Ist es sicher, KI für die Personalbeschaffung zu nutzen?

Ja, Sie können mit KI rekrutieren, aber nicht beliebig. Zwei Risiken lasten auf dem Arbeitgeber. Erstens die DSGVO: Ein Bewerber ist eine betroffene Person, und sein Lebenslauf steckt voller personenbezogener Daten. Zweitens Verzerrungen: Das automatisierte Filtern von Bewerbungen kann Diskriminierung reproduzieren. Der EU AI Act stuft dieses Filtern sogar als hochriskant ein. Rohe Bewerbungen in ein Consumer-KI-Tool zu kopieren, setzt Sie an beiden Fronten aus. Die Lösung lässt sich auf eine Regel bringen: Anonymisieren Sie Bewerberdaten vor jeder KI-Sichtung.

Zwei unterschiedliche Risiken für den Arbeitgeber

KI zur Sichtung von Lebensläufen einzusetzen, ist an sich nicht unsicher. Doch zwei Risiken summieren sich, und sie sind verschieden.

Das erste ist die DSGVO. Ein Lebenslauf enthält einen Namen, eine E-Mail, eine Adresse, einen Werdegang. Das sind personenbezogene Daten. Der Bewerber ist eine betroffene Person. Sie schulden also eine Rechtsgrundlage, Transparenz und eine begrenzte Aufbewahrungsdauer. Eine Bewerbung in ein Consumer-Tool zu kopieren, gibt diese Daten aus Ihrer Kontrolle.

Das zweite ist Diskriminierung. Ein Sichtungstool lernt aus vergangenen Daten. Sind diese Daten verzerrt, reproduziert das Tool die Verzerrung. Deshalb ist das Filtern von Bewerbungen streng reguliert.

Der EU AI Act stuft die Personalbeschaffung als hochriskant ein

Der EU AI Act ordnet KI zur Personalbeschaffung und Auswahl der Hochrisikokategorie zu. Das steht schwarz auf weiß in Anhang III, Punkt 4(a). Der Text erfasst Systeme, die gezielte Stellenanzeigen schalten, Bewerbungen analysieren und filtern sowie Bewerber bewerten. Auch das Management von Beschäftigten ist erfasst: Beförderung, Kündigung, Aufgabenzuweisung, Leistungsüberwachung.

Dieser Hochrisiko-Status löst Pflichten aus. Risikobewertung, technische Dokumentation, menschliche Aufsicht, Transparenz und Protokollierung über Logs. Diese beschäftigungsbezogenen Pflichten werden nach dem Zeitplan des EU AI Act am 2. August 2026 anwendbar.

Menschliche Aufsicht ist vorgeschrieben. Eine Recruiting-KI darf eine Ablehnung oder eine Bewertung nicht allein entscheiden, ohne dass ein qualifizierter Mensch in der Schleife ist. Aber Vorsicht: Ein Recruiter, der die Ausgabe der KI prüft, hebt den Hochrisiko-Status nicht auf. Wenn die KI den Zugang zur Stelle maßgeblich beeinflusst, bleibt die Einstufung bestehen. Die DSGVO fügt eine Schutzvorkehrung hinzu: Artikel 22 beschränkt Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen, und eine automatisierte Bewerbungsablehnung fällt in der Regel darunter.

Das ist keine theoretische Befürchtung

Der bekannteste Fall stammt von Amazon. Das Unternehmen baute ein experimentelles Tool zur Sichtung von Lebensläufen, dessen Entwicklung um 2014 begann. Das Tool lernte, weibliche Bewerberinnen zu benachteiligen. Warum? Es war auf ein Jahrzehnt an Lebensläufen trainiert worden, weitgehend von Männern dominiert.

Das konkrete Ergebnis: Das Tool wertete Lebensläufe ab, die das Wort „women's“ enthielten, und bevorzugte männlich geprägte Sprache. Amazon konnte nicht garantieren, dass das System neutral sein würde. Das Unternehmen legte das Projekt auf Eis. Es ist ein reales, dokumentiertes Beispiel für eine Recruiting-KI, die Verzerrungen aus vergangenen Daten kopiert.

Die Aufsichtsbehörden griffen das Thema auf. Im November 2024 veröffentlichte die britische ICO die Ergebnisse von Audits von KI-Recruiting-Tools, durchgeführt zwischen August 2023 und Mai 2024. Die Behörde sprach fast 300 Empfehlungen aus. Sie fand Tools, die weit mehr Daten sammelten als nötig und sie unbegrenzt aufbewahrten. Einige leiteten Geschlecht oder Herkunft aus dem Namen eines Bewerbers ab. Andere ließen zu, dass Bewerber anhand geschützter Merkmale herausgefiltert wurden.

Die Lösung: anonymisieren, bevor Sie sichten

Die Regel ist einfach. Entfernen Sie Identifikatoren, bevor Sie eine Bewerbung in eine KI kopieren, um sie zusammenzufassen oder eine Vorauswahl zu treffen. Name, Kontaktdaten, Adresse und andere Identifikatoren: alles zuerst aus dem Text herausnehmen.

Dieser Schritt wirkt doppelt. Auf der einen Seite reduziert er die personenbezogenen Daten, die Ihre Kontrolle verlassen. Auf der anderen entfernt er namensbasierte Signale. Und genau diese Signale nutzen manche Tools, um Geschlecht oder Herkunft zu erraten, wie die ICO gezeigt hat.

Nach der DSGVO schuldet der Arbeitgeber eine klare Rechtsgrundlage, etwa berechtigtes Interesse oder Einwilligung. Er muss über die Rolle der KI transparent sein. Er muss Datenminimierung und festgelegte Aufbewahrungsfristen anwenden. Anonymisieren ersetzt diese Pflichten nicht, senkt aber die Exposition stark.

• Entfernen Sie Name, E-Mail, Adresse und Identifikatoren, bevor Sie irgendetwas an eine Sichtungs-KI senden.
• Behalten Sie einen qualifizierten Menschen, der wirklich über Ablehnung oder Vorauswahl entscheidet.
• Legen Sie eine Rechtsgrundlage, eine Aufbewahrungsfrist und eine klare Information an den Bewerber fest.

Hier ist eine einfache Reihenfolge, um die KI-Sichtung zu rahmen:

1. 1Prüfen Sie, ob Ihr Anwendungsfall hochriskant ist (Filtern, Sichten oder Bewerten von Bewerbungen).
2. 2Führen Sie eine Datenschutz-Folgenabschätzung (DSFA) durch, bevor Sie mit der Verarbeitung beginnen.
3. 3Anonymisieren Sie Bewerbungen, bevor Sie sie an die KI senden.
4. 4Lassen Sie jede wichtige Entscheidung von einem Recruiter prüfen und bewahren Sie die Logs auf.

Genau dafür ist ONYRI Sanitize da: Die Engine ersetzt Bewerberdaten durch umkehrbare Token vor dem Senden. Die Erkennung und das Mapping bleiben in Ihrem Browser, und nur anonymisierter Text erreicht das Modell. Die KI sieht ein Profil ohne Namen und ohne Kontaktdaten — nicht die echten Informationen Ihrer Bewerber.