KI in HR:
Governance-Handbuch
für den CHRO

Compliance, Betriebsrat und Decision Layer
vor dem 2. Dezember 2027

Autor: Bert Gogolin, Geschäftsführer
Herausgeber: Gosign GmbH, Hamburg
Stand: September 2026
Version: 3.1
Umfang: 17 Seiten

Inhalt

1 - Warum der CHRO AI-Governance in HR führen muss

KI in HR ist kein IT-Projekt. Es ist ein Governance-Projekt mit technischer Komponente.

Wer definiert, ab welcher Konfidenz eine Gehaltsberechnung automatisch durchlaufen darf? Wer legt fest, welche Bias-Definitionen gelten? Wer entscheidet, ob ein Recruiting-Agent Lebensläufe vorfiltern darf?

Die Antwort ist nicht der CIO. Es ist der CHRO.

Nach dem ISACA AI Pulse Poll 2026 (Erhebung unter mehr als 3.400 Fachleuten, veröffentlicht am 5. Mai 2026) haben 38% der Organisationen eine formale, umfassende KI-Policy, 30% eine eingeschränkte und 25% gar keine. In HR bedeutet das: kritische Prozesse wie Gehaltsabrechnung, Recruiting und Personalplanung laufen vielerorts ohne definierte Kontrollstrukturen.

Drei Governance-Ebenen

Gartner erwartet, dass über 40% der Agentic-AI-Projekte bis Ende 2027 wieder abgebrochen werden (Prognose vom 25. Juni 2025). Als Gründe nennt Gartner ausdrücklich eskalierende Kosten, unklaren Geschäftswert und unzureichende Risikokontrollen. Governance ist damit nicht der einzige, aber der Faktor, den HR selbst in der Hand hat.

2 - Drei Arten von Entscheidungen

Jeder HR-Prozess besteht aus Hunderten von Micro-Entscheidungen. Das Decision-Framework klassifiziert jede einzelne.

Die goldene Regel

Agent-Readiness-Score

Score = (R + A) / Gesamtzahl x 100

Die Spannen sind Richtwerte der Gosign GmbH, keine Messung; belastbar wird der Score erst mit der Klassifikation Ihrer eigenen Entscheidungen. Je niedriger der Score, desto mehr Human-in-the-Loop. Das ist kein Defizit - es ist Design.

3 - EU AI Act: 7 Anforderungen und Ihre Pflichten als Betreiber

Der EU AI Act stuft KI-Systeme für die in Anhang III Nr. 4 genannten Beschäftigungszwecke als Hochrisiko ein: Einstellung und Auswahl (lit. a) sowie Entscheidungen über Arbeitsbedingungen, Beförderung und Kündigung, die Zuweisung von Aufgaben aufgrund des individuellen Verhaltens oder persönlicher Merkmale sowie die Beobachtung und Bewertung von Leistung und Verhalten (lit. b).

KI-Systeme, die bestimmungsgemäß für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere um gezielte Stellenanzeigen zu schalten, Bewerbungen zu sichten oder zu filtern und Bewerber zu bewerten.

Nicht hochriskant ist ein solches System nach Art. 6 Abs. 3 nur, wenn es kein erhebliches Risiko birgt, etwa weil es lediglich eine eng gefasste Verfahrensaufgabe erfüllt. Nimmt es Profiling vor, gilt es immer als hochriskant.

