AI Act og rekruttering: HR's forpligtelser efter udsættelsen

AI Act rammer rekruttering hårdere end de fleste andre HR-opgaver, fordi forordningen placerer AI til ansættelse og udvælgelse i højrisiko-kategorien. Men tidslinjen er lige blevet lavet om: Rådet gav 29. juni 2026 endeligt grønt lys til Digital Omnibus on AI, der flytter højrisiko-kravene fra 2. august 2026 til 2. december 2027.

Det betyder ikke at I kan lægge emnet væk i 16 måneder. Fire sæt regler gælder allerede i dag, og et af dem — forbuddet mod følelsesgenkendelse på arbejdspladsen — er den dyreste bestemmelse i hele forordningen. I denne guide til AI Act og rekruttering får I den opdaterede tidslinje, en klar test for om jeres rekrutteringsværktøjer er højrisiko, forskellen på at være udbyder og idriftsætter, og en tjekliste over hvad der bedst kan betale sig at gøre nu.

Hvad betyder AI Act for rekruttering — kort fortalt

EU AI Act (forordning 2024/1689, på dansk AI-forordningen) inddeler AI-systemer efter risiko. Rekruttering og personaleadministration ligger i Annex III, punkt 4 — bilaget over selvstændige højrisiko-systemer. Begrundelsen er at systemerne påvirker menneskers adgang til arbejde og indkomst, og at fejl i træningsdata kan sætte diskrimination i system i stor skala.

Definition: Et højrisiko-AI-system er ikke et forbudt system. Det er et system I gerne må bruge, men kun med dokumentation, menneskeligt tilsyn, logning og gennemsigtighed på plads. Højrisiko handler om betingelser, ikke om forbud.

Det er værd at holde de to ting adskilt, fordi de har vidt forskellige datoer. Forbuddene i artikel 5 gælder allerede. Højrisiko-kravene er lige blevet udskudt.

Udsættelsen: Derfor er 2. august 2026 ikke længere deadline

Den oprindelige tidslinje sagde 2. august 2026 for Annex III. Sådan står det stadig i langt de fleste danske artikler om emnet — også i dem der blev opdateret i juli 2026. Det er forældet.

Forløbet var kort fortalt sådan: Kommissionen fremlagde Digital Omnibus on AI i november 2025. Europa-Parlamentet godkendte teksten formelt 16. juni 2026, og Rådet gav endeligt grønt lys 29. juni 2026 som del af den pakke der kaldes Omnibus VII. Retsakten offentliggøres i EU-Tidende og træder i kraft på tredjedagen efter offentliggørelsen.

De nye datoer er faste — de er ikke længere koblet til hvornår de harmoniserede standarder bliver færdige, sådan som Kommissionens oprindelige forslag lagde op til:

Bemærk den sidste linje. Gennemsigtighedskravene i artikel 50 blev ikke udskudt på samme måde — kun overgangsperioden for systemer der allerede var på markedet blev justeret. Bruger I en chatbot i rekrutteringsflowet, skal ansøgeren fortsat kunne se, at der er tale om en maskine.

Er jeres rekrutterings-AI højrisiko under AI Act?

Det praktiske spørgsmål er sjældent “er AI reguleret” men “rammer det lige præcis det værktøj vi bruger”. Testen er om systemet reelt påvirker en beslutning om et menneskes ansættelsesforhold.

Typisk højrisiko:

• Screening eller filtrering af ansøgninger, hvor systemet fravælger kandidater
• Rangering eller scoring af ansøgere i en shortlist
• Målrettede jobopslag, der bestemmer hvem der overhovedet ser stillingen
• Vurdering af kandidater i videointerview, personlighedstest eller cases
• Beslutningsstøtte til forfremmelse, opgavefordeling og opsigelse
• Overvågning og evaluering af medarbejderes præstation

Typisk ikke højrisiko:

• Sprogvask og korrektur af et jobopslag
• Generering af udkast til en stillingsbeskrivelse, som et menneske redigerer
• Automatisk mødebooking og kalenderkoordinering
• Referatskrivning fra et ansættelsessamtale, hvor referatet ikke scorer kandidaten
• Intern søgning i eget rekrutteringsarkiv uden rangering af personer

Grænsen går ved indflydelse på udvælgelsen. En stavekontrol i et jobopslag er ikke højrisiko. En model, der sorterer 400 ansøgninger ned til 20, er det — også selv om en medarbejder formelt træffer den endelige beslutning bagefter. Netop den nuance overser mange, fordi de tænker at “der sidder jo et menneske for enden”. Forordningen ser på om systemet påvirker udfaldet, ikke på hvem der klikker godkend.

