Prawo o AI w rekrutacji w 2026: praktyczny poradnik zgodności

Unijne i polskie przepisy o AI w rekrutacji sprowadzają się do czterech powtarzalnych obowiązków: poinformuj kandydatów, kiedy używasz AI; nie pozwól, żeby narzędzie dyskryminowało (liczy się skutek dyskryminujący, nie intencja); trzymaj w procesie człowieka z realnym uprawnieniem do uchylenia decyzji; bądź gotów wyjaśnić i umożliwić odwołanie od niekorzystnej decyzji. Opanuj to wspólne jądro, a jesteś kryty — bo w Unii nie chodzi o mozaikę rozjeżdżających się przepisów, lecz o jeden, spójny reżim, który już obowiązuje. Jeśli prowadzisz mały zespół, używasz AI gdzieś w rekrutacji i nie masz prawnika od prawa pracy — to jest wersja „co mam zrobić w poniedziałek”, a nie wykładnia rozporządzenia.

Krótka uwaga, zanim wpadniesz w panikę: to nie jest porada prawna. To operacyjna mapa dla founderów i jednoosobowych działów People, którzy przeczytali jeden straszący alert kancelarii i chcą listy kontrolnej.

Czy unijny AI Act już obowiązuje?

Tak — i to na dwóch poziomach naraz. AI Act (Rozporządzenie (UE) 2024/1689) wszedł w życie 1 sierpnia 2024, a jego obowiązki dochodzą etapami. Systemy AI przeznaczone do rekrutacji albo selekcji kandydatów — targetowanie ogłoszeń, filtrowanie aplikacji, ocena kandydatów — są w nim sklasyfikowane jako systemy wysokiego ryzyka (załącznik III pkt 4). Obowiązki podmiotów stosujących takie systemy mają zasadniczo obowiązywać od 2 sierpnia 2026. Jest jedno zastrzeżenie: uzgodniony wstępnie w 2026 pakiet „Digital Omnibus” może przesunąć samodzielne systemy z załącznika III na 2 grudnia 2027 — ale w połowie 2026 ta zmiana nie jest jeszcze przyjęta, więc na dziś wiążącą datą pozostaje 2 sierpnia 2026. Harmonogram wejścia poszczególnych obowiązków prowadzi Komisja Europejska.

Drugi poziom obowiązuje już dziś, bez żadnego okresu przejściowego: RODO (Rozporządzenie (UE) 2016/679). Artykuł 22 daje kandydatowi prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu (w tym profilowaniu), jeśli wywołuje ona skutki prawne lub podobnie istotne. Tam, gdzie taka decyzja jest dopuszczalna, administrator musi co najmniej zapewnić prawo do interwencji ludzkiej, wyrażenia własnego stanowiska i zakwestionowania decyzji (art. 22 ust. 3), wsparte obowiązkami informacyjnymi z art. 13–15. To nie jest reżim przyszłości — w Polsce obowiązuje teraz, a nad jego przestrzeganiem czuwa UODO (Urząd Ochrony Danych Osobowych).

Stąd praktyczny wniosek. Jeśli trafisz na amerykański „tracker 50 stanów” albo objaśnienie ustawy z Kolorado czy Illinois, to ciekawostka, nie twoja podstawa zgodności. Ciebie wiąże reżim unijny — i właśnie pod niego buduj proces.

Żadnej mozaiki — jeden spójny reżim

W amerykańskiej debacie straszy „mozaika”: co stan, to inny przepis, a sąd potrafi unieważnić ustawę w trakcie jednej kadencji. W Unii ten lęk jest w dużej mierze bezprzedmiotowy. AI Act i RODO to rozporządzenia unijne stosowane bezpośrednio — wiążą Polskę jednolicie, bez wewnętrznego rozdrobnienia na regiony czy województwa. Nie ma osobnego „mazowieckiego” ani „śląskiego” prawa o AI w rekrutacji i nie będzie. Zamiast śledzić rozjeżdżające się jurysdykcje, masz jeden, zharmonizowany zestaw zasad nałożonych na siebie w trzech warstwach.

Te trzy warstwy już obowiązują albo wchodzą etapami — to grunt znacznie stabilniejszy niż amerykański.