Anbieter oder Betreiber: wer welche Pflicht trägt

Ab dem 2. Dezember 2027 gelten für Hochrisiko-KI-Systeme im Personalbereich sieben Anforderungen (Art. 9-15 AI Act i.d.F. der Verordnung (EU) 2026/1744). Ihre Erfüllung schuldet der Anbieter (Art. 16 lit. a). Anbieter ist, wer ein System entwickelt oder entwickeln lässt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt (Art. 3 Nr. 3) - auch ein Unternehmen, das sich ein HR-System individuell bauen lässt. Zum Anbieter wird außerdem, wer ein Hochrisiko-System mit eigenem Namen versieht, es wesentlich verändert oder die Zweckbestimmung eines Systems so ändert, dass es hochriskant wird, etwa wenn ein allgemeiner Chatbot Bewerbungen sichten soll (Art. 25 Abs. 1). Setzen Sie ein fremdes System bestimmungsgemäß ein, sind Sie Betreiber mit eigenen Pflichten nach Art. 26. Eine Grundrechte-Folgenabschätzung (Art. 27) schulden im Personalbereich nur Einrichtungen des öffentlichen Rechts und private Einrichtungen, die öffentliche Dienste erbringen.

Wer für die Bias-Prüfung Merkmale wie die ethnische Herkunft auswertet, verarbeitet besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Seit dem 27. Juli 2026 erlaubt Art. 4a AI Act diese Verarbeitung Anbietern und Betreibern von Hochrisiko-Systemen, soweit sie zur Erkennung und Korrektur von Verzerrungen unbedingt erforderlich ist: mit Pseudonymisierung und strengen Zugriffskontrollen, ohne Weitergabe an Dritte und mit Löschung nach der Korrektur. Eine Pflicht, solche Merkmale auszuwerten, folgt daraus nicht.

Sanktionen: Für Verstöße gegen die Anbieter- und Betreiberpflichten bei Hochrisiko-Systemen und gegen die Transparenzpflichten des Art. 50 bis zu 15 Mio. EUR oder 3% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 4); für KMU und kleine Midcaps gilt der jeweils niedrigere Betrag. Der höhere Rahmen von 35 Mio. EUR oder 7% (Art. 99 Abs. 3) gilt ausschließlich für die verbotenen Praktiken nach Art. 5, also etwa für Emotionserkennung am Arbeitsplatz.

4 - Betriebsrat als Design-Partner

Betriebsräte blockieren nicht KI. Sie verzögern schlecht vorbereitete Projekte.

Ein dauerhaftes Veto hat der Betriebsrat bei mitbestimmungspflichtigen Themen nicht: Kommt keine Einigung zustande, entscheidet die Einigungsstelle, deren Spruch die Einigung ersetzt (§ 87 Abs. 2 i.V.m. § 76 BetrVG). Bei personellen Einzelmaßnahmen nach § 99 entscheidet das Arbeitsgericht, ob die verweigerte Zustimmung ersetzt wird (§ 99 Abs. 4 BetrVG). Was er hat, ist Zeit - und mit § 80 Abs. 3 S. 2 BetrVG einen gesetzlich erleichterten Anspruch auf einen KI-Sachverständigen. Genau das ist der Hebel, mit dem KI-Projekte real langsamer werden.

Ab dem 2. Dezember 2027 tritt neben § 90 BetrVG eine europäische Pflicht: Bevor ein Hochrisiko-KI-System am Arbeitsplatz in Betrieb geht, muss der Arbeitgeber die Arbeitnehmervertretung und die betroffenen Beschäftigten informieren (Art. 26 Abs. 7 AI Act). Sie ersetzt keine Mitbestimmung, und in Betrieben ohne Betriebsrat bleibt die Information der Beschäftigten Pflicht.

Rechtsgrundlage für die Beschäftigtendatenverarbeitung

Bevor die Mitbestimmung greift, steht die Frage, auf welcher Rechtsgrundlage ein HR-System Beschäftigtendaten überhaupt verarbeiten darf. Der Europäische Gerichtshof hat am 30. März 2023 (C-34/21) zur inhaltsgleichen hessischen Parallelnorm entschieden, dass eine solche Vorschrift den Anforderungen des Art. 88 DSGVO nicht genügt, wenn sie keine über die allgemeinen Regeln hinausgehenden Schutzvorschriften enthält. Das Bundesarbeitsgericht hat daraus am 8. Mai 2025 die Konsequenz gezogen: § 26 Abs. 1 BDSG bleibt unangewendet (8 AZR 209/21). Rechtsgrundlage für ein HR-System ist damit unmittelbar Art. 6 Abs. 1 DSGVO, bei Gesundheitsdaten und anderen besonderen Kategorien zusätzlich eine Ausnahme nach Art. 9 Abs. 2 DSGVO. Ein Beschäftigtendatengesetz gibt es weiterhin nicht: Der Referentenentwurf vom 8. Oktober 2024 wurde nach dem Ende der damaligen Koalition nicht weiterverfolgt, ein neues Gesetz ist nicht verabschiedet.

