Auftrag verwenden oder betreiben. Die Maßnahmen sollen zum jeweiligen Einsatz und zum Wissensstand der Beteiligten passen.

Die Richtlinie sollte deshalb festlegen, wer welche Aufgaben übernimmt:

• HR: Anwendungsfälle definieren, Ergebnisse fachlich prüfen und Nutzungsregeln einhalten
• IT und Informationssicherheit: Technische Sicherheit, Zugriffsrechte und Systemintegration bewerten
• Datenschutz: Datenschutzrechtliche Anforderungen und gegebenenfalls eine Datenschutz-Folgenabschätzung prüfen
• Rechtsabteilung oder Compliance: Rechtliche Risiken und Anforderungen des AI Act bewerten
• Führungskräfte: Einhaltung der Regeln im jeweiligen Verantwortungsbereich unterstützen
• Geschäftsleitung: Zuständigkeiten und Ressourcen für die Umsetzung sicherstellen

Je nach Unternehmen können mehrere Aufgaben bei derselben Stelle liegen. Wichtig ist, dass keine wesentliche Prüf- oder Freigabeaufgabe ungeklärt bleibt.

Darüber hinaus benötigt die Richtlinie einen einfachen Meldeweg. Mitarbeitende sollten wissen, an wen sie sich wenden, wenn ein KI-Tool unerwartete Ergebnisse liefert, vertrauliche Daten versehentlich eingegeben wurden oder eine Anwendung möglicherweise gegen interne Regeln verstößt.

Die KI-Richtlinie regelmäßig überprüfen und aktualisieren

KI-Tools, Funktionen und rechtliche Anforderungen entwickeln sich weiter. Eine einmal erstellte KI-Richtlinie reicht deshalb nicht aus, wenn sie anschließend unverändert bleibt.

Unternehmen sollten einen festen Überprüfungsprozess etablieren. Dabei geht es nicht nur darum, ob neue Tools hinzugekommen sind, sondern auch darum, ob bestehende Anwendungen inzwischen andere Funktionen anbieten oder für neue Zwecke genutzt werden.

Eine Aktualisierung sollte insbesondere erfolgen, wenn:

• ein neues KI-Tool oder eine neue Funktion eingeführt wird,
• sich der Verwendungszweck einer Anwendung ändert,
• neue personenbezogene Daten verarbeitet werden,
• Fehler, Beschwerden oder Sicherheitsvorfälle auftreten,
• sich rechtliche Anforderungen oder behördliche Leitlinien ändern,
• oder interne Prüfungen Schwachstellen aufdecken.

Ein jährlicher Prüftermin kann als organisatorischer Ausgangspunkt dienen. Bei besonders kritischen Anwendungen können kürzere Prüfintervalle sinnvoll sein. Zusätzlich sollte jede relevante Änderung an einem Tool eine erneute Risikobewertung auslösen, wenn sich dadurch Funktion, Datenverarbeitung oder Auswirkungen auf Menschen verändern.

So bleibt die KI-Richtlinie ein anwendbares Regelwerk statt eines einmal erstellten Dokuments. Sie schafft klare Vorgaben für den sicheren Einsatz von KI im Personalwesen und lässt sich an neue Anforderungen und Anwendungen anpassen.

Datenschutz, Betriebsrat und Responsible AI

Wer KI im Personalwesen einführt, muss neben den Anforderungen des EU AI Act auch Datenschutz, Beschäftigtenrechte und betriebliche Mitbestimmung berücksichtigen. Das gilt besonders für Anwendungen, die Bewerbungsunterlagen analysieren, Beschäftigtendaten auswerten oder Personalentscheidungen vorbereiten.

Eine KI-Richtlinie für HR sollte deshalb nicht isoliert von bestehenden Datenschutz- und Betriebsvereinbarungen entwickelt werden. Sie muss festlegen, wie neue KI-Anwendungen geprüft werden, welche Stellen einzubeziehen sind und wie Unternehmen einen fairen, nachvollziehbaren und verantwortungsvollen KI-Einsatz sicherstellen.

