AI Act a rekrutacja: klasyfikacja systemu, terminy i obowiązki

AI do analizy aplikacji i oceny kandydatów należy do zastosowań wskazanych w załączniku III do AI Act. Klasyfikacja zależy jednak od konkretnego systemu i jego przeznaczenia. Sam fakt, że ATS ma funkcję AI, nie rozstrzyga statusu całego produktu ani obowiązków każdej ze stron.

Dla zespołu rekrutacyjnego pierwszym krokiem jest ustalenie, co system robi: pomaga redagować ogłoszenia, streszcza dokumenty, szereguje kandydatów czy wpływa na decyzję o odrzuceniu. Następnie trzeba określić właściwe przepisy, rolę pracodawcy i dostawcy oraz terminy ich stosowania.

Artykuł zawiera informacje ogólne. Klasyfikację konkretnego zastosowania i obowiązki organizacji uzgodnij z prawnikiem oraz osobą odpowiedzialną za ochronę danych.

Kiedy system jest wysokiego ryzyka

Załącznik III pkt 4 lit. a obejmuje systemy przeznaczone do rekrutacji i selekcji, w tym do ukierunkowanych ogłoszeń, analizy i filtrowania aplikacji oraz oceny kandydatów. Lit. b dotyczy określonych zastosowań w zarządzaniu pracownikami. Art. 6 przewiduje zasady klasyfikacji i ograniczone wyjątki, które trzeba ocenić dla danej funkcji. Systemy z załącznika III profilujące osoby fizyczne zawsze uznaje się za wysokiego ryzyka.

„Wysokie ryzyko” nie oznacza zakazu używania. Wiąże się z wymaganiami dotyczącymi m.in. nadzoru, danych, dokumentacji i rejestrowania zdarzeń. Osobno obowiązują zakazy określonych praktyk. Przykładem jest wnioskowanie o emocjach w miejscu pracy na podstawie danych biometrycznych, z wyjątkami medycznymi lub związanymi z bezpieczeństwem. Sama deklaracja dostawcy, że narzędzie pomaga w rekrutacji, nie wyłącza zakazu.

Harmonogram po AI Omnibus

Aktualizacja z 6 września 2026 r.: AI Omnibus wszedł w życie 27 lipca 2026 r. Obowiązki dla systemów wysokiego ryzyka z załącznika III mają być stosowane od 2 grudnia 2027 r., zamiast od 2 sierpnia 2026 r. To przyjęta zmiana, a nie oczekujący projekt. Komisja Europejska podaje nowy harmonogram.

Odroczenie nie zawiesza RODO, przepisów o równym traktowaniu ani już stosowanych zakazów AI Act. Obowiązki dotyczące przejrzystości mają własny zakres i terminy. Grudzień 2027 r. nie jest więc wspólnym terminem wejścia w życie wszystkich wymagań.

Dostawca i podmiot stosujący mają różne zadania

Dostawca tworzy system lub zleca jego stworzenie i wprowadza go do obrotu albo oddaje do użytku pod własną nazwą. Wśród obowiązków dotyczących systemów wysokiego ryzyka są dokumentacja techniczna, zarządzanie ryzykiem i ocena zgodności.

Podmiot stosujący korzysta z systemu pod swoją kontrolą w działalności zawodowej. Pracodawca używający kupionego narzędzia zwykle pełni tę rolę. Powinien stosować je zgodnie z instrukcją, zapewnić nadzór i reagować na stwierdzone ryzyka.

Role mogą się zmienić, np. przy istotnej modyfikacji lub zmianie przeznaczenia systemu na warunkach określonych w art. 25. Nie każda konfiguracja czy dostrojenie automatycznie czyni pracodawcę dostawcą. Warto ustalić granice dozwolonych zmian w dokumentacji i umowie.

Co trzeba ustalić przed wdrożeniem

Poniższe zagadnienia dotyczą systemów zaklasyfikowanych jako wysokiego ryzyka. Nie wszystkie są obowiązkiem pracodawcy, a ich zakres i terminy trzeba ustalić dla konkretnego wdrożenia.

Osoby sprawujące nadzór

Art. 14 i 26 przewidują skuteczny nadzór człowieka. Osoby odpowiedzialne muszą mieć potrzebne kompetencje, uprawnienia i możliwość właściwej interpretacji wyników, ich pominięcia lub zmiany oraz zatrzymania systemu, gdy jest to potrzebne.

Nie sprowadzaj tego do przycisku „zatwierdź”. Ustal, które wyniki wymagają sprawdzenia, jak zgłaszać błąd i kto może interweniować. Sam AI Act nie ustanawia prostej reguły, że każda operacja ATS musi być ręczna. Dopuszczalność wyłącznie automatycznych decyzji wobec kandydatów trzeba osobno ocenić m.in. na gruncie art. 22 RODO.

Dane i testy stronniczości

Art. 10 określa wymagania dotyczące danych w systemach wysokiego ryzyka wykorzystujących uczenie modeli. Zapytaj dostawcę, jak dobierał dane, oceniał ich przydatność i badał ryzyko stronniczości. Potrzebujesz opisu metody i ograniczeń, nie samej deklaracji „AI bez uprzedzeń”.

Sprawdź również dane wejściowe i kryteria używane przez własny zespół. Dobre wyniki testu dostawcy nie dowodzą, że każda późniejsza konfiguracja jest odpowiednia.

Rejestrowanie zdarzeń i retencja

Art. 12 dotyczy technicznej zdolności automatycznego rejestrowania zdarzeń potrzebnych do identyfikacji ryzyka i monitorowania systemu. Zwykła oś czasu kandydata nie musi obejmować całego wymaganego zakresu.

