En ny analyse fra IDA viser, at 69 procent af lederne anvender digitalt indsamlede medarbejderdata. Samtidig har 36 procent ikke sikret, at medarbejderne har fået de lovpligtige oplysninger, mens 32 procent mangler dataetiske retningslinjer eller ikke ved, om de findes. 61 procent af medarbejderne vurderer desuden, at dataindsamling kan skade forholdet mellem medarbejder og leder.

Inden I indfører et nyt HR-værktøj eller kobler AI på eksisterende data, bør I kunne besvare fem spørgsmål.

1. Hvilket konkret problem skal løsningen løse?

Begynd med formålet – ikke med teknologien. Skal løsningen identificere behov for kompetenceudvikling, forbedre rekrutteringen eller opdage tegn på mistrivsel?

Beskriv den beslutning, data skal understøtte, og hvordan I vil vurdere, om løsningen virker. Et uklart formål fører let til indsamling af data, som senere anvendes til noget andet end oprindeligt planlagt.

Indsaml kun de oplysninger, der reelt er nødvendige. At data er tilgængelige, er ikke i sig selv en grund til at bruge dem.

2. Har I et lovligt grundlag – og har I brug for alle data?

Kortlæg:

• hvilke oplysninger der indsamles
• hvor de kommer fra
• hvem der får adgang
• hvor længe de gemmes
• hvilket behandlingsgrundlag der anvendes

Ved omfattende overvågning, profilering eller behandling af følsomme oplysninger kan der være behov for en konsekvensanalyse, inden løsningen tages i brug. Datatilsynet understreger, at behandling af medarbejderdata skal have et gyldigt grundlag, være nødvendig og stå i rimeligt forhold til formålet.

HR, jura, IT-sikkerhed og eventuelt virksomhedens DPO bør derfor inddrages, før der købes et system og ikke, når kontrakten allerede er underskrevet.

3. Ved medarbejderne, hvad der sker?

Medarbejderne skal have klar information om blandt andet formålet, datatyperne, adgangsforholdene, opbevaringsperioden og deres rettigheder. Ved kontrol og monitorering skal informationen gives klart og på forhånd.

Informationen bør ikke gemmes i en lang persondatapolitik, som ingen realistisk læser. Forklar i almindeligt sprog:

• Hvad registrerer vi?
• Hvorfor gør vi det?
• Hvordan kan det påvirke dig?
• Hvem kan se oplysningerne?
• Hvordan kan du stille spørgsmål eller gøre indsigelse?

Inddrag medarbejderrepræsentanter tidligt. Det kan afdække problemer, før de bliver til modstand, klager eller mistillid.

4. Kan resultatet forklares og udfordres?

En AI-model kan levere et præcist tal uden at levere en rimelig vurdering. Derfor bør HR altid kunne forklare, hvilke data der ligger bag en anbefaling, og hvilke begrænsninger modellen har.

Test løsningen for fejl, skævheder og falske konklusioner. Sørg samtidig for, at en kvalificeret person vurderer resultatet, før det får betydning for ansættelse, forfremmelse, udviklingsmuligheder eller afskedigelse.

AI-systemer, der bruges til rekruttering, er blandt de anvendelser, som EU’s AI-forordning placerer i højrisikokategorien. Her stilles der blandt andet krav om risikostyring, datakvalitet, information og menneskeligt tilsyn.

5. Hvem har ansvaret efter implementeringen?

Leverandøren leverer systemet. Arbejdsgiveren har fortsat ansvaret for, hvordan medarbejdernes oplysninger anvendes.

Afklar derfor blandt andet:

• om leverandøren bruger jeres data til træning
• hvor data opbevares og behandles
• hvilke underleverandører der anvendes
• hvordan oplysninger slettes
• hvordan fejl og sikkerhedsbrud håndteres
• hvem der løbende kontrollerer løsningen

Datatilsynet har registreret sikkerhedsbrud, hvor medarbejdere har indsat arbejdsrelaterede personoplysninger i generative AI-værktøjer uden klare rammer. Tilsynet anbefaler derfor både retningslinjer, træning og relevante tekniske begrænsninger.

Gør ansvarlig brug konkret

Før den første pilot bør I som minimum have et kort beslutningsgrundlag med formål, datakilder, behandlingsgrundlag, risikovurdering, medarbejderinformation, systemansvarlig og dato for evaluering.

AI og medarbejderdata kan forbedre HR-arbejdet, men kun hvis teknologien anvendes gennemsigtigt, proportionalt og med reel menneskelig kontrol.