EU AI ACT · HR-TECH

EU AI Act for rekrutterings-AI: deployer-forpligtelser for HR-tech

Rekrutterings-AI (CV-screening, kandidatranking, ansigtsanalyse i interviews) er eksplicit klassificeret som high-risk i AI Act Annex III, punkt 4. Her er hvad deployers — virksomheder der bruger rekrutterings-AI i drift — konkret skal kunne dokumentere.

Hvorfor er rekrutterings-AI high-risk?

Annex III punkt 4 i EU AI Act (forordning 2024/1689) lister AI-systemer beregnet til employment, workers management and access to self-employment som high-risk. Det dækker konkret:

AI til rekruttering eller udvælgelse (jobannonce-targeting, CV-filtrering, kandidat-evaluering)
AI der træffer beslutninger om ansættelsesvilkår, forfremmelse eller opsigelse
AI der allokerer opgaver baseret på adfærd eller personlige træk
AI der overvåger eller evaluerer medarbejdere

EU's begrundelse: disse systemer kan reproducere historiske bias og påvirker materielt menneskers livsmuligheder. Klassifikationen gælder uanset om AI'en bygger på regelbaseret logik, ML eller LLM'er.

Deployer vs udbyder — hvem er du?

En HR-afdeling der køber et CV-screening-værktøj fra en SaaS-leverandør er deployer. SaaS-leverandøren er udbyder (provider). HR-tech-virksomheder kan være begge dele samtidig: udbyder over for kunder, deployer internt. Forskellen er afgørende fordi forpligtelserne adskiller sig — se vores guide om deployer vs udbyder.

Article 26 — deployer-pligterne du ikke kan outsource

Artikel 26 lister deployer-forpligtelserne for high-risk-systemer. De er ikke kontraktuelt overdragelige til udbyderen:

Art 26(1)–(2): Anvend systemet i overensstemmelse med udbyderens instructions for use
Art 26(2): Sikr menneskelig oversight (kompetent personale, tilstrækkelig støtte)
Art 26(4): Sikr at input-data er relevant og repræsentativt for systemets formål
Art 26(5): Monitorér drift; ved alvorlige hændelser skal udbyderen og myndighed informeres
Art 26(6): Opbevar automatisk genererede logs i mindst 6 måneder
Art 26(7): Informer medarbejderrepræsentanter og berørte medarbejdere før ibrugtagning
Art 26(11): Informer ansøgere/medarbejdere om at de er underlagt high-risk-AI-beslutning

FRIA — Fundamental Rights Impact Assessment (Art 27)

Offentlige aktører og visse private deployers (banker, forsikring) skal gennemføre en FRIA før første anvendelse af et Annex III-system. For HR-tech specifikt: hvis I leverer til offentlige arbejdsgivere, kan kunden kræve, at I leverer FRIA-input. Forberedelse af FRIA-template er en del af PowerQuants M1 svar-pakke.

Deadlines: Article 50 (2. august 2026) og Annex III deployer-forpligtelser (2. december 2027 per forordning (EU) 2026/1744, trådt i kraft 27. juli 2026)

AI Act-forordningens oprindelige deadline for Annex III high-risk-systemer var 2. august 2026. Forordning (EU) 2026/1744 (Digital Omnibus), offentliggjort i EU-Tidende 24. juli 2026 og trådt i kraft 27. juli 2026, udskyder Annex III standalone høj-risiko deployer-forpligtelser til 2. december 2027.

Status pr. 27. juli 2026: Forordning (EU) 2026/1744 trådt i kraft 27. juli 2026. Annex III standalone høj-risiko deployer-forpligtelser har ny frist 2. december 2027. Article 50 (transparens) gælder fortsat fra 2. august 2026. Læs vores opdaterede Digital Omnibus-status og AI-loven nedtælling.

Allerede gældende siden 2. februar 2025: Artikel 4 (AI-literacy) og Artikel 5 (forbudte praksisser). Håndhævelse via national markedsovervågning aktiveres 2. august 2026 — også for Article 4. Se Article 4 register for konkrete dokumentationskrav.

Bøderammer der gælder rekrutterings-AI

35 mio. EUR eller 7% af global omsætning (det højeste) — Art 5 forbudte praksisser (fx social scoring, manipulation)
15 mio. EUR eller 3% — øvrige deployer/udbyder-overtrædelser, inkl. Art 26 og Annex III
7,5 mio. EUR eller 1% — at give forkerte oplysninger til notified body eller myndighed

For SMV'er og startups gælder det laveste af beløb og procentsats. Sanktioner fastsættes nationalt — i Danmark forventes Digitaliseringsstyrelsen som national kompetent myndighed.

Hvad evidens-pakken skal indeholde

AI-inventar over alle rekrutterings-AI-systemer i brug (intern + tredjepart)
Klassifikation per system (Annex III, prohibited, GPAI, minimal-risk)
Role-based controls-memo: hvem er deployer, hvem er udbyder, hvem ejer Art 26-pligterne
Art 4 AI-literacy-program for HR-medarbejdere
Art 13 instructions-for-use review (kan deployer faktisk overholde dem?)
Art 26(7) medarbejderkommunikation: notitskabelon før ibrugtagning
Logging-arkitektur per Art 26(6)

Relateret læsning

Klar til at dokumentere din rekrutterings-AI?

PowerQuant M1 (svar-pakken) leverer AI-inventar, Article 4-register, role-based controls-memo og gap-analyse på 5 hverdage — 10.999 kr fast-pris, kryptografisk signeret, hver påstand kildecitert mod forordningens tekst.

Se M1 svar-pakken Start nu