RODO obowiązuje już teraz

Najważniejsza różnica wobec amerykańskiego krajobrazu: w Polsce ochrona przed decyzją wyłącznie maszynową nie jest obietnicą na 2027 rok, tylko prawem obowiązującym dziś. Jeśli kandydat dostaje odmowę wygenerowaną wyłącznie przez algorytm, art. 22 RODO daje mu prawo do interwencji człowieka, przedstawienia stanowiska i zakwestionowania rozstrzygnięcia, a art. 13–15 — prawo do informacji o tym, że taki mechanizm w ogóle działa. Nadzór sprawuje UODO. To znaczy, że obowiązki, które amerykańskie firmy dopiero szykują na przyszłość, polski pracodawca ma już na karku.

AI Act — wysokie ryzyko od 2026

Warstwa, która dopiero dochodzi, to obowiązki podmiotu stosującego system wysokiego ryzyka. Od 2 sierpnia 2026 (z niepewnym przesunięciem na grudzień 2027) pracodawca używający narzędzia AI do rekrutacji musi m.in. zapewnić nadzór człowieka, korzystać z systemu zgodnie z instrukcją dostawcy, informować kandydatów, że taki system jest stosowany, i przechowywać logi jego działania. To nie jest „lżejszy reżim oparty na przejrzystości” — to konkretny, afirmatywny katalog obowiązków przypisanych wprost narzędziom rekrutacyjnym.

Kto to egzekwuje: UODO, PIP i nadchodzący nadzór nad AI

Egzekwowanie biegnie dwutorowo. Po pierwsze, UODO odpowiada za prawa z art. 22 RODO dotyczące decyzji zautomatyzowanych. Po drugie, dyskryminację w zatrudnieniu egzekwują sądy pracy oraz Państwowa Inspekcja Pracy (PIP). Dochodzi do tego trzeci, dopiero powstający tor: organem nadzoru rynku dla AI Act ma być Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), którą tworzy projekt ustawy o systemach sztucznej inteligencji przygotowany przez Ministerstwo Cyfryzacji i przyjęty przez Radę Ministrów 31 marca 2026. W połowie 2026 ustawa jest wciąż w procesie legislacyjnym, więc traktuj ten organ jako nadchodzący, a nie ostatecznie powołany.

Pułapka rekrutacji ponad granicami

Amerykańska „pułapka wielu stanów” — gdy o reżimie decyduje miejsce zamieszkania kandydata — w Polsce nie ma odpowiednika. Polski pracodawca rekrutujący w całej Unii ma do czynienia z jednym zharmonizowanym reżimem AI Act i RODO, niezależnie od tego, z którego kraju aplikuje kandydat. Co jednak ważne: krajowe prawo pracy i przepisy antydyskryminacyjne nadal idą za miejscem świadczenia pracy. Innymi słowy — warstwa „AI plus dane” jest unijna i wspólna, a warstwa zatrudnienia pozostaje krajowa. Nie ma za to żadnego prawa o AI na poziomie województw i nie ma sensu go szukać.

Czy używanie ATS z AI czyni mnie odpowiedzialnym, nawet jeśli model zbudował dostawca?

Tak. Obowiązki spoczywają na podmiocie stosującym — pracodawcy używającym narzędzia, a nie tylko na dostawcy, który je zbudował. Tak stanowi AI Act (operator systemu wysokiego ryzyka), tak samo działa RODO (administrator danych). Niezależnie od tego, kto wytrenował model, to ty jako pracodawca dźwigasz obowiązki. W USA toczy się głośny spór Mobley v. Workday, który omawiamy w pozwie przeciwko Workday o AI w rekrutacji — sprawdza on, czy dostawcę narzędzia rekrutacyjnego z AI można pozwać jako „pełnomocnika” pracodawców. Ale nawet gdyby tak było, nie zdejmuje to twojej własnej odpowiedzialności jako firmy, która nacisnęła „start”. Odpowiedzialności nie da się scedować na ATS — ani w modelu unijnym, ani amerykańskim.

