KI-Agenten im HR & Recruiting: Die Zukunft der Personalprozesse im Mittelstand

Der Fachkräftemangel ist eine der größten Wachstumsbremsen für den deutschen Mittelstand. Gleichzeitig binden administrative Aufgaben im Recruiting wertvolle Kapazitäten: Bewerbungen sichten, Qualifikationen abgleichen, Interviewtermine abstimmen. KI-Agenten können diese Arbeit übernehmen. Für einen Teil davon greift ab Dezember 2027 allerdings ein Regelwerk, das die meisten Personalabteilungen noch nicht auf dem Schirm haben.

Das Wichtigste in Kürze: KI-Systeme für die Bewerberauswahl sind nach Anhang III Nummer 4 der EU-KI-Verordnung Hochrisiko-Systeme. Die Pflichten zu menschlicher Aufsicht, Protokollierung und Information der Beschäftigten greifen nach dem Digital Omnibus ab dem 2. Dezember 2027, nicht mehr ab dem 2. August 2026. Eine vollautomatische Absage ist schon heute nach Artikel 22 DSGVO unzulässig. Unkritisch bleibt alles, was niemanden bewertet: Terminkoordination, Eingangsbestätigungen, Statusauskünfte. Genau dort liegt für den Mittelstand auch der größte Zeitgewinn.

Wo drückt der Schuh im Personalbereich?

Mittelständische Unternehmen stehen unter doppeltem Druck. Qualifizierte Kandidaten sind oft nur kurz am Markt, und langsame Prozesse führen dazu, dass sie sich anderweitig entscheiden. Gleichzeitig binden wiederkehrende Verwaltungsaufgaben einen erheblichen Teil der Kapazität in der Personalabteilung, die ohnehin selten groß besetzt ist.

Der Reflex, dieses Problem mit automatisierter Vorauswahl zu lösen, ist nachvollziehbar. Er führt aber genau in den regulierten Bereich. Der Zeitgewinn liegt für die meisten Betriebe woanders, und zwar dort, wo die Regulierung nicht greift.

Was ist erlaubt und was ist reguliert?

Die entscheidende Trennlinie verläuft zwischen Organisieren und Bewerten.

Die gute Nachricht für den Mittelstand: Die ersten drei Zeilen machen den Großteil des Verwaltungsaufwands aus. Ein Agent, der Eingänge bestätigt, Unterlagen nachfordert und Interviewtermine abstimmt, nimmt der Personalabteilung viel Arbeit ab, ohne die Pflichten eines Hochrisiko-Systems auszulösen.

Welche Pflichten bringt der EU AI Act?

Anhang III Nummer 4 der KI-Verordnung nennt Beschäftigung und Personalmanagement ausdrücklich: Systeme für die Einstellung oder Auswahl natürlicher Personen, insbesondere für gezielte Stellenanzeigen, das Analysieren und Filtern von Bewerbungen und das Bewerten von Bewerbern. Die daran geknüpften Pflichten sollten ursprünglich ab dem 2. August 2026 gelten. Der Digital Omnibus (Verordnung (EU) 2026/1744) hat den Stichtag auf den 2. Dezember 2027 verschoben. Wer heute ein System auswählt, sollte es trotzdem schon an diesen Pflichten messen, denn ein Bewerbermanagement wird selten nach einem Jahr wieder ausgetauscht.

Als Betreiber eines solchen Systems treffen Sie ab diesem Stichtag nach Artikel 26 unter anderem folgende Pflichten:

• Menschliche Aufsicht durch geeignete Personen. Wer das System überwacht, muss dafür fachlich befähigt und mit den nötigen Befugnissen ausgestattet sein. Eine Aufsicht, die eine Vorauswahl faktisch nicht verwerfen kann, ist keine.
• Betrieb nach der Gebrauchsanweisung des Anbieters. Eigenmächtige Zweckänderungen können dazu führen, dass Sie selbst als Anbieter gelten, mit deutlich weitergehenden Pflichten.
• Geeignete Eingabedaten. Die zugeführten Daten müssen für den Zweck relevant und hinreichend repräsentativ sein.
• Protokollierung. Die automatisch erzeugten Protokolle sind aufzubewahren, mindestens sechs Monate, soweit sie Ihrer Kontrolle unterliegen.
• Information der Beschäftigten. Nach Artikel 26 Absatz 7 müssen Sie vor der Inbetriebnahme am Arbeitsplatz die Arbeitnehmervertretung und die betroffenen Beschäftigten informieren.

Hinzu kommt die Kompetenzpflicht aus Artikel 4, die bereits seit Februar 2025 gilt und unabhängig von der Risikoklasse für jeden KI-Einsatz greift. Was sie konkret verlangt, steht im Beitrag zur KI-Kompetenzpflicht.

Was verbietet Artikel 22 DSGVO?

