AI-chatbots i HR under EU AI Act

En "HR-chatbot" dækker i praksis alt fra en simpel FAQ-bot på karrieresiden til en LLM-drevet assistent der prækvalificerer kandidater, screener kompetencer eller besvarer interne medarbejder- forespørgsler om løn, ferie og whistleblowing. Hver use case rammer EU AI Act forskelligt.

Article 50(1): brugeren skal vide det er en AI

Article 50(1) kræver at udbydere af AI-systemer der er tiltænkt at interagere direkte med fysiske personer designer dem, så brugeren informeres om, at hun interagerer med et AI-system— medmindre det er åbenlyst af konteksten. Som deployer er det jeres ansvar at sikre, at disclosure rent faktisk vises i jeres implementering. Deadline for Article 50 er 2. august 2026.

Article 50(2)+(4): AI-genereret indhold skal mærkes

Hvis chatbotten genererer indhold (svar, jobannoncer, follow-up-emails), gælder også Art. 50(2): output skal mærkes maskinlæsbart som AI-genereret (fx C2PA, SynthID eller tilsvarende standarder). For deep-fake-lignende indhold gælder skærpede mærkningskrav under Art. 50(4). Se vores Article 50 watermarking-tjekliste.

Hvornår bliver chatbotten high-risk?

Hvis chatbotten filtrerer eller evaluerer kandidater, falder den under Annex III(4)(a) og er high-risk. Hvis den scorer eller allokerer arbejde til medarbejdere, falder den under Annex III(4)(b). Det udløser hele Article 26-pakken: human oversight, log-retention ≥ 6 mdr., information til medarbejderrepræsentanter, DPIA, m.m.

• FAQ-bot uden filtrering eller scoring → typisk minimal/limited risk, kun Art. 50
• Kandidat-screening-bot → Annex III(4)(a) high-risk + Art. 50
• Intern HR-assistent der træffer beslutninger om ferieafvisning, sygesamtaler m.m. → kan være Annex III(4)(b) afhængigt af hvor langt automatiseringen går
• Whistleblower-modtagebot → følsom kategori; GDPR + Whistleblower-direktiv-implikationer

GPAI-laget: chatbotten er ofte bygget på en GPT-/LLM-base

Hvis I bygger oven på en general-purpose AI-model (GPAI) — fx OpenAI, Anthropic, Mistral, Google — er der et ekstra kontraktuelt lag at få på plads. Vendoren skal stille information til rådighed så I som deployer kan dokumentere systemets evne og begrænsninger (Art. 53). Læs guiden GPAI-modeller i HR-tech.

Hvad skal være på plads?

• Synlig "Du chatter med en AI"-disclosure i UI'en
• Hjælp-knap/link til menneskelig kontakt
• Klassificering af use case: forbudt / high-risk / limited / minimal
• Vendor-attestation på Art. 50(2) maskinlæsbar mærkning
• Log-retention ≥ 6 måneder for high-risk-brug
• SOP for human oversight (hvem reviewer, hvor ofte, hvad eskaleres)
• Article 4 literacy: dokumenteret oplæring af de medarbejdere der vedligeholder bot'en
• GDPR-kompatibel data-retention og slet-procedure

Relaterede ressourcer: Article 50 watermarking, Chatbot transparenskrav (blog), Art. 50 deployer-pligter, EU AI Act og rekruttering.