Praktische Folge für den CHRO: Die Betriebsvereinbarung gewinnt an Gewicht. Art. 88 Abs. 1 DSGVO nennt Kollektivvereinbarungen ausdrücklich als möglichen Rahmen für spezifischere Regelungen zur Beschäftigtendatenverarbeitung - vorausgesetzt, sie enthalten die Schutzmaßnahmen nach Art. 88 Abs. 2 (insbesondere zur Transparenz der Verarbeitung, zur Datenübermittlung im Konzern und zu Überwachungssystemen am Arbeitsplatz). Eine sorgfältig geschriebene Rahmen-BV ist damit nicht nur ein Mitbestimmungsinstrument, sondern trägt zur datenschutzrechtlichen Absicherung bei. Sie kann das Schutzniveau der DSGVO aber nicht absenken: Eine Betriebsvereinbarung muss Art. 5, 6 und 9 DSGVO einhalten, und Gerichte prüfen die Erforderlichkeit der Verarbeitung voll nach (EuGH, 19. Dezember 2024, C-65/23). Umgekehrt bindet sie den Arbeitgeber: Wer über die Betriebsvereinbarung hinaus Daten verarbeitet, haftet - im Workday-Fall hat das BAG einem Beschäftigten 200 Euro Schadensersatz für den Kontrollverlust zugesprochen (8 AZR 209/21). Die BV ist deshalb keine Formalie.

Betriebsvereinbarung als technischer Constraint

Im Decision Layer werden Betriebsvereinbarungen als technische Constraints implementiert - nicht als PDF in einem Ordner:

• Schwellenwerte für automatische Freigaben
• Pflicht-Eskalationen bei bestimmten Entscheidungstypen
• Transparenz-Anforderungen (Auditor Portal)
• Audit-Intervalle und Prüfrechte

KI-Kompetenz (Art. 4, seit Februar 2025 - geänderte Fassung seit Juli 2026)

Art. 4 EU AI Act verlangt seit dem 2. Februar 2025, dass Anbieter und Betreiber sich um die KI-Kompetenz ihres Personals kümmern. Die Verordnung (EU) 2026/1744 hat die Norm neu gefasst: Aus der Pflicht, ein ausreichendes Kompetenzniveau sicherzustellen, ist eine Pflicht geworden, Maßnahmen zur Förderung der KI-Kompetenz zu ergreifen. Das ist eine Bemühenspflicht - kein je Person nachzuweisendes Niveau. Für HR heißt das: Ein dokumentiertes Schulungsprogramm mit Rollenbezug und Auffrischungsrhythmus erfüllt die Anforderung; ein individueller Kompetenznachweis ist nicht verlangt.

Zur Budgetierung ist die 10-20-70-Regel von BCG ein belastbarer öffentlicher Anker: rund 10% des Aufwands entfallen auf Algorithmen, 20% auf Technologie und Daten und 70% auf Menschen und Prozesse - also auf Rollenzuschnitt, Change Management und Qualifizierung.

5-4 HR-Prozesse im Decision Layer

Payroll - Korrekturbuchungen eliminieren

Der größte Hebel in der Entgeltabrechnung ist nicht die Erkennung, sondern die Formalisierung: Wo Tarif-, Zuschlags- und Beitragsregeln als versioniertes Regelwerk vorliegen statt als Erfahrungswissen, sinkt die Zahl der Korrekturbuchungen deutlich, weil dieselbe Regel jeden Monat identisch angewandt wird. Belastbar wird der Effekt erst über die eigene Baseline: Zählen Sie die Korrekturbuchungen der letzten zwölf Monate, bevor Sie den Decision Layer aufsetzen.