Art. 26 ust. 6 przewiduje przechowywanie logów znajdujących się pod kontrolą podmiotu stosującego przez okres odpowiedni do przeznaczenia systemu, co najmniej sześć miesięcy, chyba że właściwe prawo unijne lub krajowe stanowi inaczej. Nie oznacza to obowiązku bezterminowego zachowywania całej dokumentacji rekrutacyjnej. Ustal, jakie zapisy obejmuje retencja, kto ma do nich dostęp i jak działają usuwanie oraz eksport.

Informowanie kandydatów i pracowników

Art. 26 przewiduje informowanie przedstawicieli pracowników i pracowników, których dotyczy wdrożenie w miejscu pracy, oraz osób objętych określonymi decyzjami wspomaganymi przez system. Art. 50 dotyczy m.in. informowania o interakcji z AI; nie jest identycznym obowiązkiem dla każdej funkcji rekrutacyjnej.

Wyjaśnienie decyzji

Art. 86 przewiduje prawo do jasnego wyjaśnienia roli systemu i głównych elementów decyzji w objętych nim przypadkach. Nie jest to prawo do pełnego kodu źródłowego każdej aplikacji. Przygotuj sposób odtworzenia, jakie informacje i kryteria miały znaczenie oraz jak wykorzystano wynik AI.

Ocena skutków dla ochrony danych

RODO stosuje się równolegle. Art. 22 dotyczy decyzji opartych wyłącznie na automatycznym przetwarzaniu i wywołujących istotne skutki, z przewidzianymi wyjątkami i zabezpieczeniami. Ocena skutków dla ochrony danych (DPIA) jest wymagana na warunkach art. 35, a nie automatycznie przy każdej rekrutacji.

Jeśli przetwarzanie może powodować wysokie ryzyko, uwzględnij zastosowanie AI w analizie. Gdy mimo planowanych środków pozostaje wysokie ryzyko, sprawdź obowiązek uprzedniej konsultacji z organem nadzorczym na podstawie art. 36. W Polsce organem ochrony danych jest Prezes UODO.

Kary zależą od naruszenia

Art. 99 przewiduje różne górne limity kar. Nie ma jednego limitu właściwego dla każdego naruszenia związanego z rekrutacją.

Dla przedsiębiorstw zasadą jest wyższa z odpowiednich wartości, z odrębnymi zasadami dla MŚP, w tym startupów. To limity, nie automatyczne kwoty nakładane za każde uchybienie. Wysokość kary zależy m.in. od rodzaju, skali i okoliczności naruszenia.

Nie porównuj tych wartości bezpośrednio z karami za naruszenia RODO ani z amerykańskimi karami liczonymi za pojedyncze naruszenie. Przepisy mają różne podstawy, zakresy i zasady wymiaru kar.

Czego uczy spór o Workday

W sprawie Mobley przeciwko Workday sąd amerykański dopuścił część roszczeń opartych na zarzucie powierzenia dostawcy funkcji selekcyjnych pracodawcy. Nie jest to wykładnia AI Act ani stwierdzenie, że każdy automatyczny filtr narusza prawo.

Wdrażając ATS, ustal, jakie decyzje podejmuje narzędzie i kto za nie odpowiada. Sprawdź także proste reguły eliminujące. Funkcja może podlegać RODO i prawu antydyskryminacyjnemu, nawet jeśli nie spełnia definicji systemu AI.

Jak sprawdzić własny proces

1. Wypisz funkcje AI i ich faktyczne przeznaczenie.
2. Ustal klasyfikację oraz rolę pracodawcy i dostawcy.
3. Zidentyfikuj automatyczne decyzje i sposób nadzoru.
4. Poproś o dokumentację danych, testów i ograniczeń.
5. Porównaj logi, retencję i eksport z wymaganym zakresem.
6. Uzgodnij informacje dla kandydatów, pracowników i ich przedstawicieli.
7. Oceń zastosowanie art. 22 RODO, potrzebę DPIA i ewentualnych konsultacji.
8. Przypisz osoby odpowiedzialne za przygotowanie wdrożenia do właściwych terminów.

Co można sprawdzić w Kit

Kit pozwala zapisywać kryteria oceny, recenzje, powody odrzucenia i historię etapów. Pomaga to odtworzyć rekrutację, ale nie jest potwierdzeniem zgodności z art. 12 lub 86 ani gotowym audytem procesu.

Sprawdź automatyczne działania. Warunki etapów i głosowanie mogą uruchamiać przejścia, a uprawnione narzędzia AI mogą wykonywać operacje na kandydaturach. Przypisanie operacji do konta użytkownika nie dowodzi, że człowiek samodzielnie ocenił każdą sprawę. Nie każda zmiana wymaga więc ręcznego zatwierdzenia.

Ustal zasady przechowywania. Rekordy w bazie danych nie są nieusuwalnym archiwum. Trzeba uwzględnić usuwanie danych, uprawnienia i zakres eksportu. Widoczność historii w aplikacji nie określa, jak długo dane będą przechowywane.

Oddziel funkcje od obowiązków organizacji. To pracodawca ustala zasady użycia, wyznacza osoby sprawujące nadzór i przygotowuje wymagane informacje oraz analizy. Wybór Kit nie stanowi certyfikatu zgodności z AI Act.

Rozpocznij bezpłatny okres próbny, aby sprawdzić proces na przykładowej kandydaturze, albo przeczytaj, jak Kit zapisuje etapy rekrutacji.