AI w rekrutacji: Kiedy technologia staje się ryzykiem prawnym.

Narzędzia wykorzystujące AI coraz częściej wspierają pracodawców przy redagowaniu ogłoszeń, analizie CV, preselekcji aplikacji, tworzeniu rankingów kandydatów, ocenie odpowiedzi w formularzach, a w bardziej zaawansowanych modelach także przy analizie nagrań wideo lub rozmów kwalifikacyjnych. Im większy wpływ systemu na wynik rekrutacji, tym wyższy poziom wymagań prawnych i organizacyjnych.

Kluczowe jest więc ustalenie czy narzędzie pełni jedynie funkcję pomocniczą, czy realnie kształtuje decyzję o dopuszczeniu kandydata do kolejnego etapu albo o jego odrzuceniu. W praktyce ta granica bywa płynna. Nie wystarczy ogólne zastrzeżenie, że „ostateczną decyzję podejmuje człowiek”.

Pracodawca musi wykazać, że rekruter ma rzeczywistą możliwość oceny rekomendacji systemu, dostęp do informacji o sposobie jej wygenerowania oraz kompetencję do jej zmiany. W przeciwnym razie nadzór ludzki może mieć charakter wyłącznie pozorny.

AI ACT: Rekrutacja pod lupą systemów wysokiego ryzyka

AI Act wszedł w życie 1 sierpnia 2024 r., przy czym większość obowiązków dotyczących systemów wysokiego ryzyka w obszarze zatrudnienia stosuje się od 2 sierpnia 2026 r. Dla pracodawców oznacza to konieczność działania w reżimie pełnej zgodności regulacyjnej, a nie traktowania tematu jako odległego projektu wdrożeniowego. W praktyce potrzebne są: aktualna inwentaryzacja narzędzi AI, ustalenie ról prawnych, weryfikacja dokumentacji dostawcy, opisanie zasad nadzoru człowieka oraz powiązanie wymogów AI Act z obowiązkami wynikającymi z RODO i prawa pracy.

Zgodnie z Załącznikiem III pkt 4 AI Act za systemy wysokiego ryzyka mogą być uznane rozwiązania przeznaczone do rekrutacji lub selekcji osób fizycznych, w szczególności do publikowania ukierunkowanych ogłoszeń o pracę, analizy i filtrowania aplikacji oraz oceny kandydatów.

Podwyższone ryzyko nie wynika wyłącznie z tego, że system podejmuje decyzję „zamiast” pracodawcy. Wystarczające może być to, że wynik działania narzędzia istotnie wpływa na decyzję człowieka, np. poprzez ranking, scoring, rekomendację odrzucenia albo wskazanie kandydatów „najlepiej dopasowanych”.

Przykład: jeżeli system jedynie pomaga rekruterowi znaleźć w CV słowa kluczowe odpowiadające wymaganym uprawnieniom, jego rola może być pomocnicza. Jeżeli jednak ten sam system samodzielnie tworzy ranking kandydatów, rekomenduje odrzucenie aplikacji albo decyduje, kto przejdzie do rozmowy, pracodawca powinien traktować go jako rozwiązanie istotnie wpływające na dostęp do zatrudnienia.

Pracodawca korzystający z gotowego narzędzia najczęściej występuje jako podmiot stosujący system AI, tj. deployer. Z art. 26 AI Act wynikają dla niego obowiązki stosowania systemu zgodnie z instrukcją używania, zapewnienia realnego nadzoru ludzkiego, monitorowania działania systemu oraz dbania o adekwatność danych wejściowych w zakresie pozostającym pod jego kontrolą. Pracodawca powinien także przechowywać automatycznie generowane rejestry zdarzeń co najmniej przez 6 miesięcy, o ile nie przewidziano dłuższego terminu.

W HR szczególne znaczenie ma art. 26 ust. 7 AI Act: przed oddaniem systemu wysokiego ryzyka do użytku w miejscu pracy pracodawca powinien poinformować przedstawicieli pracowników i pracowników dotkniętych jego stosowaniem. Z kolei art. 26 ust. 11 AI Act wymaga poinformowania osoby fizycznej, wobec której podejmowana jest decyzja z użyciem systemu wysokiego ryzyka z Załącznika III.

Ta kwalifikacja może się jednak zmienić. Zgodnie z art. 25 AI Act podmiot stosujący, dystrybutor, importer lub inna osoba trzecia może zostać uznana za dostawcę systemu wysokiego ryzyka, jeżeli opatrzy system własną nazwą lub znakiem towarowym, dokona jego istotnej modyfikacji albo zmieni jego przeznaczenie w sposób prowadzący do zakwalifikowania go jako systemu wysokiego ryzyka.

W HR ryzyko to powstaje zwłaszcza wtedy, gdy pracodawca głęboko konfiguruje narzędzie pod własne kryteria selekcji, integruje je z innymi źródłami danych albo używa rozwiązania pierwotnie przeznaczonego do celów administracyjnych jako narzędzia oceny kandydatów.

