Når en offentlig myndighed eller stor virksomhed implementerer et AI-system til rekruttering, performancevurdering eller personaleforvaltning, opstår der en situation, som EU AI Act behandler med særlig alvor. Loven introducerer nemlig et krav, der rækker langt ud over den klassiske databeskyttelse: den såkaldte Fundamental Rights Impact Assessment — eller FRIA.
FRIA er ikke blot et skema, der skal udfyldes. Det er en struktureret risikoanalyse, der tvinger deployers til at tage stilling til, om et AI-system kan krænke de grundlæggende rettigheder, som EU's Charter om grundlæggende rettigheder beskytter. For HR-AI drejer det sig om alt fra ligebehandling og privatliv til retten til beskæftigelse og non-diskrimination.
Denne artikel gennemgår, hvad FRIA er, hvem der er pligtige til at gennemføre den, hvad den skal indeholde, og hvad konsekvenserne er, hvis man forsømmer den.
Hvad er EU AI Act FRIA — og hvorfor eksisterer den?
EU AI Act (forordning 2024/1689) klassificerer visse AI-systemer som høj-risiko under Bilag III. Det gælder bl.a. systemer til rekruttering og udvalgelse af kandidater, systemer til evaluering og overvågning af medarbejderes præstationer, samt AI til forfremmelse, afskedigelse og lignende HR-beslutninger.
For disse systemer stilles der en lang række krav til teknisk robusthed, dokumentation, menneskelig overvågning og transparens. Men for deployers — dem, der tager systemet i brug — tilføjer Artikel 27 endnu et lag: en forpligtelse til at vurdere, hvilken konkret indvirkning systemet kan have på menneskers grundlæggende rettigheder.
Logikken bag FRIA er enkel: Et AI-system, der screener jobansøgere eller vurderer medarbejdere, trækker reelt beslutninger med vidtrækkende konsekvenser for enkeltpersoners liv. Disse beslutninger kan — bevidst eller utilsigtet — reproducere bias, ekskludere sårbare grupper og underminere rettighederne i EU's Charter. FRIA er lovgivers instrument til at sikre, at disse risici er kortlagt og adresseret, inden systemet går i drift.
Artikel 27, stk. 1: Hvem er obligatorisk FRIA-pligtig?
Forpligtelsen til at gennemføre en FRIA gælder ikke alle deployers automatisk. Artikel 27, stk. 1 afgrænser kredsen til tre grupper:
1. Offentlige myndigheder og organer
Alle offentlige myndigheder, der deployerer et høj-risiko AI-system, er forpligtede. I dansk kontekst betyder dette kommuner, regioner, statslige ministerier og styrelser samt selvstyrende institutioner, der varetager offentlige opgaver. En kommunes brug af AI-assisteret rekruttering til at screene ansøgninger er et klart eksempel.
2. Private enheder, der udfører offentlige tjenester
Private virksomheder eller organisationer, der leverer tjenesteydelser på vegne af det offentlige — eksempelvis private leverandører af social beskæftigelsesservice, uddannelsesinstitutioner med offentlig finansiering eller sundhedsleverandører under offentlig kontrakt — er ligeledes omfattet, når de deployerer høj-risiko AI som led i disse opgaver.
3. Store private virksomheder under visse betingelser
Forordningens nuancerede formulering åbner for, at store private aktører kan blive FRIA-pligtige, når de deployerer systemer, der påvirker et tilstrækkeligt stort antal personer med hensyn til grundlæggende rettigheder. Kommissionen forventes at præcisere tærsklerne for dette i delegerede retsakter.
Det er vigtigt at understrege: SMV'er (virksomheder med under 250 ansatte) er som udgangspunkt undtaget, medmindre de specifikt leverer offentlige tjenesteydelser under de ovennævnte betingelser. Undtagelsen er ikke automatisk — virksomheder bør selv vurdere, om de falder ind under kategori 2 eller 3.
Dansk kontekst: Hvem er "offentlig myndighed"?
I dansk ret er begrebet "offentlig myndighed" veldefineret, men EU AI Acts rammer er bredere. Kommuner er klart omfattede — og de er netop relevante, fordi mange kommuner eksperimenterer med AI i rekruttering til administrative og sociale stillinger. Regioner er ligeledes klart inden for kredsen.
Statslige institutioner som Styrelsen for Arbejdsmarked og Rekruttering (STAR), Skatteforvaltningen, Forsvaret og Politiet er alle FRIA-pligtige, hvis de anvender høj-risiko HR-AI. Det er relevant at notere, at Datatilsynet allerede fører tilsyn med GDPR-compliance for disse aktører — og FRIA er designet til at koordinere med netop disse processer.