DSGVO und Beschäftigtendatenschutz beim Einsatz von KI

Die Datenschutz-Grundverordnung (DSGVO) gilt auch dann, wenn personenbezogene Daten mit künstlicher Intelligenz verarbeitet werden. Für HR ist das besonders relevant, weil Bewerbungsunterlagen, Personalakten, Gehaltsdaten und Leistungsbeurteilungen Informationen über identifizierbare Personen enthalten.

Unternehmen müssen vor dem Einsatz eines KI-Tools klären, ob die Verarbeitung rechtmäßig ist und welche Schutzmaßnahmen erforderlich sind. Dazu gehören insbesondere:

• Rechtsgrundlage: Für welchen Zweck dürfen die personenbezogenen Daten verarbeitet werden? Seit dem EuGH-Urteil vom 30. März 2023 (C-34/21) ist § 26 Abs. 1 BDSG als alleinige Rechtsgrundlage umstritten; Unternehmen sollten die Verarbeitung zusätzlich auf Artikel 6 DSGVO stützen können.
• Datenminimierung: Welche Informationen benötigt das KI-System tatsächlich?
• Transparenz: Welche Informationen müssen Bewerbende oder Beschäftigte über die Verarbeitung erhalten?
• Zugriffsschutz: Wer darf auf die eingegebenen Daten und erzeugten Ergebnisse zugreifen?
• Speicherung und Löschung: Wie lange werden Daten gespeichert und wann müssen sie gelöscht werden?
• Auftragsverarbeitung und Drittlandtransfers: Welche Vertrags- und Übermittlungsfragen sind beim jeweiligen Anbieter zu prüfen?

Besonders sorgfältig sollten Unternehmen mit Gesundheitsdaten und anderen besonderen Kategorien personenbezogener Daten umgehen. Für deren Verarbeitung gelten zusätzliche Voraussetzungen nach Artikel 9 DSGVO.

Auch die Auswahl eines vermeintlich sicheren KI-Anbieters reicht allein nicht aus. Entscheidend ist, ob das konkrete Tool für den geplanten HR-Zweck geeignet ist und die tatsächliche Datenverarbeitung den rechtlichen Anforderungen entspricht.

Praxisbeispiel: Ein HR-Team möchte eine generative KI nutzen, um Bewerbungsunterlagen zusammenzufassen. Vor der Einführung müssen unter anderem der Verarbeitungszweck, die Rechtsgrundlage, die erforderlichen Daten, die Bedingungen des Anbieters und die Zugriffsrechte geprüft werden. Erst danach lässt sich entscheiden, ob und unter welchen Bedingungen der Einsatz zulässig ist.

Wann muss der Betriebsrat bei KI eingebunden werden?

Die Einführung von KI-Software kann Mitbestimmungsrechte des Betriebsrats auslösen. Besonders wichtig ist § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz (BetrVG). Danach hat der Betriebsrat mitzubestimmen, wenn technische Einrichtungen eingeführt oder angewendet werden, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen.

Entscheidend ist nicht allein, ob der Arbeitgeber eine Überwachung beabsichtigt. Es kommt unter anderem darauf an, ob die technische Einrichtung objektiv dazu geeignet ist, Verhaltens- oder Leistungsinformationen über Beschäftigte zu erfassen oder auszuwerten.

Das kann beispielsweise bei KI-gestützter Arbeitszeitanalyse, automatisierter Leistungsauswertung oder bestimmten Systemen zur Produktivitätsmessung relevant sein. Darüber hinaus enthält das BetrVG seit 2021 KI-spezifische Regelungen: Der Betriebsrat ist über die Planung von KI-Anwendungen rechtzeitig zu unterrichten (§ 90 Abs. 1 Nr. 3 BetrVG), seine Mitbestimmung bei Auswahlrichtlinien gilt auch, wenn diese mithilfe von KI aufgestellt werden (§ 95 Abs. 2a BetrVG), und zur Beurteilung von KI kann er einen Sachverständigen hinzuziehen (§ 80 Abs. 3 BetrVG). Bei Hochrisiko-KI kommt ab Dezember 2027 die Informationspflicht nach Artikel 26 Abs. 7 AI Act hinzu.

