AI-screening af CV'er, det spanske datatilsyn præciserer, hvad menneskelig kontrol kræver

Det spanske datatilsyn, Agencia Española de Protección de Datos (AEPD), offentliggjorde den 7. oktober 2026 et notat om algoritmiske systemer på arbejdspladsen. Notatet samler to ting, der er sket i Spanien i løbet af efteråret. Den ene er et kongeligt dekret, Real Decreto 723/2026, som trådte i kraft den 5. oktober og pålægger arbejdsgivere at informere medarbejdere skriftligt om algoritmiske eller automatiserede beslutningssystemer. Den anden er en forebyggende advarsel, AI-00009-2026, som AEPD har givet en virksomhed, der planlagde at bruge et AI-værktøj til at analysere CV'er, give kandidater en score og prioritere dem ved rekruttering og intern mobilitet.

For danske og nordiske HR-afdelinger er sagen interessant, fordi GDPR er den samme i hele EU. Kravene i advarslen bygger på artikler i forordningen, som gælder på nøjagtig samme måde i Danmark.

Ifølge AEPD's pressemeddelelse fra 23. september 2026 havde virksomheden endnu ikke taget værktøjet i brug, men den havde allerede orienteret medarbejdernes repræsentanter. Virksomheden oplyste, at den endelige beslutning altid træffes af et menneske, at værktøjet ikke analyserer følsomme oplysninger, og at det auditeres løbende.

Tilsynet afviser ikke værktøjet. Det skriver tværtimod, at AI kan forbedre effektivitet og konsistens i den første vurdering af kandidater, og at GDPR ikke forbyder den slags systemer. Men advarslen opregner en række krav. Databeskyttelse skal indbygges fra designfasen efter artikel 25. Risikoen for kandidater og medarbejdere skal vurderes, og hvis den sandsynligvis er høj, skal der laves en konsekvensanalyse efter artikel 35, inden behandlingen starter. Kandidater skal have klar og forståelig information om, hvilken rolle værktøjet spiller i vurderingen. Og artikel 22, som giver ret til ikke at blive underlagt rent automatiserede afgørelser med væsentlig betydning, skal vurderes ud fra, hvordan værktøjet faktisk fungerer, ikke ud fra hvordan det beskrives.

En advarsel efter artikel 58, stk. 2, litra a, er forebyggende. Den fastslår ikke en overtrædelse, men tilsynet skriver, at manglende opfølgning kan føre til undersøgelse og korrigerende foranstaltninger, herunder sanktioner.

Det mest brugbare i notatet er beskrivelsen af, hvad en effektiv menneskelig vurdering indebærer. AEPD slår fast, at en formel menneskelig tilstedeværelse ikke i sig selv fritager processen fra artikel 22. Den person, der træffer beslutningen, skal kunne vurdere scoren kritisk og afvige fra den uden reelt at være bundet af den.

Notatet gør det konkret. Den, der gennemgår resultatet, skal forstå systemets begrænsninger, have adgang til de relevante faktorer, have tid og mandat til at ændre udfaldet og kunne inddrage supplerende oplysninger. Uenigheder med systemets anbefaling bør registreres. Og hvis der systematisk aldrig er uenighed, kan det ifølge tilsynet være et tegn på, at organisationen i praksis bare følger scoren, hvilket bør udløse en gennemgang.

Samme logik gælder audits. At nævne, at værktøjet auditeres løbende, beviser ikke noget. En audit bør ifølge notatet dokumentere formål og omfang, hvilken version af systemet der er gennemgået, hvilke data og variabler der er testet, fejlrater, forskelle i effekt mellem grupper, effektiviteten af den menneskelige kontrol, hændelser og klager samt korrigerende tiltag.

Virksomheden oplyste, at værktøjet ikke analyserer følsomme karakteristika. Det er ifølge AEPD ikke tilstrækkeligt i sig selv. Man skal undersøge, om andre variabler gør det muligt at udlede sådanne karakteristika eller fungerer som proxy for dem. Notatet minder desuden om, at scorer, rangeringer, profiler og forudsigelser om en identificerbar person selv er personoplysninger, med henvisning til EU-Domstolens afgørelser i SCHUFA-sagen (C-634/21) og Dun & Bradstreet Austria (C-203/22). I den sidste fastslår domstolen, at forklaringen til den registrerede skal være kortfattet og forståelig. Kildekode kræves ikke, men generiske eller rent tekniske forklaringer er ikke nok.

Notatet adresserer også koncernværktøjer. At et system udvikles og evalueres centralt i en koncern, fritager ikke den lokale enhed, der tager det i brug. Den skal selv afgøre og dokumentere, om den er dataansvarlig, fælles dataansvarlig eller bruger af en databehandlers tjeneste.

Det kongelige dekret er spansk lov og gælder ikke i Danmark. Men kravene i advarslen bygger på GDPR-artikler, der gælder overalt i EU, og AEPD skriver selv, at kravene kan overføres til andre systemer på arbejdspladsen. Notatet afslutter med en liste over, hvad en organisation bør gøre, inden et system tages i brug. Den omfatter blandt andet en oversigt over alle systemer, der støtter eller træffer beslutninger om kandidater, dokumentation af formål, inputdata, de vigtigste variabler og beslutningsregler, en særskilt vurdering af retsgrundlag, risikoniveau, behov for konsekvensanalyse og klassifikation under AI-forordningen, og en test af, om forklaringerne til kandidater faktisk kan forstås.

For den, der indkøber eller allerede bruger screeningværktøjer, er det en brugbar tjekliste. Og det er en tydelig markering af, at "et menneske træffer den endelige beslutning" ikke længere er et svar, et tilsyn stiller sig tilfreds med, medmindre organisationen kan vise, hvordan det menneske faktisk arbejder.

Kilde: https://www.aepd.es/guias/Nota-RD-723-2026-AI-00009-2026.pdf