Et gråzonetilfælde, der bør afklares: Aktieselskaber, der er 100 % offentligt ejede og varetager monopolopgaver — eksempelvis visse forsyningsselskaber og regionale trafikselskaber — vil sandsynligvis falde ind under artikel 27's anvendelsesområde, men det afventer afklaring i nationale implementeringsretningslinjer.
Artikel 27, stk. 2: De 8 elementer i en FRIA
En FRIA er ikke en fri form-øvelse. Artikel 27, stk. 2 specificerer, hvad vurderingen skal indeholde. Der er otte obligatoriske elementer:
Element 1: Beskrivelse af systemets formål og anvendelse
Hvad gør AI-systemet konkret? Hvilke beslutninger understøtter eller trækker det? Hvem er slutmodtagerne af disse beslutninger? En præcis systembeskrivelse er fundamentet for alle efterfølgende analysetrin.
Element 2: Begrundelse for anvendelse af det pågældende system
Hvorfor dette system frem for andre metoder? Er der en saglig, proportional begrundelse for at anvende høj-risiko AI til den pågældende opgave? Begrundelsen skal være substantiel — ikke blot "det er mere effektivt."
Element 3: Vurdering af alternative muligheder
Hvad er alternativerne? Kunne opgaven løses med mindre indgribende metoder — eksempelvis manuel sagsbehandling, enklere algoritmer eller regelbaserede systemer uden maskinlæring? EU AI Act har et proportionalitetsprincip som lodrette stolpe: jo større indgreb i grundlæggende rettigheder, jo større krav til begrundelse for valget.
Element 4: Identifikation af påvirkede grupper
Hvilke befolkningsgrupper, kategorier af arbejdssøgende eller medarbejdersegmenter vil systemet påvirke? Er der særligt sårbare grupper, der er over- eller underrepræsenterede? Kortlægningen bør være konkret og ikke blot generisk.
Element 5: Risikovurdering for grundlæggende rettigheder
Den centrale analyse: Hvilke grundlæggende rettigheder kan påvirkes, og med hvilken sandsynlighed og alvorlighed? Dette punkt er kernen i FRIA og adskiller den fundamentalt fra en ren teknisk risikovurdering.
Element 6: Afbødende foranstaltninger
Hvilke foranstaltninger er iværksat for at reducere eller eliminere de identificerede risici? Tekniske tiltag som bias-test og auditlogs, organisatoriske tiltag som klageadgang og menneskelig oversight, og proceduremæssige tiltag som regelmæssig re-evaluering af systemet hører alle hjemme her.
Element 7: Restrisici og opfølgningsplan
Hvilke risici forbliver selv efter afbødende foranstaltninger? Restrisici skal beskrives eksplicit og kvantificeres så vidt muligt. Denne del af FRIA er typisk den, der kræver størst juridisk og faglig indsats — og den, som myndighederne vil se nærmest på.
Element 8: Planer for indberetning og opfølgning
Hvornår og hvordan revideres FRIA'en? Hvem er ansvarlig for at følge op på, om de afbødende foranstaltninger virker? Artikel 27 forudsætter, at FRIA ikke er et éngangsdokument, men en levende proces, der opdateres ved væsentlige ændringer i systemets brug eller kontekst.
Konsekvenser ved manglende FRIA
En manglende eller utilstrækkelig FRIA er ikke blot en formel fejl. Den nationale markedsovervågningsmyndighed — i dansk sammenhæng formentlig Digitaliseringsstyrelsen i samspil med Datatilsynet — kan kræve, at systemet tages ud af drift, indtil FRIA er gennemført og dokumenteret. Bøder efter EU AI Act kan for overtrædelser af udbyderforpligtelserne nå op til 15 millioner euro eller 3 % af global omsætning, alt efter hvad der er størst.
For offentlige myndigheder er konsekvenserne politiske såvel som juridiske: en manglende FRIA i forbindelse med et AI-system til rekruttering kan udgøre en overtrædelse af det offentligretlige lighedsprincip og af forvaltningslovens krav om saglighed. Det er ikke et scenarie, nogen kommunal direktør eller statslig styrelseschef bør ignorere.
Sådan kommer du i gang
En FRIA behøver ikke at tage måneder. En struktureret tilgang begynder med en kortlægning af, hvilke høj-risiko AI-systemer der er i brug, efterfulgt af en analyse af, hvilke grundlæggende rettigheder der potentielt berøres, og en dokumenteret stillingtagen til afbødende foranstaltninger. Det afgørende er at starte processen nu — inden systemet er i drift — og at sikre, at FRIA'en er forankret i organisationen og ikke blot et dokument i en skuffe.