Schatten-KI in HR: Überlastung durch KI-generierte Bewerbungen und rechtliche Risiken

Der Einsatz von generativen KI-Tools auf beiden Seiten des Arbeitsmarktes führt zu einer massiven Flut von Bewerbungen, die Personalabteilungen in Deutschland stark belastet. Gleichzeitig nutzen viele Recruiter heimliche, nicht autorisierte KI-Systeme, um die wachsende Menge zu bewältigen - ein Vorgehen, das erhebliche Datenschutzverstöße und Risiken nach Art. 22 DSGVO sowie dem EU-AI-Act birgt.

Explosiver Anstieg KI-generierter Bewerbungen

Eine aktuelle Umfrage der Jobplattform Indeed, an der 300 Personalverantwortliche in Deutschland teilnahmen, verdeutlicht das Ausmaß der Bewerbungsflut:

• 56 % der Befragten berichten von einem deutlich höheren Bewerbungsvolumen im Vergleich zum Vorjahr.
• 43 % erhalten für jede ausgeschriebene Stelle mehr als 50 Bewerbungen.
• 33 % schätzen, dass ein erheblicher Teil dieser Bewerbungen (etwa ein Drittel) mit KI-Hilfsmitteln erstellt wurde.

Die steigende Anzahl von KI-generierten Lebensläufen und Anschreiben reduziert die Relevanz traditioneller Bewerbungsunterlagen: 54 % der Personaler sehen Anschreiben kaum noch als wichtig an, 46 % bewerten ausführliche Lebensläufe als wenig aussagekräftig, und 33 % reduzieren die Bedeutung von Testaufgaben.

Heimliche Nutzung von Schatten-KI im Bewerbungs-Screening

Da offizielle, datenschutzkonforme KI-Lösungen derzeit nur selten flächendeckend implementiert sind, greifen Recruiter zunehmend zu frei verfügbaren Tools wie ChatGPT - sogenannte Schatten-KI. Die wichtigsten Kennzahlen aus den Befragungen:

• 28 % der Personalabteilungen geben an, nicht autorisierte Schatten-KI zum Filtern von Bewerbungen einzusetzen.
• Nur 6 % der deutschen Unternehmen nutzen offiziell KI-gestützte Systeme für die erste Durchsicht (Bitkom-Studie, 2026).
• 12 % der Unternehmen integrieren KI in irgendeinem Schritt des Recruiting-Prozesses, wobei ein erheblicher Teil dieser Nutzung informell bleibt.
• 35 % der Personaler haben maximal 60 Sekunden pro Bewerbung, um diese zu sichten - ein Zeitraum, der kaum eine substanzielle Prüfung erlaubt.
• 11 % der Befragten geben zu, Bewerbungen rein automatisiert abzulehnen, ohne menschliche Sichtung - ein klarer Verstoß gegen Art. 22 DSGVO.

Die Bitkom-Erhebung (2026) betont das Missverhältnis zwischen offiziellen IT-Lösungen und der ad-hoc-Nutzung von Shadow-KI: Während 6 % offiziell KI-Screenings einsetzen, nutzen bereits 12 % Algorithmen in irgendeiner Form.

Rechtliche Rahmenbedingungen: DSGVO Art. 22 und EU-AI-Act

Nach Art. 22 Abs. 1 DSGVO sind rein automatisierte Entscheidungen, die rechtliche oder ähnlich erhebliche Auswirkungen haben, grundsätzlich unzulässig. Die EuGH-Rechtsprechung zum SCHUFA-Urteil (C-634/21) erweitert diesen Schutz: Auch ein bloßes "Abnicken" algorithmischer Ranglisten gilt als unzulässige Automatisierung, sofern keine echte, inhaltliche menschliche Prüfung erfolgt.

Die aktuelle Praxis - etwa das Durchklicken von KI-Vorschlägen in weniger als einer Minute - entspricht nicht dem geforderten "Meaningful Human Intervention". Damit riskieren Unternehmen Bußgelder nach Art. 83 DSGVO sowie Sanktionen nach dem EU-AI-Act.

Fristen und Pflichten nach dem EU-AI-Act

• Transparenz- und Kennzeichnungspflichten (Art. 50) gelten seit dem 2. August 2026 für generative Systeme und Chatbots im Kandidatenkontakt.
• Recruiting- und Bewerberbewertungssysteme sind in Anhang III als Hochrisiko-KI klassifiziert.
• Die verbindliche Umsetzungsfrist für Risikomanagement, Datenqualitätsprüfung und menschliche Aufsicht liegt beim 2. Dezember 2027 (Digital-Omnibus-Verordnung, EU 2026/1744).

Risiken durch Schatten-KI: Datenschutz und Bias

Der unkontrollierte Transfer von Bewerbungsdaten in Consumer-KI-Modelle ohne Auftragsverarbeitungsvertrag (Art. 28 DSGVO) stellt einen gravierenden Datenschutzverstoß dar. Zudem können nicht geprüfte Algorithmen vorhandene gesellschaftliche Vorurteile - etwa Gender- oder Herkunfts-Bias - unbeobachtet reproduzieren.

• Gefahr unzulässiger Datenübermittlung an Dritte, weil die Tools meist außerhalb der Unternehmensinfrastruktur betrieben werden.
• Verstärkte Bias-Risiken, weil Modelle häufig auf historischen, nicht diversifizierten Datensätzen trainiert sind.
• Rechtliche Konsequenzen bei Verstößen gegen Art. 6/28 DSGVO sowie mögliche Haftung nach dem AI-Act.

Praxisempfehlungen und Forderungen der HR-Professionals

Tim Verhoeven, Senior Talent Strategy Advisor bei Indeed, betont, dass Unternehmen klare Prozesse benötigen, in denen KI-gestützte Vorauswahl strukturiert und die finale Entscheidung stets vom Menschen getroffen wird. Die befragten Recruiter äußern konkrete Wünsche:

• Rechtlich abgesicherte KI-Tools für das Vorsortieren (41 % der Befragten).
• Kürzere Bewerbungsformate, die ohne ausführliche Anschreiben auskommen (46 %).
• Einführung einer Kennzeichnungspflicht für KI-generierte Bewerbungen (37 %).
• Mehr Transparenz und Schulungen zum Umgang mit KI im Recruiting.

Ohne geeignete, compliant-fähige Software bauen Unternehmen vermehrt Schatten-Systeme auf, die sowohl Datenschutz als auch das Gleichbehandlungsgebot gefährden.

FAQ - häufige Fragen zum KI-unterstützten Recruiting

Dürfen Personaler Bewerbungsunterlagen einfach in kostenlose Tools wie ChatGPT hochladen?Nein. Lebensläufe enthalten hochsensible personenbezogene Daten. Das Hochladen in Verbraucher-KI-Tools ohne formellen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) ist ein gravierender Datenschutzverstoß.Wann gilt eine Absage rechtlich als unzulässige automatisierte Entscheidung?Nach Art. 22 DSGVO und EuGH-Rechtsprechung liegt eine unzulässige Automatisierung bereits vor, wenn das Bewertungsergebnis der Software lediglich ungeprüft übernommen wird, ohne dass die Unterlagen substanziell gesichtet werden.Welche Fristen des EU-AI-Act müssen Personalabteilungen aktuell beachten?Die allgemeinen Kennzeichnungs- und Transparenzpflichten nach Art. 50 gelten seit dem 2. August 2026. Die strengen Auflagen für HR-Systeme als Hochrisiko-KI wurden durch die Digital-Omnibus-Verordnung auf den 2. Dezember 2027 terminiert.