Hvordan viser vi, at et menneske har truffet afgørelsen? GDPR artikel 22 og AI
Kort svar
Har en afgørelse retsvirkning eller tilsvarende betydning for en person – fx afslag på et job – må den ikke alene bygge på automatisk behandling (GDPR art. 22). Et menneske med kompetence og myndighed skal reelt vurdere sagen og kunne gå imod AI'ens anbefaling. Gem, hvem der afgjorde, hvornår, på hvilket grundlag og hvorfor. Fra 2. december 2027 stiller AI Act desuden krav om menneskeligt tilsyn ved højrisiko-AI som rekruttering.
Hvornår gælder artikel 22?
GDPR artikel 22 handler om afgørelser, der alene bygger på automatisk behandling, og som har retsvirkning eller tilsvarende betydning for personen. Et afslag på et job, en opsigelse eller en lønafgørelse er typiske eksempler. GDPR nævner selv elektronisk rekruttering uden menneskelig indgriben.
Lader I AI'en sortere ansøgere fra, uden at et menneske reelt ser på sagen, er I inde på artikel 22. Lader I AI'en anbefale, og et menneske afgør, er I det ikke – forudsat at mennesket faktisk vurderer sagen.
Hvad er en reel menneskelig vurdering?
Det er ikke nok, at et menneske skriver under på det, AI'en har besluttet. De europæiske datatilsyns retningslinjer peger på tre ting:
- Personen har myndighed til at ændre afgørelsen.
- Personen har kompetence til at vurdere sagen.
- Personen ser på alle relevante oplysninger – ikke kun AI'ens konklusion.
Derfor viser GoalCube Human Decision sagens fakta ved siden af AI'ens anbefaling, én sag ad gangen, og mennesket kan godkende, vælge en anden afgørelse eller bede om flere oplysninger. Prøv det:
Sagens fakta
Mette Hansen
- Nuværende titel
- Senior controller
- Erfaring
- 12 år
- CV
- Mette Hansen har arbejdet 12 år med budget og månedsrapportering hos Vestjysk Træ A/S. Hun har indført et nyt ERP-system og leder et team på tre. Kontakt: mette.hansen@eksempel.dk.
AI'ens anbefaling
Indkald til samtale
Begrundelse: 12 års erfaring med budget og rapportering, har indført et ERP-system og kommer fra en produktionsvirksomhed.
AI'en er usikker på:
Revisionslog
- Afgørelserne gemmes her med tid og tidsstempel.
Fiktive kandidater. I GoalCube kræver afgørelsen også passkey, og loggen får et uafhængigt tidsstempel.
Hvad kræver AI Act?
AI til rekruttering og til afgørelser om ansættelsesforhold er højrisiko efter AI Act (bilag III, punkt 4). Efter Digital Omnibus gælder reglerne fra 2. december 2027. Virksomheder, der bruger sådan AI, skal blandt andet:
- overlade det menneskelige tilsyn til personer med den nødvendige kompetence, uddannelse og myndighed (artikel 26)
- informere medarbejderrepræsentanter og de berørte medarbejdere, før AI tages i brug på arbejdspladsen (artikel 26)
- kunne give en forklaring til den, der berøres af en afgørelse (artikel 86)
AI-systemet skal desuden være lavet, så mennesker kan overvåge det og er opmærksomme på risikoen for at stole for meget på AI'en (artikel 14).
Hvad skal I kunne vise?
Spørger en ansøger, en medarbejder eller et tilsyn, skal I kunne svare på:
| Spørgsmål | Det skal I have gemt |
|---|---|
| Hvem afgjorde sagen? | Navn eller rolle og en sikker log ind, fx passkey |
| Hvornår? | Tidspunkt, gerne med et uafhængigt tidsstempel |
| På hvilket grundlag? | Sagens fakta og AI'ens anbefaling med begrundelse |
| Hvorfor? | Menneskets afgørelse og begrundelse |
| Kan det være ændret bagefter? | En log, der ikke kan ændres uden at det kan ses |
Sådan gør I
- Find de steder, hvor AI hjælper med afgørelser om personer.Typisk rekruttering, forfremmelse, opsigelse, løn, arbejdsfordeling og kundesager med afslag.
