Wo KI im Personalwesen heute hilft
Der größte Teil der HR-Arbeit in kleinen und mittleren Unternehmen ist Verwaltung: Anträge prüfen, Daten nachtragen, Dokumente erstellen, dieselben Fragen beantworten. Hier spart KI Zeit, und das Risiko ist gering, weil sie Regeln anwendet, die Sie vorher festgelegt haben. Je mehr eine Aufgabe über Menschen urteilt, desto strenger wird das Recht und desto wichtiger ist die Freigabe durch eine Person.
| Einsatz | Risiko | Freigabe durch eine Person? |
|---|---|---|
| Fragen zu Richtlinien beantworten (Urlaub, Spesen, Homeoffice, Feiertage) | Gering | Nein. Antworten sollten die Quelle nennen, Einzelfälle gehen an HR |
| Urlaub und Abwesenheiten verwalten (Salden, Vertretung, Teamkalender) | Gering | Bei Ablehnungen und Ausnahmen ja; Regelfälle nach festen Regeln nicht zwingend |
| Onboarding-Aufgaben (Zugänge anfragen, Termine, Begrüßung, Checkliste) | Gering | Nein, Stichproben genügen |
| Dokumente entwerfen (Verträge, Bescheinigungen, Zeugnisse) | Mittel | Ja, vor Versand oder Unterschrift |
| Daten vor der Lohnabrechnung prüfen (fehlende Angaben, Abweichungen, Überstunden) | Mittel | Ja, HR oder Lohnbuchhaltung gibt frei |
| Spesen prüfen (Belege gegen Richtlinie, Pauschalen, Kilometer) | Gering bis mittel | Bei Kürzung oder Ablehnung ja |
| Bewerbungen sichten, filtern, bewerten | Hoch: Anhang III Nr. 4 AI Act | Ja, immer; dazu Art. 22 DSGVO und § 95 BetrVG |
| Leistung oder Verhalten auswerten, Aufgaben nach Persönlichkeit verteilen | Hoch: Anhang III Nr. 4 AI Act | Ja, immer; dazu § 87 Abs. 1 Nr. 6 BetrVG |
| Emotionen erkennen, etwa in Videointerviews oder Calls | Verboten seit 2. Februar 2025 | Nicht zulässig, außer aus medizinischen oder Sicherheitsgründen |
„Gering“ heißt nicht „ohne Regeln“: Auch bei Urlaub und Onboarding verarbeitet die KI Beschäftigtendaten, und sobald ein System Verhalten oder Leistung erfassen kann, hat der Betriebsrat mitzubestimmen. Der Unterschied liegt darin, ob die KI eine Regel ausführt oder ein Urteil über einen Menschen fällt.
Was das Recht verlangt
Drei Regelwerke greifen ineinander: der EU AI Act (Verordnung (EU) 2024/1689) für die KI selbst, die DSGVO für die Daten und das Betriebsverfassungsgesetz für die Beteiligung der Beschäftigten.
- Verbote, seit 2. Februar 2025. Art. 5 AI Act verbietet unter anderem KI, die Emotionen von Menschen am Arbeitsplatz ableitet, außer aus medizinischen oder Sicherheitsgründen. Verstöße kosten bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes.
- KI-Kompetenz, seit 2. Februar 2025. Wer KI einsetzt, muss sich um die KI-Kompetenz seiner Beschäftigten kümmern (Art. 4). Seit der Änderung durch die Verordnung (EU) 2026/1744 („Digital Omnibus“, in Kraft seit 27. Juli 2026) heißt das: Maßnahmen ergreifen, die KI-Kompetenz fördern. Ein bestimmtes Niveau muss nicht mehr sichergestellt werden. In kleinen Unternehmen genügen dafür oft eine kurze Schulung und eine schriftliche Nutzungsregel.
- Hochrisiko-KI im Personalwesen. Anhang III Nr. 4 nennt KI für Stellenanzeigen, Sichtung und Filterung von Bewerbungen und Bewertung von Bewerbenden sowie KI für Entscheidungen über Beförderung und Kündigung, für die Zuweisung von Aufgaben nach Verhalten oder persönlichen Merkmalen und für die Überwachung und Bewertung von Leistung und Verhalten.
- Pflichten als Betreiber (Art. 26). Wer solche Systeme nutzt, muss sie nach Gebrauchsanweisung einsetzen, die Aufsicht Personen mit der nötigen Kompetenz übertragen, den Betrieb überwachen, die automatisch erzeugten Protokolle mindestens sechs Monate aufbewahren und vor dem ersten Einsatz die Arbeitnehmervertretung und die betroffenen Beschäftigten informieren.
- Ab wann. Ursprünglich sollten die Hochrisiko-Regeln für Anhang III ab 2. August 2026 gelten. Die Verordnung (EU) 2026/1744, im Amtsblatt veröffentlicht am 24. Juli 2026, hat sie auf den 2. Dezember 2027 verschoben. Stand 22. Oktober 2026 gilt dieses Datum.