Für HR empfiehlt sich deshalb ein klarer Prüfprozess:

1. Einsatz beschreiben: Welche KI-Anwendung soll eingeführt werden und welche Daten verarbeitet sie?
2. Auswirkungen bewerten: Kann das System Verhalten, Leistung oder Arbeitsbedingungen von Beschäftigten beeinflussen?
3. Betriebsrat frühzeitig einbeziehen: Prüfen, welche Mitbestimmungsrechte bestehen und welche Unterlagen benötigt werden.
4. Regelungen abstimmen: Soweit erforderlich, eine Betriebsvereinbarung über Zweck, Nutzung, Zugriffsrechte und Kontrollmechanismen verhandeln.
5. Einführung dokumentieren: Festhalten, welche Prüfungen und Abstimmungen erfolgt sind.

Eine allgemeine KI-Richtlinie ersetzt eine erforderliche Mitbestimmung nicht. Umgekehrt ist nicht jede Nutzung eines generativen Schreibassistenten automatisch mitbestimmungspflichtig. So hat das Arbeitsgericht Hamburg (Beschluss vom 16. Januar 2024, 24 BVGa 1/24) entschieden, dass die Erlaubnis, ChatGPT über private Accounts im Browser zu nutzen, kein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG auslöst, weil der Arbeitgeber keinen Zugriff auf die Nutzungsdaten hatte. Die Entscheidung lässt sich jedoch nicht ohne Weiteres auf andere Konstellationen übertragen. Maßgeblich sind die konkrete Anwendung und die betrieblichen Umstände.

Datenschutz-Folgenabschätzung und Risikobewertung durchführen

Vor der Einführung eines KI-Systems sollten Unternehmen prüfen, ob die Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Ist dies der Fall, kann nach Artikel 35 DSGVO eine Datenschutz-Folgenabschätzung (DSFA) erforderlich sein.

Eine DSFA ist keine pauschale Pflicht für jedes KI-Tool. Sie ist insbesondere dann zu prüfen, wenn die Verarbeitung voraussichtlich ein hohes Risiko verursacht – beispielsweise durch bestimmte Formen systematischer Bewertung, umfangreiche Überwachung oder die Verarbeitung besonders sensibler Daten. Die konkrete Bewertung hängt vom jeweiligen Einsatz ab.

Die Prüfung sollte mindestens folgende Fragen beantworten:

• Welche personenbezogenen Daten werden verarbeitet und zu welchem Zweck?
• Welche Risiken entstehen für Bewerbende oder Beschäftigte?
• Welche Maßnahmen begrenzen diese Risiken?
• Ist die Verarbeitung erforderlich und verhältnismäßig?
• Welche Kontroll- und Korrekturmöglichkeiten bestehen?
• Sind weitere rechtliche Prüfungen oder Beteiligungen erforderlich?

Dabei sollten Unternehmen Datenschutz-Folgenabschätzung und AI-Act-Risikobewertung nicht gleichsetzen. Beide Verfahren verfolgen unterschiedliche rechtliche Zwecke, können sich inhaltlich aber ergänzen. Bei Hochrisiko-KI kann außerdem eine Bewertung der Auswirkungen auf Grundrechte relevant sein, soweit die entsprechenden gesetzlichen Voraussetzungen erfüllt sind.

Eine zentrale Dokumentation erleichtert es, Entscheidungen nachzuvollziehen und die Risikobewertung bei veränderten Einsatzbedingungen zu aktualisieren.

Menschliche Aufsicht und nachvollziehbare Personalentscheidungen sicherstellen

KI kann Personalverantwortliche bei Analysen und Empfehlungen unterstützen. Die Verantwortung für Entscheidungen mit Auswirkungen auf Bewerbende oder Beschäftigte muss jedoch klar geregelt bleiben. Besonders kritisch sind Anwendungen, deren Bewertungen nur schwer nachvollziehbar sind oder die wesentliche Entscheidungen faktisch vorwegnehmen.