Ergebnis in Simulationen der Gosign GmbH: In vier durchgerechneten Branchen liefen 82-92% der Abrechnungen vollautomatisch; die übrigen gehen als Eskalation an einen Menschen. Es handelt sich um Modellrechnungen, nicht um Messwerte aus Kundenprojekten und nicht um einen Branchen-Benchmark.

Reisekosten - 40-120 Micro-Entscheidungen pro Fall

Die einzige breit zitierte Erhebung dazu stammt von der GBTA Foundation aus dem Jahr 2015: 58 USD Bearbeitungskosten für die Abrechnung einer einzelnen Hotelübernachtung, 19% der Abrechnungen fehlerhaft oder unvollständig, jede Korrektur weitere 18 Minuten Arbeit. Die Zahlen sind elf Jahre alt und spiegeln das Preis- und Lohnniveau von 2015 - als Größenordnung taugen sie, als Rechengrundlage für ein Geschäftsjahr 2026 nicht. Rechnen Sie mit Ihren eigenen Bearbeitungszeiten.

Quelle: Gosign-Simulationen für Enterprise-Volumina, keine Messwerte aus Kundenprojekten.

Recruiting - Governance bei Hochrisiko

Anhang III Nr. 4: „Bewerbungen zu sichten oder zu filtern“ = Hochrisiko. Doppelte Governance-Tiefe.

Leave & Absence

Komplexität durch Tarifverträge, Betriebsvereinbarungen und Sonderregelungen (BUrlG, Schwerbehinderung, Altersteilzeit). In Simulationen der Gosign GmbH für vier Branchen liefen 78-87% der Abwesenheitsvorgänge vollautomatisch - eine Modellrechnung, kein Branchen-Benchmark.

Vollautomatische Entscheidungen und Art. 22 DSGVO

Eine Entscheidung, die ausschließlich automatisiert ergeht und Beschäftigte oder Bewerber rechtlich oder ähnlich erheblich beeinträchtigt, ist nach Art. 22 DSGVO nur unter den Ausnahmen des Abs. 2 zulässig, etwa wenn sie für die Erfüllung des Arbeitsvertrags erforderlich ist, und dann nur mit Schutzmaßnahmen nach Abs. 3: dem Recht, das Eingreifen eines Menschen zu verlangen, den eigenen Standpunkt darzulegen und die Entscheidung anzufechten. Nach dem EuGH kann schon ein automatisch erzeugter Wert eine solche Entscheidung sein, wenn es maßgeblich auf ihn ankommt (Urteil vom 7. Dezember 2023, C-634/21, zu einem Bonitätsscore); dass das für Matching-Scores im Recruiting gilt, liegt nahe, entschieden ist es nicht. Betroffene können zudem verlangen, dass ihnen Verfahren und Grundsätze der Entscheidung verständlich erläutert werden (EuGH, 27. Februar 2025, C-203/22). Für jede Entscheidungsart, die im Decision Layer vollautomatisch läuft, gehören deshalb die Ausnahme nach Abs. 2 und der Weg zur menschlichen Überprüfung in die Dokumentation.

6 - Wo das Modell läuft

Die Kapitel davor beschreiben, was entschieden wird und wer dafür geradesteht. Dieses Kapitel beantwortet die Frage, die der Betriebsrat als erste stellt und für die es in den meisten Governance-Papieren keine Antwort gibt: Wo läuft das Sprachmodell, das Bewerbungen und Krankmeldungen liest?

Sie ist keine IT-Detailfrage. An ihr hängen Ihre Datenlage, Ihre Verhandlungsposition in der Betriebsvereinbarung und ein erheblicher Teil Ihrer laufenden Kosten.