Nie można przy tym pomijać art. 4 AI Act, który obowiązuje już od 2 lutego 2025 r. i nakłada na dostawców oraz podmioty stosujące systemy AI obowiązek podejmowania działań zapewniających odpowiedni poziom kompetencji osób korzystających z takich systemów. W rekrutacji oznacza to, że szkolenie rekruterów nie jest wyłącznie dobrą praktyką, lecz elementem należytej staranności: osoby obsługujące narzędzie powinny rozumieć jego przeznaczenie, ograniczenia, ryzyka błędu, zasady nadzoru człowieka oraz skutki dla kandydatów.

Odrębnie należy ocenić obowiązek przeprowadzenia oceny wpływu na prawa podstawowe z art. 27 AI Act. Co do zasady FRIA (ang. Fundamental Rights Impact Assessment), czyli wspomniana powyżej ocena wpływu na prawa podstawowe, nie obejmuje typowego prywatnego pracodawcy stosującego AI w rekrutacji. Obowiązek ten dotyczy przede wszystkim podmiotów publicznych, prywatnych podmiotów świadczących usługi publiczne oraz wskazanych w AI Act systemów z obszaru scoringu kredytowego i ubezpieczeń.

Dla prywatnego pracodawcy kluczowe jest więc nie automatyczne przeprowadzanie FRIA, lecz sprawdzenie, czy konkretny model wykorzystania AI w ogóle mieści się w art. 27 AI Act. Jeżeli tak — FRIA powinna zostać przeprowadzona przed użyciem systemu.

Pracodawca powinien umieć opisać cel systemu, dane wejściowe i wyniki jego działania, kryteria stosowane w procesie oraz moment, w którym człowiek może zmienić albo odrzucić rekomendację algorytmu. Sam zapis w procedurze, że „decyzję podejmuje rekruter”, nie wystarczy, jeżeli osoba ta w rzeczywistości bezrefleksyjnie akceptuje wynik systemu albo nie ma dostępu do informacji pozwalających ocenić, dlaczego kandydat otrzymał określoną rekomendację.

Umowa z dostawcą: HR nie powinien kupować „czarnej skrzynki”

Umowa z dostawcą powinna być jednym z podstawowych instrumentów zarządzania ryzykiem prawnym. Pracodawca powinien zapewnić sobie dostęp do dokumentacji technicznej i funkcjonalnej systemu, informacji o jego przeznaczeniu i ograniczeniach, danych wykorzystywanych do trenowania lub testowania, zasad aktualizacji modelu, wsparcia przy realizacji obowiązków informacyjnych oraz procedury obsługi błędów, incydentów i skarg.

Umowa powinna także przesądzać, czy dane kandydatów mogą być wykorzystywane do dalszego trenowania modelu, na jakiej podstawie prawnej i przy jakich zabezpieczeniach. Z perspektywy pracodawcy istotne są postanowienia dotyczące audytu, odpowiedzialności za nieprawidłowe działanie systemu, obowiązku informowania o istotnych zmianach modelu oraz współpracy przy realizacji praw kandydatów.

Jeżeli dostawca nie jest w stanie wyjaśnić zasad działania narzędzia na poziomie umożliwiającym ocenę zgodności z prawem, należy rozważyć rezygnację z wdrożenia albo ograniczenie zakresu jego wykorzystania. Deklaracja, że system „obiektywizuje” rekrutację, nie zastępuje dokumentacji, testów ani mechanizmów kontroli.

RODO nie znika, gdy decyzję podpowiada algorytm

Pracodawca pozostaje administratorem danych osobowych kandydatów i musi wykazać zgodność przetwarzania z RODO. Szczególne znaczenie ma art. 22 RODO, który dotyczy decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeżeli wywołują wobec osoby skutki prawne lub w podobny sposób istotnie na nią wpływają.

W rekrutacji takim skutkiem może być automatyczne wykluczenie kandydata z procesu albo zamknięcie mu dostępu do kolejnego etapu bez realnej, indywidualnej oceny dokonanej przez człowieka. Wyjątki przewidziane w art. 22 ust. 2 RODO należy interpretować zawężająco. W realiach rekrutacyjnych szczególnej ostrożności wymaga powoływanie się na zgodę kandydata, ponieważ relacja z przyszłym pracodawcą może rodzić wątpliwości co do jej pełnej dobrowolności.

Jeżeli administrator korzysta z automatyzacji objętej art. 22 RODO, musi wdrożyć odpowiednie zabezpieczenia, w tym co najmniej prawo do uzyskania interwencji człowieka, przedstawienia własnego stanowiska i zakwestionowania decyzji. Zabezpieczenia te powinny mieć charakter realny, a nie jedynie deklaratywny.

