Die KI-Verordnung und Tests in der Personalauswahl

Warum Personalauswahl als Hochrisiko gilt

Die KI-Verordnung (AI Act), Verordnung (EU) 2024/1689, ordnet KI-Systeme nach ihrem Risiko ein. Anhang III, Nummer 4, führt Beschäftigung als Hochrisiko-Bereich. Erfasst sind KI-Systeme, die bestimmt sind für:

• das Schalten gezielter Stellenanzeigen
• das Sichten und Filtern von Bewerbungen
• die Bewertung von Bewerberinnen und Bewerbern
• Entscheidungen über Beförderung, Kündigung und Aufgabenzuweisung sowie die Beobachtung oder Bewertung von Beschäftigten

Solche Entscheidungen prägen Lebensgrundlagen, und ein System, das Menschen falsch einschätzt, tut das in großem Umfang. Ein System nach Anhang III, das Profiling betreibt, etwa indem es Persönlichkeit oder Fähigkeiten bewertet, um die Arbeitsleistung vorherzusagen, gilt immer als hochriskant.

Eine Praxis ist ganz verboten

Seit dem 2. Februar 2025 sind KI-Systeme verboten, die am Arbeitsplatz Emotionen aus biometrischen Daten wie Mimik oder Stimme ableiten, außer aus medizinischen oder Sicherheitsgründen (Artikel 5 Absatz 1 Buchstabe f). Die nicht verbindlichen Leitlinien der Europäischen Kommission zu verbotenen Praktiken zählen Kandidaten in einem Auswahlverfahren zum Arbeitskontext. Seien Sie daher sehr zurückhaltend bei Videointerview-Tools, die Begeisterung, Stress oder Ehrlichkeit aus Gesicht oder Stimme ablesen wollen.

Ist Ihr Testverfahren ein KI-System?

Die Hochrisiko-Regeln gelten nur für ein KI-System im Sinne von Artikel 3 Nummer 1: ein maschinengestütztes System, das mit einem gewissen Grad an Autonomie arbeitet und aus seinen Eingaben ableitet, wie es Ausgaben wie Vorhersagen, Empfehlungen oder Entscheidungen erzeugt. Das ist ein funktionaler Maßstab, kein Etikett. Dass ein Anbieter etwas KI nennt, entscheidet die Frage nicht, und ebenso wenig, dass er das Wort vermeidet. Bei Tests liegt der Unterschied oft darin, wie der Wert zustande kommt:

• Ein Fragebogen, der mit festem Schlüssel ausgewertet und mit einer Normgruppe verglichen wird, nach Regeln, die Menschen festgelegt haben, fällt womöglich nicht unter die Definition.
• Scoring, Ranking oder Matching durch ein Modell, das aus Daten gelernt hat, etwa eines, das Berufserfolg aus Antworten, Videos oder Lebensläufen vorhersagt, kann darunterfallen.
• Eine Plattform kann beides enthalten: einen klassisch ausgewerteten Persönlichkeitsfragebogen neben einer Matching-Funktion auf Basis von Machine Learning.

Wo die Grenze bei einem bestimmten Tool verläuft, ist nicht für jeden Fall geklärt. Fragen Sie den Anbieter, wie er jeden Teil seines Produkts einordnet und warum, und dokumentieren Sie die Antwort. Bleibt es unklar, wenden Sie die Hochrisiko-Schutzmaßnahmen trotzdem an: Die meisten sind schlicht gute eignungsdiagnostische Praxis.

Was der Anbieter tun muss und was Sie tun müssen

Die Verordnung unterscheidet den Anbieter, der ein System entwickelt und in Verkehr bringt, vom Betreiber, der es in eigener Verantwortung verwendet. Bei Tests im Recruiting ist der Testanbieter in der Regel Anbieter und Sie als Arbeitgeber sind Betreiber.

Der Anbieter

• Risikomanagement über den gesamten Lebenszyklus
• Daten-Governance, einschließlich der Prüfung von Trainingsdaten auf mögliche Verzerrungen
• technische Dokumentation, automatische Protokollierung und Betriebsanleitung
• eine Gestaltung, die wirksame menschliche Aufsicht ermöglicht
• angemessene Genauigkeit, Robustheit und Cybersicherheit
• eine Konformitätsbewertung und die Registrierung in der EU-Datenbank

Für Recruiting-Systeme ist die Konformitätsbewertung ein internes Verfahren des Anbieters, ohne externe Stelle. Ein Tool, das als AI-Act-zertifiziert beworben wird, verdient deshalb eine Nachfrage.

Sie als Arbeitgeber

Artikel 26 regelt die Pflichten des Betreibers. Praktisch heißt das:

• Setzen Sie das System gemäß der Betriebsanleitung ein.
• Übertragen Sie die menschliche Aufsicht Personen mit der nötigen Kompetenz, Schulung und Befugnis.
• Soweit Sie die Eingabedaten kontrollieren, sorgen Sie dafür, dass sie relevant und ausreichend repräsentativ sind.
• Überwachen Sie den Betrieb, melden Sie Probleme dem Anbieter und setzen Sie den Einsatz aus, wenn Sie ein Risiko feststellen.
• Bewahren Sie die Protokolle, die Ihrer Kontrolle unterliegen, mindestens sechs Monate auf, sofern anderes Recht nichts anderes vorsieht.
• Informieren Sie Arbeitnehmervertreter und betroffene Beschäftigte, bevor Sie ein Hochrisiko-System am Arbeitsplatz in Betrieb nehmen.
• Informieren Sie Kandidaten über den Einsatz eines Hochrisiko-Systems, wenn es Entscheidungen über sie trifft oder dabei unterstützt.

