KI im Personalbereich: Hochrisiko, Datenschutz und Betriebsrat

Was der AI Act im Personalbereich als Hochrisiko einstuft

Die KI-Verordnung der EU (Verordnung (EU) 2024/1689) listet in Anhang III Bereiche auf, in denen KI als hochriskant gilt. Nummer 4 betrifft Beschäftigung und Personalmanagement. Entscheidend ist der Zweck, für den ein System bestimmt ist, nicht die Technik dahinter. Erfasst sind KI-Systeme für:

Für einen Handwerksbetrieb heißt das konkret: Eine KI, die aus Kundenbewertungen, Fahrtzeiten und Reklamationen eine Rangliste der Monteure bildet und danach die Aufträge verteilt, ist ein Hochrisiko-System. Dasselbe gilt für ein Werkzeug, das Bewerbungen vorsortiert oder Notizen aus Mitarbeitergesprächen zu einer Einschätzung verdichtet.

• Einstellung und Auswahl: Stellenanzeigen gezielt schalten, Bewerbungen sichten oder filtern, Bewerber bewerten.
• Entscheidungen, die Arbeitsbedingungen, Beförderungen oder Kündigungen beeinflussen.
• Die Zuweisung von Aufgaben aufgrund des individuellen Verhaltens oder persönlicher Merkmale und Eigenschaften.
• Die Beobachtung und Bewertung von Leistung und Verhalten der Beschäftigten.

„Die KI schlägt nur vor“ ist kein Ausweg

Art. 6 Abs. 3 kennt Ausnahmen. Ein System aus Anhang III gilt nicht als hochriskant, wenn es das Ergebnis einer Entscheidung nicht wesentlich beeinflusst, etwa weil es nur eine eng gefasste Verfahrensaufgabe erledigt, eine abgeschlossene menschliche Arbeit verbessert, Abweichungen von früheren Entscheidungsmustern erkennt, ohne eine menschliche Bewertung ungeprüft zu ersetzen oder zu beeinflussen, oder eine Bewertung bloß vorbereitet.

Diese Ausnahmen enden dort, wo Profiling beginnt. Nach dem letzten Unterabsatz von Art. 6 Abs. 3 ist ein Anhang-III-System immer hochriskant, wenn es Profiling natürlicher Personen vornimmt. Profiling bedeutet nach Art. 4 Nr. 4 DSGVO, persönliche Aspekte automatisiert zu bewerten, ausdrücklich auch Arbeitsleistung, Zuverlässigkeit und Verhalten. Eine KI, die Mitarbeitende einschätzt und daraus einen Vorschlag macht, profiliert. Dass ein Mensch den Vorschlag bestätigt, ändert daran nichts. Menschliche Aufsicht ist im AI Act eine Pflicht für Hochrisiko-Systeme, keine Ausnahme davon.

Wer als Anbieter meint, sein System falle unter eine Ausnahme, muss diese Einschätzung vor dem Einsatz dokumentieren und das System trotzdem in der EU-Datenbank registrieren (Art. 6 Abs. 4, Art. 49 Abs. 2).

Was ab wann gilt

Schon seit dem 2. Februar 2025 verboten ist Emotionserkennung am Arbeitsplatz (Art. 5 Abs. 1 Buchst. f). Gemeint sind KI-Systeme, die aus biometrischen Daten wie Stimme oder Gesicht auf Gefühle oder Absichten schließen, zum Beispiel eine Auswertung der Stimmung von Mitarbeitenden im Kundentelefonat. Ausgenommen sind nur medizinische Gründe und Sicherheitsgründe.

Die Hochrisiko-Pflichten für Anhang III gelten ab dem 2. Dezember 2027. Ursprünglich war August 2026 vorgesehen, der KI-Omnibus (Verordnung (EU) 2026/1744) hat die Frist verschoben. Als Arbeitgeber sind Sie dann Betreiber und haben nach Art. 26 unter anderem diese Pflichten:

Systeme, die vor dem 2. Dezember 2027 bereits in Betrieb sind, fallen nach Art. 111 Abs. 2 in der Fassung des Omnibus erst darunter, wenn sie danach in ihrer Konzeption erheblich verändert werden. Das ist kein Freibrief: Wer sein Werkzeug laufend weiterentwickelt, kann diesen Bestandsschutz verlieren. Für das Verbot, den Datenschutz und den Betriebsrat gilt er ohnehin nicht.

• Das System nach der Betriebsanleitung des Anbieters einsetzen.
• Die menschliche Aufsicht Personen übertragen, die dafür kompetent und befugt sind.
• Auf passende Eingabedaten achten, den Betrieb überwachen und bei Risiken Anbieter und Aufsicht informieren.
• Automatisch erzeugte Protokolle mindestens sechs Monate aufbewahren.
• Vor dem Einsatz am Arbeitsplatz die Arbeitnehmervertreter und die betroffenen Beschäftigten informieren (Art. 26 Abs. 7).

