Siesta AI
AI i HR beveger seg fra «interessant eksperimentering» til fullt juridisk ansvar i EU. EUs AI Act gjør dette skiftet konkret, og for mange HR-bruksområder er nøkkeldatoen 2. august 2026, når de strengeste pliktene begynner å gjelde. Hvis virksomheten din bruker AI i rekruttering eller arbeidsstyring, er det praktiske målet å kunne forklare hva dere bruker, hvorfor dere bruker det, og hvilke kontroller som finnes rundt det — ikke bare å si «leverandøren er i samsvar».
Hvorfor HR er under særlig oppsyn under EUs AI Act
EUs AI Act klassifiserer AI-systemer etter risiko, og HR er høyt på radaren fordi HR-systemer kan påvirke en persons karriere, inntekt og personvern. Derfor kan mange verktøy som føles rutinemessige internt i virksomheter, likevel havne i høyrisiko-kategorien når de påvirker rekruttering, utvelgelse, forfremmelse, oppsigelse, oppgavefordeling eller prestasjonsovervåking. Et ikke åpenbart poeng er at «høyrisiko» ofte handler mindre om modellens sofistikasjon og mer om hvor resultatet treffer i beslutningskjeden. Selv en enkel rangerings- eller scoringsfunksjon kan utløse betydelige forpliktelser dersom den filtrerer kandidater eller påvirker beslutninger om ansatte.
Operasjonelt vil de fleste virksomheter ikke ha ett enkelt «AI i HR»-system. De vil ha en kjede: ATS-funksjoner, leverandører av tester og vurderinger, analysetillegg og noen ganger påbygg i bredere plattformer. Etterlevelsesproblemer oppstår typisk i gapene mellom disse verktøyene, når ingen kan svare tydelig på hvilke deler som er automatisert, hvilke data som brukes, og hvem som er ansvarlig for oppfølging og kontroll.
Hva som endrer seg 2. august 2026, og hva som allerede gjelder før det
Ifølge APČR starter fra 2. august 2026 de strengeste reglene å gjelde for høyrisiko-kategorien, som omfatter vanlige HR-scenarier som automatisert CV-sortering, evaluering av videointervjuer, nettbasert kandidat-testing og systemer brukt til å styre arbeidstakere (forfremmelse, oppsigelse, oppgavetildeling, prestasjonsovervåking). Den praktiske konsekvensen er at virksomheter bør behandle august 2026 som en frist for å ha styring og kontroll på plass, ikke som en frist for å begynne å lese regelverket. Hvis du venter, ender du med å gjøre risikoklassifisering, leverandørgjennomgang, intern dokumentasjon og opplæring samtidig, noe som ofte gir svakt bevisgrunnlag og forhastede beslutninger.
APČR fremhever også at noen krav allerede gjelder fra februar 2025. Et eksempel er at systemer for emosjonsgjenkjenning på arbeidsplassen beskrives som strengt forbudt, så hvis noe i verktøystakken din ligner emosjonsdeteksjon, er det ikke et «fint å se på senere»-tema, men et stopp-og-rett-problem. APČR peker også på plikten til å sikre AI-kompetanse for ansatte som jobber med disse teknologiene, noe som ofte undervurderes fordi det krever jevn praksis på tvers av HR, ansettende ledere, juridisk og IT — ikke bare en engangsopplæring. Til slutt bemerker APČR at virksomheter som tar i bruk systemer kan måtte informere og konsultere ansatterepresentanter før et høyrisikosystem settes i drift (med henvisning til artikkel 26(11)), noe som betyr at selve utrullingsplanen kan skape etterlevelsesrisiko hvis konsultasjon skjer etter go-live.
Hva arbeidsgivere må kunne garantere i praksis, og hvordan starte
APČR oppsummerer fire pilarer som arbeidsgivere må kunne garantere ved bruk av høyrisiko AI-verktøy: menneskelig kontroll, transparens, revisjon og rettferdighet, og dokumentasjon. Menneskelig kontroll må være reell, det vil si at maskinen ikke kan ta endelige beslutninger uten menneskelig styring, og kontroll kan ikke reduseres til å godkjenne utdata ukritisk. Transparens betyr at folk må informeres tydelig når AI inngår i et relevant trinn, og i HR gjelder det ofte kandidater eller ansatte, ikke bare interne brukere som allerede vet at de har klikket på en AI-funksjon. Revisjon og rettferdighet krever regelmessige kontroller for å redusere risikoen for utilsiktet diskriminering (APČR nevner alder og kjønn som eksempler), og dette er vanskelig å forsvare hvis du ikke kan rekonstruere hvilken modell, konfigurasjon og data som ga et bestemt resultat på et bestemt tidspunkt. Dokumentasjon er ryggraden som lar deg bevise sikkerhet og forklare hvordan resultater produseres, og den må gjenspeile den faktiske implementeringen din — ikke bare generiske leverandør-PDF-er.
APČR anbefaler tre praktiske første steg: kartlegg verktøyene dine, verifiser leverandører og invester i opplæring. Gjort riktig er kartleggingen ikke bare en liste over «AI-verktøy», men en oversikt over hvor AI berører HR-arbeidsflyter, inkludert funksjoner som er skjult inne i plattformer som ikke markedsføres som AI-produkter. Leverandørverifisering bør fokusere på dokumentasjon og bevis som kan omsettes i praksis: tydelige ansvarsavklaringer, tilgang til teknisk dokumentasjon og evne til å støtte behovene deres for kontroll, logging og endringsstyring. Opplæring bør være kontinuerlig og rollebasert, og lære folk å bruke utdata ansvarlig, hvor AI ikke skal avgjøre, og hvordan man dokumenterer overstyringer og unntak — fordi det er disse detaljene som står seg når spørsmål kommer senere.
