KI im Recruiting 2026: Rechtsrahmen, Tools und Einstieg

KI im Recruiting steht im Mittelstand zwischen drei Kräften. Die erste ist der Personalbedarf: Laut DIHK-Fachkräftereport 2025/2026 (Herbstumfrage 2025, fast 22.000 Unternehmen) berichten 36 % der Unternehmen von Stellenbesetzungsschwierigkeiten, weil sie kein passendes Personal finden; bei Betrieben mit mehr als 20 Beschäftigten sind es merklich über 40 %. Der Arbeitsmarkt hat sich seitdem abgekühlt: Im zweiten Quartal 2026 gab es laut IAB-Stellenerhebung rund 1 Million offene Stellen und 291 Arbeitslose je 100 offene Stellen. Die Suche nach passenden Fachkräften bleibt für viele Betriebe trotzdem mühsam.

Die zweite Kraft ist Zurückhaltung. In einer Befragung von Bitkom Research unter 852 Unternehmen (Herbst 2024, veröffentlicht im März 2025) lassen nur 1 % Bewerbungen mit KI-Hilfe vorsortieren, 1 % lassen KI Bewerbungsgespräche führen, 3 % nutzen KI-basierte Kompetenzanalysen und 4 % einen KI-Chatbot im Bewerbungsprozess. KI ist im Bewerbermanagement eher Randerscheinung als Standard.

Die dritte Kraft ist die Regulierung. Die KI-Verordnung stuft KI-Systeme für Personalauswahl und Personalmanagement in Anhang III Nr. 4 als Hochrisiko-Systeme ein. HR steht damit in einer Reihe mit Bereichen wie Strafverfolgung, Migration und kritischer Infrastruktur.

Dieser Leitfaden ordnet das Feld mit Stand September 2026: was KI im Recruiting heute leistet, welche Anwendungen Hochrisiko sind, was AGG, DSGVO, BetrVG und KI-Verordnung gemeinsam verlangen, wie sich Workday, SAP mit SmartRecruiters, Personio, iCIMS, Greenhouse und HireVue unterscheiden und wie ein Einführungsplan aussieht, der den Personalbedarf angeht, ohne in der nächsten AGG-Klage zu enden. Die Rechtsaussagen ersetzen keine Rechtsberatung.

KI im Recruiting unterstützt heute sieben klar unterscheidbare Aufgaben, von der Stellenanzeige bis zur Auswertung von Videointerviews. Rechtlich entscheidend ist, ob ein System Personen bewertet, sortiert oder gezielt anspricht: Dann ist es Hochrisiko-KI.

In der Außenwahrnehmung läuft „KI im Recruiting“ oft auf zwei Bilder hinaus: einen Algorithmus, der Lebensläufe in Sekunden ablehnt, oder einen Videointerview-Roboter, der Gesichter analysiert. Beide Bilder verzerren. Die sieben Anwendungsgruppen sind rechtlich, technisch und wirtschaftlich sehr unterschiedlich zu bewerten.

Die wichtigste Erkenntnis ist nicht „KI im Recruiting ist immer Hochrisiko“, sondern die Unterscheidung: Sobald ein KI-System Personen für Stellen rankt, bewertet, vorsortiert, gezielt anspricht oder ablehnt, gilt Hochrisiko. Reine Texterstellung, FAQ-Chatbots oder Terminvereinbarung fallen nicht darunter. Für Karriere-Chatbots gilt aber seit 2. August 2026 die Hinweispflicht nach Art. 50 Abs. 1; Hintergründe im Leitfaden zu den Transparenzpflichten nach Artikel 50.

Ebenso wichtig: Generative KI für Stellenausschreibungen ist für viele Unternehmen der naheliegende Einstieg und zugleich der mit dem geringsten Risiko. Er kommt ohne Hochrisiko-Einstufung aus und lässt sich mit Datenschutz und Betriebsrat vergleichsweise einfach regeln.