Eine wirksame menschliche Kontrolle besteht nicht darin, ein KI-Ergebnis lediglich zu bestätigen. Die zuständige Person muss ausreichend Informationen und Handlungsspielraum haben, um das Ergebnis kritisch zu bewerten und bei Bedarf davon abzuweichen.

Die KI-Richtlinie sollte deshalb festlegen:

• Wer KI-Ergebnisse prüft und freigibt.
• Welche Informationen für eine sachgerechte Prüfung vorliegen müssen.
• Wie Fehler, Widersprüche oder fehlende Angaben erkannt werden.
• Wie Entscheidungen und wesentliche Abweichungen dokumentiert werden.
• Wie Betroffene Fragen oder Beschwerden einreichen können.

Bei Hochrisiko-KI gelten je nach System zusätzliche Vorgaben zur menschlichen Aufsicht. Auch datenschutzrechtliche Anforderungen sind zu beachten: Artikel 22 DSGVO kann unter bestimmten Voraussetzungen relevant werden, wenn eine Person einer ausschließlich automatisierten Entscheidung unterworfen wird, die rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt. Nach dem SCHUFA-Urteil des EuGH (C-634/21) kann bereits ein automatisch ermittelter Score darunter fallen, wenn er für die Entscheidung maßgeblich ist – ein wichtiger Punkt für KI-basierte Bewerberrankings.

Praxisbeispiel: Ein KI-System sortiert Bewerbungen nach einer vorgegebenen Kriterienliste. Eine HR-Fachkraft sollte nicht nur die Rangfolge übernehmen, sondern kontrollieren können, ob relevante Qualifikationen korrekt erfasst wurden und ob die Bewertung sachlich gerechtfertigt ist. Bei auffälligen Ergebnissen muss ein definierter Prüf- und Korrekturprozess greifen.

Responsible AI: Fairness, Transparenz und Verantwortung im HR verankern

Responsible AI bezeichnet den verantwortungsvollen Einsatz künstlicher Intelligenz. Im Personalwesen bedeutet das, nicht nur die technische Funktion eines Systems zu betrachten, sondern auch dessen Auswirkungen auf Menschen, Arbeitsbedingungen und Chancengleichheit.

Eine verantwortungsvolle KI-Nutzung sollte sich an mehreren Grundsätzen orientieren:

• Fairness: KI darf nicht dazu beitragen, Bewerbende oder Beschäftigte unzulässig zu benachteiligen.
• Transparenz: Der Einsatzzweck und die Grenzen eines Systems müssen für die zuständigen Personen verständlich sein.
• Verantwortlichkeit: Für Freigaben, Kontrollen und Entscheidungen sind konkrete Personen oder Stellen zuständig.
• Datenschutz und Sicherheit: Daten werden zweckgebunden und mit angemessenen Schutzmaßnahmen verarbeitet.
• Menschliche Kontrolle: Kritische Ergebnisse werden nicht ungeprüft übernommen.
• Kontinuierliche Verbesserung: Auffälligkeiten werden ausgewertet und Schutzmaßnahmen bei Bedarf angepasst.

Diese Grundsätze sollten nicht nur in der KI-Richtlinie stehen. Sie müssen sich auch in der Auswahl von HR-Software, den Freigabeprozessen, den Schulungen und den regelmäßigen Kontrollen widerspiegeln.

So wird Responsible AI zu einem praktischen Bestandteil der Personalarbeit. Unternehmen können die Vorteile von KI nutzen und zugleich sicherstellen, dass rechtliche Anforderungen, Beschäftigtenrechte und faire Personalprozesse berücksichtigt werden.

KI-Richtlinie im Unternehmen einführen: Schritt für Schritt

Eine KI-Richtlinie für HR ist nur dann wirksam, wenn sie im Arbeitsalltag verstanden und angewendet wird. Dafür reicht es nicht, Regeln zu formulieren und im Intranet abzulegen. Unternehmen müssen zunächst erfassen, wie KI bereits genutzt wird, Risiken bewerten, Verantwortlichkeiten festlegen und Mitarbeitende gezielt schulen.

Mit dem folgenden Vorgehen lässt sich eine KI-Richtlinie strukturiert erstellen und im Unternehmen einführen.

