GDPR artikkel 22 beskytter mennesker mot viktige avgjørelser som bare tas av et datasystem. En enkel poengmodell er ikke problemet. Spørsmålet er om KI-systemet selv vurderer CV-en, og om poengsummen får stor betydning for personen.
Først: Hva går GDPR artikkel 22 ut på?
GDPR artikkel 22 skal beskytte mennesker mot viktige avgjørelser som bare tas av et datasystem.
For at bestemmelsen skal gjelde, må det være truffet en avgjørelse. I tillegg må to vilkår være oppfylt:
- Avgjørelsen er utelukkende basert på automatisert behandling.
- Avgjørelsen får en rettslig virkning for personen, eller påvirker personen betydelig på en annen måte.
En rettslig virkning kan for eksempel være at avgjørelsen endrer personens rettigheter eller plikter. Artikkel 22 kan også gjelde når avgjørelsen ikke endrer rettighetene direkte, men likevel har stor betydning for personen.
Lovteksten bruker uttrykket «på tilsvarende måte i betydelig grad påvirker». Det betyr ikke at følgene må være «like alvorlige som en rettslig virkning». Spørsmålet er om avgjørelsen påvirker personen betydelig. Tap av en konkret arbeidsmulighet kan være et eksempel, men dette må vurderes konkret.
Utgangspunktet er at slike avgjørelser er forbudt. Men artikkel 22 har noen unntak.
Artikkel 22 sier ikke at et menneske alltid må ta avgjørelsen. Hvis et menneske gjør en reell og selvstendig vurdering, er avgjørelsen ikke lenger utelukkende automatisert. Da gjelder normalt ikke forbudet i artikkel 22 nr. 1.
Dette skillet er viktig når en offentlig oppdragsgiver bruker KI til å lese og score CV-er.
Hva skjer når KI vurderer en CV?
En oppdragsgiver kan for eksempel bruke denne poengmodellen:
- Ett til tre års relevant erfaring gir to poeng.
- Tre til fem år gir fire poeng.
- Mer enn fem år gir seks poeng.
Det er ikke poengmodellen som skaper problemet.
Hvis innkjøperen leser CV-en, vurderer hvilke oppdrag som er relevante og plasserer personen i riktig trinn, har et menneske gjort vurderingen. Et regneark kan deretter regne ut poengsummen.
Situasjonen blir en annen hvis KI-systemet:
- leser CV-en
- avgjør hvilke oppdrag som er relevante
- beregner hvor lang erfaring personen har
- og gir personen en poengsum
Da er vurderingen automatisert. Men det er fortsatt ikke nok til at artikkel 22 gjelder. Poengsummen må også påvirke personen betydelig.
Kan poengsummen påvirke personen betydelig?
Kontrakten inngås normalt med leverandøren, ikke med personen i CV-en. Derfor er det ikke sikkert at artikkel 22 gjelder.
Poengsummen kan likevel få stor betydning for personen. Den kan avgjøre om personen:
- får arbeide på oppdraget
- kan faktureres ut av arbeidsgiveren
- får en planlagt prosjektstilling
- blir stående uten arbeidsoppgaver
- eller i ytterste fall beholder jobben
Dette må vurderes i hvert enkelt tilfelle.
En fast ansatt som straks får et annet oppdrag, står annerledes enn en person som er ansatt for den aktuelle kontrakten. En tapt oppdragsmulighet er derfor ikke alltid nok.
Det finnes foreløpig ingen dom fra EU-domstolen om KI-scoring av CV-er i offentlige anskaffelser. Vi kan derfor ikke si at artikkel 22 alltid gjelder. Men oppdragsgiveren kan heller ikke avvise spørsmålet bare fordi kontrakten inngås med leverandøren.
Er det nok at innkjøperen trykker «godkjenn»?
Ikke hvis godkjenningen bare er en formalitet.
I saken C-634/21, SCHUFA Holding (Scoring) laget et kredittopplysningsforetak en automatisk kredittscore. Andre virksomheter brukte scoren når de avgjorde om en person skulle få kreditt.
EU-domstolen slo fast at scoren selv kan være en automatisert avgjørelse når mottakeren gir den en avgjørende rolle. Det hjelper ikke nødvendigvis at et menneske formelt godkjenner resultatet til slutt.
Dette kan overføres til CV-scoring. Det avgjørende er hva innkjøperen faktisk gjør.
Innkjøperen må selv gjøre en reell vurdering. Det betyr at innkjøperen må:
- lese de relevante opplysningene i CV-en
- se hvilke opplysninger KI-systemet har brukt
- kontrollere hvilke oppdrag systemet har regnet med
- vurdere selv hva som er relevant erfaring
- og ha kompetanse og myndighet til å endre poengsummen
Opplysningene kan ikke være gjemt inne i KI-systemet og utilgjengelige for innkjøperen.
Innkjøperen trenger ikke alltid å endre poengsummen. Men innkjøperen må faktisk vurdere om den er riktig. En rutinemessig godkjenning er ikke en reell menneskelig vurdering.
SCHUFA gjaldt kredittscoring, ikke offentlige anskaffelser. Dommen gir derfor ikke et direkte svar på CV-scoring. Men den viser at det er den faktiske bruken av scoren som teller.
Hva hvis artikkel 22 gjelder?