Den fejl vi oftest ser: HR-afdelinger vurderer deres eksterne rekrutteringsplatform grundigt og overser samtidig de AI-funktioner, der er kommet ind i systemer de allerede havde. Matching-funktioner og kandidatforslag bliver rullet ud som produktopdateringer, uden at nogen tager stilling til om der nu er et højrisiko-system i huset.

Det gælder allerede nu — uanset udsættelsen

Her er kernen for enhver dansk HR-afdeling i 2026. Fire ting er i kraft i dag, og ingen af dem blev berørt af omnibus-pakken.

1. Forbuddet mod følelsesgenkendelse på arbejdspladsen. Artikel 5, stk. 1, litra f, forbyder AI-systemer, der udleder følelser hos personer på arbejdspladser og uddannelsesinstitutioner. Det har været gældende siden 2. februar 2025 og omfatter rekrutteringssituationen. Systemer, der analyserer ansigtsudtryk, stemmeføring eller mikroudtryk i et videointerview for at vurdere engagement, ærlighed eller egnethed, ligger i den forbudte kategori — ikke i højrisiko-kategorien.

2. AI-færdigheder. Artikel 4 kræver, at organisationer sikrer, at medarbejdere, der arbejder med AI-systemer, har tilstrækkelige kompetencer til at forstå og bruge dem forsvarligt. Kravet gælder alle, uanset risikoniveau, og har også været i kraft siden februar 2025. Vi har skrevet en gennemgang af, hvad det konkret betyder, i vores guide til AI-literacy som lovkrav.

3. GDPR. Databeskyttelsesforordningens artikel 22 giver ansøgere ret til ikke at være underlagt afgørelser baseret alene på automatisk behandling, når afgørelsen har væsentlig betydning. Et automatisk afslag er et klassisk eksempel. Dertil kommer kravet om konsekvensanalyse efter artikel 35. GDPR er ikke udskudt en dag, og Datatilsynet håndhæver det uafhængigt af AI-forordningen. Se vores GDPR-tjekliste for AI for de praktiske punkter.

4. Ansættelses- og ligebehandlingsretten. Forskelsbehandlingsloven gælder, uanset om en maskine eller en medarbejder har sorteret ansøgningerne. Hvis en model systematisk fravælger ansøgere over 50 år, er det et problem i dag — og AI Act ændrer ikke ved bevisbyrden i en klagesag.

I Danmark er tilsynet delt. Digitaliseringsstyrelsen er udpeget som markedsovervågningsmyndighed for fem af forbuddene i artikel 5, herunder følelsesgenkendelse på arbejdspladser, og fungerer samtidig som national koordinerende myndighed for AI-forordningen. Datatilsynet har to andre forbud samt hele GDPR-siden. Digitaliseringsstyrelsen udgav i oktober 2025 en vejledningspakke om de forbudte former for AI-praksis, og den er det mest konkrete danske materiale, der findes på området.

Hvis I er i tvivl om, hvor jeres værktøjer lander, er det ofte hurtigere at få en udefrakommende til at gennemgå listen end at diskutere den internt i tre måneder. Vi laver den type kortlægning som en afgrænset opgave — book en uforpligtende snak, så gennemgår vi jeres konkrete HR-stak sammen.

Udbyder eller idriftsætter: Hvilke forpligtelser rammer jer?

Forordningen lægger langt de tungeste krav på udbyderen. Næsten alle danske virksomheder er idriftsættere, og det er en markant lettere rolle. Forskellen er værd at få på plads, før I begynder at bygge dokumentation, I ikke skal levere.

I bliver udbyder, hvis I udvikler modellen selv, sætter jeres eget navn på et indkøbt system, eller ændrer et system så meget, at formålet reelt bliver et andet. Køber I HR-software med indbygget matching, er I idriftsætter — og så er det leverandøren, der skal have dokumentationen klar til december 2027.

Det giver en meget konkret indkøbsopgave: Få skriftligt fra leverandøren, hvornår de er klar, og hvad de leverer til jer. En leverandør, der ikke kan svare på det i 2026, er et risikopunkt uanset hvad forordningen hedder.

Læg særligt mærke til artikel 26, stk. 7. Den forpligter arbejdsgivere til at informere medarbejderrepræsentanter og berørte medarbejdere, før et højrisiko-system tages i brug på arbejdspladsen. I dansk kontekst er det en drøftelse i samarbejdsudvalget og en besked til tillidsrepræsentanten. Kravet følger højrisiko-tidslinjen, men det er den forpligtelse, vi oftest ser blive glemt, fordi den ikke ligner en it-opgave.

