EU's AI-forordning får sin første harmoniserede standard, hvad betyder det for indkøb af rekrutteringsværktøjer?

Den 19. oktober 2026 offentliggjorde Europa-Kommissionen henvisningen til den første harmoniserede standard under AI-forordningen i Den Europæiske Unions Tidende. Standarden hedder EN 18286:2026, Artificial intelligence, Quality management system for EU AI Act regulatory purposes, og den er udarbejdet af de europæiske standardiseringsorganisationer CEN og CENELEC. Offentliggørelsen skete gennem Kommissionens gennemførelsesafgørelse (EU) 2026/2274.

Ifølge Kommissionens nyhed på digital-strategy.ec.europa.eu får leverandører af højrisiko-AI-systemer, der implementerer standarden, en formodning om overensstemmelse med de krav til kvalitetsstyring, som står i forordningens artikel 17, i det omfang standarden dækker dem. Kommissionen kalder offentliggørelsen en milepæl forud for, at kravene til højrisikosystemer begynder at gælde, og skriver, at flere harmoniserede standarder ventes at følge.

EN 18286 handler om kvalitetsstyring, altså de processer en leverandør skal have på plads for at udvikle, teste og vedligeholde et AI-system på en kontrolleret måde. Kommissionen fremhæver, at standarden er bygget op omkring AI-systemets livscyklus og ikke omkring organisationen som helhed. Den er desuden designet til at lægge sig oven på eksisterende standarder som ISO/IEC 42001, ISO 9001 eller en sektorspecifik kvalitetsstandard som ISO 13485, ikke til at erstatte dem. Leverandører i regulerede sektorer kan dermed integrere deres ledelsessystemer i stedet for at køre flere ved siden af hinanden. Organisationer uden ISO/IEC 42001, som vil bringe højrisiko-AI på markedet i EU, kan bruge EN 18286 til enten at udvide et eksisterende kvalitetsstyringssystem eller bygge et nyt, der opfylder artikel 17.

Det er værd at lægge mærke til, hvem nyheden henvender sig til. Kommissionen nævner kun leverandører. Hverken brugere af systemerne, arbejdsgivere eller HR er nævnt. En formodning om overensstemmelse med artikel 17 siger derfor noget om leverandørens processer, ikke om hvordan en konkret arbejdsgiver bruger systemet i sin rekruttering.

Kommissionens oversigtsside om AI-forordningen, opdateret samme dag, placerer AI-værktøjer til beskæftigelse, ledelse af arbejdstagere og adgang til selvstændig virksomhed i kategorien højrisiko og nævner software til sortering af CV'er som eksempel. For den type systemer gælder ifølge samme side en række forpligtelser, før de kan komme på markedet. Siden nævner passende risikovurdering og risikobegrænsning, høj kvalitet i de datasæt, der fodrer systemet, logning af aktivitet så resultater kan spores, detaljeret dokumentation om systemet, passende menneskeligt tilsyn og et højt niveau af robusthed, cybersikkerhed og nøjagtighed.

Om et bestemt assessmentværktøj er et AI-system i forordningens forstand, afgør hverken nyheden eller oversigtssiden. Det er et spørgsmål, man må stille leverandøren direkte. Svaret afhænger af, hvordan værktøjet er bygget, og hvilken rolle det spiller i udvælgelsen.

Standarden er skrevet til leverandører, men den giver indkøbere et mere præcist spørgsmål at stille. Indtil nu kunne en leverandør besvare spørgsmålet om AI-forordningen med generelle forsikringer om, at man følger med i reglerne. Nu findes der en offentliggjort standard med en formodning om overensstemmelse, og det gør det muligt at spørge konkret.

Relevante spørgsmål i en indkøbsproces er, om leverandøren selv betragter sit system som højrisiko efter forordningen, om leverandøren allerede arbejder efter ISO/IEC 42001 eller ISO 9001 og har planer om at lægge EN 18286 ovenpå, om leverandøren kan vise dokumentation for de punkter, Kommissionen nævner, altså data, logning, menneskeligt tilsyn og nøjagtighed, og endelig hvornår leverandøren forventer at kunne dokumentere overensstemmelse.

En vigtig sondring hører med. Et kvalitetsstyringssystem siger noget om, hvordan leverandøren arbejder. Det siger ikke noget om, hvorvidt testen måler det, den påstår at måle. Validitet og kvalitetsstyring er to forskellige spørgsmål, og det ene erstatter ikke det andet.

Ifølge Kommissionens oversigtsside trådte AI-forordningen i kraft den 1. august 2024 og fandt anvendelse fra den 2. august 2026 med visse undtagelser. Med AI Omnibus, som trådte i kraft den 27. juli 2026, er reglerne for højrisikosystemer på de følsomme områder i bilag III, herunder beskæftigelse, udskudt til den 2. december 2027. Højrisikosystemer, der er indbygget i regulerede produkter under bilag I, har en overgangsperiode frem til den 2. august 2028. Kommissionen skriver, at harmoniserede standarder vil give retssikkerhed under forordningen.

Der er altså lidt over et år, til kravene gælder for rekrutteringsværktøjer. For leverandører betyder den første standard, at der nu findes en anerkendt vej til at opfylde én del af kravene. For arbejdsgivere betyder den, at spørgsmålet om efterlevelse kan stilles konkret i stedet for generelt.

Kilde: https://digital-strategy.ec.europa.eu/en/library/first-harmonised-standard-supporting-ai-act-published-official-journal