Hvis vilkårene i artikkel 22 er oppfylt, er utgangspunktet at den automatiserte avgjørelsen er forbudt.
Da må oppdragsgiveren finne et unntak i artikkel 22 nr. 2.
Det finnes tre unntak:
- Avgjørelsen er nødvendig for en avtale mellom personen og den behandlingsansvarlige.
- Avgjørelsen er tillatt i lov, og loven beskytter personens rettigheter.
- Personen har gitt uttrykkelig samtykke.
Disse unntakene kan være vanskelige å bruke ved CV-scoring.
Oppdragsgiveren skal normalt inngå avtale med leverandøren, ikke med personen i CV-en. Derfor passer avtaleunntaket ofte dårlig.
Samtykke kan også være vanskelig. Et samtykke skal være frivillig. Det kan være tvilsomt når en arbeidstaker må godta behandlingen for at arbeidsgiveren skal kunne konkurrere om et oppdrag.
Det er heller ikke avklart at anskaffelsesreglene gir oppdragsgiveren lov til å treffe denne typen automatiserte avgjørelser.
Det er derfor ikke nok å si at KI-systemet sparer tid.
Personen skal forstå sin egen poengsum
Hvis artikkel 22 gjelder, kan personen ha krav på informasjon etter artikkel 15 nr. 1 bokstav h.
EU-domstolen forklarte denne retten i saken C-203/22, Dun & Bradstreet Austria.
Det er ikke tilstrekkelig å beskrive modellen. Oppdragsgiveren må forklare hvordan opplysningene i personens CV førte til den konkrete poengsummen.
Oppdragsgiveren kan for eksempel måtte forklare:
- hvilke opplysninger KI-systemet hentet fra CV-en
- hvilke oppdrag systemet regnet som relevante
- hvilke arbeidsperioder systemet utelot
- hvordan systemet behandlet perioder som overlappet
- og hvorfor personen fikk akkurat denne poengsummen
Hvis fem års relevant erfaring gir seks poeng, må oppdragsgiveren kunne forklare hvorfor KI-systemet kom frem til at personen hadde 3,8 og ikke 5,2 års relevant erfaring.
Forklaringen skal gjøre det mulig for personen å oppdage feil og bestride resultatet.
Har personen krav på å se algoritmen?
Ikke nødvendigvis.
En komplisert algoritme kan være vanskelig å forstå. Det viktigste er at personen får vite hvordan egne opplysninger ble brukt.
I en enkel modell kan det være nødvendig å vise poenggrensene og reglene. I et KI-system kan det være viktigere å vise:
- hvilke opplysninger systemet fikk
- hvilke instrukser systemet fikk
- hvilke vurderinger systemet gjorde
- og hvordan disse vurderingene førte til poengsummen
EU-domstolen har ikke laget en fast liste over dokumenter som alltid skal utleveres. Kravet er at forklaringen skal være forståelig.
Hva med forretningshemmelighetene til KI-leverandøren?
KI-leverandøren kan mene at reglene, vektene eller instruksene i systemet er hemmelige. Det kan være riktig.
Men oppdragsgiveren kan ikke bare svare at systemet er hemmelig.
Hvis opplysninger som er nødvendige for forklaringen, inneholder forretningshemmeligheter, må dette vurderes konkret. Opplysningene må kunne legges frem for Datatilsynet eller en domstol. Tilsynet eller domstolen avgjør hvor mye personen skal få se.
Forretningshemmeligheter kan derfor begrense innsynet. Men de kan ikke brukes til å hindre all kontroll.
Det italienske datatilsynet traff 3. juli 2026 to vedtak om et automatisk system som vurderte potensielle strøm- og gasskunder. Hera Comm ble ilagt 5,8 millioner euro. EstEnergy ble ilagt 1,4 millioner euro.
Vedtakene gjaldt flere brudd på GDPR. De gjaldt ikke offentlige anskaffelser. Men de viser at virksomheten som bruker en score, må kunne forklare den. Virksomheten kan ikke bare sende personen videre til leverandøren av systemet.
Hva bør oppdragsgiveren gjøre?
Før et KI-system brukes til å score CV-er, bør oppdragsgiveren kunne svare på:
- Hvilke opplysninger får KI-systemet?
- Hvilke vurderinger gjør systemet?
- Hvilke vurderinger gjør innkjøperen selv?
- Kan innkjøperen kontrollere opplysningene som systemet bruker?
- Kan innkjøperen endre poengsummen?
- Kan poengsummen påvirke personen betydelig?
- Gjelder artikkel 22?
- Finnes det i så fall et unntak?
- Kan oppdragsgiveren forklare hvordan CV-en ga den konkrete poengsummen?
Det viktigste spørsmålet er ikke om oppdragsgiveren bruker KI.
Det viktigste spørsmålet er hvem som faktisk vurderer personen.
Kilder
- Personopplysningsloven og personvernforordningen
- EU-domstolen: C-634/21, SCHUFA Holding (Scoring)
- EU-domstolen: C-203/22, Dun & Bradstreet Austria
- EDPB: Retningslinjer om automatiserte individuelle avgjørelser og profilering
- Det italienske datatilsynets vedtak mot Hera Comm
- Det italienske datatilsynets vedtak mot EstEnergy