AI Act og rekruttering: Tidslinje for danske HR-afdelinger

Bøderammen er uændret. Overtrædelse af forbuddene i artikel 5 er den dyreste kategori med op til 35 mio. EUR eller 7 procent af den globale årsomsætning. For de fleste andre overtrædelser er loftet 15 mio. EUR eller 3 procent. For en dansk SMV er det sjældent bødeloftet, der er den reelle risiko — det er en klagesag fra en fravalgt ansøger og den omtale, der følger med.

Sådan bruger I de 16 ekstra måneder: 7-punkts tjekliste

Udsættelsen er reelt en gave, hvis I bruger den på det rigtige. Det forkerte er at begynde at skrive dokumentation for et system, leverandøren alligevel laver om inden december 2027. Her er den rækkefølge, vi anbefaler i compliance-projekter:

1. Lav en AI-oversigt over HR-stakken. Skriv hvert system ned, og noter for hvert: har det AI-funktioner, påvirker de udvælgelsen af mennesker, og hvem er udbyder. Det er den opgave, der altid tager længere tid end forventet.
2. Klassificer hvert system. Forbudt, højrisiko, gennemsigtighedskrav eller ingen særlige krav. Kun højrisiko udløser det store arbejde.
3. Ryd op i det forbudte med det samme. Er der følelses- eller personlighedsanalyse i et videointerview-værktøj, skal den funktion slås fra nu. Det er den ene ting, der ikke kan vente til 2027.
4. Sæt artikel 4-oplæringen i gang. Kravet gælder allerede, og det er billigt at efterleve: alle, der bruger AI i HR, skal forstå, hvad værktøjet gør, hvor det fejler, og hvornår et menneske skal ind over.
5. Stil kravet til leverandøren skriftligt. Bed om deres plan for 2. december 2027 og om hvilken dokumentation, I får udleveret som idriftsætter. Skriv det ind i kontrakten ved næste fornyelse.
6. Beskriv det menneskelige tilsyn. Hvem gennemgår hvad, hvor ofte, og hvad sker der, når systemet og mennesket er uenige? En halv side er nok, men den skal findes.
7. Aftal informationen til medarbejderne. Få formen på plads med samarbejdsudvalget nu, så den ikke skal opfindes under tidspres senere.

Punkt 1 og 3 er dem, der haster. Resten kan planlægges hen over 2027. Vores tjekliste til AI-compliance dækker de samme skridt for virksomheden som helhed, og guiden til AI-risikovurdering går i dybden med punkt 2 og 6.

Et typisk forløb: Kortlægningen finder mere, end nogen trøde

Sådan ser det ud i praksis, når vi laver kortlægningen hos en dansk virksomhed med omkring 120 ansatte og egen HR-funktion:

Udgangspunktet. HR mente, de brugte AI ét sted: et rekrutteringssystem med automatisk kandidatmatch. Vurderingen var, at det var leverandørens ansvar, og at der derfor ikke var mere at gøre.

Hvad kortlægningen fandt. Fire systemer med AI-funktioner, ikke ét. Rekrutteringsplatformen med matching. Et videointerview-værktøj med en engagement-score, som ingen havde bestilt, men som fulgte med en opdatering. En transskriptionstjeneste til samtaler. Og en funktion i HR-systemet, der foreslog kandidater til interne stillinger.

Beslutningerne. Engagement-scoren blev slået fra samme uge — den lå tæt på forbuddet i artikel 5 og gav ingen reel værdi i beslutningen. Matching og interne kandidatforslag blev noteret som højrisiko med leverandørkrav til december 2027. Transskription blev vurderet som ikke-højrisiko, fordi referatet ikke scorer nogen, men den kom med i GDPR-behandlingsfortegnelsen.

Tidsforbruget. Selve kortlægningen tog to arbejdsdage fordelt over tre uger. Den lange del var ikke analysen — det var at få svar fra leverandørerne på, hvad deres systemer faktisk gør.

Mønstret går igen: Virksomheder undervurderer systematisk, hvor mange AI-funktioner der allerede er i huset, fordi de er kommet ind som produktopdateringer i systemer, man købte, før nogen talte om AI-forordningen. Det er derfor punkt 1 på tjeklisten står først.

Hvad HR bør tage med videre

Udsættelsen til 2. december 2027 er reel, og den er god nyhed for enhver HR-afdeling, der stod med en august-deadline. Men den ændrer ikke ved, at forbuddene og kravet om AI-færdigheder gælder i dag, at GDPR aldrig blev udskudt, og at ansvaret for at vide, hvad der kører i jeres systemer, ligger hos jer — ikke hos leverandøren.

Den bedste investering lige nu er kortlægningen. Den er billig, den tager to dage, og den er forudsætningen for alt det andet. Når I ved, hvad I har, bliver resten et spørgsmål om planlægning frem mod december 2027 i stedet for et hastværksprojekt i november samme år.

