Die spanische Datenschutzbehörde, Agencia Española de Protección de Datos (AEPD), hat sich mit dem geplanten Einsatz einer KI-Anwendung im Bewerbungsprozess eines Unternehmens befasst. Das System soll Lebensläufe automatisiert analysieren und Bewerber anhand bestimmter Kriterien bewerten.
Die AEPD weist darauf hin, dass ein solcher Einsatz von KI frühzeitig datenschutzrechtlich geprüft werden muss. Gerade im Recruiting können automatisierte Bewertungen erhebliche Auswirkungen auf betroffene Personen haben.
Wie funktioniert KI-gestütztes Bewerberscreening?
KI-gestütztes Bewerberscreening beginnt meist mit der automatisierten Erfassung und Analyse von Lebensläufen. Voraussetzung ist ein möglichst klar definiertes Anforderungsprofil. Es muss im Vorhinein somit festgelegt werden, welche Kriterien zwingend erfüllt sein müssen und welche Qualifikationen lediglich erwünscht sind.
Anschließend gleicht das System die Bewerberprofile mit diesen Anforderungen ab. Je nach Anwendung können dabei etwa Fähigkeiten, Berufserfahrung, Ausbildung, Zertifikate, Sprachkenntnisse, Standort oder bestimmte Verantwortungsbereiche berücksichtigt werden.
Als Ergebnis erstellt die KI häufig einen Score, ein Ranking oder eine Empfehlung. Recruiter können dadurch Bewerbungen mit einer hohen Übereinstimmung schneller identifizieren und priorisieren.
Auch das von der AEPD geprüfte System soll Lebensläufe analysieren, Bewertungen abgeben und gegebenenfalls Kandidaten priorisieren können. Damit kann die Anwendung direkten Einfluss darauf haben, wer im Bewerbungsverfahren weiter berücksichtigt oder bei Beschäftigungs- und Beförderungsentscheidungen bevorzugt wird.
Welche datenschutzrechtlichen Risiken ergeben sich dadurch?
Die AEPD erkennt an, dass KI-Tools Auswahl- und Personalprozesse effizienter gestalten können. Der Datenschutz muss jedoch bereits bei der ersten Entwicklung und Planung des Projekts berücksichtigt werden.
Besonders sensibel ist der mögliche Einfluss auf Beschäftigungs- oder Beförderungsentscheidungen. Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO kann unzulässig sein, wenn sie rechtliche Wirkung entfaltet oder Betroffene ähnlich erheblich beeinträchtigt. Entscheidend ist daher, wie das System tatsächlich eingesetzt wird und ob eine echte menschliche Entscheidungsbefugnis erhalten bleibt.
Hinzu kommen Herausforderung einer transparenten Umsetzung. Für Bewerberinnen, Bewerber und Beschäftigte kann schwer nachvollziehbar sein, warum ein bestimmter Score, ein Ranking oder eine Empfehlung zustande kommt.
Auch Fehler und Verzerrungen sind möglich. Ein nicht ausreichend differenziertes Anforderungsprofil kann zu ungeeigneten Bewertungen führen. Zudem lassen sich Bias und diskriminierende Effekte durch das System nicht vollständig ausschließen.
So können Unternehmen vorgehen
Die AEPD betont, dass Datenschutz bereits in der frühen Planung und Entwicklung eines KI-Projekts berücksichtigt werden muss. Nach den Grundsätzen von Privacy-by-Design & by-Default sollten Unternehmen geeignete technische und organisatorische Maßnahmen frühzeitig festlegen.
Dazu gehört zunächst eine Bewertung der möglichen Risiken für Bewerbende und Beschäftigte. Besteht ein hohes Risiko, sollte eine Datenschutz-Folgenabschätzung durchgeführt werden. Ebenso wichtig ist die klare und verständliche Information der betroffenen Personen darüber, wie Ihre personenbezogenen Daten verarbeitet werden und welche Rolle das KI-Tool im Bewertungsprozess spielt.
Die letztliche Entscheidung sollte bei einer Person aus dem Recruiting verbleiben. Die entscheidungsbefugte Person muss die Ergebnisse des Systems kritisch prüfen und eigenständig bewerten können. KI kann Auswahlprozesse unterstützen und beschleunigen, sollte menschliche Entscheidungen aber nicht ungeprüft ersetzen. Unsere Datenschutzberatung unterstützt Unternehmen bei der Integration neuer Technologien unter Berücksichtigung der Datenschutzanforderungen.
Fazit
Die AEPD weist darauf hin, dass Datenschutzaufsichtsbehörden Verantwortliche bereits vorbeugend warnen können, wenn geplante Verarbeitungen gegen die DSGVO verstoßen könnten. Unternehmen erhalten dadurch die Möglichkeit, ihre Prozesse frühzeitig anzupassen.
Die Bewertung bedeutet daher nicht, dass KI-gestütztes Bewerberscreening grundsätzlich unzulässig ist. Entscheidend sind geeignete Schutzmaßnahmen, transparente Verfahren und eine echte menschliche Entscheidungsbefugnis.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
