I 2023 og 2024 integrerede de fleste store HR-tech platforme ChatGPT eller tilsvarende store sprogmodeller i deres produkter. Jobbeskrivelse-generering, kandidatopsummering, samtalecoaching, kompetencevurdering — pludselig var der AI overalt i HR-tech stakken. EU AI Act har et svar på det. Det hedder GPAI-reglerne, og de tilføjer et nyt lag af kompleksitet til compliance-billedet.
Hvad er GPAI under EU AI Act?
GPAI står for General Purpose AI — AI-modeller med generelle formål. EU AI Act definerer et GPAI-system i Art. 3, stk. 63 som et AI-system, der er baseret på en GPAI-model, og som kan bruges til mange formål — herunder formål, som provideren ikke specifikt har designet eller markedsført det til.
GPAI-reglerne i EU AI Act (Art. 51–56) retter sig primært mod providers af GPAI-modellerne — altså de virksomheder, der træner og stiller modellerne til rådighed: OpenAI, Anthropic, Google, Meta. Disse virksomheder er underlagt:
For GPAI-modeller med systemisk risiko (defineret som modeller med beregningsmæssig kapacitet over 10^25 FLOP under træning) gælder yderligere krav: adversarial testing, modstandsdygtighedsvurderinger og incidentrapportering til EU-Kommissionen.
Hvad betyder GPAI-reglerne for din HR-tech?
Det interessante spørgsmål er ikke primært, hvad reglerne kræver af OpenAI. Det er, hvad de betyder for dig, når du bruger et HR-system, der er bygget oven på GPT-4o, Claude eller Gemini.
Scenario A: Din HR-platform har integreret en GPAI-model
Mange HR-tech platforme er nu bygget oven på en GPAI-model. De leverer en brugergrænseflade og workflow-logik, men den faktiske AI-kapacitet — naturlig sprogforståelse, tekstgenerering, vurdering — stammer fra en underliggende GPAI-model.
I dette tilfælde er HR-tech platformen selv en AI-provider. De har taget en GPAI-model og specialiseret den til HR-formål. De er dermed ansvarlige for compliance af det samlede system — inklusive GPAI-modelkomponenten, for så vidt de bruger den til høj-risiko formål.
Scenario B: Din virksomhed bruger direkte API-adgang til GPAI
Hvis din virksomhed direkte integrerer GPT eller tilsvarende via API til at udføre HR-opgaver — for eksempel til at analysere kandidatprofiler, opsummere samtalenotater eller generere performance-feedback — er din virksomhed provider af det specifikke AI-system, I har bygget.
Det er ikke tilstrækkeligt at sige "vi bruger bare OpenAI's API". Det er jer, der har taget beslutningen om at bruge GPAI til høj-risiko HR-formål, og I er ansvarlige for den samlede compliance.
Scenario C: HR-medarbejdere bruger ChatGPT direkte til HR-opgaver
Hvis medarbejdere i HR-afdelingen bruger ChatGPT.com direkte til at skrive jobopslag, opsummere CV'er eller forberede interviewspørgsmål, er der tale om generel brug af en GPAI-applikation til ikke-specifikke formål. Det er ikke en deployment af et høj-risiko AI-system i EU AI Acts forstand, men det rejser GDPR-spørgsmål om behandling af kandidatdata.
Den kritiske sondring: Hvornår er GPAI-brug høj-risiko?
EU AI Act opererer med en vigtig sondring: GPAI-modeller er i sig selv ikke klassificeret som høj-risiko. Det er den konkrete anvendelse i et specifikt system til specifikke formål, der kan gøre systemet høj-risiko.
En GPAI-model der bruges til at generere jobbeskrivelser er ikke høj-risiko AI. En GPAI-model der bruges til automatisk at vurdere, rangere og screene kandidater til en stilling er sandsynligvis høj-risiko AI under Annex III kategori 4.
Kriteriet er: Bruges AI-systemet til at træffe eller informere beslutninger, der påvirker personers adgang til beskæftigelse, og sker det på en systematisk og automatiseret måde?
Hvis ja, gælder alle Annex III høj-risiko kravene — uanset om systemet er bygget på en GPAI-model.
Fem HR-GPAI-scenarier vurderet
1. AI-genereret jobopslag og stillingsbeskrivelse
Risikovurdering: Minimal risiko — lav.
Generering af jobopslag er en generisk tekstopgave uden direkte indvirkning på individers rettigheder. Det er dog relevant at sikre, at AI-genererede jobopslag ikke indeholder implicitte køns- eller aldersdiskriminerende sprogbrug.
