AI-screening og GDPR i praksis

Når en ansøgning screenes helt eller delvist automatisk, følger der oplysningspligter med. Efter databeskyttelsesforordningen skal kandidaten vide, at behandlingen finder sted, hvad formålet er, og hvilket retligt grundlag den hviler på. Ved afgørelser, der udelukkende træffes automatisk og har væsentlig betydning for den enkelte, gælder desuden artikel 22, som giver kandidaten ret til menneskelig indgriben, til at give sin mening til kende og til at bestride afgørelsen.

Spørgsmålet i praksis er sjældent, om der findes et menneske i processen, men om mennesket reelt kan ændre udfaldet. En rekrutteringsmedarbejder, der modtager en rangeret liste og i praksis altid starter fra toppen, udfører ikke den form for individuel vurdering, bestemmelsen sigter mod.

Oven i dette kommer forordningen om kunstig intelligens. AI-systemer til rekruttering og udvælgelse er klassificeret som højrisiko i bilag III, kategori 4(a), og omfatter blandt andet CV-screening og rangering af ansøgere. Med forordning (EU) 2026/1744, offentliggjort i EU-Tidende den 24. juli 2026, er anvendelsesdatoen for forpligtelserne til selvstændige bilag III-systemer udskudt til den 2. december 2027. Selve forpligtelserne er uændrede: risikostyring, datastyring, teknisk dokumentation, logning, menneskeligt tilsyn og oplysning til de berørte.

Det andet spor er mere jordnært og bliver oftere overset. Hvor ligger data, hvem har adgang, og hvor længe opbevares de?

Fire punkter hører hjemme i enhver leverandøraftale. Hostingens placering, herunder om der sker overførsel til tredjelande og på hvilket grundlag. En databehandleraftale, der faktisk afspejler de behandlinger leverandøren udfører, ikke en standardtekst. En slettefrist for testdata og rapporter, som er koblet til rekrutteringens afslutning og ikke til leverandørens eget behov. Og et klart svar på, om kandidaternes svar bruges til at træne eller forbedre leverandørens modeller, og i givet fald på hvilket grundlag.

Det sidste punkt er blevet væsentligt hurtigere end mange kontrakter er blevet opdateret. Formuleringer om produktforbedring, der var uskyldige for få år siden, dækker i dag potentielt over modeltræning på personoplysninger.

Dokumentér hvilke systemer der bruges hvor i processen, hvem der er leverandør, og hvilken rolle systemet spiller i beslutningen. Beskriv hvordan den menneskelige vurdering konkret foregår, og hvad der skal til for at afvige fra systemets forslag. Og sæt en dato for, hvornår I gennemgår det igen.

Kilde: Databeskyttelsesforordningen artikel 13, 14 og 22, samt forordning (EU) 2024/1689 som ændret ved forordning (EU) 2026/1744.