AI-forordningen og medarbejdere: hvor går grænsen?

En virksomhedsejer sidder med kaffen og scroller forbi endnu en overskrift om EU’s nye AI-forordning, og et lille ubehag sætter sig et sted bag brystbenet. Er den timeregistrerings-app, hans folk trykker ind og ud af hver morgen, pludselig blevet en “højrisiko-AI”? Spørgsmålet lyder overforsigtigt, indtil man rent faktisk læser teksten, for forordningen udpeger konkret software, der styrer mennesker på arbejdspladsen, og placerer en del af den i samme risikoklasse som AI i medicinsk udstyr og elnet. Bekymringen er ikke urimelig. Svaret afhænger dog helt af, hvad softwaren rent faktisk gør, ikke af om den bare tilfældigt rammer noget med ordet “ansat” i beskrivelsen.

Det, forordningen faktisk peger på

Forordning (EU) 2024/1689, AI-forordningen, lister kategorier af “høj risiko”-AI i sit bilag III, og et af punkterne handler netop om beskæftigelse, medarbejderforhold og adgang til selvstændig virksomhed. Det dækker AI, der er bygget til at rekruttere eller udvælge mennesker, herunder systemer, der målretter jobopslag, filtrerer ansøgninger eller giver kandidater en score. Det går videre til systemer, der bruges til at træffe beslutning om forfremmelse, opsigelse eller fordeling af opgaver ud fra en persons adfærd eller personlige egenskaber, og til systemer, der overvåger og evaluerer præstation og opførsel hos folk, der allerede er ansat. Ingenting af det er vagt formuleret. Det er en liste over AI, der træffer eller kraftigt former beslutninger om et menneskes job, og lovgiverne har besluttet, at den slags beslutninger fortjener kontrol, menneskeligt tilsyn og et papirspor, ikke en sort boks.

Den gren af teknologien kaldes ofte algoritmisk ledelse: software, der sætter vagtplaner, rangerer output, flager underpræsterende medarbejdere eller skubber nogen mod udgangen, mens en leder blot stempler det, modellen konkluderer. Den har sneget sig ind i logistik, callcentre og platformsarbejde gennem det seneste årti, som regel solgt som effektivitet og landet som noget, der ligner en chef, ingen har valgt. AI-forordningen forbyder det ikke direkte. Den tvinger det derimod ud i lyset: udbydere og arbejdsgivere, der tager den slags systemer i brug, skal lave en konsekvensanalyse af grundlæggende rettigheder, holde logs, sikre kompetent menneskeligt tilsyn og oplyse medarbejdere og deres repræsentanter, før systemet går i drift, om at det overhovedet bliver brugt på dem.

Hvor grænsen faktisk går

Her er den skelnen, der drukner hver gang emnet dukker op i en fagartikel. Der er et stort spring mellem en AI, der beslutter noget om en medarbejder, og et register, der blot fastslår en kendsgerning om vedkommende. Et værktøj, der scorer kandidater, rangerer præstationer eller flager, hvem der bør fyres, fælder en dom, og det er rimeligt, at forordningen behandler den slags dømmekraft som højt på spil. Et værktøj, der registrerer, hvem der stemplede ind på en arbejdsplads, hvornår og i hvor mange timer, dømmer ingenting. Det vejer ikke personlige egenskaber, det forudsiger ikke, hvem der underpræsterer næste kvartal, og det bestemmer ikke, hvem der får den næste vagt. Det fastslår en kendsgerning, der allerede er sket, og lader enhver beslutning om, hvad man skal gøre med den kendsgerning, blive i menneskehænder. Bilag III fanger den første type system. Det har ingen grund til at fange den anden.

Den praktiske test for en virksomhedsejer med hold af rengøringsfolk, vagter eller montører er ikke, om softwaren overhovedet rører ved ansættelsesforhold. Det er, om softwaren træffer en automatisk beslutning eller producerer en automatisk score om en person, og om medarbejderen kan se, forstå og udfordre det, den registrerer om ham eller hende. Gennemsigtighed er hængslet, hele forordningen drejer om. En arbejdsgiver, der tager et reelt højrisikosystem i brug under AI-forordningen, skal informere medarbejderrepræsentanter og de berørte, før det tændes, skal føre logs et menneske kan efterprøve, og skal sikre, at en kompetent person, ikke algoritmen, træffer den endelige afgørelse. Et værktøj, der aldrig træffer den afgørelse i første omgang, har allerede klaret den sværeste del af den forpligtelse, blot i kraft af sin opbygning. At registrere er ikke det samme som at bedømme, og forordningen var aldrig egentlig skrevet for at ramme registreringen.

Den danske model og retten til at vide det

I Danmark kommer den samme grænse med et lokalt lag oveni. Den danske arbejdsmarkedstradition hviler på aftalemodellen, hvor tillidsrepræsentanter og samarbejdsudvalg forhandler vilkårene på arbejdspladsen, i stedet for at en lov dikterer alt fra Christiansborg. Bruger en arbejdsgiver et algoritmisk system, der reelt beslutter noget om folk på gulvet, er det naturligt, at det samme samarbejdsudvalg skal orienteres og høres, præcis som forordningen kræver det over for medarbejderrepræsentanter. Datatilsynet fører desuden tilsyn med de højrisikosystemer, der behandler personoplysninger, som en del af det danske tilsyn med AI-forordningen, og understreger selv, at eksempler som sorteringssoftware til ansættelsesprocedurer hører til de sager, GDPR og forordningen begge griber ind i samtidig. Den, der driver en virksomhed med folk ude i marken, slipper ikke for at spørge sig selv, hvilken kategori ens eget værktøj falder i, uanset hvor lidt lyst man har til endnu et regelsæt at forholde sig til.

Testen bliver derfor ganske konkret, hvis man vil undgå at gætte sig frem. Sætter systemet et tal på en medarbejder, en rangering, en risikoscore, en anbefaling om hvem der skal have flere vagter eller hvem der skal ud? Så er man inde i algoritmisk ledelse, og så gælder hele apparatet af konsekvensanalyse, logs og orientering af samarbejdsudvalget, uanset om softwaren kalder sig selv “bare et planlægningsværktøj”. Fortæller systemet derimod kun, hvad der faktisk skete, uden at lægge en vurdering oveni, er man et andet sted i lovgivningen, et roligere sted, hvor overholdelse handler om almindelig GDPR-hygiejne snarere end om et helt sæt særlige forpligtelser for højrisiko-AI. De fleste virksomhedsejere har hverken tid eller lyst til at blive AI-jurister ved siden af driften, men netop derfor er det værd at kende forskellen, før man vælger det næste system til at holde styr på holdet.

I princippet er det derfor det kedelige værktøj, der er det trygge sted at stå lige nu: en gennemsigtig, geo-dateret registrering, som medarbejderen selv kan åbne og læse, uden en score hæftet på og uden en automatisk dom gemt bag kulisserne. GeoTapp er bygget netop langs den linje. Det profilerer ingen og giver ingen karakterer, det er en geo-dateret ind- og udstempling, medarbejderen ser på sin egen telefon, en konstatering frem for en dom, og netop derfor ligger det uden for det højrisikoterritorium, AI-forordningen er skrevet til.

Så før den næste overskrift om AI-forordningen sender et sæt gennem kaffekoppen, er det værd at stille et enklere spørgsmål om ens egne værktøjer på arbejdspladsen: beslutter det noget om folkene, eller fortæller det bare sandheden om deres dag?