Schritt 1: Bestehende KI-Nutzung im HR erfassen

Bevor Unternehmen eine KI-Richtlinie erstellen, sollten sie herausfinden, welche KI-Tools in der Personalabteilung bereits zum Einsatz kommen. Neben offiziell eingeführter HR-Software gehören dazu auch frei zugängliche Chatbots, Schreibassistenten und andere Anwendungen, die Mitarbeitende eigenständig nutzen.

Erfasst werden sollten unter anderem:

• Welche KI-Tools werden verwendet?
• Für welche Aufgaben kommen sie zum Einsatz?
• Welche Daten werden eingegeben oder verarbeitet?
• Werden Ergebnisse für Personalentscheidungen genutzt?
• Gibt es bereits Freigaben, Nutzungsregeln oder Schulungen?

Beziehen Sie die Mitarbeitenden in die Bestandsaufnahme ein. So werden auch Anwendungen sichtbar, die bisher nicht über IT oder HR freigegeben wurden.

Ergebnis: Ein vollständiges Verzeichnis der eingesetzten KI-Anwendungen und ihrer jeweiligen Verwendungszwecke.

Schritt 2: Risiken und rechtliche Anforderungen bewerten

Nicht jede KI-Anwendung im Personalwesen birgt dieselben Risiken. Ein Tool, das allgemeine Stellenanzeigen sprachlich verbessert, ist anders zu bewerten als ein System, das Bewerbungen priorisiert oder Beschäftigte bewertet.

Ordnen Sie deshalb jede Anwendung nach ihrem Zweck, den verarbeiteten Daten und den möglichen Auswirkungen auf Bewerbende oder Beschäftigte ein. Prüfen Sie insbesondere die Anforderungen der DSGVO, des EU AI Act und gegebenenfalls des Beschäftigungsrechts.

Wichtige Fragen sind:

• Werden personenbezogene oder besonders schützenswerte Daten verarbeitet?
• Beeinflusst die KI Auswahl-, Bewertungs- oder andere Personalentscheidungen?
• Bestehen Transparenz- oder Dokumentationspflichten?
• Ist eine Datenschutz-Folgenabschätzung erforderlich?
• Sind besondere Anforderungen an Hochrisiko-KI zu beachten?

Die Bewertung sollte sich auf den tatsächlichen Einsatzzweck beziehen. Die bloße Bezeichnung einer Software als „KI-Assistent“ sagt noch nichts über ihre rechtliche Einstufung aus.

Ergebnis: Eine dokumentierte Risikobewertung mit konkreten Maßnahmen für jede Anwendung.

Schritt 3: Die relevanten Stellen einbeziehen

Eine KI-Richtlinie sollte nicht allein von HR formuliert werden. Je nach Unternehmensstruktur müssen unterschiedliche Fachbereiche ihre Anforderungen einbringen.

• HR: definiert Anwendungsfälle und fachliche Grenzen.
• IT und Informationssicherheit: prüfen technische Sicherheit, Zugriffsrechte und Systemintegration.
• Datenschutz: bewertet die Verarbeitung personenbezogener Daten und berät zu datenschutzrechtlichen Pflichten.
• Rechtsabteilung oder externe Rechtsberatung: prüft rechtliche Anforderungen und offene Fragen.
• Betriebsrat: wird einbezogen, soweit Beteiligungs- oder Mitbestimmungsrechte betroffen sind.
• Führungskräfte: sorgen dafür, dass die Vorgaben in ihren Teams umgesetzt werden.

Besonders wichtig ist, Zuständigkeiten frühzeitig zu klären. Andernfalls bleibt bei kritischen Fragen offen, wer eine Anwendung freigeben, einen Vorfall bewerten oder eine Entscheidung überprüfen darf.

Ergebnis: Eine klare Rollen- und Verantwortungsmatrix für die Einführung und Nutzung von KI.

Schritt 4: Die KI-Richtlinie formulieren und Freigaben regeln

Auf Grundlage der Bestandsaufnahme und Risikobewertung werden die konkreten Regeln festgelegt. Nutzen Sie dafür eine strukturierte KI-Richtlinien-Vorlage und passen Sie diese an die Größe des Unternehmens, die bestehenden Prozesse und die eingesetzten Systeme an.

