Hvis din virksomhed anvender eller overvejer at anskaffe HR-software med AI-funktioner — rekrutteringsscreening, præstationsvurdering, fraværsprognoser, lønoptimering eller talentudvikling — er du som deployer direkte underlagt kravene i EU AI Act ((EU) 2024/1689). Fra 2. december 2027 (forordning (EU) 2026/1744, i kraft 27. juli 2026) gælder de fulde forpligtelser for høj-risiko AI-systemer under Annex III, og et forkert leverandørvalg kan koste op til 15 mio. EUR eller 3 % af global omsætning i bøder.
Denne guide hjælper dig med at stille de rigtige spørgsmål, gennemskue røde flag og opbygge en struktureret due diligence-proces — inden du underskriver kontrakten.
1. Annex III punkt 4: Hvilke HR-AI-systemer er høj-risiko?
EU AI Act klassificerer AI-systemer som høj-risiko, når de falder inden for de domæner, der er oplistet i Annex III til forordningen. Punkt 4 i Annex III omhandler specifikt beskæftigelse, forvaltning af arbejdsstyrken og adgang til selvstændig erhvervsvirksomhed. Følgende systemtyper er eksplicit nævnt eller fortolkningsmæssigt dækket:
Rekruttering og udvælgelse: AI-systemer der bruges til at annoncere stillinger, sortere ansøgninger, screene CV'er, vurdere kandidater under samtaler eller træffe beslutninger om ansættelse. Dette dækker automatisk CV-screening, video-interview-analyse og scored rankingalgoritmer.
Forfremmelse og forflyttelse: Algoritmer der rangerer medarbejdere til forfremmelse, tildeling af ønskeopgaver eller intern mobilitet.
Opsigelse: AI-drevne systemer der indgår i beslutningsprocesser om afskedigelse, omstruktureringer eller valg af medarbejdere til nedskæringsrunder.
Overvågning og ydeevne: Systemer der kontinuerligt monitorerer medarbejderadfærd og genererer præstationsscorer med direkte indvirkning på ansættelsesforholdet.
Adgang til erhvervsvirksomhed: AI der bedømmer adgang til selvstændig virksomhed eller kontraktbaseret arbejde via platforme.
Kilde: Europa-Parlamentets og Rådets forordning (EU) 2024/1689 af 13. juni 2024 (EU AI Act), Annex III, punkt 4 — tilgængelig på EUR-Lex: https://eur-lex.europa.eu/legal-content/DA/TXT/?uri=CELEX:32024R1689
Vigtig undtagelse: Rent administrative HR-systemer uden AI-beslutningsstøtte (f.eks. timeregistrering, lønadministration, feriebestilling) falder uden for Annex III, forudsat at de ikke inkorporerer AI-baseret klassificering eller rangering af medarbejdere.
2. Udbyderens vs. deployers forpligtelser: Ansvarsfordelingen
EU AI Act opererer med to centrale roller: udbyder (provider) og deployer. Forståelsen af denne rollefordeling er afgørende for at vide, hvad du kan kræve af leverandøren, og hvad du selv er ansvarlig for.
Udbyderen er den virksomhed, der udvikler og markedsfører AI-systemet. De bærer det primære ansvar for:
Deployeren er din virksomhed — den der tager AI-systemet i brug over for medarbejdere eller kandidater. Deployerens forpligtelser under Art. 26 inkluderer:
En grundlæggende fejlforståelse er at tro, at leverandøren bærer alt ansvar. Det gør de ikke. Du som deployer er medansvarlig — og ved et tilsynsbesøg fra Datatilsynet eller den nationale AI-myndighed vil det være din virksomhed, der skal fremvise dokumentation for korrekt anvendelse.
3. 17 spørgsmål til HR-softwareleverandøren om EU AI Act compliance
Stil disse spørgsmål skriftligt inden kontraktindgåelse og kræv skriftlige svar. Udokumenterede mundtlige forsikringer tæller ikke ved et tilsyn.
Klassificering og dokumentation
Gennemsigtighed og forklarbarhed
Datakvalitet og bias
Post-market og hændelseshåndtering
Kontraktuelle forpligtelser
4. Røde flag du bør reagere på
På markedet for HR-software er der fortsat mange leverandører, der ikke har fuld styr på deres EU AI Act-compliance. Nedenstående signaler bør give anledning til skærpet due diligence eller fravalg. Leverandøren afviser at klassificere systemet under Annex III med begrundelsen "det er ikke os, men jer, der er ansvarlige" er et klart rødt flag — ansvar deles i forordningen, men ansvarsfordelingen bortfalder ikke. Et andet rødt flag er leverandøren der ikke kan fremvise teknisk dokumentation i henhold til Annex IV, men kun generiske GDPR-compliance-erklæringer. Et tredje er løfter om compliance "inden 2026", uden specificering af hvad der konkret mangler og hvornår det leveres.
Det vigtigste råd til HR-teams er at behandle EU AI Act-compliance som en del af leverandørvalget på linje med funktionalitet, pris og support. En leverandør der ikke kan redegøre for sin EU AI Act-status i dag, vil sandsynligvis give compliance-udfordringer på det tidspunkt, hvor tilsynsmyndighederne begynder at føre tilsyn. At vente er mere risikabelt end at stille spørgsmålene nu.