Europas datatilsyn har valgt deres næste fælles mål: automatiske afgørelser i rekruttering, herunder AI-drevet screening af jobansøgere. Det danske Datatilsyn har deltaget i de koordinerede indsatser fire år i træk, og værktøjerne til at sortere ansøgerfeltet står nu forrest i køen.
Automatisk kandidatscreening bliver tema for den sjette koordinerede indsats
Det Europæiske Databeskyttelsesråd (EDPB) vedtog på sit plenarmøde tre ting på én gang: en udtalelse om Sydkoreas fortsatte status som sikkert tredjeland, de endelige anbefalinger om bindende virksomhedsregler for databehandlere – og emnet for den sjette koordinerede tilsynsindsats under Coordinated Enforcement Framework (CEF).
Emnet bliver automatiske afgørelser i rekruttering. Tilsynene vil undersøge, om virksomheder, der bruger værktøjer til automatisk screening af kandidater, overholder retten til ikke at være genstand for afgørelser, der alene bygger på automatisk behandling, og den indsigtsret, der følger med. De nationale tilsyn kan tilslutte sig frivilligt i de kommende uger, og indsatsen kører i løbet af 2027. Resultaterne samles i en fælles europæisk rapport.
Hvad indsatsen betyder for rekrutteringsprocessen
De tidligere runder viser, hvor bredt en CEF-indsats rammer. Ifølge Datatilsynet deltager 25 tilsynsmyndigheder i EU/EØS i årets indsats om oplysningspligten.
| År | Tema for den koordinerede indsats |
|---|---|
| 2024 | Indsigtsretten |
| 2025 | Retten til sletning |
| 2026 | Oplysningspligten |
| 2027 | Automatiske afgørelser i rekruttering, herunder AI-screening |
For arbejdsgivere og rekrutteringsansvarlige peger det på fire dokumentationsspørgsmål, der bør kunne besvares, før et tilsyn banker på:
- Træffer værktøjet reelt afgørelsen, eller indgår resultatet i en menneskelig vurdering med beslutningskraft?
- Hvilken logik og hvilke kriterier ligger bag rangering, scoring og frasortering?
- Hvad får ansøgeren at vide om den automatiske behandling – og hvornår?
- Hvordan besvares en indsigtsanmodning fra en afvist ansøger, herunder om screeningresultatet?
Koncernernes databehandlerregler skal bringes i orden
EDPB vedtog samtidig den endelige udgave af anbefaling 1/2026 om bindende virksomhedsregler for databehandlere (BCR-P) efter GDPR artikel 47. Anbefalingerne gælder for alle koncerner, der allerede har godkendte BCR-P, og for nye og igangværende ansøgere. Reglerne skal bringes i overensstemmelse enten under ansøgningsprocessen eller ved den årlige opdatering i 2028.
Det rammer direkte leverandørstyringen i de virksomheder, der lader HR- og rekrutteringsdata flyde til koncernselskaber uden for EU.
Sydkorea beholder sin status som sikkert land
EDPB bakker op om, at persondata fortsat kan sendes frit til Sydkorea på grundlag af Kommissionens tilstrækkelighedsafgørelse. Koreanske borgere har efter lovændringerne fået ret til at afvise en automatisk afgørelse – også truffet af et AI-system – eller få den forklaret, når den i væsentlig grad påvirker deres rettigheder.
"Den gensidige anerkendelse af ligeværdige databeskyttelsesstandarder mellem EU og Republikken Korea i 2025 var et stort skridt, der bekræftede den voksende tilnærmelse mellem de to regelsæt," siger EDPB's formand, Anu Talus.
Rådet beder dog Kommissionen holde øje med en ny hjemmel om behandling af hensyn til "offentlig sikkerhed, folkesundhed osv." og med videreoverførsler til lande, som Sydkorea har godkendt, men EU ikke har.
Fælles EU-regler for AI-sandkasser gør test gratis for mindre virksomheder
Kommissionen har vedtaget en gennemførelsesforordning, der fastsætter fælles regler for, hvordan de regulatoriske AI-sandkasser efter AI-forordningens artikel 57 oprettes, drives og overvåges. Alle medlemslande skal have mindst én national sandkasse, og lande kan opfylde kravet i fællesskab. Både EU's AI-kontor og Den Europæiske Tilsynsførende for Databeskyttelse kan oprette sandkasser på EU-niveau.