Die Richtlinie sollte insbesondere festlegen:

• welche KI-Tools und Anwendungsfälle freigegeben sind,
• welche Daten in KI-Systeme eingegeben werden dürfen,
• wann Ergebnisse durch Menschen geprüft werden müssen,
• wie mit Fehlern, Verzerrungen und unklaren Ergebnissen umzugehen ist,
• wer neue Tools oder Anwendungsfälle genehmigt,
• wie Verstöße und Sicherheitsvorfälle gemeldet werden.

Definieren Sie außerdem einen nachvollziehbaren Freigabeprozess. Mitarbeitende sollten wissen, an wen sie sich wenden müssen, wenn sie ein neues KI-Tool nutzen oder einen bestehenden Anwendungsfall erweitern möchten.

Ergebnis: Eine verbindliche, intern abgestimmte KI-Richtlinie mit einem klaren Verfahren zur Freigabe neuer Anwendungen.

Schritt 5: Mitarbeitende schulen und Regeln kommunizieren

Eine Richtlinie entfaltet wenig Wirkung, wenn Mitarbeitende ihre Vorgaben nicht kennen oder nicht wissen, wie sie diese im Alltag anwenden sollen. Deshalb gehört ein Schulungskonzept zur Einführung. Eine E-Learning-Software hilft, Schulungen zu organisieren und die Teilnahme nachvollziehbar zu dokumentieren.

Die Schulungen sollten auf die jeweiligen Aufgaben zugeschnitten sein. HR-Mitarbeitende benötigen beispielsweise konkrete Hinweise zum Umgang mit Bewerbungsunterlagen, Beschäftigtendaten und KI-generierten Bewertungen. Führungskräfte sollten zusätzlich wissen, welche Verantwortung sie bei KI-gestützten Entscheidungen tragen.

Vermitteln Sie mindestens:

• welche Tools freigegeben sind,
• welche Informationen nicht eingegeben werden dürfen,
• wie KI-Ausgaben auf Fehler und Verzerrungen geprüft werden,
• wann eine menschliche Entscheidung erforderlich ist,
• wie Unsicherheiten und Vorfälle gemeldet werden.

Veröffentlichen Sie die KI-Richtlinie an einer zentralen, leicht zugänglichen Stelle. Eine kurze Zusammenfassung mit konkreten Beispielen kann den Einstieg erleichtern. Die erforderlichen Maßnahmen zur KI-Kompetenz sollten dabei angemessen auf die Kenntnisse, Erfahrungen und den konkreten Einsatz der Mitarbeitenden abgestimmt sein.

Ergebnis: Mitarbeitende kennen die Regeln und können sie auf ihre täglichen Aufgaben übertragen.

Schritt 6: Umsetzung kontrollieren und Richtlinie aktualisieren

Nach der Einführung beginnt die laufende Pflege. KI-Tools verändern sich, Anbieter ergänzen Funktionen und Unternehmen entwickeln neue Anwendungsfälle. Eine einmal verabschiedete Richtlinie bleibt deshalb nicht automatisch dauerhaft aktuell.

Legen Sie fest, wie die Einhaltung überprüft wird und wann eine erneute Bewertung erforderlich ist. Sinnvolle Auslöser sind beispielsweise neue KI-Funktionen, geänderte Datenverarbeitungen, neue HR-Anwendungsfälle oder relevante Änderungen der Rechtslage.

Für die laufende Kontrolle eignen sich unter anderem:

• regelmäßige Überprüfungen des KI-Registers,
• dokumentierte Freigaben neuer Tools und Anwendungsfälle,
• Rückmeldungen aus HR-Teams und von Führungskräften,
• die Auswertung gemeldeter Fehler und Vorfälle,
• wiederkehrende Schulungen und Aktualisierungen der Richtlinie.

Definieren Sie außerdem einen festen Überprüfungstermin und eine verantwortliche Stelle. Bei wesentlichen Änderungen sollte die Richtlinie unabhängig davon zeitnah geprüft werden.