Drei Fragen, die zusammen die Antwort ergeben

Die drei Antworten sind unabhängig voneinander. Man kann im eigenen Cloud-Tenant verarbeiten und den Betrieb trotzdem abgeben. Wer sie zusammenwirft, kauft entweder mehr Aufwand als nötig oder weniger Kontrolle als angenommen.

Die Ausstiegskosten begrenzt inzwischen auch das Recht: Seit dem 12. September 2025 haben Kunden von Cloud- und Software-Diensten nach dem Data Act ein Recht auf Anbieterwechsel (Art. 23 ff. Verordnung (EU) 2023/2854). Ab dem 12. Januar 2027 darf der Anbieter dafür keine Wechselentgelte mehr verlangen, bis dahin höchstens seine unmittelbaren Wechselkosten (Art. 29). Den eigenen Aufwand für Datenexport, Schnittstellen und Parallelbetrieb nimmt Ihnen das nicht ab.

Die drei Betriebsformen

Das KI-Portal der Gosign GmbH heißt very-ai und läuft in drei Betriebsformen. Sie unterscheiden sich nicht im Funktionsumfang, sondern darin, wo die Verarbeitung stattfindet und wer den Betrieb verantwortet.

In allen drei Formen gilt dasselbe: dokumentierte Datenregion je Modell, ausgewiesene Drittland-Exposition, ein Auftragsverarbeitungsvertrag statt vieler. Der Unterschied liegt in der Betriebsverantwortung, nicht in der Nachweisbarkeit.

Die Kostenlogik, die Sie prüfen sollten

Die meisten KI-Angebote rechnen als Software-Abonnement pro Nutzer und Monat. Der Anbieter kauft Modell-Kapazität ein und verkauft sie mit Aufschlag weiter. Das hat eine Folge, die im Angebot selten steht: Der Anbieter verdient daran, dass Ihre Leute das Modell viel benutzen.

Bei very-ai werden die Token zum Listenpreis des Anbieters ohne Aufschlag berechnet. Verdient wird an Einrichtung, Betrieb und Weiterentwicklung, nicht am Verbrauch.

Für Ihre Kalkulation heißt das zweierlei. Erstens ist der Verbrauch eine durchlaufende Position, die Sie gegen die Preisliste des Modell-Anbieters prüfen können. Zweitens verschiebt ein Modellwechsel Ihre Kosten unmittelbar, statt in der Marge eines Dritten zu verschwinden. Fragen Sie jedes Angebot, das Ihnen vorgelegt wird, nach genau dieser Trennung.

Was das für die Betriebsvereinbarung bedeutet

Nehmen Sie die drei Fragen in die Vorlage auf, bevor Sie einen Piloten freigeben. Sie sind später schwer zu ändern: Ein Wechsel der Betriebsform ist ein Projekt, ein Wechsel des Modells innerhalb derselben Betriebsform ist eine Konfiguration.

Der Verarbeitungsort gehört ausdrücklich in die Betriebsvereinbarung. Ein Betriebsrat, der einer Software zustimmt, ohne zu wissen, wo sie verarbeitet, hat einer Blankovollmacht zugestimmt. Umgekehrt nimmt eine klare Antwort dem Gespräch die Schärfe: Wer sagen kann, dass Beschäftigtendaten das eigene Rechenzentrum nicht verlassen, verhandelt über Verfahren statt über Vertrauen.

Zur Einordnung: Die Einführung und Anwendung technischer Einrichtungen, die geeignet sind, Verhalten oder Leistung zu überwachen, unterliegt der Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG. Die Frage nach dem Verarbeitungsort ist Teil dieser Einführung, nicht eine nachgelagerte IT-Entscheidung.

7 - Readiness-Assessment

10 Fragen für den CHRO. Bewerten Sie jede mit 0 (nein), 1 (teilweise) oder 2 (ja).

8 - Nächste Schritte

Der 90-Tage-Plan