Skal vi kigge på jeres HR-stak sammen? Vi gennemgår systemerne, klassificerer dem efter forordningen og giver jer en prioriteret liste — book en uforpligtende snak, så tager vi den derfra. Læs også vores brede gennemgang af EU AI Act for danske virksomheder og guiden til AI i HR og rekruttering, hvis I vil have det fulde billede først.

Ofte stillede spørgsmål om AI Act og rekruttering

Er AI Act udskudt for rekruttering?

Ja, men kun den del der handler om højrisiko-systemer. Rådet gav 29. juni 2026 endeligt grønt lys til Digital Omnibus on AI, der flytter kravene til selvstændige højrisiko-systemer i Annex III fra 2. august 2026 til 2. december 2027. Rekruttering hører under Annex III, punkt 4. Udsættelsen gælder derimod ikke forbuddene i artikel 5 eller kravet om AI-færdigheder i artikel 4 — de har været i kraft siden 2. februar 2025 og er uændrede.

Hvilke AI-værktøjer i rekruttering er højrisiko?

AI-systemer der bruges til at målrette jobopslag, screene eller filtrere ansøgninger, rangere kandidater, eller vurdere kandidater i for eksempel videointerviews og tests. Det samme gælder AI der påvirker forfremmelse, opsigelse, opgavefordeling eller overvågning af medarbejdere. Afgørende er om systemet reelt påvirker beslutningen. En stavekontrol i et jobopslag er ikke højrisiko — en model der sorterer 400 ansøgninger ned til 20 er.

Hvad er forskellen på udbyder og idriftsætter?

Udbyderen udvikler AI-systemet og sælger det under eget navn. Idriftsætteren bruger det i egen virksomhed. Næsten alle danske virksomheder er idriftsættere, og det er den lettere rolle: I skal bruge systemet efter brugsanvisningen, sikre menneskeligt tilsyn, opbevare logs og informere medarbejderne. Byggeriet af teknisk dokumentation og overensstemmelsesvurdering ligger hos udbyderen. Men bygger I selv modellen eller sætter jeres eget navn på et indkøbt system, bliver I udbyder med hele forpligtelsespakken.

Må vi bruge AI til at analysere ansøgeres følelser eller personlighed i et videointerview?

Følelsesgenkendelse på arbejdspladser er forbudt efter artikel 5, stk. 1, litra f, og har været det siden 2. februar 2025. Forbuddet omfatter rekrutteringssituationen. Digitaliseringsstyrelsen fører tilsyn med netop den bestemmelse i Danmark og udgav i oktober 2025 en vejledningspakke om de forbudte former for AI-praksis. Overtrædelse af et forbud er den dyreste kategori i forordningen med bøder op til 35 mio. EUR eller 7 procent af den globale omsætning.

Skal vi informere medarbejderne, før vi tager et AI-system i brug?

Ja. Artikel 26, stk. 7, forpligter arbejdsgivere til at informere medarbejderrepræsentanter og de berørte medarbejdere, før et højrisiko-AI-system tages i brug på arbejdspladsen. I dansk kontekst betyder det typisk en drøftelse i samarbejdsudvalget og en besked til tillidsrepræsentanten. Kravet følger højrisiko-tidslinjen og gælder derfor fra 2. december 2027 — men det er værd at indarbejde nu, fordi det alligevel er god praksis og ofte overlapper med jeres eksisterende samarbejdsaftale.

Hvad gælder helt uafhængigt af AI Act?

GDPR. Databeskyttelsesforordningens artikel 22 giver ansøgere ret til ikke at være underlagt en afgørelse baseret alene på automatisk behandling, når den har retsvirkning eller tilsvarende væsentlig betydning — og et automatisk afslag på en ansøgning er netop det. Dertil kommer kravet om en konsekvensanalyse efter artikel 35 ved behandling med høj risiko. GDPR er ikke udskudt, og Datatilsynet fører tilsyn med det uafhængigt af AI-forordningen.

Hvad bør vi gøre i de 16 ekstra måneder?

Brug dem på kortlægning og indkøbskrav i stedet for dokumentation I alligevel skal lave om. Konkret: lav en liste over de AI-funktioner der allerede findes i jeres HR-systemer, afklar hvilke der rammes af Annex III, få skriftligt fra leverandøren hvornår de er klar til december 2027, og sæt artikel 4-oplæringen i gang nu, fordi den allerede er et krav. Erfaringen fra compliance-projekter er at kortlægningen tager længere tid end forventet — ikke fordi den er svær, men fordi ingen ved hvor mange AI-funktioner der er sneget ind i eksisterende systemer.