Die DSGVO gilt unabhängig davon schon heute. Art. 22 verbietet Entscheidungen, die ausschließlich automatisiert fallen und Beschäftigte rechtlich oder ähnlich erheblich treffen, etwa eine Absage an Bewerbende oder einen abgelehnten Urlaubsantrag, außer in engen Ausnahmen und mit dem Recht, eine Person einzuschalten. Nach dem SCHUFA-Urteil des EuGH (07.12.2023 – C-634/21) kann schon ein Score eine solche Entscheidung sein, wenn er maßgeblich ist. Eine Datenschutz-Folgenabschätzung (Art. 35) ist Pflicht, wenn KI persönliche Aspekte von Menschen bewertet; so steht es in Nr. 11 der Muss-Liste der Datenschutzkonferenz.
Die Rechtsgrundlage ist seit 2023 eine andere. Nach dem EuGH-Urteil zum hessischen Landesrecht (30.03.2023 – C-34/21) hat das Bundesarbeitsgericht entschieden, dass § 26 Abs. 1 BDSG die Anforderungen von Art. 88 DSGVO nicht erfüllt und unangewendet bleibt (BAG, 08.05.2025 – 8 AZR 209/21). Verarbeitungen im Arbeitsverhältnis stützen sich direkt auf Art. 6 Abs. 1 DSGVO, meist auf Buchstabe b (Arbeitsvertrag), c (gesetzliche Pflicht) oder f (berechtigtes Interesse), oder auf eine Betriebsvereinbarung. Ein eigenes Beschäftigtendatengesetz gibt es nicht; der Entwurf von 2024 wurde nicht verabschiedet.
Gibt es einen Betriebsrat, ist er früh dabei. Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt er bei technischen Einrichtungen mit, die Verhalten oder Leistung überwachen können. Nach der Rechtsprechung des Bundesarbeitsgerichts genügt, dass ein System dazu objektiv geeignet ist; das trifft auf fast jede HR-Software zu, die protokolliert, wer was getan hat. Seit dem Betriebsrätemodernisierungsgesetz von 2021 nennt das Gesetz KI ausdrücklich: Der Arbeitgeber muss den Betriebsrat rechtzeitig unterrichten, wenn er Arbeitsabläufe mit KI plant (§ 90 Abs. 1 Nr. 3), Auswahlrichtlinien für Einstellung, Versetzung und Kündigung brauchen seine Zustimmung auch dann, wenn bei ihrer Aufstellung KI zum Einsatz kommt (§ 95 Abs. 2a), und um KI zu beurteilen, gilt ein Sachverständiger als erforderlich (§ 80 Abs. 3).
Nicht jede KI löst Mitbestimmung aus. Das Arbeitsgericht Hamburg hat entschieden, dass der Betriebsrat nicht mitbestimmt, wenn Beschäftigte ChatGPT im Browser über eigene Konten nutzen dürfen und der Arbeitgeber dabei keine Daten über sie erhält (ArbG Hamburg, 16.01.2024 – 24 BVGa 1/24). Eine KI, die im HR-System mit Beschäftigtendaten arbeitet, ist ein anderer Fall. Diese Seite gibt den Stand vom 22. Oktober 2026 wieder und ist keine Rechtsberatung.
Assistent oder Agent: der Unterschied
Ein KI-Assistent antwortet, wenn jemand fragt. Eine Mitarbeiterin will wissen, wie viele Urlaubstage sie noch hat, der Assistent liest ihr Konto und antwortet. Er tut nichts, worum ihn niemand gebeten hat.
Ein KI-Agent arbeitet von selbst, sobald etwas passiert oder ein Zeitplan es vorsieht. Wird eine neue Mitarbeiterin angelegt, fragt er die Zugänge an, legt Termine an, schickt die Begrüßung und hakt die Checkliste ab. Er läuft auch, wenn niemand angemeldet ist.
Für die Praxis heißt das: Beim Assistenten prüft die Person, die fragt, die Antwort. Beim Agenten muss vorher feststehen, was er lesen und ändern darf, welche Schritte eine Freigabe brauchen und wo jeder Lauf nachzulesen ist. Ohne diese drei Dinge gehört ein Agent nicht in die Personalarbeit.
So fangen Sie an
- 1.
Einen Ablauf mit viel Verwaltung wählen
Nehmen Sie einen Ablauf, der oft vorkommt, klaren Regeln folgt und niemanden bewertet: Onboarding, Urlaubsanträge oder die Prüfung der Daten vor der Abrechnung. Schreiben Sie die Schritte so auf, wie Sie sie einer neuen Kollegin erklären würden. Bewerberauswahl und Leistungsbewertung sind kein guter Anfang.
- 2.
