AI-förordningen och rekrytering. Vad gäller för arbetsgivaren?

Läget 1 oktober 2026. Det här är ingen juridisk rådgivning.

Enligt EU:s AI-förordning (på engelska AI Act) räknas AI som används i rekrytering som högrisk. Det gäller system som används för att rikta jobbannonser, läsa och sortera ansökningar och bedöma kandidater. Efter en ändring sommaren 2026 gäller kraven för sådana system från den 2 december 2027. Förbudet mot att läsa av känslor hos kandidater gäller redan, sedan februari 2025. För er som arbetsgivare betyder det framför allt tre saker: använd systemet som leverantören anger, låt en människa med rätt kompetens ha tillsynen, och berätta för kandidaterna att AI används.

Vad säger AI-förordningen om rekrytering?

Förordningen är förordning (EU) 2024/1689. Den delar in AI-system efter risk. Vissa användningar är förbjudna, vissa är högrisk med hårda krav, och resten har lättare krav eller inga alls.

Rekrytering står i bilaga III, punkt 4(a). Där räknas som högrisk AI-system som är avsedda att användas för rekrytering eller urval av personer, särskilt för att rikta platsannonser, analysera och filtrera ansökningar och bedöma kandidater (bilaga III). Punkt 4(b) gäller beslut i en pågående anställning, som befordran, uppsägning och uppföljning av arbetsinsatser.

Det är en bred formulering. Ett verktyg som läser CV:n mot kriterier, ett test som rangordnar och en AI-intervju som bedömer svar hamnar i regel alla där.

Det finns ett undantag i artikel 6.3 för system som bara gör en snäv, förberedande uppgift utan betydande risk. Men ett system som profilerar personer räknas alltid som högrisk. Om ett enskilt verktyg omfattas av undantaget är en bedömning som leverantören ska göra och kunna visa.

När börjar kraven gälla?

Här har tidplanen ändrats, och det är lätt att läsa gamla uppgifter.

I den ursprungliga förordningen skulle kraven för högrisksystem i bilaga III gälla från 2 augusti 2026. Genom den så kallade digitala omnibusen, förordning (EU) 2026/1744, flyttades datumet till 2 december 2027. Omnibusen trädde i kraft den 27 juli 2026 (EU-kommissionen, 27 juli 2026). Skälet var att tekniska standarder och vägledning skulle hinna bli klara innan reglerna börjar gälla.

Några delar gäller redan:

• Förbudet mot känsloigenkänning på arbetsplatsen, artikel 5.1 f, gäller sedan 2 februari 2025. Det förbjuder AI som drar slutsatser om en persons känslor i arbetslivet, med undantag för medicinska skäl och säkerhetsskäl (artikel 5). En intervju som tolkar ansiktsuttryck eller röstläge för att läsa av känslor hos kandidaten är alltså inte tillåten.
• Kravet på AI-kunnighet i artikel 4 gäller också sedan februari 2025, men omnibusen har formulerat om det. Hur mycket ansvaret för arbetsgivaren ändrats beskrivs olika i olika källor. Läs den nya lydelsen eller fråga er jurist.

Det som är osäkert: datumet 2 december 2027 är beslutat, men standarderna och kommissionens riktlinjer för högrisksystem är inte klara. Detaljerna i vad som krävs kan alltså fortfarande bli tydligare. Vi uppdaterar inlägget när något ändras.

Vad betyder det för er som arbetsgivare?

Förordningen skiljer mellan leverantör, den som utvecklar systemet, och tillhandahållare (på engelska deployer), den som använder det. Som arbetsgivare är ni oftast tillhandahållare. Era skyldigheter står i artikel 26. De viktigaste för rekrytering:

Använd systemet som det är tänkt. Följ leverantörens bruksanvisning och använd det för det syfte det är byggt för.

