Medarbejder-monitoring med AI under EU AI Act

EU AI Act regulerer AI brugt til at overvåge og evaluere personers performance og adfærd i ansættelsesforhold som high-risk (Annex III(4)(b)). Samtidig forbyder Article 5 nogle af de mest invasive monitoring-praksisser direkte, herunder emotion recognition på arbejdspladsen, biometrisk kategorisering baseret på særlige kategorier af persondata og visse former for social scoring. Begge regler gælder uanset om I bygger eller blot bruger systemet.

Hvad er FORBUDT (Article 5)?

• Emotion recognition på arbejdspladsen — fx AI der scorer kundeservicesamtaler for "frustration", "engagement" eller "venlighed" hos den ansatte. Snævre undtagelser kun for medicinske eller sikkerhedsmæssige formål (Art. 5(1)(f))
• Biometrisk kategorisering der udleder race, politisk overbevisning, religion, seksuel orientering eller fagforeningsmedlemskab (Art. 5(1)(g))
• Social scoring der fører til uberettiget eller uforholdsmæssig negativ behandling (Art. 5(1)(c))
• Subliminale teknikker der materielt forvrænger adfærd til skade for medarbejderen (Art. 5(1)(a))

Disse forbud trådte i kraft 2. februar 2025. Sanktion: op til 35 mio. EUR eller 7 % af global omsætning (Art. 99(3)).

Hvad er HIGH-RISK (Annex III(4)(b))?

• Produktivitets- og time-tracking-AI der scorer aktivitet eller fokus
• Keystroke-, mus- og skærmoptagelses-analyse med ML
• Call-center-coaching der scorer salgsadfærd eller compliance
• Anomali-detektion på adgangslogs der peger på "risiko-medarbejdere"
• Optælling af deltagelse og engagement i samarbejdsplatforme
• Mailovervågning (DLP-/insider-risk-AI) brugt til HR-formål

Deployer-pligter under Article 26

• Anvend systemet efter udbyderens instruktioner (Art. 26(1))
• Tildel human oversight til en kompetent person (Art. 26(2))
• Sikr at input-data er relevant og repræsentativt (Art. 26(4))
• Opbevar logs i mindst 6 måneder, så afgørelser kan rekonstrueres (Art. 26(6))
• Informer medarbejderrepræsentanter og berørte medarbejdere før ibrugtagning (Art. 26(7))
• Foretag DPIA efter GDPR art. 35 — typisk obligatorisk ved systematisk medarbejderovervågning

GDPR-laget: proportionalitet og legitime interesser

EU AI Act står på skuldrene af GDPR. Selv hvis et monitoring-system ikke er forbudt, skal det kunne stå på en gyldig hjemmel (typisk legitime interesser eller arbejdsretlig særhjemmel) og bestå en proportionalitetstest. Datatilsynet og national arbejdsret kan i praksis være strammere end EU AI Act for monitoring-formål. Se også vores guide til Datatilsynet og AI.

Hvad bør på dokumentationslisten?

• AI-inventar med kategorisering Forbudt / High-risk / Limited / Minimal
• Begrundelse for hver high-risk-klassificering med henvisning til Annex III
• Vendor-attestation fra leverandøren (Article 11 + Annex IV)
• Bekræftelse på at ingen emotion recognition eller forbudt biometrisk kategorisering anvendes
• SOP for human oversight med navngivne ansvarlige
• Log-retention-procedure (≥ 6 mdr.)
• DPIA og fundamental rights impact assessment (FRIA, Art. 27 hvor relevant)
• Information til samarbejdsudvalg + dokumentation for dialogen

Relaterede ressourcer: Workplace monitoring (blog), Art. 13 gennemsigtighed, Article 50 deployer-pligter.