Próg antydyskryminacyjny, który przetrwa każdą zmianę przepisów

Oto część, która nie zmienia się, gdy przepisy o AI są nowelizowane czy przesuwane w czasie. Pod całą warstwą regulacji dotyczących konkretnie AI leży zwykłe prawo antydyskryminacyjne. W Polsce to Kodeks pracy — Rozdział IIa „Równe traktowanie w zatrudnieniu” (art. 18(3a)–18(3e)) — który zakazuje zarówno dyskryminacji bezpośredniej, jak i pośredniej: pozornie neutralne kryterium, które w nieproporcjonalnym stopniu stawia w gorszej sytuacji grupę chronioną, jest niezgodne z prawem. Dyskryminacja pośrednia to unijny i polski odpowiednik amerykańskiego „skutku dyskryminującego” (disparate impact); jej podstawą są dyrektywy 2000/43/WE i 2000/78/WE, a egzekwują ją sądy pracy oraz Państwowa Inspekcja Pracy (PIP); ustawowe odszkodowanie to co najmniej minimalne wynagrodzenie. Liczy się skutek, nie intencja — narzędzie odsiewające grupę chronioną w wyższym odsetku może być nielegalne, nawet jeśli nikt nie miał zamiaru dyskryminować.

To jest trwały fundament. Narzędzia AI do screeningu nie są tu zagrożeniem teoretycznym. W badaniu amerykańskiego SHRM z 2025 19% organizacji używających AI lub automatyzacji w rekrutacji stwierdziło, że ich narzędzia przeoczyły lub odsiały wykwalifikowanych kandydatów. To dane z USA, ale mechanizm jest uniwersalny: jeśli twoje narzędzie robi to wzdłuż cechy chronionej, przepis o AI staje się niemal bez znaczenia — wystarczy sam Kodeks pracy. Mechanikę tego rozkładamy na części w tekstach jak uprzedzenia AI w rekrutacji tworzą wykluczenie w całych branżach oraz pętla zagłady AI w rekrutacji.

5-krokowy poradnik zgodności dla zespołów bez działu prawnego

Zdejmij różnice między przepisami, a powtarza się ta sama garść obowiązków. Buduj pod ich wspólne jądro, a jesteś kryty w całym reżimie. Nic z tego nie wymaga konsultanta ds. zgodności ani dostawcy audytów uprzedzeń.

1. Ujawnij, że używasz AI. Powiedz kandydatom wprost — w formularzu aplikacyjnym albo w informacji przy ogłoszeniu — że narzędzia AI wspierają twój proces rekrutacji. To dziś obowiązek wynikający z RODO (informowanie o zautomatyzowanym podejmowaniu decyzji) oraz, od 2026, obowiązek informacyjny podmiotu stosującego system wysokiego ryzyka z AI Act. To też wygrana w sferze zaufania: badanie amerykańskiego Pew Research z 2023 wykazało, że 66% Amerykanów nie chciałoby aplikować do pracodawcy, który używa AI do pomocy w decyzjach rekrutacyjnych — więc zdanie „AI pomaga nam porządkować aplikacje; decyzje podejmują ludzie” uspokaja, a nie niepokoi.

2. Trzymaj w procesie człowieka z realnym uprawnieniem do uchylenia decyzji. Nie pieczątkę. Konkretną, wskazaną z imienia osobę, która weryfikuje i może uchylić rozstrzygnięcie narzędzia. To wprost standard RODO (prawo do interwencji ludzkiej, art. 22) i wymóg nadzoru człowieka z AI Act — a zarazem praktyczna odpowiedź na każde roszczenie typu „algorytm mnie odrzucił”.

3. Loguj każde przesunięcie dalej i każde odrzucenie. Gdy ktoś poprosi o wyjaśnienie decyzji albo skorzysta z prawa do jej zakwestionowania (art. 22 ust. 3 RODO), zapis musi już istnieć. Dorabianie ścieżki audytowej po fakcie, gdy wpłynęła skarga, to sposób, w jaki małe zespoły obrywają.

4. Nie pozwól, żeby narzędzie decydowało. Niech AI wspiera, a nie działa autonomicznie. Ranguje, streszcza i podpowiada; rozstrzyga człowiek. Ten jeden wybór architektoniczny obniża ryzyko naraz w każdej warstwie reżimu.

