KI im Recruiting: Darf KI Bewerbungen vorsortieren?

Was gilt nach der KI-Verordnung im Recruiting?

Die KI-Verordnung zählt Beschäftigung zu den Hochrisiko-Bereichen. Nach Anhang III Nr. 4 Buchst. a sind das KI-Systeme, die für die Einstellung oder Auswahl von Personen bestimmt sind, insbesondere um:

• Stellenanzeigen gezielt zu schalten,
• Bewerbungen zu sichten und zu filtern,
• Bewerberinnen und Bewerber zu bewerten.

Maßgeblich ist der Zweck, nicht die Technik. Eine KI, die eine Stellenanzeige formuliert, sortiert niemanden aus. Eine KI, die aus 200 Bewerbungen die 20 besten vorschlägt, tut genau das.

Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten ab dem 2. Dezember 2027. Ursprünglich war der 2. August 2026 vorgesehen; die Verordnung (EU) 2026/1744 vom Juli 2026 hat die Frist verschoben. Wer heute ein System zum Vorsortieren einführt, sollte es trotzdem schon nach diesen Pflichten aufsetzen.

Was ist erlaubt, was ist Hochrisiko?

Aufgabe	Einordnung
Stellenanzeige aus dem Anforderungsprofil entwerfen	kein Hochrisiko, Mensch prüft und veröffentlicht
Eingangsbestätigung und Absageschreiben entwerfen	kein Hochrisiko, wenn ein Mensch entschieden hat
Fragen zu Tarif, Verfahren und Fristen beantworten	kein Hochrisiko
Eine einzelne Bewerbung zusammenfassen, die eine Person ohnehin liest	in der Regel vorbereitende Aufgabe; Ausnahme nach Art. 6 Abs. 3 prüfen und dokumentieren
Bewerbungen nach Eignung sortieren oder Punkte vergeben	Hochrisiko
Bewerbungen automatisch aussortieren	Hochrisiko; zusätzlich Art. 22 DSGVO
Entscheiden, wem eine Anzeige gezeigt wird	Hochrisiko

Art. 6 Abs. 3 nimmt Systeme aus, die etwa nur eine eng begrenzte Verfahrensaufgabe oder eine vorbereitende Aufgabe erfüllen und die menschliche Bewertung nicht ersetzen. Die Ausnahme gilt nicht, wenn das System Profile natürlicher Personen erstellt. Wer sie in Anspruch nimmt, muss seine Einschätzung dokumentieren.

Welche Pflichten hat ein Arbeitgeber, der Hochrisiko-KI einsetzt?

Der Arbeitgeber ist Betreiber im Sinne der Verordnung. Nach Art. 26 muss er unter anderem:

• das System nach der Gebrauchsanweisung des Anbieters nutzen,
• menschliche Aufsicht durch Personen mit der nötigen Kompetenz, Schulung und Befugnis sicherstellen,
• auf passende Eingabedaten achten und den Betrieb überwachen,
• Protokolle mindestens sechs Monate aufbewahren,
• Beschäftigtenvertretung und betroffene Beschäftigte informieren, bevor das System am Arbeitsplatz in Betrieb geht,
• Betroffene informieren, wenn das System über sie entscheidet oder dabei hilft.

Dazu kommt Art. 22 DSGVO: Eine Entscheidung, die allein auf automatisierter Verarbeitung beruht und erhebliche Wirkung hat, ist nur in Ausnahmen zulässig, und dann mit dem Recht auf Eingreifen eines Menschen.

Was sagen Betriebsrat, Personalrat und Mitarbeitervertretung?

Unabhängig von den Fristen der KI-Verordnung gilt die Mitbestimmung schon heute:

• § 87 Abs. 1 Nr. 6 BetrVG: Mitbestimmung bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können. Nach der Rechtsprechung genügt, dass sie dazu geeignet sind.
• § 95 BetrVG: Auswahlrichtlinien brauchen die Zustimmung des Betriebsrats; das gilt ausdrücklich auch, wenn KI sie anwendet (§ 95 Abs. 2a).
• Kirchliche Arbeitgeber: Die Mitarbeitervertretungsordnungen der katholischen Kirche und das Mitarbeitervertretungsgesetz der EKD sehen vergleichbare Rechte vor.
• Öffentlicher Dienst: Die Personalvertretungsgesetze von Bund und Ländern regeln die Beteiligung des Personalrats.

Mehr dazu in Mitbestimmung bei KI: Personalrat, Betriebsrat, MAV.

Wie fangen Personalabteilungen an?

1. Mit Texten starten: Stellenanzeigen, Antwortschreiben, Auskünfte zu Tarif und Verfahren. Das entlastet sofort und ist kein Hochrisiko.
2. Zweck festhalten: Für jeden Einsatz schriftlich, was die KI tut und was nicht, etwa „fasst zusammen, sortiert nicht“.
3. Beschäftigtenvertretung früh einbinden: mit einer Dienst- oder Betriebsvereinbarung, die Zweck, Daten und Grenzen regelt.
4. Vorsortieren nur mit Hochrisiko-Rahmen: Wer Bewerbungen sortieren lassen will, braucht ein dafür ausgewiesenes System, die Betreiberpflichten nach Art. 26 und eine Prüfung nach Art. 22 DSGVO.

Was das im Krankenhaus und in der Kommune heißt: KI im Krankenhaus-Personalwesen und KI in der Personalverwaltung der Kommune.

Wie ist das bei basebox?

basebox ist eine KI-Plattform für Entwürfe und Auskünfte, kein System zum Auswählen von Personen. Die Personalabteilung nutzt Apps für Stellenanzeigen, Antwortschreiben und Auskünfte zu Tarifen und Arbeitsrecht, jeweils mit Quelle; die Entscheidungen treffen Menschen. Ein Ranking von Bewerbungen bieten wir nicht an. Ihr Administrator gibt Apps nur für die Gruppen frei, die sie brauchen, und das Audit-Log hält fest, wer welche Konnektoren aufgerufen hat. Eine Muster-Betriebsvereinbarung steht auf Sicherheit.

Keine Rechtsberatung: Ob ein Einsatz unter Anhang III fällt oder eine Ausnahme greift, hängt vom konkreten System und Zweck ab. Klären Sie das mit Ihrer Rechtsabteilung, Ihrem Datenschutzbeauftragten und der Beschäftigtenvertretung. Stand: 15. Oktober 2026.