Unabhängig vom AI Act gilt eine ältere Schranke, die im Recruiting besonders scharf ist. Artikel 22 DSGVO gibt betroffenen Personen das Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Eine Absage im Bewerbungsverfahren erfüllt diese Voraussetzung. Praktisch heißt das:

Unzulässig ist der Ablauf, bei dem das System unterhalb einer Punktschwelle automatisch absagt und niemand die aussortierten Bewerbungen jemals sieht.

Zulässig ist die Vorsortierung, bei der ein Mensch die Vorauswahl inhaltlich prüft und sie verwerfen kann. Entscheidend ist, dass die Prüfung echt ist. Ein Häkchen, das eine Liste von zweihundert Namen in Sekunden bestätigt, ist keine menschliche Entscheidung, sondern deren Fassade.

Ergänzend gibt Artikel 86 der KI-Verordnung Betroffenen bei Entscheidungen auf Grundlage eines Hochrisiko-Systems einen Anspruch auf Erklärung der Rolle, die das System dabei gespielt hat.

Warum "objektiv und ohne Vorurteile" ein Irrtum ist

Diese Zusage findet sich in vielen Angeboten, und sie ist falsch. Ein KI-System ist nicht neutraler als ein Mensch, es ist anders verzerrt. Es reproduziert die Muster seiner Trainingsdaten und seiner Konfiguration, und es tut das gleichmäßig über alle Bewerbungen hinweg, also auch gleichmäßig falsch.

Rechtlich ist das erheblich. Das Allgemeine Gleichbehandlungsgesetz verbietet Benachteiligungen unter anderem wegen Alter, Geschlecht, Herkunft, Religion und Behinderung. Und § 22 AGG kehrt die Beweislast um: Trägt die klagende Person Indizien für eine Benachteiligung vor, muss der Arbeitgeber beweisen, dass kein Verstoß vorlag.

Wer nicht darlegen kann, nach welchen Kriterien ein System aussortiert hat, kann diesen Beweis nicht führen. Deshalb gehört zu jedem automatisierten Screening eine Dokumentation der Auswahlkriterien und eine regelmäßige Prüfung, ob bestimmte Gruppen auffällig häufig herausfallen. Diese Prüfung ist Aufwand, aber sie ist der einzige Weg, das Haftungsrisiko beherrschbar zu halten.

Was gilt beim Datenschutz und der Mitbestimmung?

Bewerberdaten sind Beschäftigtendaten im weiteren Sinne. § 26 BDSG erlaubt ihre Verarbeitung, soweit sie für die Entscheidung über die Begründung eines Beschäftigungsverhältnisses erforderlich ist. Das setzt der Datensammlung eine Grenze: Was für die konkrete Stelle nicht gebraucht wird, darf nicht erhoben werden, auch nicht "für später".

Löschfristen ergeben sich aus der Zweckbindung. Nach Abschluss des Verfahrens sind Unterlagen abgelehnter Bewerber zu löschen, wobei in der Praxis eine Aufbewahrung für die Dauer der Klagefrist nach § 15 Absatz 4 AGG und eine angemessene Reserve üblich ist. Eine längere Speicherung in einem Talentpool braucht eine gesonderte Einwilligung.

Der Betriebsrat hat nach § 87 Absatz 1 Nummer 6 BetrVG ein erzwingbares Mitbestimmungsrecht bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Nach ständiger Rechtsprechung genügt die objektive Eignung zur Überwachung; eine entsprechende Absicht ist nicht erforderlich. Ein HR-Agent, der Bearbeitungszeiten protokolliert, fällt regelmäßig darunter.

Ein Projekt, das den Betriebsrat erst nach der Einführung einbindet, steht deshalb schnell still. Die Information nach Artikel 26 Absatz 7 der KI-Verordnung kommt ohnehin hinzu und lässt sich mit der Beteiligung sinnvoll verbinden.

Wie führt man das ein, ohne in die Regulierung zu laufen?

In drei Schritten, die bewusst mit dem unkritischen Teil beginnen.

Erstens: die Organisation automatisieren, nicht die Auswahl. Eingangsbestätigung, Nachforderung fehlender Unterlagen, Terminabstimmung, Statusauskunft. Hier liegt der größte Zeitgewinn bei der geringsten Auflage, und der Effekt auf die Rückmeldegeschwindigkeit ist unmittelbar spürbar.

Zweitens: die Zusammenfassung, nicht die Bewertung. Ein Agent, der eine Bewerbung strukturiert zusammenfasst, ohne ein Urteil oder einen Rang zu vergeben, hilft der Personalabteilung beim Lesen. Sobald er sortiert oder Punkte vergibt, ändert sich die Einordnung.

