De fleste danske HR-chefer frygter, at EU AI Act vil kræve tunge compliance-processer for næsten alt, hvad de bruger af AI i dag. Den frygt er forståelig — men den er i vid udstrækning ubegrundet. Faktisk er det store flertal af AI-systemer, som HR-funktioner bruger til daglig, placeret i kategorien "minimal risk", og her er de juridiske krav langt mere begrænsede, end mange tror.
Denne artikel giver dig et klart billede af, hvornår din HR-afdeling faktisk er undtaget fra de strenge krav — og hvornår du ikke er.
EU AI Acts fire risikoniveauer: Overblikket du skal have
EU AI Act (forordning 2024/1689) inddeler alle AI-systemer i fire kategorier baseret på den risiko, de udgør for borgere og samfund:
1. Forbudte systemer (Art. 5)
Disse er forbudte og aldrig tilladt i EU. Eksempler inkluderer social scoring-systemer, der klassificerer borgere baseret på adfærd, og AI-systemer, der udnytter sårbare grupper. I HR-sammenhæng er dette scenarie usandsynligt, medmindre der aktivt er tale om systemer, der diskriminerer på forbudte grundlag.
2. Høj-risiko systemer (Annex III)
Her stiller forordningen konkrete og ressourcekrævende krav: risikovurderinger, teknisk dokumentation, human oversight, registrering i EU-databasen. I HR-kontekst er dette relevant for systemer, der træffer eller understøtter beslutninger om rekruttering, afskedigelse, forfremmelse og præstationsvurdering. Annex III-kravene for HR-systemer træder fuldt i kraft 2. august 2026 (gældende frist — Digital Omnibus-ændringen, der vil udskyde den til 2. december 2027, afventer publicering i EU-Tidende og er endnu ikke i kraft).
3. Specifikke transparensforpligtelser (Art. 50)
Chatbots og andre systemer, der interagerer direkte med mennesker, skal oplyse brugerne om, at de kommunikerer med AI. Disse krav træder i kraft den 2. august 2026.
4. Minimal risk
Alt det resterende — og det er langt den største kategori. Ingen specifikke EU AI Act-forpligtelser ud over AI literacy (Art. 4). Her befinder størstedelen af de HR-tools, som bruges i praksis.
Nøglen til at forstå din situation er, hvilken kategori dine konkrete systemer befinder sig i. Og det er ikke altid åbenlyst.
Hvad er egentlig "minimal risk"?
Minimal risk er en restategori: alt det, der ikke er forbudt, ikke er Annex III høj-risiko, og ikke kræver Art. 50 transparensoplysninger. Der er med andre ord ingen positiv definition — det er systemernes fravær af de opregnede risikofaktorer, der placerer dem her.
Det lyder måske som en negativ bestemmelse, men i praksis er det godt nyt for HR-afdelinger: det betyder, at EU AI Act som udgangspunkt ikke pålægger jer nye compliance-byrder for disse systemer. I modsætning til høj-risiko-kategorien er der ingen krav om:
- Risikovurderinger og teknisk dokumentation til regulatoren
- Registrering i EU's offentlige AI-database
- Obligatorisk human oversight-mekanisme
- Aftaler med AI-leverandøren om ansvar og overvågning
- Post-market monitoring og rapportering
Det er en markant forskel. Og de fleste HR-afdelinger bruger faktisk primært systemer, der falder i minimal risk-kategorien — selv om de ikke nødvendigvis ved det.
Eksempler på minimal risk HR-tools
Lad os gøre det konkret. Følgende typer AI-funktionalitet vil typisk falde under minimal risk, forudsat at de udelukkende bruges til de angivne formål:
Spam-filtre og e-mailsortering i HR-systemer
Et AI-drevet spam-filter, der sorterer kandidat-e-mails, træffer ikke personalebeslutninger. Det sorterer information. Det er minimal risk.
Standard analytics dashboards
Et dashboard, der viser aggregerede HR-nøgletal som sygefravær, turnover-rate eller gennemsnitlig ansættelsesvarighed, bruger sandsynligvis AI eller statistik-modeller til aggregering og visualisering. Så længe dashboardet ikke anbefaler beslutninger om enkeltpersoner, er det minimal risk.
Kalenderplanlægning og mødekoordinering
AI-assisteret kalenderoptimering, der foreslår mødetidspunkter og ressourceplanlægning, uden at det har konsekvenser for personalebeslutninger. Minimal risk.