2. CV-opsummering til rekrutterer
Risikovurdering: Grå zone — afhænger af brug.
Hvis AI opsummerer et CV til brug for en rekrutterer, der derefter tager en selvstændig vurdering, er det i udgangspunktet et støtteværktøj uden direkte afgørelsesindvirkning. Hvis AI-opsummeringen erstatter rekruttererens eget CV-gennemlæsning og systematisk screener kandidater ud, nærmer det sig høj-risiko-territoriet.
3. AI-baseret kompetencevurdering via chatbot-samtale
Risikovurdering: Sandsynligvis høj-risiko.
Et system der bruger en GPAI-baseret chatbot til at vurdere en kandidats kompetencer og generere en vurderingsrapport til brug i en ansættelsesbeslutning, vurderer automatisk en person i forbindelse med ansættelse. Det er høj-risiko AI.
4. AI-genereret performancefeedback
Risikovurdering: Grå zone — afhænger af formål og konsekvenser.
AI der genererer performancefeedback til medarbejdere som støtte til en leder er et støtteværktøj. AI der automatisk genererer performancevurderinger brugt direkte i beslutninger om løntillæg eller forfremmelse er høj-risiko AI.
5. AI-baseret løbende engagementsmåling og forudsigelse af medarbejderafgang
Risikovurdering: Sandsynligvis høj-risiko for forudsigelse af medarbejderafgang.
Et system der løbende overvåger kommunikationsmønstre for at forudsige hvilke medarbejdere der er ved at søge andet arbejde, og som bruges til at informere beslutninger om fastholdelsesforanstaltninger, vurderer og overvåger personer i et ansættelsesforhold. Annex III kategori 4 rammer direkte.
Hvad GPAI-providere skal levere til dig
Hvis du bruger et HR-tech produkt der er bygget oven på en GPAI-model, har du krav på visse oplysninger fra leverandøren:
Fra GPAI-modelprovider (OpenAI, Anthropic etc.):
Fra HR-tech platformen (der bruger GPAI):
Art. 50 og GPAI: Oplysningspligten for AI-genereret indhold
Art. 50, stk. 2 kræver, at GPAI-modelproviders sikrer, at AI-genereret tekst mærkes maskinlæseligt, så det kan detekteres. Fristen for Art. 50 er 2. august 2026.
I HR-kontekst har dette relevans for:
Tre anbefalinger til virksomheder med GPAI i HR-tech-stakken
1. Kortlæg GPAI-integrationer i jeres HR-tech
Gå igennem jeres HR-platform og spørg systematisk: Bruger dette modul en underliggende GPAI-model? Til hvad? Producerer det output, der informerer beslutninger om enkeltpersoner? En simpel matrix over HR-tech-komponenter og GPAI-tilstedeværelse er et godt udgangspunkt.
2. Vurdér høj-risiko klassificering for hvert GPAI-aktiveret modul
For hvert modul med GPAI: Bruges det til noget, der falder under Annex III kategori 4? Rekruttering, performance evaluation, lønfastsættelse, forfremmelse og afskedigelse er alle i scope. Dokumentér vurderingen skriftligt for hvert modul.
3. Indhent dokumentation fra leverandøren om GPAI-komponenten
Kontakt HR-tech platformen og spørg konkret: Hvilken GPAI-model anvendes? Er platformen som helhed vurderet som høj-risiko AI under Annex III? Foreligger der EU AI Act-konformitetsdokumentation? En leverandør der ikke kan besvare disse spørgsmål inden 2. december 2027 (forordning (EU) 2026/1744, i kraft 27. juli 2026) er en compliance-risiko for jeres virksomhed som deployer.
Konklusion: GPAI i HR er ikke automatisk problemfrit
Integrationen af GPAI-modeller i HR-tech har skabt kraftfulde værktøjer — men har samtidig gjort compliance-billedet mere komplekst. GPAI-modellen i sig selv er ikke høj-risiko; det er den konkrete brug i HR-processer der afgør klassifikationen. Og ansvaret for den brug ligger hos deployer — ikke hos GPAI-modelprovider.
Virksomheder der bruger HR-tech med GPAI-komponenter bør behandle dette som et aktivt compliance-spørgsmål frem mod 2. december 2027 (forordning (EU) 2026/1744, i kraft 27. juli 2026): Kortlæg GPAI-integrationerne, vurdér høj-risiko-klassificeringen systematisk, og sikr at leverandørerne kan dokumentere deres EU AI Act-overholdelse. Det er ikke tilstrækkeligt at stole på, at leverandøren har styr på det — deployer bærer selvstændigt ansvar under Art. 26.