Låt en människa ha tillsynen. Den som har tillsyn över systemet ska ha kompetens, utbildning och befogenhet att göra det. I praktiken: rekryteraren ska förstå vad underlaget bygger på och kunna gå emot det.

Se till att indata är relevanta. I den mån ni styr vad som matas in, till exempel frågor och kriterier, ska det vara relevant för syftet.

Övervaka och rapportera. Ni ska hålla koll på hur systemet fungerar och säga till leverantören om ni ser risker eller allvarliga incidenter.

Spara loggarna. Loggar som systemet skapar automatiskt ska sparas i minst sex månader, om inte annan lag säger något annat.

Informera. Personer som berörs av beslut där ett högrisksystem används ska få veta det. Använder ni systemet för egna anställda ska arbetstagarnas representanter och de berörda informeras innan.

Utöver detta ger artikel 86 den som berörs av ett beslut rätt att få en förklaring av vilken roll AI-systemet hade. Och dataskyddsförordningen gäller som vanligt, med er som personuppgiftsansvariga.

Vilka frågor ska ni ställa till en leverantör?

Det här är frågorna vi själva skulle ställa. De går att använda oavsett vilket verktyg ni tittar på.

1. Hur klassar ni systemet enligt AI-förordningen, och varför? Ett system som bedömer kandidater bör klassas som högrisk enligt bilaga III 4(a). Säger leverantören något annat, be om skälen.
2. Finns teknisk dokumentation enligt artiklarna 9 till 14? Riskhantering, data, teknisk dokumentation, loggning, transparens och mänsklig tillsyn.
3. Fattar systemet några beslut själv? Vem avvisar kandidater, och kan rekryteraren alltid gå emot underlaget?
4. Vad bygger en bedömning på? Kan ni se varför en kandidat bedömts som hon gjort?
5. Läser systemet av känslor, röst, ansikte eller personlighet? Känsloigenkänning på arbetsplatsen är förbjuden sedan 2025.
6. Vad får kandidaten veta? Står det tydligt att samtalet hålls av en AI?
7. Var lagras datan, och tränas modeller på den? Be om personuppgiftsbiträdesavtal och listan över underbiträden.
8. Vilka loggar sparas, och hur länge? Ni behöver kunna spara loggar i minst sex månader.

Hur ser Aleida på det?

Vi bedömer Aleida som ett högrisksystem enligt bilaga III 4(a), med oss som leverantör, och vi dokumenterar redan mot artiklarna 9 till 14. Samtalet är text, utan video, röst eller bild, och utan känsloanalys eller personlighetsmätning. Aleida fattar inga beslut. Varje bedömning har ett citat under sig, och rekryteraren kan alltid gå emot underlaget. Kandidatdata ligger inom EU och används inte för att träna AI-modeller. Mer finns på säkerhetssidan, där ni också kan be om dokumentationen.

Vanliga frågor

Gäller AI-förordningen redan för rekrytering?

Delvis. Förbudet mot känsloigenkänning på arbetsplatsen gäller sedan 2 februari 2025. Kraven för högrisksystem, där rekrytering ingår, gäller från 2 december 2027.

Är vi som arbetsgivare ansvariga, eller leverantören?

Båda, för olika saker. Leverantören ansvarar för att systemet uppfyller kraven. Ni som använder det ansvarar enligt artikel 26 för hur det används: tillsyn, information till kandidater och loggar.

Vilken svensk myndighet har tillsyn?

Regeringen beslutade den 15 juni 2026 att Post- och telestyrelsen, Integritetsskyddsmyndigheten och Finansinspektionen blir marknadskontrollmyndigheter för AI-förordningen (IMY, 15 juni 2026). Vilken av dem som har tillsyn över AI i rekrytering har vi inte kunnat bekräfta.

Räknas en AI som bara läser CV:n som högrisk?

I regel ja. Bilaga III nämner uttryckligen att analysera och filtrera ansökningar. Om undantaget i artikel 6.3 gäller för ett visst verktyg ska leverantören kunna visa.