Internt vidensøgningssystem
Et AI-drevet søgesystem i virksomhedens intranet eller HR-dokumentation. Ingen personalebeslutninger = minimal risk.
Automatisk kategorisering af ansøgninger
Her begynder det at blive nuanceret (se næste afsnit), men et system, der kun kategoriserer ansøgninger efter afdeling eller stillingsbetegnelse — uden at score eller rangordne kandidater — kan være minimal risk.
Tekstgenerering til stillingsopslag
Et AI-værktøj, der hjælper HR med at formulere stillingsopslag, er minimal risk — det er et skriveassistentværktøj, ikke et beslutningssystem.
Hvornår løftes et tool til høj-risiko? Den afgørende grænse
Her er den vigtigste pointe i denne artikel: det er brugen, ikke produktets navn eller markedsføring, der bestemmer risikokategorien.
Et system rykker fra minimal risk til Annex III høj-risiko, når det bruges til at understøtte eller automatisere beslutninger om:
- Ansættelse — screening, scoring eller rangordning af kandidater
- Afskedigelse — identifikation af kandidater til opsigelse
- Forfremmelse og lønforhandling — anbefaling af forfremmelseskandidater
- Opgavefordeling og ressourcetildeling — tildeling af opgaver baseret på personprofiler
- Præstationsvurdering og overvågning — systematisk vurdering af medarbejderpræstation
Bemærk ordene "understøtte eller automatisere": selv et system, der kun anbefaler en beslutning og overlader den endelige afgørelse til et menneske, kan falde under Annex III, hvis anbefalingen danner et væsentligt grundlag for beslutningen.
Konkrete eksempler på grænsetilfælde:
Et CV-screening-system, der sorterer ansøgninger fra under en score-tærskel — Høj-risiko. Det træffer reelt en beslutning om hvem der ikke kommer videre.
Et analytics-dashboard, der viser medarbejdernes præstationsdata og rangordner dem — Høj-risiko, hvis det bruges som grundlag for afskedigelsesrunder eller bonusfordeling.
En AI-chatbot i rekrutteringsprocessen, der stiller kandidater spørgsmål og gemmer svarene som screeningsdata — Potentielt høj-risiko (og Art. 50-transparens er påkrævet).
Et AI-system til at optimere vagtplaner — Afhænger af konteksten. Rent logistisk planlægning kan være minimal risk. Men hvis systemet systematisk tildeler ringere vagter til bestemte medarbejdergrupper, nærmer det sig høj-risiko-territoriet.
Tommelfingerregel: spørg dig selv, om systemets output direkte påvirker enkeltpersoners arbejdssituation, ansættelsesstatus eller karriereudvikling. Svarer du ja, er du sandsynligvis i Annex III-territoriet.
Art. 4: AI literacy gælder alle — også ved minimal risk
Her er den vigtigste undtagelse fra "minimal risk = ingen krav": Artikel 4 om AI literacy gælder for alle virksomheder, uanset hvilke AI-systemer de bruger.
Art. 4 trådte i kraft 2. februar 2025 og kræver, at:
"Leverandører og brugere af AI-systemer træffer foranstaltninger til at sikre i videst muligt omfang, at deres medarbejdere og andre personer, der på deres vegne beskæftiger sig med drift og brug af AI-systemer, har et tilstrækkeligt niveau af AI-kompetence."
Det betyder i praksis, at HR-afdelingen — selv hvis I udelukkende bruger minimal risk AI-systemer — er forpligtet til at:
- Kortlægge hvilke AI-systemer medarbejderne bruger i deres arbejde
- Vurdere, hvilke kompetencer der er nødvendige for at bruge systemerne forsvarligt
- Sikre, at medarbejderne har de relevante kompetencer — gennem oplæring, kurser eller interne retningslinjer
Der er ingen fritagelse fra Art. 4, uanset risikoniveau. Det er en baseline-forpligtelse for alle, der anvender AI i professionel sammenhæng.
For HR-afdelinger er konklusionen derfor tredelt: Kortlæg jeres AI-brug, klassificér systemerne ærligt efter faktisk anvendelse — og dokumentér Art. 4-kompetencerne, uanset hvor lav risikoen er. Minimal risk betyder minimale krav, ikke nul krav.