Zwischen Interesse und Einsatz klafft eine große Lücke: Laut Bitkom Research können sich 25 % der Unternehmen einen KI-Chatbot im Bewerbungsprozess vorstellen, eingesetzt wird er bei 4 %. Bei KI-basierten Kompetenzanalysen stehen 29 % Interesse 3 % Einsatz gegenüber, beim KI-Screening 21 % gegenüber 1 %.

Vier strukturelle Gründe erklären diese Lücke:

Für KI im Recruiting gelten vier Rechtsebenen gleichzeitig: KI-Verordnung, DSGVO, AGG und Betriebsverfassungsgesetz. Sie widersprechen sich nicht, sie addieren sich. Eine Lösung ist nur dann sauber aufgesetzt, wenn sie alle vier erfüllt. Stand: September 2026.

Wie eine Betriebsvereinbarung zu KI aufgebaut werden kann, beschreibt der Artikel Betriebsrat und KI. Die Fristen der KI-Verordnung im Überblick:

Zwei Verfahren prägen die Debatte: das Urteil des Bundesarbeitsgerichts zu einem Workday-Test in Deutschland und die Sammelklage Mobley v. Workday in den USA. Das erste zeigt, wie ernst Gerichte Betriebsvereinbarungen nehmen, das zweite, wie Diskriminierung durch Algorithmen verhandelt wird.

Das Bundesarbeitsgericht hat am 8. Mai 2025 entschieden, dass ein Arbeitnehmer 200 Euro Schadensersatz nach Art. 82 DSGVO verlangen kann. Der Arbeitgeber hatte zum Test der HR-Software Workday mehr Personaldaten an die Konzernobergesellschaft übermittelt, als die Betriebsvereinbarung erlaubte (Pressemitteilung des BAG, Analyse von Bird & Bird).

Das Signal liegt nicht in der Höhe, sondern in der Begründung: Das BAG erkannte den Kontrollverlust über die eigenen Daten als ersatzfähigen immateriellen Schaden an. Daraus folgen zwei Lehren:

• Erstens: Eine Betriebsvereinbarung ist harte Rechtsgrundlage. Wer beim Test eines HR-Tools über den vereinbarten Datenumfang hinausgeht, schafft Schadensersatzansprüche jedes betroffenen Beschäftigten.
• Zweitens: Auch Testphasen brauchen eine Rechtsgrundlage. „Wir probieren das nur mal aus“ reicht nicht.

Das Urteil betrifft nicht die KI-Funktionen von Workday, sondern die Datenübermittlung innerhalb des Konzerns. Es zeigt aber, wie genau deutsche Arbeitsgerichte bei Cloud-HR hinsehen. Bei produktiver KI im Recruiting wird diese Aufmerksamkeit eher steigen.

Im Verfahren Mobley v. Workday (N.D. Cal., Case No. 23-cv-00770-RFL) hat Richterin Rita Lin am 16. Mai 2025 die Klage als kollektive Klage nach dem Age Discrimination in Employment Act (ADEA) vorläufig zugelassen (Fisher Phillips). Der Hauptkläger Derek Mobley darf damit Bewerber ab 40 Jahren benachrichtigen, die sich seit dem 24. September 2020 über Workday-Plattformen beworben und keine Empfehlung für eine Einstellung erhalten haben.

Die Klage stützt sich auf die „Disparate Impact“-Doktrin: Eine Benachteiligung kann auch ohne Vorsatz vorliegen, wenn eine Maßnahme eine geschützte Gruppe überproportional trifft. Workday weist die Vorwürfe zurück. Anfang 2026 genehmigte das Gericht die Benachrichtigung möglicher Klagemitglieder mit einer Opt-in-Frist bis 7. März 2026 (Verfahrensstand Anfang 2026); das Verfahren läuft weiter.