Nach Artikel 86 kann eine Person, die von einer Entscheidung auf Grundlage der Ausgabe eines solchen Systems betroffen ist, in bestimmten Fällen eine klare Erläuterung der Rolle des Systems und der wichtigsten Elemente der Entscheidung verlangen. Und wer ein System wesentlich verändert oder für einen Hochrisiko-Zweck nutzt, den der Anbieter nicht vorgesehen hat, kann selbst zum Anbieter werden (Artikel 25).

Die DSGVO gilt daneben. Artikel 22 gibt Menschen das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung einschließlich Profiling unterworfen zu werden, die rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, außer es greift eine Ausnahme mit Schutzmaßnahmen.

Der Zeitplan

• 1. August 2024: Die KI-Verordnung tritt in Kraft.
• 2. Februar 2025: Die Verbote gelten, darunter das Verbot der Emotionserkennung am Arbeitsplatz.
• Der 2024 verabschiedete Text sah für die Hochrisiko-Pflichten bei Systemen nach Anhang III den 2. August 2026 vor.
• Der Digital-Omnibus zur KI, Verordnung (EU) 2026/1744, im Juli 2026 veröffentlicht, hat dieses Datum verschoben: Die Hochrisiko-Pflichten für Systeme nach Anhang III, auch im Recruiting, gelten nun ab dem 2. Dezember 2027.

Die Verschiebung verschafft Zeit, ändert aber nichts an den Anforderungen. Verträge und Verfahren, die Sie jetzt aufsetzen, laufen 2027 oft noch, planen Sie die Anforderungen also von Anfang an ein. DSGVO und Arbeitsrecht gelten schon heute. So bedürfen in Deutschland Auswahlrichtlinien und allgemeine Beurteilungsgrundsätze der Zustimmung des Betriebsrats (§§ 94 und 95 BetrVG).

Checkliste für Arbeitgeber

Fragen an den Anbieter

• Welche Teile Ihres Produkts sind aus Ihrer Sicht ein KI-System im Sinne der KI-Verordnung, und warum?
• Falls ein Teil hochriskant ist: Können wir die Betriebsanleitung einsehen, und wann liegen Konformitätsbewertung und Registrierung vor?
• Welche Belege für Reliabilität und Validität gibt es für unseren Einsatzzweck, und sind sie dokumentiert, etwa in einem Testmanual?
• Wie prüfen Sie auf Verzerrungen, und wo liegen die Grenzen dieser Analysen?
• Werden Kandidatendaten zum Training von Modellen genutzt, und auf welcher Rechtsgrundlage?

Menschliche Aufsicht und Information

• Schulen Sie die Personen, die Ergebnisse prüfen, in der Interpretation von Werten, einschließlich Wertebereich und Normgruppe, und achten Sie auf Automation Bias: einem System zu folgen, weil es objektiv wirkt.
• Geben Sie ihnen die Befugnis, von einem Ranking abzuweichen, und halten Sie die Gründe fest. Lassen Sie nie einen Wert oder Cut-off einen Kandidaten ablehnen, ohne dass ein Mensch draufgeschaut hat.
• Sagen Sie Kandidaten, welche Tests sie absolvieren, wozu, wer die Ergebnisse sieht und wie lange sie gespeichert werden, und überlegen Sie vorab, wie Sie auf die Bitte um eine Erläuterung antworten.

Dokumentieren und überwachen

• Halten Sie je Stelle fest, welche Tests eingesetzt wurden, wie die Werte gewichtet wurden und wer entschieden hat.
• Prüfen Sie regelmäßig die Ergebnisse Ihres Verfahrens, etwa Auswahlquoten je Gruppe, soweit Sie diese Daten rechtmäßig erheben dürfen. Unter Fairness und Bias lesen Sie, was solche Analysen zeigen können und was nicht.

Was das für den Aufbau von Match.hr bedeutet

Wir behandeln Personalauswahl als den Hochrisiko-Einsatz, den die Verordnung beschreibt, und bauen schon jetzt für ihre Anforderungen. Ein Mensch entscheidet immer: Die Plattform lehnt niemals automatisch Kandidaten ab, und der Bericht unterstützt eine strukturierte Entscheidung neben Interviews und Referenzen, wie unter So funktioniert es beschrieben. Jeder Wert wird mit Wertebereich und Normgruppe angezeigt, damit die prüfende Person erklären kann, was er bedeutet. Es gibt eine Dokumentation je Testversion und Audit-Logs; mehr dazu unter Sicherheit und Datenschutz. Damit erfüllen Sie als Arbeitgeber die Verordnung noch nicht von selbst, und die Anbieterfragen oben können Sie uns genauso stellen wie allen anderen.