AI-inventar for HR: hvad AI Act faktisk kræver af deployers

Hvor i forordningen finder du kravet?

• Art 4 (AI-literacy): kræver at deployer sikrer literacy “taking into account … the context the AI systems are to be used in”. Forudsætter at I kender systemerne.
• Art 26(1): deployer skal anvende high-risk-systemer i overensstemmelse med instructions for use — kræver oversigt over hvilke systemer og hvilke instruktioner.
• Art 26(7): medarbejderrepræsentanter skal informeres FØR ibrugtagning af et high-risk-system — du skal vide hvornår det sker.
• Art 49 + 71 (EU-database): udbydere skal registrere deres high-risk-systemer; deployers der er offentlige myndigheder skal også registrere brug af visse systemer.
• Art 50: transparenspligter gælder konkrete AI-system-typer (chatbots, deep fakes, AI-genereret indhold) — kræver klassificering.

I praksis: hvis I ikke har et inventar, kan I ikke dokumentere overholdelse af nogen af disse artikler.

Hvilke felter skal inventaret indeholde?

Et auditerbart AI-inventar for HR bør per system kunne svare på:

• System-navn, leverandør, version og udrulningsdato
• Formål (recruiting screening / performance / scheduling / payroll-analytics …)
• AI Act-klassifikation: forbudt (Art 5), high-risk (Annex III), GPAI, Art 50-transparens, minimal-risk
• Rolle: er vi deployer, udbyder eller begge?
• Annex III-punkt hvis high-risk (4 = employment for HR-systemer)
• Data-input: hvilke persondata og særlige kategorier (Art 9 GDPR)
• Output: hvilken beslutning støtter systemet, og hvem bliver påvirket?
• Human oversight-design (Art 14): hvem reviewer hvad?
• Log-retention (Art 26(6) ≥6 måneder for high-risk)
• Instructions for use modtaget? Hvilken version?
• Art 4-træning gennemført for hvilke roller?
• Art 26(7) medarbejder-information sendt?

Klassifikations-cheat sheet for HR

• CV-screening, kandidat-ranking, video-interview-analyse → Annex III(4) high-risk
• Performance management AI, opgaveallokering baseret på personlige træk → Annex III(4) high-risk
• Emotion recognition i interviews → Art 5(1)(f) forbudt i workplace-kontekst (undtagen medical/safety)
• HR-chatbot der svarer medarbejdere → Art 50(1) transparens (skal oplyse om AI)
• Almindelig SaaS med AI-funktioner (Excel Copilot, Slack AI) → typisk minimal-risk, men stadig Art 4 + 50-relevant
• Lønberegnings-algoritmer baseret på regler → ikke AI per Art 3(1)-definitionen

Forholdet til Article 4-registret

Artikel 4 (AI-literacy) er i kraft siden 2. februar 2025. Håndhævelsen via national markedsovervågning aktiveres 3. august 2026. En måde at dokumentere literacy-indsatsen på er et Article 4-register — en log over hvilke medarbejdere har gennemført hvilken træning, koblet til hvilke AI-systemer. Inventar og Art 4-register er to sider af samme mønt. Se vores Article 4 register-skabelon.

Skygge-AI: det største praktiske problem

Inventaret er kun korrekt, hvis det dækker skygge-AI — medarbejdere der bruger ChatGPT, Claude eller Copilot uden IT-godkendelse. For HR-funktionen er typiske eksempler:

• Recruiter der bruger ChatGPT til at omskrive CV'er før shortlist
• HR-business partner der bruger LLM til at udkast performance reviews
• Lederuddannelse der bruger AI-coach uden DPA

Et hold-bart inventar kræver derfor både teknisk discovery (proxy-logs, browser-extensions) OG en survey-proces. PowerQuants M1 svar-pakke leverer begge dele i kombination.

Vedligehold — inventar er ikke en engangsleverance

AI-leverandører opdaterer deres systemer ugentligt. Et statisk inventar er stale efter 90 dage. Forventning fra auditor og markedsovervågning er continuous monitoring: kvartalsvis revisitation, opdatering ved nye SaaS-køb, og post-market monitoring per Art 72.

Relateret læsning

• AI Inventory Guide (uddybende metodik)
• Article 4 AI-literacy register
• EU AI Act for rekrutterings-AI
• Annex III deployer-evidens