Was deutsche Unternehmen daraus lernen können:

• Mittelbare Benachteiligung ist auch im AGG angelegt. § 3 Abs. 2 AGG erfasst Maßnahmen, die scheinbar neutral sind, aber bestimmte Gruppen besonders benachteiligen. Genau so wirken verzerrte Trainingsdaten.
• Das Anbieterrisiko wirkt mit. Mobley klagt gegen Workday, nicht gegen die Arbeitgeber, die Workday einsetzen; Hintergrund ist die Argumentation, der Anbieter handle als „Agent“ der Arbeitgeber. Nach der KI-Verordnung haben Unternehmen, die Recruiting-KI einsetzen, eigene Betreiberpflichten (Art. 26). Wer ein Hochrisiko-System wesentlich verändert oder unter eigenem Namen anbietet, kann selbst Anbieterpflichten übernehmen (Art. 25).

Der Markt für Bewerbermanagement-Software mit KI hat sich binnen eines Jahres neu sortiert. Vier Bewegungen sind für HR-Entscheider im Mittelstand wichtig: SAP ersetzt sein Recruiting-Modul durch SmartRecruiters, Personio baut KI über den Kauf von aurio aus, Workday setzt auf HiredScore, und eigenständige Systeme wie iCIMS, Greenhouse und Ashby werben um Unternehmen mit hohem Bewerbungsaufkommen.

SAP kündigte die Übernahme von SmartRecruiters im August 2025 an und schloss sie im September 2025 ab (SAP News Center). Im Oktober 2025 kündigte Daniel Beck, President von SAP SuccessFactors, an, dass SmartRecruiters das bisherige Recruiting-Modul von SuccessFactors vollständig ersetzen wird. Der Übergang ist auf drei bis fünf Jahre angelegt, Migrationsverträge sollten ab Ende des ersten Quartals 2026 angeboten werden (CIO.com).

• Der KI-Assistent „Winston“ von SmartRecruiters wird in die SAP-Familie integriert und soll mit den Joule-Produkten von SAP zusammenarbeiten.
• SmartRecruiters bleibt systemoffen und lässt sich weiterhin mit anderen HR-Plattformen verbinden.

Wer heute SuccessFactors Recruiting nutzt, sollte den Migrationspfad aktiv planen. Nicht weil die alte Lösung morgen abgeschaltet wird, sondern weil ein mehrjähriger Übergang ohne saubere Datenarchitektur, dokumentierte Integrationen und KI-Compliance-Konzept teuer wird.

Der Münchner HR-Anbieter Personio hat im April 2026 bekannt gegeben, im ersten Quartal 2026 erstmals profitabel gewesen zu sein, und das Münchner Recruiting-KI-Startup aurio übernommen (Munich Startup, Cloud Services Made in Germany). Das Startup setzt auf agentische KI für Sourcing und Screening: Passende Profile werden automatisch identifiziert, eingehende Bewerbungen vorab bewertet und priorisiert, bevor Recruiter sie sichten.

Für die Compliance-Bewertung wichtig: Personio betont, dass die finale Entscheidung weiterhin ein Mensch trifft. Das ist die richtige Richtung, reicht allein aber nicht. Entscheidend ist, dass Recruiter Vorschläge tatsächlich prüfen und davon abweichen können. Wird ein Score nur abgenickt, kann er nach dem SCHUFA-Urteil des EuGH (C-634/21) selbst als automatisierte Entscheidung im Sinne von Art. 22 DSGVO gelten.

Mit über 16.000 Kunden, von denen rund 9.000 das Recruiting nutzen, ist Personio im mittelständischen DACH-Markt weit verbreitet. Workday HCM und SAP SuccessFactors sind dagegen auf größere Organisationen ausgelegt.

Workday Recruiting ist als Modul der Workday-HCM-Suite naheliegend, wenn ein Unternehmen ohnehin mit Workday arbeitet. Die zentrale KI-Komponente ist HiredScore, das Workday 2024 übernommen hat und das Kandidaten automatisiert bewertet. Wer Workday Recruiting prüft, sollte den Stand des Verfahrens Mobley v. Workday kennen und die Bias-Prüfungen des Anbieters anfordern.