Drittens: automatisierte Vorauswahl nur mit vollständigem Rahmen. Wenn sie wirklich gebraucht wird, braucht sie dokumentierte Kriterien, eine echte menschliche Prüfinstanz, Protokollierung, eine Beteiligung des Betriebsrats und eine regelmäßige Auswertung auf Benachteiligungsmuster. Für die meisten mittelständischen Betriebe mit überschaubaren Bewerberzahlen lohnt dieser Aufwand nicht.

Häufige Fragen

Ist KI im Recruiting ein Hochrisiko-System nach dem EU AI Act? Ja, sobald sie die Auswahl betrifft. Anhang III Nummer 4 der KI-Verordnung nennt ausdrücklich Systeme für die Einstellung oder Auswahl natürlicher Personen, insbesondere für gezielte Stellenanzeigen, das Filtern von Bewerbungen und die Bewertung von Bewerbern. Die Betreiberpflichten dafür greifen nach dem Digital Omnibus (Verordnung (EU) 2026/1744) ab dem 2. Dezember 2027, ursprünglich vorgesehen war der 2. August 2026. Reine Terminkoordination und Eingangsbestätigungen bewerten niemanden und fallen nicht darunter.

Darf eine KI eine Bewerbung selbstständig ablehnen? Nein, jedenfalls nicht ohne menschliche Prüfung. Artikel 22 DSGVO gibt Betroffenen das Recht, nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Eine Absage im Bewerbungsverfahren fällt darunter. Zulässig ist die Vorsortierung mit anschließender inhaltlicher Prüfung durch einen Menschen, der die Vorauswahl auch verwerfen kann.

Muss der Betriebsrat der KI im Recruiting zustimmen? In aller Regel ja. § 87 Absatz 1 Nummer 6 BetrVG begründet ein erzwingbares Mitbestimmungsrecht bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Nach der Rechtsprechung genügt die objektive Eignung zur Überwachung. Unabhängig davon verlangt Artikel 26 Absatz 7 der KI-Verordnung, Arbeitnehmervertretung und betroffene Beschäftigte vor der Inbetriebnahme am Arbeitsplatz zu informieren.

Kann KI-Screening zu einer Diskriminierungsklage führen? Ja, und die Beweislage ist für Arbeitgeber ungünstig. § 22 AGG kehrt die Beweislast um, sobald die klagende Person Indizien für eine Benachteiligung vorträgt. Dann muss der Arbeitgeber belegen, dass kein Verstoß vorlag. Wer nicht dokumentieren kann, nach welchen Kriterien ein System aussortiert hat, kann diesen Beweis nicht führen. Ein KI-System ist nicht automatisch neutraler als ein Mensch, es reproduziert die Muster seiner Trainings- und Konfigurationsgrundlage.

Welche HR-Systeme können angebunden werden? Übliche Schnittstellen bestehen zu gängigen Personalmanagement-Plattformen wie Personio, Workday und SAP SuccessFactors sowie zu Kommunikationskanälen wie E-Mail, WhatsApp und Microsoft Teams. Entscheidend ist weniger die Plattform als die Frage, welche Felder der Agent lesen und schreiben darf.

Fazit

KI-Agenten ersetzen nicht die menschliche Komponente im Personalbereich, sondern schaffen den Freiraum dafür. Der Punkt, an dem es kompliziert wird, ist aber nicht die Technik, sondern die Bewertung von Menschen. Wer die Organisation automatisiert und die Auswahl beim Menschen lässt, hebt den größten Teil des Nutzens, ohne die Pflichten eines Hochrisiko-Systems auszulösen.

Dieser Beitrag erschien am 7. Juli 2026 und wurde am 11. September 2026 vollständig überarbeitet: Die Einordnung nach dem EU AI Act, Artikel 22 DSGVO, dem AGG und dem Betriebsverfassungsgesetz wurde ergänzt, nicht belegbare Beispielrechnungen wurden entfernt. Am 18. September 2026 wurden die Stichtage an den Digital Omnibus angepasst. Er ersetzt keine Rechtsberatung.

---

Quellen

• Verordnung (EU) 2024/1689 (KI-Verordnung), Anhang III Nummer 4 (Beschäftigung, Personalmanagement), Artikel 26 (Pflichten der Betreiber), Artikel 86 (Recht auf Erklärung)
• Verordnung (EU) 2016/679 (DSGVO), Artikel 22 (Automatisierte Entscheidungen im Einzelfall)
• § 26 BDSG - Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses
• § 22 AGG - Beweislast und § 15 Absatz 4 AGG (Frist für Entschädigungsansprüche)
• § 87 Absatz 1 Nummer 6 BetrVG - Mitbestimmung bei technischen Überwachungseinrichtungen
• Verordnung (EU) 2026/1744 (Digital Omnibus zur KI-Verordnung), neuer Stichtag 2. Dezember 2027 für Hochrisiko-Systeme nach Anhang III