Rechte festlegen
Legen Sie fest, welche Daten die KI lesen und welche sie ändern darf, und geben Sie nicht mehr als nötig. Bestimmen Sie die Schritte, die eine Person freigibt: alles, was Geld, Verträge oder eine Ablehnung betrifft.
- 3.
Betriebsrat und Beschäftigte beteiligen
Informieren Sie den Betriebsrat, bevor Sie planen, nicht erst vor dem Start, und klären Sie, ob eine Betriebsvereinbarung nötig ist. Ohne Betriebsrat sagen Sie den Beschäftigten direkt, was die KI tut, welche Daten sie nutzt und wen sie fragen können. Prüfen Sie mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten, ob eine Folgenabschätzung nötig ist.
- 4.
Jede Aktion protokollieren
Jeder Lauf sollte zeigen, was die KI gelesen, entschieden und geändert hat, wann und warum. So beantworten Sie Fragen von Beschäftigten, Betriebsrat oder Aufsichtsbehörde mit Belegen statt aus dem Gedächtnis.
- 5.
Nach 30 Tagen prüfen
Lesen Sie nach einem Monat die Protokolle: Wo hat die KI richtig gelegen, wo musste jemand korrigieren, welche Freigaben waren reine Formsache? Danach erweitern Sie die Rechte, schränken sie ein oder nehmen den nächsten Ablauf dazu.
Wo Worklayer passt
Worklayer ist unser eigenes Produkt, eine HR-Software mit einem KI-Assistenten für Beschäftigte und KI-Agenten für die Verwaltungsarbeit: Onboarding, Urlaub und Abwesenheiten, Spesen, Dokumente und die Vorbereitung der Lohnabrechnung. Ein neuer Agent hat keine Rechte. Nur Admins vergeben sie, Bereich für Bereich: keine, lesen oder lesen und schreiben. Fehlt einem Schritt eine Berechtigung, hält er an und fragt einen Admin. Manches lässt sich gar nicht vergeben, etwa Personaldatensätze löschen oder Gehalt und Bankdaten ändern. So funktionieren die Berechtigungen.
Jeder Lauf steht im Ausführungsverlauf, Schritt für Schritt: was passiert ist, wann und warum. Zum Audit-Trail. Für Bewerberauswahl und Leistungsbeurteilung ist Worklayer nicht gemacht: Es gibt kein Recruiting- und kein Performance-Modul, und die Lohnabrechnung selbst läuft weiter bei Ihrem Abrechnungsdienstleister oder in Ihrer Lohnsoftware.
Häufige Fragen
Ja. Verboten ist nur wenig, etwa die Erkennung von Emotionen am Arbeitsplatz. Für KI in Bewerberauswahl, Beförderung, Kündigung und Leistungsbewertung gelten strenge Regeln, für Verwaltungsaufgaben die DSGVO und die Mitbestimmung des Betriebsrats.
Für die Einsatzfelder aus Anhang III, darunter Bewerberauswahl und Leistungsbewertung, ab dem 2. Dezember 2027. Ursprünglich war es der 2. August 2026; die Verordnung (EU) 2026/1744 hat den Termin verschoben (Stand 22. Oktober 2026). Verbote und die Pflicht zur KI-Kompetenz gelten schon seit dem 2. Februar 2025.
Meistens ja. Kann das System Verhalten oder Leistung von Beschäftigten erfassen, bestimmt der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mit, und dafür reicht die objektive Eignung. Üblich ist eine Betriebsvereinbarung, die Zweck, Daten, Rechte und Auswertungen festlegt. Für die Beurteilung der KI darf der Betriebsrat einen Sachverständigen hinzuziehen.
Wenn die KI persönliche Aspekte von Beschäftigten oder Bewerbenden bewertet, ja: Das steht auf der Muss-Liste der Datenschutzkonferenz. Für einen Agenten, der Onboarding-Aufgaben anlegt, ist sie nicht immer Pflicht, aber oft sinnvoll, weil sie die Fragen von Betriebsrat und Datenschutzbeauftragten gleich mit beantwortet.
Für Texte ohne Personenbezug, etwa eine Stellenanzeige oder einen Rundbrief, meist ja. Personaldaten gehören nicht in ein Werkzeug ohne Vertrag zur Auftragsverarbeitung und ohne geklärte Rechtsgrundlage. Halten Sie in einer kurzen Richtlinie fest, was erlaubt ist; das zählt auch für die KI-Kompetenz nach Art. 4 AI Act.
Wer KI einsetzt, muss Maßnahmen ergreifen, die die KI-Kompetenz der Beschäftigten fördern, die damit arbeiten. Seit Juli 2026 muss kein bestimmtes Niveau mehr sichergestellt werden. In der Praxis gehören dazu eine Schulung zu den eingesetzten Werkzeugen, eine schriftliche Nutzungsregel und ein Nachweis, wer teilgenommen hat.