Für Unternehmen mit hohem Bewerbungsaufkommen, die ein eigenständiges Bewerbermanagement-System statt eines HCM-Moduls suchen, kommen unter anderem drei Anbieter infrage:

• iCIMS Talent Cloud: Bewerbermanagement mit Kandidatenbeziehungsmanagement, ausgerichtet auf größere Organisationen.
• Greenhouse: verbreitet für strukturierte Einstellungsprozesse, besonders in Technologieunternehmen.
• Ashby: jüngerer Anbieter mit Schwerpunkt auf Auswertungen und integrierten Recruiting-Funktionen.

HireVue und ähnliche Anbieter bilden eine eigene Gruppe: asynchrone Videointerviews mit KI-gestützter Auswertung. Sobald sie Bewerber bewerten, fallen sie unter Anhang III Nr. 4 und brauchen die volle Compliance-Architektur: Bias-Prüfung, menschliche Aufsicht, dokumentiertes Risikomanagement, AVV und Einbindung des Betriebsrats.

Das New Yorker Local Law 144 zeigt, wie Bias-Prüfungen in der Praxis aussehen: jährlicher unabhängiger Audit, veröffentlichte Ergebnisse, Vorabinformation der Bewerber. Für Unternehmen mit Bewerbern aus New York City ist es verbindlich, für alle anderen eine brauchbare Vorlage.

Kernpunkte (in Kraft seit 1.1.2023, durchgesetzt seit 5.7.2023):

• Jährlicher unabhängiger Bias-Audit für jedes automatisierte Entscheidungswerkzeug (Automated Employment Decision Tool, AEDT), das Bewerber oder Beschäftigte mit Wohnsitz in New York City bewertet.
• Veröffentlichung einer Zusammenfassung der Audit-Ergebnisse auf der Unternehmenswebsite.
• Mindestens zehn Werktage Vorabinformation an Kandidaten, einschließlich des Hinweises, dass sie ein alternatives Auswahlverfahren beantragen können.
• Strafen: bis 500 US-Dollar für den ersten Verstoß, danach 500 bis 1.500 US-Dollar je Verstoß; jeder Tag des Einsatzes ohne Audit zählt gesondert.

Die Lehre für deutsche Unternehmen: Bias-Audits, Transparenz gegenüber Bewerbern und ein Weg zur menschlichen Entscheidung sind keine Eigenheit der KI-Verordnung, sie setzen sich international durch. Ein Compliance-Konzept, das heute entsteht, sollte mehrere Rechtsräume abdecken können, etwa die EU und US-Bundesstaaten wie Illinois, Colorado oder Kalifornien, die eigene Regeln für KI in der Personalauswahl geschaffen haben oder vorbereiten.

KI im Recruiting rechnet sich nicht pauschal, sondern je Anwendungsfall. Am schnellsten tragen Anwendungen mit geringer Compliance-Last wie Stellenanzeigen; Screening und Video-Analyse brauchen zuerst eine Governance, die Zeit und Geld kostet.

• Hoher Nutzen, geringe Compliance-Last: Texterstellung und Optimierung von Stellenausschreibungen, Karriereseiten, Anzeigentexte für mehrere Kanäle. Hier wirken aktuelle Sprachmodelle aller großen Anbieter sofort und ohne Hochrisiko-Einstufung; die fachliche Prüfung bleibt beim Recruiting.
• Mittlerer Nutzen, mittlere Compliance-Last: Karriere-Chatbots für Standardfragen, Terminvereinbarung, FAQ-Bots. Sinnvoll bei hohem Bewerbungsaufkommen, mit Hinweispflicht nach Art. 50.
• Hoher Nutzen, hohe Compliance-Last: Lebenslauf-Auswertung und Skill-Matching als Sourcing-Hilfe, Vorauswahl anhand harter Anforderungen wie Führerschein oder Zertifikat. Sinnvoll bei hohem Volumen, aber nur mit Anhang-III-Architektur, echter menschlicher Prüfung und nach rechtlicher Prüfung.
• Geringer Nutzen, sehr hohe Compliance-Last: KI-Analyse von Videointerviews mit Bewertung. In Deutschland bei Bewerbern und Betriebsräten selten akzeptiert und mit dem höchsten Compliance-Aufwand verbunden. Für die meisten Mittelständler kein sinnvoller Einstieg.