Ergebnis: Ein kontinuierlicher Prozess, der sicherstellt, dass die KI-Richtlinie mit der tatsächlichen Nutzung und den geltenden Anforderungen Schritt hält.

Checkliste: KI-Richtlinie erfolgreich einführen

Mit dieser Kurzcheckliste lässt sich überprüfen, ob die wichtigsten Schritte umgesetzt wurden:

• Alle bekannten KI-Tools und HR-Anwendungsfälle sind erfasst.
• Risiken und relevante rechtliche Anforderungen wurden bewertet.
• Zuständigkeiten für Prüfung, Freigabe und Kontrolle sind festgelegt.
• Datenschutz, IT-Sicherheit und gegebenenfalls der Betriebsrat wurden rechtzeitig einbezogen.
• Die KI-Richtlinie ist abgestimmt, freigegeben und zugänglich.
• Ein verbindlicher Freigabeprozess für neue Tools und Anwendungsfälle besteht.
• Mitarbeitende und Führungskräfte wurden angemessen geschult.
• Es gibt einen Prozess für Fragen, Beschwerden und Vorfälle.
• Regelmäßige Überprüfungen und Aktualisierungen sind eingeplant.

Fazit: Wer KI im Unternehmen einführen möchte, sollte die KI-Richtlinie nicht als einmaliges Dokument betrachten, sondern als Bestandteil des laufenden KI-Managements. Eine Bestandsaufnahme, eine nachvollziehbare Risikobewertung, klare Verantwortlichkeiten und regelmäßige Schulungen schaffen die Grundlage dafür, dass HR KI kontrolliert, transparent und verantwortungsvoll einsetzen kann.

Der 8-Wochen-Zeitplan zeigt, wie Unternehmen eine KI-Richtlinie für HR schrittweise erstellen und einführen – von der Bestandsaufnahme über die Risikobewertung bis zur Schulung der Mitarbeitenden.

Fazit: Mit einer KI-Richtlinie HR rechtssicher aufstellen

KI bietet Personalabteilungen viele Möglichkeiten: Sie kann administrative Aufgaben erleichtern, Texte vorbereiten und Recruiting-Prozesse unterstützen. Damit diese Vorteile nicht zulasten von Datenschutz, Fairness oder Transparenz gehen, brauchen Unternehmen klare Regeln für den Einsatz von KI im Personalwesen.

Eine KI-Richtlinie für HR schafft dafür den organisatorischen Rahmen. Sie legt fest, welche KI-Tools verwendet werden dürfen, wie mit personenbezogenen Daten umzugehen ist, wann Ergebnisse menschlich überprüft werden müssen und wer für Freigaben und Kontrollen verantwortlich ist. Gleichzeitig hilft sie dabei, Anforderungen der DSGVO, des EU AI Act und gegebenenfalls die Mitbestimmungsrechte des Betriebsrats systematisch zu berücksichtigen.

Entscheidend ist, die Richtlinie nicht als einmaliges Dokument zu behandeln. Sie sollte zur tatsächlichen KI-Nutzung im Unternehmen passen, regelmäßig überprüft und bei neuen Anwendungen oder veränderten rechtlichen Anforderungen aktualisiert werden. Ebenso wichtig sind verständliche Regeln und praxisnahe Schulungen, damit Mitarbeitende wissen, wie sie KI sicher und verantwortungsvoll einsetzen.

Der beste Einstieg ist eine Bestandsaufnahme: Welche KI-Tools nutzt HR bereits, welche Daten werden verarbeitet und welche Anwendungsfälle bergen besondere Risiken? Auf dieser Grundlage lassen sich passende Regeln, Verantwortlichkeiten und Freigabeprozesse definieren.

Nutzen Sie die KI-Richtlinien-Vorlage und die Compliance-Checkliste aus diesem Artikel, um die nächsten Schritte zu planen und eine Regelung zu entwickeln, die zu Ihrem Unternehmen passt. So schaffen Sie eine belastbare Grundlage für einen transparenten, kontrollierten und verantwortungsvollen KI-Einsatz im Personalwesen.