EU's AI-forordning og rekruttering efter AI Omnibus

EU's AI-forordning har siden vedtagelsen været det vigtigste regelsæt for arbejdsgivere, der bruger algoritmer til at sortere ansøgninger eller vurdere kandidater. I sommer fik reglerne en ny tidsplan. Den 27. juli 2026 trådte den såkaldte AI Omnibus i kraft, og dermed blev fristen for højrisikosystemer inden for blandt andet rekruttering flyttet til 2. december 2027. Det fremgår af Europa-Kommissionens nyhed på digital-strategy.ec.europa.eu. Denne artikel gennemgår, hvad udskydelsen betyder, hvad der allerede gælder, og hvad HR-afdelinger med fordel kan bruge den ekstra tid til.

Forordningen deler AI-systemer op i fire niveauer efter risiko. Der er forbudte anvendelser, højrisikosystemer, systemer med krav om gennemsigtighed og systemer med minimal risiko. Kommissionen nævner udtrykkeligt værktøjer til beskæftigelse, ledelse af medarbejdere og adgang til selvstændig virksomhed som et højrisikoområde og bruger software til CV-sortering som eksempel. I Kommissionens spørgsmål og svar om forordningen uddybes det med systemer, der bruges til at målrette jobannoncer, analysere og filtrere ansøgninger og evaluere kandidater. Det placerer en stor del af de digitale screenings- og testværktøjer, der bruges i moderne rekruttering, i den tunge kategori. Omnibussen ændrer ikke på den klassifikation. Den flytter alene datoen.

Forordningens generelle anvendelsesdato var 2. august 2026. Med omnibussen gælder kravene til højrisikosystemer først fra 2. december 2027 for de anvendelser, der står på forordningens bilag III, herunder beskæftigelse. For AI, der er indbygget i fysiske produkter som maskiner og legetøj, er datoen 2. august 2028. Andre dele af forordningen er allerede i anvendelse. Forbuddene, blandt andet mod følelsesgenkendelse på arbejdspladsen, har gældt siden 2. februar 2025, og det samme har kravet om AI-kompetencer hos dem, der arbejder med systemerne. Reglerne om generelle AI-modeller trådte i anvendelse 2. august 2025. Udskydelsen gælder altså kun højrisikodelen, ikke resten.

Kommissionen beskriver omnibussen som en målrettet forenkling, der bevarer beskyttelsen af sikkerhed og grundlæggende rettigheder. Forslaget blev fremsat 19. november 2025. Ud over de nye datoer udvides de lempeligere regler for små og mellemstore virksomheder til også at omfatte såkaldte small mid-caps. Adgangen til regulatoriske sandkasser udvides, og der oprettes en sandkasse på EU-niveau. Kravet om AI-kompetencer forenkles, og Kommissionen og medlemsstaterne får en større rolle i at understøtte det. Registreringen i EU's database forenkles. For rekrutteringsområdet er ét punkt særligt interessant. Omnibussen tillader behandling af særlige kategorier af personoplysninger med det formål at opdage bias. Det har hidtil været et praktisk dilemma for arbejdsgivere, der gerne ville teste deres værktøjer for skævheder, men manglede et klart grundlag for at bruge følsomme data til det.

For leverandører af højrisikosystemer stiller forordningen krav om risikovurdering og risikobegrænsning, datasæt af høj kvalitet for at mindske diskriminerende resultater, logning af aktivitet, detaljeret dokumentation, klar information til brugerne, menneskeligt tilsyn samt robusthed, cybersikkerhed og nøjagtighed. Inden systemet kommer på markedet, skal leverandøren gennemføre en overensstemmelsesvurdering, have et kvalitetsstyringssystem, registrere systemet i EU's database og indberette alvorlige hændelser.

Arbejdsgivere, der tager systemerne i brug, får egne forpligtelser. De skal bruge systemet efter leverandørens brugsanvisning og overvåge driften, udpege en person til menneskeligt tilsyn og sikre, at inputdata er relevante og tilstrækkeligt repræsentative. Medarbejdere og deres repræsentanter skal informeres på forhånd, når et højrisikosystem tages i brug på arbejdspladsen, og berørte personer har ret til en forklaring, når en AI-beslutning har retsvirkning for dem. Offentlige myndigheder og organisationer, der leverer offentlige tjenester, skal desuden gennemføre en konsekvensanalyse for grundlæggende rettigheder.

Kommissionen offentliggjorde den 19. maj 2026 et udkast til retningslinjer for, hvordan man afgør, om et system er højrisiko. Udkastet indeholder eksempler fra de enkelte områder, herunder beskæftigelse, og en høring løb frem til 23. juli 2026. Retningslinjerne er ikke juridisk bindende, men afspejler Kommissionens fortolkning og vil styre håndhævelsen. Den endelige version ventes at tage højde for høringssvarene.

Udskydelsen giver godt et år mere, men listen over forpligtelser er uændret. For HR-afdelinger, der køber eller allerede bruger test og screeningsværktøjer, ligger den praktiske opgave i at få overblik over, hvilke systemer der falder ind under bilag III, hvilken dokumentation leverandøren kan levere om data, validitet og tilsyn, og hvem internt der skal have rollen som menneskeligt tilsyn. Kravet om AI-kompetencer gælder allerede, og informationspligten over for medarbejdere forudsætter, at man ved, hvad man bruger, før man kan fortælle det. Den ekstra tid er med andre ord bedst brugt på at kortlægge og dokumentere, ikke på at vente.

Kilde: https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force og https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai