KI-Gesetze für die Personalauswahl 2026: ein Compliance-Leitfaden für Deutschland

KI-Gesetze für die Personalauswahl laufen überall auf vier wiederkehrende Pflichten hinaus: Sagen Sie Kandidaten, wenn KI im Spiel ist; lassen Sie das Tool nicht diskriminieren (es zählt die ungleiche Auswirkung, nicht die Absicht); halten Sie einen Menschen mit echter Überstimmungsbefugnis in der Schleife; und seien Sie bereit, eine nachteilige Entscheidung zu erklären und einen Einspruch zuzulassen. In Deutschland müssen Sie diese vier Pflichten nicht wie in den USA Bundesstaat für Bundesstaat aus einem Flickenteppich zusammensuchen – sie ergeben sich aus einem einzigen, einheitlichen Regelwerk: dem EU AI Act, dem AGG und der DSGVO. Wer diese Schnittmenge beherrscht, ist abgesichert. Wenn Sie ein kleines Team führen, irgendwo im Einstellungsprozess KI einsetzen und keine arbeitsrechtliche Beratung haben, ist das hier die „Was mache ich am Montag“-Version, keine paragrafengenaue Auslegung.

Ein kurzer Hinweis, bevor die Panik einsetzt: Das hier ist keine Rechtsberatung. Es ist eine operative Landkarte für Gründer und People-Teams aus einer Person, die eine beängstigende Kanzlei-Warnung gelesen haben und nun eine Checkliste wollen.

Warum die EU einen einheitlichen Weg ging

Während die USA bei der KI-Regulierung der Personalauswahl in einen Flickenteppich aus Einzelgesetzen zerfielen – der eine Bundesstaat prescht vor, ein Gericht stoppt das Gesetz, der nächste schreibt es um –, hat die EU sich für das Gegenteil entschieden: ein einziges, supranationales Gesetz. Der EU AI Act (Verordnung (EU) 2024/1689) stuft KI-Systeme, die für die Personalbeschaffung und -auswahl eingesetzt werden – gezielte Stellenanzeigen ausspielen, Bewerbungen filtern und analysieren, Kandidaten bewerten –, als Hochrisiko ein (Anhang III, Nummer 4 Buchstabe a). Die vollen Hochrisiko-Pflichten – Risikomanagement, Transparenz, menschliche Aufsicht, Protokollierung – sind ab dem 2. August 2026 durchsetzbar, und zwar einheitlich in ganz Deutschland und der gesamten EU.

Das ist für Sie die gute Nachricht: Sie müssen keinen „50-Staaten-Tracker“ pflegen und keine Strategie um ein Gesetz herumbauen, das in der nächsten Gerichtssitzung wieder verschwinden könnte. Das maßgebliche Regelwerk steht, ist beschlossen und gilt für alle gleich. Wie das im Detail aussieht, schlüsseln wir in dem EU AI Act und der Hochrisiko-Personalauswahl auf – für Deutschland ist das keine Randnotiz, sondern das zentrale Gesetz.

Welche Regeln in Deutschland für die KI-gestützte Personalauswahl zählen

Vergessen Sie die Vorstellung, Sie müssten Dutzende Einzelgesetze im Blick behalten. In Deutschland tragen drei Regelwerke das Gewicht, und sie greifen ineinander.

Anders als in den USA hängt keine dieser Pflichten vom Wohnsitz des Kandidaten oder vom Sitz Ihres Unternehmens ab. EU AI Act und DSGVO gelten bundesweit und EU-weit gleich; es gibt keinen Mechanismus, bei dem der Wohnsitz eines Bewerbers ein anderes Gesetz auslöst. Der einzige grenzüberschreitende Punkt, der bleibt: Stellen Sie Menschen in anderen EU-Ländern ein, gelten zwar dieselben EU-Verordnungen, aber das nationale Arbeits- und Antidiskriminierungsrecht – und die Mitbestimmungsregeln – unterscheiden sich weiterhin von Land zu Land.

Macht mich der Einsatz eines KI-ATS haftbar, auch wenn der Anbieter das Modell gebaut hat?

Ja. Der EU AI Act verteilt die Pflichten bewusst auf zwei Rollen: den Anbieter (provider), der das KI-System entwickelt und in Verkehr bringt (Art. 16), und den Betreiber (deployer), der es einsetzt (Art. 26) – in der Personalauswahl also Sie als Arbeitgeber. Selbst wenn ein Drittanbieter das Modell gebaut hat, tragen Sie als Betreiber Ihre eigenen Hochrisiko-Pflichten: menschliche Aufsicht sicherstellen, Betroffene informieren, die Protokolle führen. Sie können die Haftung nicht an Ihr ATS auslagern.

