EDPB udpeger AI-ansættelser til fælles håndhævelse i 2027

På sit møde den 10. november 2026 valgte Det Europæiske Databeskyttelsesråd (EDPB) emnet for den koordinerede håndhævelsesindsats i 2027 under Coordinated Enforcement Framework (CEF)Datatilsynet: automatiske afgørelser, herunder AI-drevne automatiske afgørelser, i rekrutteringDatatilsynet. EDPB vedtager emnet og den fælles spørgerammeDatatilsynet, mens hver national tilsynsmyndighed tilrettelægger sin egen nationale undersøgelseDatatilsynet. Datatilsynet deltager i 2027-indsatsenDatatilsynet og påbegynder snart tilrettelæggelsen af den danske undersøgelse.

CEF er EDPB's årlige fælles håndhævelsesramme, bygget på netop denne arbejdsdeling: EDPB fastsætter ét emne og den fælles spørgeramme, og hver deltagende myndighed gennemfører sin egen nationale undersøgelse. Mere konkret vil 2027-indsatsen fokusere på håndhævelse af retten til ikke at være genstand for afgørelser, der udelukkende er baseret på automatisk behandling, og den tilhørende ret til indsigt, i forbindelse med automatiserede screeningsværktøjer til kandidater, herunder AI-drevne værktøjerEuropa. Tilsynsmyndighederne tilslutter sig indsatsen frivilligt i de kommende uger, og selve indsatsen lanceres i løbet af 2027Europa.

Indsatsen sætter dermed ansættelsespraksis, der bygger på automatiserede screenings-, rangerings- eller shortlistingsværktøjer, herunder AI-drevne værktøjer, under koordineret lup. Arbejdsgivere og rekrutteringsfirmaer, der bruger sådanne værktøjer til at udvælge jobansøgere, bør bruge tiden frem til 2027 til at undersøge, hvordan deres værktøjer træffer beslutninger, hvilket menneskeligt tilsyn der ligger bag dem, og hvad kandidaterne får at vide om processen. Danske arbejdsgivere, der bruger disse teknikker, er omfattet af den undersøgelse, som Datatilsynet nu forberederDatatilsynet.

Særskilt vedtog EDPB sin udtalelse om den første evaluering af tilstrækkelighedsafgørelsen for SydkoreaEuropa. EDPB hilser ændringerne af den koreanske databeskyttelseslovgivning velkommen: de har øget beskyttelsen af borgerne og samtidig gjort det lettere for dataansvarlige at behandle personoplysninger, så der bevares et beskyttelsesniveau, der i det væsentligste svarer til GDPREuropa. Ændringerne omfatter en ny ret til at afvise en automatisk afgørelse, herunder via AI-systemer, eller til at anmode om en forklaring, når afgørelsen har væsentlig betydning for rettigheder eller forpligtelser, samt styrkede håndhævelses- og sanktionsbeføjelser til den koreanske myndighed PIPC. Kommissionens rapport af 23. juli 2026 om den første evaluering konkluderede, at Korea fortsat sikrer et tilstrækkeligt beskyttelsesniveauEuropa, og EDPB tilsluttede sig Kommissionens forslag om at evaluere tilstrækkelighedsafgørelsen hvert fjerde år. Dataansvarlige, der overfører personoplysninger til Korea, kan derfor fortsat støtte sig til Kommissionens gennemførelsesafgørelse (EU) 2022/254Europa, hvorefter overførsler til enheder omfattet af loven om beskyttelse af personoplysninger (Personal Information Protection Act) kan finde sted uden yderligere godkendelseEuropa.

Retsgrundlag: forordning (EU) 2016/679, navnlig artikel 45 om tilstrækkelighedsafgørelser, anvendt for Korea gennem Kommissionens gennemførelsesafgørelse (EU) 2022/254Europa, samt EDPB's Coordinated Enforcement Framework, hvor EDPB fastsætter det årlige emne og spørgerammen, mens de nationale tilsynsmyndigheder gennemfører de nationale undersøgelser.