Hochrisiko-KI verschoben, DSGVO aber nicht
Viele Unternehmen haben aufgeatmet, als bekannt wurde, dass die Hochrisiko-Regelungen des EU AI Acts erneut verschoben werden. Doch dieser Aufschub schützt Sie nicht vor den Pflichten, die längst gelten. Die Datenschutz-Grundverordnung ist in Kraft, sie wird angewendet, und sie betrifft ganz konkret den Einsatz von KI im Bewerbungsprozess.
Das ist kein theoretisches Problem. Es ist ein ganz praktisches.
Bewerberdaten in KI-Systemen: Wo die Risiken liegen
Stellen Sie sich folgendes Szenario vor: Ihr Unternehmen erhält mehr Bewerbungen, als Ihr Team realistisch bearbeiten kann. Eine KI übernimmt die Vorqualifizierung, erstellt Profile, bewertet Lebensläufe und filtert Kandidaten vor. Das spart Zeit und entlastet das HR-Team erheblich.
Gleichzeitig verarbeiten Sie dabei personenbezogene Daten in einem automatisierten System, das Entscheidungen vorbereitet oder sogar trifft. Genau hier greifen DSGVO-Anforderungen, die unabhängig vom AI Act gelten:
- Bewerber müssen transparent darüber informiert werden, wie ihre Daten verarbeitet werden.
- Automatisierte Entscheidungen, die rechtliche oder ähnlich bedeutsame Wirkung haben, sind nur unter bestimmten Voraussetzungen zulässig.
- Die Zweckbindung der Daten muss gewahrt bleiben. Bewerberdaten dürfen nicht für andere Zwecke genutzt werden.
- Datensicherheit muss technisch und organisatorisch sichergestellt sein.
Das klingt aufwendig. Ist es auch, wenn man es ohne Struktur angeht. Mit der richtigen Vorbereitung ist es aber gut handhabbar.
Was „Transparenz“ im KI-Recruiting konkret bedeutet
Transparenz ist kein Buzzword. Sie bedeutet, dass Bewerber wissen müssen, ob und wie KI in der Auswahl eingesetzt wird. Das kann in der Datenschutzerklärung stehen, muss aber verständlich formuliert sein. Kein Juristendeutsch, das niemand liest.
Außerdem sollten Sie sicherstellen, dass KI-gestützte Vorauswahlen nicht das letzte Wort haben, wenn es um Absagen geht. Ein Mensch muss im Prozess bleiben, zumindest als finale Instanz. Das ist keine Empfehlung, das ist rechtliche Anforderung.
KI-gestützte Bewerbungshotlines: Potenzial mit Verantwortung
Ein konkretes Beispiel aus der Praxis: Ein vorgeschalteter Anruf-Bot, der eingehende Bewerbungen strukturiert erfasst und erste Fragen beantwortet, kann HR-Teams massiv entlasten. Solche Lösungen sind technisch heute gut umsetzbar. Aber auch hier gilt: Datenschutz muss von Anfang an mitgedacht werden, nicht nachträglich draufgeklebt.
Das nennt sich „Privacy by Design“, und es ist nicht optional.
Wo IT-Entscheider jetzt ansetzen sollten
Wenn Sie KI im HR-Bereich einsetzen wollen oder bereits einsetzen, lohnt es sich, folgende Fragen konkret zu beantworten:
- Welche Daten werden verarbeitet, wo werden sie gespeichert, wer hat Zugriff?
- Gibt es eine aktuelle Datenschutz-Folgenabschätzung für diesen Prozess?
- Ist Ihr IT-Sicherheitskonzept auf den Einsatz von KI-Tools ausgerichtet?
- Werden Bewerber klar und verständlich informiert?
Diese Fragen klingen einfach. Die Antworten sind es oft nicht. Besonders in kleineren Unternehmen fehlt häufig die interne Kapazität, um das strukturiert aufzusetzen.
Praxisnah statt theoretisch
Genau hier setzt IT-Commander an. Ob es um die sichere Einbindung von KI-Tools in bestehende IT-Infrastrukturen geht, um Datenschutzkonzepte für automatisierte Prozesse oder um die technische Absicherung sensibler Daten: Der Ansatz ist immer praxisnah und auf die konkrete Situation Ihres Unternehmens zugeschnitten.
Der AI Act wird kommen, schrittweise. Aber die DSGVO ist bereits da. Wer jetzt anfängt, seine KI-Prozesse sauber aufzusetzen, ist nicht nur rechtlich auf der sicheren Seite, er baut auch eine Grundlage, die den zukünftigen Anforderungen standhält.
Haben Sie Fragen dazu, was für Ihr Unternehmen konkret gilt? Melden Sie sich gerne bei IT-Commander. Das Gespräch ist der einfachste erste Schritt.