KI im Personalwesen: Datenschützer warnen vor Bußgeldern

Die Zeit drängt: Während die EU-Vorgaben für Hochrisiko-KI erst 2026 scharf gestellt werden, drohen Unternehmen bereits jetzt empfindliche Strafen. Der Grund: Viele HR-Abteilungen ignorieren bestehende DSGVO-Pflichten beim Einsatz von Künstlicher Intelligenz.

Eine heute veröffentlichte Analyse der Kanzlei Hoffmann Liebs zeigt drastisch: Wer seine Compliance-Hausaufgaben aufschiebt, gefährdet nicht nur das Budget, sondern auch das Vertrauen der eigenen Mitarbeiter. Besonders brisant – eine zentrale Schulungspflicht gilt bereits seit Februar.

Automatisierte Bewerbermanagement-Systeme, KI-gestützte Leistungsanalysen, intelligente Mitarbeiter-Dashboards: Was Personalern Effizienz verspricht, stuft die EU-KI-Verordnung als hochriskant ein. Der Haken dabei? Die Vorbereitungspflichten laufen längst.

Passend zum Thema KI-Einsatz im Personalwesen: Seit August 2024 gelten neue Regeln – viele HR-Teams riskieren Bußgelder, weil Dokumentation, Transparenzpflichten und Kennzeichnung fehlen. Unser kostenloser Umsetzungsleitfaden erklärt kompakt, welche Pflichten jetzt gelten, wie Sie Ihr System richtig klassifizieren und welche Dokumentation Prüfer sehen wollen. Praxisorientierte Checklisten und Vorlagen helfen sofort bei DSFA, Schulungsnachweisen und Governance-Strukturen. Jetzt kostenlosen KI-Verordnungs-Umsetzungsleitfaden herunterladen

Zwar müssen erst ab August 2026 CE-Kennzeichnungen und EU-Datenbankregistrierungen vorliegen. Doch die technischen Grundlagen – Transparenzdokumentation, menschliche Kontrolle, Governance-Strukturen – sollten bereits stehen. „Der AI Act definiert Systeme im Personalwesen als hochriskant, da sie Grundrechte berühren”, warnen die Rechtsexperten.

Noch kritischer: Die Pflicht zur KI-Kompetenz nach Artikel 4 der Verordnung ist seit neun Monaten in Kraft. Jedes Unternehmen muss nachweisen können, dass HR-Verantwortliche und Führungskräfte ausreichend geschult sind. Fehlen dokumentierte Schulungskonzepte, verstößt man bereits heute gegen geltendes Recht.

DSFA als Rettungsanker – oder Stolperstein?

Die größte Hürde für deutsche Unternehmen liegt in der Schnittstelle zwischen KI-Verordnung und DSGVO. Da das seit Jahren angekündigte Beschäftigtendatengesetz weiter auf sich warten lässt, bleibt die Datenschutz-Folgenabschätzung (DSFA) das zentrale Compliance-Instrument.

Die Datenschutzkonferenz formulierte im Oktober unmissverständlich: Sobald KI-Systeme personenbezogene Beschäftigtendaten verarbeiten – etwa bei Performance-Bewertungen oder Microsoft 365 Copilot – ist eine DSFA zwingend erforderlich.

Diese muss dokumentieren:
* Risikoanalyse: Welche Gefahren drohen? Diskriminierung? Überwachung?
* Verhältnismäßigkeit: Ist der KI-Einsatz wirklich notwendig?
* Schutzmaßnahmen: Pseudonymisierung, Zugriffsrechte, technische Barrieren

Aufsichtsbehörden werten fehlende oder mangelhafte DSFA als schweren Verstoß – unabhängig davon, ob die KI-Verordnung für das System bereits vollumfänglich gilt.

Betriebsrat als ungeplanter Mitspieler

Die politische Hängepartie beim Beschäftigtendatenschutz verschärft die Unsicherheit. Während moderne Regelungen fehlen, müssen sich Arbeitgeber auf die Generalklausel des § 26 BDSG verlassen – ein rechtliches Minenfeld.

Praktische Konsequenz: Sobald KI-Tools zur Verhaltens- oder Leistungsüberwachung geeignet sind, hat der Betriebsrat ein erzwingbares Mitbestimmungsrecht nach § 87 BetrVG. Experten raten eindringlich zur frühzeitigen Einbindung und zu klaren KI-Betriebsvereinbarungen, die Einsatzzweck und Grenzen definieren.

„Die Bundesregierung plant Anpassungen – doch bis dahin sitzen Unternehmen in der Warteschleife”, konstatiert Hoffmann Liebs nüchtern.

Die Dezember-Checkliste

Fünf Sofortmaßnahmen für rechtssicheren KI-Einsatz:

1. Bestandsaufnahme: Vollständiges Inventar aller HR-KI-Systeme erstellen
2. DSFA-Check: Für jedes System prüfen – liegt eine Folgenabschätzung vor?
3. Schulungsnachweis: KI-Kompetenz der Anwender dokumentieren (Pflicht seit Februar!)
4. Transparenz: Bewerber und Mitarbeiter aktiv über KI-Nutzung informieren
5. Human-in-the-loop: Prozesse etablieren, bei denen Menschen KI-Vorschläge überprüfen

2026: Das Jahr der Wahrheit

Bis August 2026 müssen sämtliche Governance-Strukturen für Hochrisiko-Systeme stehen. Die nächsten Monate entscheiden, wer vorbereitet ist – und wer von der Regulierungsflut überrollt wird.

Die Botschaft der Experten ist eindeutig: Jeder Tag ohne DSFA, ohne Schulungskonzept, ohne Betriebsvereinbarung erhöht das Bußgeldrisiko. Wer jetzt handelt, sichert sich Wettbewerbsvorteile. Wer abwartet, zahlt später doppelt.

PS: Die Übergangsfristen der EU-KI-Verordnung laufen – und HR-Abteilungen sind besonders betroffen. Wer keine nachweisbare Schulung, keine DSFA und keine Betriebsvereinbarung vorweisen kann, riskiert empfindliche Sanktionen. Unser Gratis-E-Book fasst alle Anforderungen, Fristen und konkreten To-dos für Personaler zusammen und liefert sofort einsetzbare Vorlagen. Jetzt kostenlosen KI-Act-Leitfaden für HR sichern