Ab dem 2. Dezember 2027 greifen die ersten verbindlichen Pflichten der EU-KI-Verordnung für Hochrisiko-Anwendungen. Betreiber von KI-Systemen zur Bewerbungsanalyse oder Kandidatenbewertung müssen dann sicherstellen, dass die bestimmungsgemäße Nutzung kontrolliert wird – und automatisch erzeugte Protokolle mindestens sechs Monate lang aufbewahrt bleiben. Eine zweite Staffel von Pflichten folgt am 2. August 2028. Für deutsche Personalverwaltungen bedeutet das: Die Zeit zum Umdenken ist knapp.
Kurz & knapp
- Hochrisiko-Einstufung: KI-Systeme zur Bewerbungsanalyse und Kandidatenbewertung fallen unter die Hochrisiko-Kategorie der KI-Verordnung
- Protokollpflicht: Automatisch erzeugte Protokolle müssen mindestens sechs Monate aufbewahrt werden (ab 2. Dezember 2027)
- Manipulationsrisiko: Eine Duke-University-Studie vom Mai 2026 identifizierte Prompt-Injection-Versuche in etwa 1 % von fast 200.000 geprüften Lebensläufen
- Breite Nutzung: 33 % der KI-anwendenden Firmen nutzen die Technologie zur Unterlagenanalyse, 31 % für erste Vorauswahl (Randstad-Umfrage)
Manipulationen im Bewerbungsprozess
Die wachsende Automatisierung im Recruiting bringt neue Sicherheitsrisiken mit sich. Allgemeine Chatbots erfinden Qualifikationen in Bewerbungsunterlagen, wenn sie nicht durch spezialisierte Workflows gesteuert werden. Noch tückischer ist das sogenannte Prompt-Injection: Bewerber verstecken minimale oder weiße Schriftzeichen in ihren Unterlagen, um die Recruiting-KI zu einer positiven Bewertung zu manipulieren. Google hat darauf mit dem Tool Model Guard reagiert, das solche Eingriffe erkennen soll.
Die Zahlen zeigen das Ausmaß: Bei einer Analyse von fast 200.000 Lebensläufen fand die Duke University im Mai 2026 solche Manipulationsversuche in rund 1 % der Fälle. Das klingt niedrig – bei Millionen von Bewerbungen weltweit aber ein erhebliches Problem.
Vertrauen der Bewerber bröckelt
Die Skepsis gegenüber KI im Auswahlverfahren ist berechtigt. Laut einer Gartner-Befragung vom Juli 2025 vertraut lediglich gut ein Viertel der Bewerber darauf, dass KI-Systeme fair urteilen. Das ist ein Vertrauensdefizit, das Unternehmen ernst nehmen sollten – nicht nur aus ethischen Gründen, sondern auch für ihr Employer Branding.
Datenschutz und Arbeitsrecht schärfen nach
Die regulatorischen Anforderungen gehen über die KI-Verordnung hinaus. Nach Artikel 22 der DSGVO sind ausschließlich automatisierte Entscheidungen mit erheblicher Wirkung grundsätzlich eingeschränkt und erfordern menschliche Schutzvorkehrungen. Das bedeutet: Keine reinen KI-Entscheidungen im Bewerbungsprozess ohne menschliche Kontrolle.
Arbeitsrechtlich bleibt es kompliziert. Zwar dürfen Arbeitgeber nach § 106 GewO Arbeitsmittel vorgeben – aber vertrauliche oder personenbezogene Daten dürfen nicht ohne Weiteres in externe Systeme eingegeben werden. Zudem unterliegen technische Systeme zur Leistungs- oder Verhaltenskontrolle der Mitbestimmung durch Betriebs- oder Personalrat.
Was das für dich bedeutet
Deutsche Unternehmen sollten jetzt ihre Compliance-Strategien anpassen. Die Fristen sind nicht weit entfernt: In gut einem Jahr greifen die ersten Pflichten. Das bedeutet konkret: Inventur der eingesetzten KI-Systeme, Überprüfung der Protokollierungsfunktionen, Klärung der Datenspeicherung und Abstimmung mit Betriebsrat oder Personalrat. Wer diese Vorbereitung verschläft, riskiert nicht nur Bußgelder – sondern auch Reputationsschäden, wenn Bewerber von fehlender Transparenz erfahren.
Quellen
Redaktionell verantwortet von Ideal Syka. Quellen und Arbeitsweise: Redaktion & Methode. Hinweise und Korrekturen: ai@i6eal.de.