Datenschutz gilt schon heute

Der AI Act ersetzt die DSGVO nicht. Für Beschäftigtendaten gibt es in Deutschland § 26 BDSG. Der Europäische Gerichtshof hat am 30. März 2023 (C-34/21) zu einer nahezu gleich lautenden hessischen Regelung entschieden, dass nationale Vorschriften nur dann als spezifischere Regelung nach Art. 88 DSGVO gelten, wenn sie dessen Anforderungen erfüllen. Seitdem ist umstritten, ob § 26 Abs. 1 BDSG allein als Rechtsgrundlage trägt. Viele Datenschützer stützen die Verarbeitung deshalb vorsorglich zusätzlich auf Art. 6 Abs. 1 DSGVO, etwa auf die Durchführung des Arbeitsvertrags. Ein eigenes Beschäftigtendatengesetz ist seit Jahren geplant, ein Entwurf von 2024 wurde aber nie beschlossen.

Art. 22 DSGVO verbietet grundsätzlich Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung, die ausschließlich automatisiert fallen. Hier hilft es tatsächlich, wenn ein Mensch entscheidet, aber nur, wenn er den Vorschlag wirklich prüft und davon abweichen kann. Bloßes Abnicken reicht nicht.

Für KI, die Leistung oder Verhalten von Beschäftigten bewertet, ist in aller Regel eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig. Die Liste der Datenschutzkonferenz nennt dafür ausdrücklich die umfangreiche Auswertung von Beschäftigtenverhalten, die Ortung von Beschäftigten, auch zur Koordination von Außendiensteinsätzen, und KI zur Bewertung persönlicher Aspekte.

Der Betriebsrat redet mit

Wo es einen Betriebsrat gibt, ist er oft die erste Hürde, unabhängig vom AI Act. Das Betriebsverfassungsgesetz nennt KI an mehreren Stellen ausdrücklich:

In der Praxis heißt das: Ein Werkzeug, das Leistung oder Verhalten auswerten kann, führen Sie in einem Betrieb mit Betriebsrat nicht ohne Betriebsvereinbarung ein.

• § 90 Abs. 1 Nr. 3: Über geplante Arbeitsverfahren und Arbeitsabläufe einschließlich des Einsatzes von KI ist der Betriebsrat rechtzeitig und mit Unterlagen zu unterrichten.
• § 87 Abs. 1 Nr. 6: Technische Einrichtungen zur Überwachung von Verhalten oder Leistung sind mitbestimmungspflichtig. Nach der Rechtsprechung des Bundesarbeitsgerichts genügt, dass sie dazu geeignet sind.
• § 95 Abs. 2a: Auswahlrichtlinien für Einstellungen, Versetzungen und Kündigungen bleiben mitbestimmt, auch wenn KI sie aufstellt.
• § 80 Abs. 3: Muss der Betriebsrat KI beurteilen, gilt ein Sachverständiger als erforderlich.

Was in aller Regel nicht darunter fällt

Nicht jede Software im Personalbereich ist Hochrisiko. Die Frage ist, ob Menschen bewertet werden. Unbedenklich im Sinne des AI Act sind in der Regel:

Die Grenze ist schnell überschritten: Berücksichtigt die Planung, wer am schnellsten arbeitet oder die wenigsten Reklamationen hat, verteilt sie Aufgaben nach Leistung oder Verhalten. Feste Regeln, die ein Mensch vorgibt, sind nach Erwägungsgrund 12 schon gar kein KI-System im Sinne der Verordnung. Datenschutz und Betriebsrat gelten trotzdem: Eine Tourenplanung, die laufend den Standort der Monteure auswertet, ist mitbestimmungspflichtig und steht auf der Liste der Datenschutzkonferenz für Folgenabschätzungen.

• Einsatzplanung nach Einsatzort, Fahrstrecke und freier Zeit im Kalender, ohne Bewertung der Monteure.
• Dokumente sortieren und zuordnen, etwa Stundenzettel, Lieferscheine oder Zertifikate nach Art und Name.
• Urlaubsanträge erfassen und Resturlaub berechnen.

Wie wir das in Projekten handhaben

Funktionen, die Mitarbeitende bewerten oder Aufgaben nach Leistung oder Verhalten verteilen, prüfen wir vor dem Angebot gesondert und halten das Ergebnis schriftlich fest. Im Zweifel bauen wir sie ohne KI, mit festen Regeln, die Sie selbst festlegen und nachvollziehen können. Die rechtliche Bewertung Ihres Einzelfalls ersetzt das nicht.