Blogg29. okt. 20264 min lesing

KI i rekruttering: hva sier loven i 2026?

EUs KI-forordning gjør KI i rekruttering til høyrisiko, men den gjelder ikke i Norge ennå. Her er reglene norske arbeidsgivere må følge i dag, og det som kommer.

Håkon HøgetveitGründer · Vouch

Bruker dere KI til å sortere eller vurdere jobbsøkere, er det personvernreglene (GDPR) og likestillings- og diskrimineringsloven som gjelder i Norge i dag. EUs KI-forordning, ofte kalt AI Act, gjør KI i rekruttering til høyrisiko, men forordningen er ennå ikke tatt inn i EØS-avtalen. I EU gjelder høyrisikokravene fra 2. desember 2027. Regjeringen tar sikte på å legge fram en norsk KI-lov for Stortinget våren 2027.

Oversikten er oppdatert 29. oktober 2026. Den er ikke juridisk rådgivning.

Tidslinjen

Forbudene i KI-forordningen har gjeldt i EU siden 2. februar 2025, og ett av dem rammer verktøy som tolker følelser hos ansatte og jobbsøkere. EUs forenklingspakke for KI, forordning (EU) 2026/1744, trådte i kraft 27. juli 2026 og flyttet høyrisikokravene fra august 2026 til 2. desember 2027.

EUNorge og resten av EØS

feb. 2025EUForbudene gjelder, og det samme gjør plikten om KI-kompetanse

jul. 2026EUHøyrisikoreglene flyttes til desember 2027

aug. 2026EUFolk skal få vite når de snakker med en KI

I dag29. okt. 2026

høsten 2026EØSRegjeringen varsler ny høring

våren 2027EØSMålet for å legge fram KI-loven for Stortinget

des. 2027EUHøyrisikoreglene gjelder, også for rekruttering

Ikke sattEØSNår reglene begynner å gjelde

Datoene i EU ligger fast. I EØS-landene utenfor EU gjelder reglene først når forordningen er tatt inn i EØS-avtalen.

I Norge får ingen av disse reglene rettslig virkning før forordningen er tatt inn i EØS-avtalen og KI-loven er vedtatt. Ingen dato er satt.

Hva regnes som høyrisiko i rekruttering?

KI-forordningen lister arbeidslivet blant områdene der KI regnes som høyrisiko (vedlegg III, punkt 4). For rekruttering gjelder det systemer som brukes til å

målrette stillingsannonser
analysere og filtrere søknader
vurdere kandidater

Det gjelder også KI som brukes til beslutninger om forfremmelse og oppsigelse, til å fordele oppgaver eller til å følge med på og vurdere ansatte.

Det finnes et unntak for systemer som bare gjør en smal, forberedende oppgave. Men et system som lager profiler av personer, regnes alltid som høyrisiko. Et verktøy som leser CV-er og rangerer kandidater, faller inn under reglene.

Hva må arbeidsgiveren gjøre?

Det tyngste ansvaret ligger hos leverandøren, som må dokumentere systemet og få det samsvarsvurdert før det selges. Men arbeidsgiveren som bruker systemet, får også plikter når høyrisikoreglene gjelder. Dere må

bruke systemet slik leverandøren beskriver
la folk med nok kompetanse og myndighet følge med på systemet og overprøve det
sørge for at dataene dere selv legger inn, er relevante for stillingen
ta vare på loggene systemet lager i minst seks måneder
informere ansatte og tillitsvalgte før systemet tas i bruk
fortelle kandidatene at et høyrisikosystem brukes når de vurderes

En kandidat som blir berørt av en avgjørelse der systemet var med, kan også be om en forklaring på hvilken rolle KI spilte.

Dette gjelder allerede i dag

Et avslag kan ikke være helautomatisk

Personvernforordningen artikkel 22 gir alle rett til ikke å bli utsatt for en avgjørelse som bare bygger på automatisert behandling, når den rammer dem merkbart. Et automatisk avslag på en jobbsøknad er standardeksempelet. Et menneske må ta avgjørelsen, og vurderingen må være reell. Det holder ikke å trykke godkjenn på det maskinen har bestemt.

Søkerne skal vite at KI brukes

Personvernerklæringen må si at dere bruker KI i rekrutteringen, og hva den brukes til. Søkerne har også rett til innsyn i opplysningene dere har om dem.

Diskrimineringsloven gjelder også for maskinen

Likestillings- og diskrimineringsloven er teknologinøytral. Sorterer et verktøy bort søkere på en måte som rammer for eksempel kvinner eller folk med innvandrerbakgrunn, er det arbeidsgiveren som har ansvaret.

Følelsesgjenkjenning er forbudt i EU

Verktøy som leser følelser ut fra ansiktsuttrykk eller stemme i videointervjuer, har vært forbudt i EU siden februar 2025, og EU-kommisjonens retningslinjer legger til grunn at forbudet også gjelder jobbsøkere. Forbudet gjelder ikke formelt i Norge ennå, men det er ingen god grunn til å ta i bruk slike verktøy nå.

Fire spørsmål å stille leverandøren

Kan systemet avvise noen uten at et menneske har bestemt det?
Får vi se begrunnelsen for hver vurdering, kriterium for kriterium?
Kan kandidatene velge bort KI-vurdering?
Hvor lagres og behandles dataene, og har dere en databehandleravtale klar?

Slik har vi bygget Vouch

Vouch avviser aldri søkere av seg selv. Assistenten leser hver søknad mot kriteriene i stillingen og skriver en begrunnelse for hvert kriterium, sammen med det dere bør spørre om i intervjuet. Et avslag er alltid et utkast som en person må bekrefte. Dere kan også la kandidatene velge bort KI-vurdering, og da er det en rekrutterer som leser søknaden. Slik leser Vouch søknader

Med innstillingen på kan kandidatene si nei til AI-vurdering når de søker. Teamet ser hvem som gjorde det, og leser de søknadene selv.

Spørsmål og svar

Gjelder AI Act i Norge?

Ikke ennå. KI-forordningen er ikke tatt inn i EØS-avtalen, og den norske KI-loven er ikke vedtatt. Regjeringen tar sikte på å legge fram loven for Stortinget våren 2027. Inntil da gjelder personvernreglene og diskrimineringsloven også når KI brukes.

Er det lov å bruke ChatGPT til å lese CV-er?

Personvernreglene gjelder uansett verktøy. Dere trenger et lovlig grunnlag for å behandle opplysningene og en databehandleravtale med leverandøren. Dere må også vite om dataene brukes til å trene modeller. Med en vanlig forbrukerkonto har dere sjelden dette på plass. Og avgjørelsen må fortsatt tas av et menneske.

Når blir KI i rekruttering høyrisiko i Norge?

Når KI-forordningen er tatt inn i EØS-avtalen og den norske loven er vedtatt. I EU gjelder kravene fra 2. desember 2027. Norge har ikke satt noen dato.

Hvem fører tilsyn?

Nkom skal være koordinerende tilsyn for KI i Norge. Datatilsynet fører tilsyn med personvernet, og Diskrimineringsnemnda håndhever diskrimineringsloven.