Wissens-Quiz

Anhang III Nr. 4 listet KI-Systeme im Beschäftigungskontext zur Auswahl oder Bewertung von Personal als Hochrisiko. Ab 2. Dezember 2027 greifen dafür Pflichten zu Dokumentation, Risikomanagement und menschlicher Aufsicht.

Neben dem EU AI Act gelten DSGVO (Art. 6, Art. 22), BetrVG (§ 87 Abs. 1 Nr. 6, Mitbestimmung bei technischen Einrichtungen) und AGG (§§ 1, 22, Diskriminierungsschutz) immer parallel. Ein Einsatz kann mehrere Regelwerke gleichzeitig verletzen.

Seit Februar 2025 ist Art. 5 AI Act scharf. Bußgelder bis 35 Mio. Euro oder 7 Prozent Jahresumsatz. Wer heute noch Emotionserkennung, Social Scoring oder biometrische Kategorisierung im Recruiting einsetzt, verstößt bereits aktiv.

Historischer Daten-Bias entsteht, wenn Trainingsdaten aus einer Vergangenheit mit systematischen Ungleichheiten stammen. Die KI lernt diese Muster als normal und reproduziert sie, auch wenn die Gegenwart längst diverser denkt. Affinity Bias und Halo-Effekt sind dagegen menschliche Entscheidungs-Biases, die nicht im Training entstehen, sondern im Kopf der Recruiter:innen.

Amazons Tool wurde mit 10 Jahren historischer Bewerbungsdaten trainiert, überwiegend von Männern. Die KI lernte, männliche CVs zu bevorzugen und Begriffe wie „Frauen-College" als negatives Signal zu werten. Option A beschreibt HireVue, Option C beschreibt Deliveroo.

Die 7 Stationen sind: Anzeige, Ausspielung, Vorsortierung, CV-Screening, Erstgespräch, Interview und Entscheidung. Die Gehaltsverhandlung gehört zur Vertragsphase und ist nicht Teil des Auswahlprozesses, den der Audit abdeckt.

Transparenz heißt, dass Bewerber:innen wissen, dass KI im Prozess mitwirkt und in welcher Rolle. Das verlangen heute schon Art. 13 und 14 DSGVO, ab Dezember 2027 zusätzlich Art. 26 Abs. 11 EU AI Act. Der Algorithmus selbst muss nicht offengelegt werden, und Einzelfall-Abnahme wäre praktisch nicht leistbar.

Recht und Ethik sind zwei verschiedene Ebenen. Vieles ist legal, aber fragwürdig, etwa Persönlichkeitsanalyse aus CV-Formulierungen. Die Ethikbeirat-Richtlinien schließen genau diese Lücke und definieren Verantwortung jenseits der Minimalpflichten.

Die Enterprise-Lizenz ist Voraussetzung, nicht Lösung. Für Bewerberdaten brauchst du zusätzlich einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO), eine dokumentierte Rechtsgrundlage (Art. 6 Abs. 1 lit. b DSGVO, Vertragsanbahnung), eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO), die Einbindung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG) und Transparenz gegenüber den Bewerber:innen (Art. 13 DSGVO). Und wer die KI vorfiltern lässt, betreibt ab Dezember 2027 einen Hochrisiko-Einsatz nach Anhang III Nr. 4 EU AI Act. Eine Absage darf schon heute nicht allein auf dem KI-Ergebnis beruhen (Art. 22 DSGVO). Viele denken, Enterprise sei automatisch ausreichend. Ist es nicht.

Der Haken liegt im Begriff Anonymisierung. Namen und Fotos raus klingt sicher, reicht aber selten: Seltene Projekte, spezifische Arbeitgeber-Kombinationen oder besondere Abschlüsse machen einen CV re-identifizierbar. Das ist Pseudonymisierung, nicht Anonymisierung. Die DSGVO gilt weiter. Azure OpenAI in der EU-Region ist eine deutlich bessere Basis als ChatGPT Free, ersetzt aber weder den AVV mit Microsoft, noch die Datenschutz-Folgenabschätzung, noch die Betriebsrats-Information oder die Rechtsgrundlage nach Art. 6 Abs. 1 lit. b DSGVO.