Der Diskriminierungs-Sockel, der jeden Wandel überlebt

Hier ist der Teil, der sich nicht ändert, egal wie sich die KI-spezifische Regulierung weiterentwickelt. Unter allen KI-Gesetzen liegt das gewöhnliche Antidiskriminierungsrecht. In Deutschland ist das das Allgemeine Gleichbehandlungsgesetz (AGG), seit dem 18. August 2006 in Kraft. Es unterwirft den gesamten Einstellungsprozess – von der Stellenanzeige an – einem Benachteiligungsverbot über alle geschützten Merkmale hinweg, und zwar unabhängig von der Absicht. Es zählt die Wirkung: Ein Tool, das eine geschützte Gruppe mit höherer Rate aussortiert, kann rechtswidrig sein, selbst wenn niemand diskriminieren wollte.

Das AGG ist älter als der EU AI Act und liegt unter ihm. Die Antidiskriminierungsstelle des Bundes, die seine Anwendung unterstützt, hat selbst darauf hingewiesen, dass es bei algorithmischer Diskriminierung regulatorische Lücken gibt. Genau deshalb ist der Sockel so belastbar: Auch wenn eine KI-Detailregelung einmal angepasst wird, bleibt das Benachteiligungsverbot bestehen.

KI-Screening-Tools sind hier keine theoretischen Risiken. Wenn Ihr Tool entlang eines geschützten Merkmals aussortiert, ist das KI-spezifische Recht fast nebensächlich – das AGG greift ohnehin. Wie das mechanisch passiert, schlüsseln wir auf in wie KI-Bias bei der Personalauswahl branchenweite Ausgrenzung erzeugt und in dem KI-Einstellungs-Teufelskreis.

Der 5-Schritte-Compliance-Leitfaden für Teams ohne Rechtsabteilung

Streicht man die Detailunterschiede der einzelnen Vorschriften weg, wiederholt sich dieselbe Handvoll Pflichten. Bauen Sie für die Schnittmenge, und Sie sind abgesichert. Nichts davon erfordert einen Compliance-Berater oder einen Anbieter für Bias-Prüfungen.

1. Legen Sie offen, dass Sie KI einsetzen. Sagen Sie Kandidaten klar und deutlich, im Bewerbungsablauf oder in einem Hinweis in der Stellenanzeige, dass KI-Tools Ihren Einstellungsprozess unterstützen. In Deutschland ruht diese Pflicht auf zwei Säulen: den Transparenz- und Informationspflichten aus DSGVO Art. 13/14 – einschließlich des Hinweises auf eine automatisierte Entscheidungsfindung nach Art. 22 – und der Pflicht des Betreibers aus EU AI Act Art. 26 Abs. 7, die Arbeitnehmervertretung und die betroffenen Beschäftigten vor dem Einsatz eines Hochrisiko-KI-Systems zu informieren – Bewerber erfasst diese Vorschrift nicht; deren Offenlegung folgt bereits aus der DSGVO. Es ist außerdem ein Vertrauensgewinn: Zu sagen „KI hilft uns, Bewerbungen zu organisieren; Entscheidungen treffen Menschen“ wirkt beruhigend, nicht alarmierend.

2. Halten Sie einen Menschen mit echter Überstimmungsbefugnis in der Schleife. Kein Abnicken. Eine namentlich benannte Person, die prüft und das Tool überstimmen kann. Das ist der Kern von DSGVO Art. 22: Kandidaten haben das Recht, nicht einer Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht und ihnen gegenüber rechtliche Wirkung entfaltet – etwa eine KI, die Bewerbungen ohne menschliche Prüfung automatisch ablehnt. Das SCHUFA-Urteil des EuGH (C-634/21, 7. Dezember 2023) hat dabei die Abnick-Lücke geschlossen: Ein Mensch, der den Algorithmus nur formal durchwinkt, gilt weiterhin als „ausschließlich automatisiert“ – verlangt ist eine echte Prüfung mit der Befugnis zu überstimmen. Das ist zugleich die praktische Antwort auf jede „Der Algorithmus hat mich abgelehnt“-Behauptung.

3. Protokollieren Sie jede Weiterführung und jede Ablehnung. Wenn jemand eine Erklärung zu einem nachteiligen Ergebnis verlangt oder seine Betroffenenrechte aus der DSGVO ausübt, muss der Datensatz bereits existieren. Eine Prüfspur nachträglich nach einer Beschwerde einzuziehen, ist genau die Art, wie kleine Teams Schaden nehmen – und die Protokollierung gehört ohnehin zu den Hochrisiko-Pflichten des EU AI Act.