Prissætningen er differentieret:
| Deltager | Betaling |
|---|---|
| SMV'er, herunder startups | Gratis vejledning, rådgivning og tilsyn |
| Offentlige myndigheder og organer | Samme ordning som SMV'er |
| Øvrige virksomheder | Gebyr svarende til de fulde omkostninger |
| Udbydere uden kontor eller filial i EU | Deltagelsesgebyr og pligt til at udpege en bemyndiget repræsentant |
Ansøgningen skal angå et AI-system, der endnu ikke er på markedet, skal ændres væsentligt eller er blevet et højrisikosystem på grund af sin anvendelse. Myndigheden skal svare senest tre måneder efter en fuldstændig ansøgning, og afslag kan påklages efter de nationale forvaltningsregler. Deltagelsen afsluttes med en skriftlig dokumentation og en exitrapport, som markedsovervågningsmyndigheder og bemyndigede organer i alle medlemslande skal anerkende – men som ikke er en godkendelse til at markedsføre systemet.
I Danmark driver Digitaliseringsstyrelsen og Datatilsynet allerede en regulatorisk sandkasse for AI med gratis vejledning om GDPR og risikoklassificering, men uden dispensation fra gældende regler og uden testplatform.
Rækkefølgen er blevet kritiseret. Den tyske organisation GISAD skriver i sit høringssvar til Kommissionen:
"The testing infrastructure thus arrives only after the systems it is meant to test are already in operation."
Offentlige arbejdsgivere får en generel hjemmel til AI og beslutningsstøtte
Lovforslag L 99 giver offentlige myndigheder og organer et supplerende nationalt retsgrundlag til at udvikle og anvende AI-systemer, når de behandler personoplysninger efter databeskyttelsesforordningens artikel 6, stk. 1, litra e. Anvendelsesområdet er bredt og omfatter stat, regioner, kommuner, nævn, råd og domstolene.
Lovforslaget definerer beslutningsstøtte som:
forslag eller anbefalinger fra et AI-system til afgørelser eller væsentlige tiltag over for den registrerede, som en fysisk person inddrager i sin egen samlede faglige vurdering, uden at AI-systemet selv træffer afgørelsen.
Der skal altså være reel menneskelig involvering. Hjemlen rækker til:
- udvikling og anvendelse af AI-systemer, herunder til beslutningsstøtte og profilering, på grundlag af oplysninger, myndigheden allerede behandler
- viderebehandling af oplysninger fra historiske og lukkede sager til udvikling af AI-systemer, uden forenelighedsvurdering efter artikel 6, stk. 4
Og den rækker udtrykkeligt ikke til at indsamle nye oplysninger, videregive oplysninger til andre myndigheder eller træffe automatiske individuelle afgørelser efter artikel 22. Vedkommende minister kan fastsætte garantier ved følsomme oplysninger og oplysninger om strafbare forhold – og kan efter artikel 23 begrænse den registreredes rettigheder efter artikel 12 og 15-21, mens oplysningspligten efter artikel 13 og 14 ikke kan begrænses. Datatilsynet skal høres, før regler udstedes, og myndighederne skal fortsat leve op til databeskyttelsesreglerne og vejledningen om offentlig brug af kunstig intelligens.
EU-Domstolen afviser generelle afslag på indsigt
EU-Domstolen har i sag C-205/25 fastslået, at en tilsynsmyndighed, der behandler en klage, selv er dataansvarlig for de personoplysninger om klageren, der indgår i sagen – og at den ikke generelt kan nægte indsigt efter databeskyttelsesforordningens artikel 15.
Dommen handler om myndigheder, men pointen er den samme for arbejdsgivere, der modtager indsigtsanmodninger midt i en personalekonflikt eller fra en afvist ansøger: et standardafslag med henvisning til sagens karakter holder ikke. Afslag kræver en konkret vurdering af de enkelte oplysninger og en begrundelse, der kan efterprøves.
Sammenholdt med den koordinerede indsats i 2027 tegner der sig et klart mønster. Når tilsynene ser på automatisk screening, ser de både på selve beslutningsprocessen og på, hvad ansøgeren kan få at vide bagefter. De to spørgsmål besvares i praksis af det samme materiale: dokumentationen for, hvem der besluttede hvad, på hvilket grundlag, og hvad der blev gemt undervejs.