Wirtschaftlich entscheidend ist meist die kürzere Besetzungszeit, nicht die eingesparte Arbeitszeit im Recruiting. Messen Sie vor dem Start dieselben Größen, die Sie nach dem Pilot erneut erheben:

Eine sichere Einführung von KI im Recruiting folgt sieben Schritten: Bestandsaufnahme, Priorisierung, Governance, Datenarchitektur, Bias-Prüfung, KI-Kompetenz und Transparenz. Die Schritte bauen aufeinander auf und laufen teilweise parallel.

Für den Einstieg empfehlen wir eine klare Reihenfolge auf einer gemeinsamen Plattform, die HR, IT und Datenschutz zusammen steuern, statt vieler einzelner Werkzeuge:

1. Stellenanzeigen und Karriere-Inhalte mit zentralem Zugang zu Sprachmodellen statt verstreuter privater Konten. Geringes Risiko; ein erster produktiver Ablauf steht in der Regel nach rund vier Wochen.
2. Karriere-Chatbot mit Anbindung an Stellenangebote und FAQ-Wissen, mit Hinweis nach Art. 50 von Anfang an.
3. Unterstützung bei Lebenslauf-Auswertung und Sourcing im bestehenden Bewerbermanagement-System, mit dokumentierter menschlicher Prüfung.
4. Bias-Prüfung für jeden Hochrisiko-Anwendungsfall, mit der Methodik aus Local Law 144 als Vorlage.
5. Weitere HR-Themen wie Onboarding oder Mitarbeiterservice erst nach den Schritten 1 bis 4. Welche Anwendungen es in der Personalabteilung jenseits des Recruitings gibt, beschreibt der Artikel HR-Prozesse mit KI digitalisieren.

Wie Plotdesk hier unterstützt. Plotdesk verbindet eine KI-Plattform mit einem Umsetzungsteam für den Mittelstand. Für HR bedeutet das: dedizierte Instanz in der EU oder im eigenen Tenant mit DSGVO-konformem AVV, SSO, Rollen und mehr als 40 Berechtigungen, Audit-Logs sowie mehr als 100 Modellvarianten aus zehn Provider-Typen, je Team steuerbar. Welche Nutzungsauswertungen je Person sichtbar sind, legen Sie über Rollen und Rechte fest und regeln es mit dem Betriebsrat. Die Einordnung Ihrer Anwendungsfälle nach der KI-Verordnung erarbeiten wir gemeinsam im Projekt.

Die Zusammenarbeit folgt vier Schritten: KI-Potenzialanalyse, Proof of Value an einem echten Ablauf, produktive Lösung und systematischer Ausbau. Grundlage sind 1.200+ Use Cases in 15 Branchen.

Der Digital Omnibus hat die Anhang-III-Pflichten der KI-Verordnung um 16 Monate auf den 2. Dezember 2027 verschoben. Das strategische Zeitfenster verschiebt sich damit nicht. Wer zu den 99 % gehört, die laut Bitkom Research (Befragung Herbst 2024) keine KI im Bewerber-Screening einsetzen, hat keine Zeit gewonnen. Der Druck bleibt im wichtigsten Engpass des Mittelstands: der Fähigkeit, qualifizierte Menschen schnell und fair einzustellen.

Die Sammelklage gegen Workday und das BAG-Urteil zum Workday-Test zeigen zugleich, dass „mal eben starten“ nicht trägt. Der Mittelweg ist klar: bei Stellenanzeigen und Bewerberkommunikation beginnen, parallel die Governance aufbauen und Screening oder Matching erst danach einführen. Das ist der Pfad, den wir für den Einstieg empfehlen.

Der eigentliche Hebel sitzt nicht in einem einzelnen Tool, sondern in drei Schichten: Plattform, Governance und KI-Kompetenz. Wer sie jetzt aufbaut, ist vorbereitet, wenn die Hochrisiko-Pflichten im Dezember 2027 greifen, und kann weitere Anwendungen in HR, Vertrieb oder Service auf derselben Grundlage einführen.