- Lad AI'en anbefale – ikke afgøre.AI'en må gerne forberede sagen og give en anbefaling med begrundelse. Afgørelsen er et menneskes.
- Udpeg, hvem der afgør.Personen skal have viden om området og lov til at gå imod AI'ens anbefaling. Et automatisk klik på 'godkend' er ikke nok.
- Vis fakta ved siden af anbefalingen, én sag ad gangen.Den, der afgør, skal kunne se grundlaget – ikke kun AI'ens konklusion – og have tid til at vurdere hver sag.
- Gem afgørelsen, så den ikke kan ændres bagefter.Hvem, hvornår, hvad AI'en anbefalede, hvad mennesket afgjorde og hvorfor. Et uafhængigt tidsstempel gør det stærkere.
- Fortæl de berørte om det.Personen har ret til at vide, at AI indgår, og til at få et menneske til at se på sagen og gøre indsigelse.
Det siger loven
- GDPR artikel 22 – automatiske afgørelser
- Retten til ikke at være genstand for en afgørelse, der alene bygger på automatisk behandling, når den har retsvirkning eller tilsvarende betydning. Undtagelser kræver bl.a. ret til menneskelig indgriben og til at gøre indsigelse.
- GDPR betragtning 71
- Nævner netop elektronisk rekruttering uden menneskelig indgriben som eksempel.
- GDPR artikel 13, 14 og 15
- Personen skal informeres om automatiske afgørelser og have meningsfuld information om logikken bag.
- AI Act bilag III, punkt 4 – beskæftigelse
- AI til rekruttering og udvælgelse og til afgørelser om ansættelsesforhold er højrisiko. Reglerne gælder fra 2. december 2027 efter Digital Omnibus.
- AI Act artikel 14 og 26 – menneskeligt tilsyn
- Højrisiko-AI skal kunne overvåges af mennesker, og virksomheden skal overlade tilsynet til personer med den nødvendige kompetence, uddannelse og myndighed. Medarbejdere skal informeres, før AI tages i brug på arbejdspladsen.
- AI Act artikel 86 – ret til en forklaring
- Den, der berøres af en afgørelse baseret på højrisiko-AI, kan få en klar forklaring på AI'ens rolle og de vigtigste elementer i afgørelsen.
Spørgsmål og svar
Er det nok, at en leder trykker 'godkend'?
Nej, ikke hvis godkendelsen i praksis er en formalitet. Ifølge de europæiske datatilsyns retningslinjer skal den menneskelige vurdering være reel: personen skal have myndighed og kompetence til at ændre afgørelsen og se på alle relevante oplysninger.
Gælder det også små virksomheder?
Ja. GDPR artikel 22 gælder uanset virksomhedens størrelse, og den gælder allerede i dag. Reglerne for højrisiko-AI i AI Act gælder fra 2. december 2027.
Er en AI-score en afgørelse, selv om et menneske skriver under?
Det kan den være. EU-Domstolen fastslog i SCHUFA-sagen (C-634/21) i 2023, at en automatisk beregnet score i sig selv kan være en afgørelse, hvis den spiller en afgørende rolle for det endelige resultat.
Skal vi gemme AI'ens anbefaling?
Det er en god idé. Så kan I vise, at mennesket vurderede sagen – også når mennesket var enig med AI'en – og forklare afgørelsen, hvis personen spørger.
Hvad hvis mennesket er uenigt med AI'en?
Så afgør mennesket anderledes og skriver hvorfor. Det er netop det, der viser, at vurderingen er reel. AI'en må aldrig ændre menneskets afgørelse bagefter.
Kilder
- Forordning (EU) 2016/679 (GDPR) på EUR-Lex
- Forordning (EU) 2024/1689 (AI Act) på EUR-Lex
- EU-Domstolen, sag C-634/21 (SCHUFA), 7. december 2023
- Artikel 29-gruppen: retningslinjer om automatiske afgørelser og profilering (WP251), tiltrådt af EDPB
Skrevet af GoalCubes redaktion. Senest opdateret 11. oktober 2026. GoalCube hjælper jer med at følge AI Act og GDPR. Det er ikke juridisk rådgivning.
Vær blandt de første.
Vi forventer at gå i luften i november 2026. Skriv jer op, så hører I fra os, når I kan komme i gang.