Siesta AI
AI inom HR rör sig från ”intressant experimenterande” till fullt juridiskt ansvar i EU. EU:s AI-förordning gör den förflyttningen konkret, och för många HR-användningsfall är nyckeldatumet 2 augusti 2026, när de strängaste skyldigheterna börjar gälla. Om ditt företag använder AI i rekrytering eller personalhantering är det praktiska målet att kunna förklara vad ni använder, varför ni använder det och vilka kontroller som finns runt det – inte bara att säga ”leverantören är compliant”.
Varför HR granskas enligt EU:s AI-förordning
EU:s AI-förordning klassificerar AI-system efter risk, och HR ligger högt på radarn eftersom HR-system kan påverka en persons karriär, inkomst och integritet. Det är därför många verktyg som känns rutinmässiga internt i företag ändå kan hamna i kategorin hög risk när de påverkar rekrytering, urval, befordran, uppsägning, uppgiftsfördelning eller prestationsövervakning. En mindre uppenbar poäng är att ”hög risk” ofta handlar mindre om modellens sofistikering och mer om var resultatet landar i beslutskedjan. Även en enkel rangordnings- eller poängfunktion kan skapa betydande skyldigheter om den filtrerar kandidater eller formar beslut om anställda.
Ur ett operativt perspektiv kommer de flesta företag inte att ha ett enda ”AI i HR”-system. De kommer att ha en kedja: funktioner i ATS, test- och bedömningsleverantörer, analyslager och ibland tillägg i större plattformar. Efterlevnadsproblem uppstår typiskt i glappen mellan dessa verktyg, när ingen tydligt kan svara på vilka delar som är automatiserade, vilka data de använder och vem som ansvarar för tillsynen.
Vad förändras den 2 augusti 2026, och vad som redan gäller innan dess
Enligt APČR börjar från och med 2 augusti 2026 de strängaste reglerna gälla för kategorin hög risk, som omfattar vanliga HR-scenarier som automatiserad CV-sortering, utvärdering av videointervjuer, tester av kandidater online samt system som används för att hantera arbetstagare (befordran, uppsägning, uppgiftstilldelning, prestationsövervakning). Den praktiska innebörden är att företag bör se augusti 2026 som en deadline för att ha styrning på plats, inte som en deadline för att läsa regelverket. Om ni väntar kommer ni att göra riskklassificering, leverantörsgranskning, intern dokumentation och utbildning samtidigt, vilket ofta ger svagt underlag och stressade beslut.
APČR lyfter också att vissa krav redan gäller från februari 2025. Ett exempel är att system för känsloigenkänning på arbetsplatsen beskrivs som strikt förbjudna, så om något i er stack liknar emotionsdetektering är det inte en fråga som är ”bra att se över senare”, utan en stoppa-och-åtgärda-fråga. APČR pekar också på skyldigheten att säkerställa AI-kunskap hos medarbetare som arbetar med dessa tekniker, vilket ofta underskattas eftersom det kräver konsekvent praktik över HR, rekryterande chefer, juridik och IT – inte bara ett engångstillfälle. Slutligen noterar APČR att användare kan behöva informera och samråda med arbetstagarrepresentanter innan ett högrisk-system tas i drift (med hänvisning till artikel 26(11)), vilket innebär att själva utrullningsplanen kan skapa efterlevnadsrisk om samrådet sker efter go-live.
Vad arbetsgivare behöver kunna garantera i praktiken, och hur man börjar
APČR sammanfattar fyra pelare som arbetsgivare behöver kunna garantera vid användning av AI-verktyg med hög risk: mänsklig tillsyn, transparens, revision och rättvisa samt dokumentation. Mänsklig tillsyn måste vara verklig, vilket innebär att maskinen inte kan fatta slutliga beslut utan mänsklig kontroll, och att tillsyn inte kan reduceras till att bara godkänna utdata slentrianmässigt. Transparens innebär att människor tydligt måste informeras när AI ingår i ett relevant steg, och i HR involverar det ofta kandidater eller anställda – inte bara interna användare som redan vet att de klickade på en AI-funktion. Revision och rättvisa kräver regelbundna kontroller för att minska risken för oavsiktlig diskriminering (APČR nämner ålder och kön som exempel), och det är svårt att försvara om ni inte kan återskapa vilken modell, konfiguration och vilka data som gav ett visst resultat vid en viss tidpunkt. Dokumentation är ryggraden som låter er bevisa säkerhet och förklara hur resultat produceras, och den måste spegla er faktiska driftsättning – inte bara generiska leverantörs-PDF:er.
APČR rekommenderar tre praktiska första steg: kartlägg era verktyg, verifiera leverantörer och investera i utbildning. Om kartläggningen görs rätt är den inte bara en lista över ”AI-verktyg”, utan en inventering av var AI berör HR-flöden, inklusive funktioner som är dolda i plattformar som inte marknadsförs som AI-produkter. Leverantörsverifiering bör fokusera på bevis som ni kan omsätta i drift: tydliga ansvarsförklaringar, tillgång till teknisk dokumentation och förmåga att stödja era behov av tillsyn, loggning och ändringsstyrning. Utbildning bör vara kontinuerlig och rollbaserad, och lära människor att använda utdata ansvarsfullt, var AI inte får fatta beslut och hur man dokumenterar överstyrningar och undantag – eftersom det är detaljerna som håller när frågor kommer senare.
