Du har hittat ett AI-detektor-API som påstår sig ha 99 % träffsäkerhet. Integrationen ser enkel ut. Men innan du skickar ditt första CV till den endpointen finns en fråga som ingen på leverantörens startsida ställer: vad händer med kandidatdatan efter att du har skickat den?
Om du skickar kandidaters CV genom ett AI-detektionsverktyg från tredje part skapar du ett personuppgiftsbehandlingsförhållande, och GDPR och andra integritetslagar ställer specifika krav på sådana.
Vad du faktiskt skickar
När ditt ATS anropar ett AI-detektor-API skickar det textinnehållet i en kandidats CV, eller en betydande del av det, till en server hos en tredje part. Den texten innehåller personuppgifter: namn, kontaktuppgifter, anställningshistorik, utbildning och ibland demografiska uppgifter.
De flesta AI-detektor-API:er är inte byggda för HR-data. De designades ursprungligen för upptäckt av plagiat i akademiska sammanhang och för innehållsmarknadsföring. Deras integritetspolicyer, datalagringsrutiner och säkerhetsnormer skrevs för kontroll av uppsatser, inte för kandidatgranskning.
Innan du integrerar, läs leverantörens integritetspolicy som om du vore dataskyddsombud. Det är nämligen den rollen som kommer att ställa frågorna om något går fel.
GDPR: grunderna du inte kan hoppa över
Om du rekryterar inom EU eller EES, eller behandlar uppgifter om EU-invånare, gäller GDPR för varje system som hanterar kandidatdata. Det här innebär följande för en AI-detektorintegration:
Rättslig grund: Du behöver ett juridiskt skäl för att behandla kandidatdata genom detektorn. De två vanliga alternativen är berättigat intresse (GDPR artikel 6.1 f) och uttryckligt samtycke. Berättigat intresse kräver att du dokumenterar varför detektionen är nödvändig och proportionerlig. Samtycke kräver att kandidaten godkänner innan deras CV skannas, och att samtycket är specifikt, informerat och kan återkallas (GDPR Advisor, 2026).
Transparens: Kandidater måste få veta att deras data skickas till en AI-detektionstjänst från tredje part, vilka uppgifter som delas, varför, och hur länge de lagras. Din integritetsinformation måste ange syftet uttryckligen. “Vi kan använda verktyg från tredje part” är inte tillräckligt specifikt.
Personuppgiftsbiträdesavtal (DPA): GDPR artikel 28 kräver ett skriftligt avtal mellan dig (den personuppgiftsansvarige) och API-leverantören (personuppgiftsbiträdet). Avtalet måste ange vilka uppgifter som behandlas, för vilket syfte, hur länge de lagras och vilka säkerhetsåtgärder som finns. Om leverantören inte erbjuder ett DPA är det en varningssignal.
USA:s integritetslagar: inte bara ett europeiskt problem
GDPR får rubrikerna, men kraven på integritet i USA växer. Flera delstater har antagit eller föreslagit omfattande integritetslagar:
- Kalifornien (CCPA/CPRA): Kräver upplysning om att data delas med tredje part och ger konsumenter rätt att välja bort försäljning eller delning av personuppgifter.
- New York City Local Law 144: Kräver oberoende granskningar av partiskhet för automatiserade verktyg för anställningsbeslut. Om din AI-detektor bidrar till ett anställningsbeslut kan den omfattas av lagen.
- Illinois AI Video Interview Act och BIPA: Ställer särskilda krav på biometriska uppgifter och AI-verktyg som används vid rekrytering.
Regelverket rör sig mot mer upplysning, mer granskning och fler rättigheter för kandidaterna. Att lägga till ett ogranskat API från tredje part i din process ökar riskerna för efterlevnadsproblem.
Fem frågor till API-leverantören
Innan du skriver på ett avtal, få skriftliga svar på dessa:
- Var står servrarna? Om leverantörens infrastruktur ligger utanför din jurisdiktion gäller regler för överföring av data över gränser. För EU-data som skickas till amerikanska servrar behöver du standardavtalsklausuler (SCC) eller ett adekvansbeslut.
- Hur länge lagras kandidatdata? Vissa API:er cachar indatatexten för att förbättra modellen. Om kandidaternas CV lagras på leverantörens servrar på obestämd tid strider det mot principen om dataminimering.
- Används kandidatdata för modellträning? Många AI-företag använder indata för att förbättra sina modeller. Om CV-text används för träning delar du kandidatdata för ett syfte som inte har något med rekrytering att göra, och nästan säkert utanför ramen för din angivna rättsliga grund.
- Vilka säkerhetscertifieringar har leverantören? SOC 2 Typ II, ISO 27001 eller motsvarande. Om leverantören inte kan visa säkerhetsnormer skickar du personuppgifter till ett system du inte kan granska.
- Skriver leverantören under ett GDPR-kompatibelt DPA? Om svaret är nej, eller “vi gör vanligtvis inte det för den här produktnivån”, avstå.
Alternativet med dataminimering
GDPR:s princip om dataminimering säger att du bara ska behandla de uppgifter som är nödvändiga för ett specifikt syfte. En AI-detektionsskanning behandlar hela CV-texten för att besvara en fråga: “Har det här skrivits av AI?” Det är mycket personuppgifter för en signal med lågt värde.
Ett kriteriebaserat angreppssätt behandlar mindre data för ett mer användbart resultat. CriteriaMatch utvärderar specifika kvalifikationer, till exempel certifikat, arbetstillstånd, språkkunskaper och erfarenhetskrav, mot definierade krav. Screeningen är riktad, resultatet går att agera på och databehandlingen är proportionerlig mot syftet.
Du behöver inte skicka hela CV till en server hos en tredje part för att avgöra om en kandidat uppfyller dina krav.
Mer om hur man bygger rekryteringsprocesser som respekterar både kandidaternas rättigheter och teamets effektivitet finns i vår guide om ansvarsfull AI i rekrytering.
Kartlägg efterlevnaden innan du skriver på
Marknaden för AI-detektor-API:er rör sig snabbt. Leverantörerna säljer brådska, “AI-CV:n översvämmar din process”, utan att ta upp den integritetsinfrastruktur som krävs för att använda deras produkter på ett ansvarsfullt sätt.
Utvärdera efterlevnaden innan du utvärderar träffsäkerheten. Den tekniska integrationen är den enkla delen. Datastyrningen är där de flesta team inser att kostnaden inte är värd signalen.