4. Lassen Sie nicht das Tool entscheiden. Machen Sie die KI unterstützend, nicht autonom. Sie ordnet ein, fasst zusammen und hebt hervor; ein Mensch entscheidet. Diese eine architektonische Weichenstellung senkt das Risiko über alle drei Regelwerke auf einen Schlag.

5. Seien Sie bereit, zu erklären und Einspruch zuzulassen. Halten Sie einen einfachen Weg bereit, über den ein Kandidat nach dem „Warum“ fragen und eine erneute menschliche Prüfung verlangen kann. Wenn Sie die Schritte 2 und 3 erledigt haben, ist das meist nur eine Frage des Verweises auf Daten, die Sie ohnehin schon vorhalten.

Bin ich befreit, wenn ich weniger als 50 Beschäftigte habe?

Wahrscheinlich nicht, und Sie sollten nicht darauf bauen. Das AGG gilt vom ersten Beschäftigten an – eine Schwelle nach Mitarbeiterzahl kennt es nicht. Und die Hochrisiko-Pflichten des EU AI Act knüpfen an den Einsatz des Systems an, nicht an Ihre Unternehmensgröße. Die Lehre: Bauen Sie Ihre Strategie nicht darauf, zu klein zu sein, um ins Gewicht zu fallen.

Für den größeren Kontext: In Deutschland ist KI in der Personalauswahl noch längst nicht so verbreitet wie in den USA. Laut Bitkom setzt bislang erst eine Minderheit der Unternehmen KI im Personalbereich ein, und im Recruiting ist die Nutzung noch marginal – nur ein kleiner Teil betreibt etwa einen Recruiting- oder Bewerbungs-Chatbot. Aber die Richtung ist klar, und das Recht ist mit dem EU AI Act bereits vorausgelaufen, statt hinterherzuhinken.

Warum „unterstützend, nicht autonom“ die sicherste Architektur ist

Lesen Sie die vier Pflichten nebeneinander, beschreiben sie eine einzige Produktform: KI, die einem Menschen beim Entscheiden hilft, mit protokollierter Entscheidung und informiertem Kandidaten. Genau so ist Kit gebaut.

In Kit wird keine Bewerbung automatisch von der KI abgelehnt. Ein Mensch mit Überstimmungsbefugnis trifft die endgültige Entscheidung, bevor jemand abgelehnt wird – das entspricht direkt dem Maßstab aus DSGVO Art. 22 in der Lesart des SCHUFA-Urteils und entschärft die „Die KI hat mich diskriminiert“-Behauptung unter dem AGG. Die Offenlegung gegenüber Kandidaten ist in den Ablauf eingebaut und erfüllt die Transparenzpflichten aus DSGVO und EU AI Act. Und jede Weiterführung und jede Ablehnung wird protokolliert, sodass die Prüfspur bereits existiert, wenn eine Erklärung oder ein Einspruch verlangt wird – ganz ohne Governance-Suite. Es ist dieselbe Haltung, die wir ausführlich in dem EU AI Act und der Hochrisiko-Personalauswahl beschreiben – für Deutschland ist das das maßgebliche Gesetz, an dem sich alles ausrichtet. Wenn die Kategorie neu für Sie ist, erklärt was ein KI-natives ATS wirklich ist das unterstützende Modell im Detail.

Um es klar zu sagen: Kein ATS kann Sie mit einem bestimmten Gesetz „konform“ machen, und trauen Sie keinem, das das behauptet. Was die richtige Architektur leistet, ist, Sie auf die belastbare Seite des gemeinsamen Kerns zu stellen, damit der Einstieg in den EU AI Act 2026 keine Hauruck-Aktion wird.

Was Sie diese Woche tun sollten

Der EU AI Act ist beschlossen, und seine Hochrisiko-Pflichten greifen ab August 2026 – anders als der US-Flickenteppich ist das kein bewegliches Ziel, sondern eine stabile Grundlinie. Der belastbare Kern bleibt derselbe: offenlegen, einen Menschen entscheiden lassen, die Entscheidungen protokollieren, die KI unterstützen statt entscheiden lassen, bereit sein zu erklären – und, falls Sie einen Betriebsrat haben, ihn früh einbinden. Richten Sie diese Punkte einmal ein, und Sie hören auf, den Schlagzeilen hinterherzulaufen.

Sie brauchen keine Compliance-Abteilung. Sie brauchen einen Einstellungsprozess, in dem KI unterstützt, Menschen entscheiden und jede Entscheidung protokolliert wird. Testen Sie Kit kostenlos, und der Leitfaden ist die Voreinstellung, kein Projekt.