5. Bądź gotów wyjaśnić i umożliwić odwołanie. Daj kandydatowi prostą ścieżkę, żeby zapytał „dlaczego” i poprosił o ponowną weryfikację przez człowieka. Jeśli zrobiłeś kroki 2 i 3, to głównie kwestia wskazania zapisów, które i tak już prowadzisz.

Czy jestem zwolniony, jeśli mam mniej niż 50 pracowników?

Raczej nie i nie powinieneś na tym budować planu. Ani RODO, ani AI Act nie zwalniają z tych obowiązków ze względu na liczbę zatrudnionych — wiążą cię, bo przetwarzasz dane kandydatów i stosujesz system rekrutacyjny, nie dlatego, że przekraczasz jakiś próg zatrudnienia. Zakaz dyskryminacji z Kodeksu pracy obowiązuje każdego pracodawcę, niezależnie od wielkości. Lekcja jest prosta: nie buduj strategii na tym, że jesteś za mały, by się liczyć.

Dla szerszego kontekstu — to właśnie skala AI w rekrutacji jest powodem, dla którego regulatorzy ruszają. Amerykańskie SHRM ustaliło, że 43% organizacji używało AI w zadaniach HR w 2025, wobec 26% w 2024, a wśród firm używających AI w rekrutacji 82% stosuje je do przeglądu CV. To dane z USA, ale trend jest globalny — i polski rynek nie jest tu wyjątkiem.

Dlaczego „wspierające, a nie autonomiczne” to najbezpieczniejsza architektura

Jeśli zestawisz te cztery obowiązki obok siebie, opisują jeden kształt produktu: AI, które pomaga człowiekowi decydować, z zalogowaną decyzją i poinformowanym kandydatem. Tak się składa, że dokładnie tak zbudowany jest Kit.

W Kit żadna aplikacja nie jest automatycznie odrzucana przez AI. Człowiek z uprawnieniem do uchylenia decyzji dokonuje ostatecznego rozstrzygnięcia, zanim ktokolwiek dostanie odmowę — co bezpośrednio odpowiada wymaganej przez RODO interwencji ludzkiej (art. 22) i nadzorowi człowieka z AI Act, i neutralizuje roszczenie „AI mnie zdyskryminowało” na gruncie Kodeksu pracy. Ujawnienie wobec kandydata jest wbudowane w proces, co spełnia obowiązki informacyjne RODO i informację przed użyciem z AI Act. A każde przesunięcie dalej i każde odrzucenie jest logowane, więc gdy ktoś poprosi o wyjaśnienie albo zakwestionuje decyzję, ścieżka audytowa już istnieje — bez żadnego pakietu narzędzi do governance. To dokładnie ta architektura, którą nagradza reżim unijny; szerzej piszemy o nim w tekście unijny AI Act i rekrutacja wysokiego ryzyka. Jeśli dopiero wchodzisz w tę kategorię, czym właściwie jest ATS natywnie oparty na AI szczegółowo wyjaśnia model wspierający.

Żeby było jasne — żaden ATS nie uczyni cię „zgodnym” z konkretnym przepisem i nie ufaj takiemu, który twierdzi, że potrafi. To, co robi właściwa architektura, to ustawia cię po trwałej stronie wspólnego jądra — żeby kolejna nowelizacja czy nowy organ nadzoru nie wysłały cię w gorączkowe łatanie dziur.

Co zrobić w tym tygodniu

Reżim unijny jest przesądzony i wchodzi etapami: AI Act już obowiązuje, a obowiązki wobec systemów wysokiego ryzyka dochodzą w 2026, podczas gdy RODO i zakaz dyskryminacji z Kodeksu pracy obowiązują już dziś. To znacznie spokojniejszy grunt niż amerykańska mozaika — ale trwałe jądro jest identyczne: ujawniaj, trzymaj człowieka przy decyzji, loguj decyzje, niech AI wspiera, a nie decyduje, i bądź gotów wyjaśnić. Ustaw te pięć rzeczy raz, a przestajesz gonić za nagłówkami.

Nie potrzebujesz działu zgodności. Potrzebujesz procesu rekrutacji, w którym AI wspiera, ludzie decydują, a każda decyzja jest logowana. Rozpocznij darmowy okres próbny — i poradnik staje się ustawieniem domyślnym, a nie projektem.