Jeżeli pracodawca przetwarza dane wykraczające poza katalog z art. 22(1) Kodeksu pracy, powinien dodatkowo uwzględnić art. 22(1a) Kodeksu pracy. Przepis ten dopuszcza przetwarzanie innych danych osobowych kandydata na podstawie zgody, ale zgoda nie może obejmować danych dotyczących wyroków skazujących i naruszeń prawa oraz nie może prowadzić do obejścia zasady dobrowolności. W praktyce oznacza to, że zgoda kandydata nie powinna być traktowana jako uniwersalna podstawa dla rozszerzania zakresu danych analizowanych przez system AI.

Przykład: kandydat otrzymuje automatyczną informację o odrzuceniu, ponieważ system ocenił jego CV na 68 punktów, a próg przejścia ustawiono na 70 punktów. Jeżeli nikt w organizacji nie analizuje aplikacji w sytuacjach granicznych, nie potrafi wyjaśnić kandydatowi kryteriów oceny i nie ma procedury ponownej weryfikacji, ryzyko naruszenia art. 22 RODO jest wysokie.

Wniosek ten wzmacnia wyrok Trybunału Sprawiedliwości Unii Europejskiej z 7 grudnia 2023 r. w sprawie C-634/21, SCHUFA Holding (Scoring), w którym uznano, że zautomatyzowane wyliczenie wartości prawdopodobieństwa może stanowić zautomatyzowane podejmowanie decyzji w indywidualnych przypadkach w rozumieniu art. 22 RODO, jeżeli od tej wartości w decydujący sposób zależy nawiązanie, wykonanie albo zakończenie relacji z osobą. W rekrutacji analogiczne ryzyko powstaje wtedy, gdy wynik scoringu lub ranking kandydatów faktycznie przesądza o przejściu do kolejnego etapu.

Obowiązek informacyjny z art. 13 RODO wymaga przekazania kandydatowi jasnych i konkretnych informacji o logice zautomatyzowanego przetwarzania, jego znaczeniu oraz przewidywanych konsekwencjach. Klauzula informacyjna nie powinna ograniczać się do ogólnej wzmianki o wykorzystywaniu AI. Kandydat powinien wiedzieć, na jakim etapie procesu działa system, jakie kategorie danych analizuje, czy wynik ma charakter pomocniczy czy decydujący oraz w jaki sposób może zażądać ponownej oceny przez człowieka.

Równolegle należy respektować zasady z art. 5 RODO, w szczególności minimalizację danych, ograniczenie celu, rzetelność i przejrzystość. AI nie jest samodzielną podstawą do rozszerzenia zakresu danych pozyskiwanych od kandydata. Art. 22(1) Kodeksu pracy określa katalog danych, których pracodawca może żądać w rekrutacji, a informacje wykraczające poza ten katalog wymagają odrębnej oceny podstawy prawnej, adekwatności i niezbędności.

W świetle wyroku Sądu Najwyższego z 17 października 2018 r., II PK 178/17 żądanie danych innych niż przewidziane przepisami prawa pracy narusza prawa kandydata i swobodę wyrażenia woli, a zgoda nie może być warunkiem zatrudnienia ani prowadzić do dyskryminacji w rekrutacji.

Szczególnie rygorystycznie należy oceniać systemy analizujące dane biometryczne lub behawioralne, w tym mimikę, głos, ton wypowiedzi, tempo mówienia, mikroekspresje czy parametry fizjologiczne. Dane biometryczne są danymi szczególnej kategorii w rozumieniu art. 9 RODO, a art. 22(1b) Kodeksu pracy dopuszcza przetwarzanie dodatkowych danych na podstawie zgody wyłącznie wtedy, gdy ich przekazanie następuje z inicjatywy osoby ubiegającej się o zatrudnienie.

Jeżeli to pracodawca oczekuje udziału w procesie obejmującym analizę mimiki, pulsu, głosu lub tonu wypowiedzi, dobrowolność zgody jest wysoce wątpliwa. Dodatkowo art. 5 ust. 1 lit. g AI Act zakazuje kategoryzacji biometrycznej służącej wnioskowaniu o szczególnych kategoriach cech, takich jak rasa, poglądy polityczne, przynależność związkowa, przekonania religijne czy orientacja seksualna.

Dyskryminacja algorytmiczna: Gdy model powiela stare błędy organizacji

Ryzyko dyskryminacji algorytmicznej należy oceniać nie tylko przez pryzmat deklarowanych kryteriów modelu, ale także przez analizę danych, na których system został wytrenowany, wag przypisywanych poszczególnym cechom oraz skutków jego działania w konkretnym procesie rekrutacyjnym. Algorytm może wzmacniać wcześniejsze nierówności organizacyjne lub rynkowe, nawet jeżeli nie posługuje się wprost kryteriami prawnie zakazanymi. Problemem mogą być także zmienne pozornie neutralne, które w praktyce pełnią funkcję zastępczą wobec cech chronionych.

Z tego powodu weryfikacja systemu powinna obejmować wymagania z art. 10 AI Act dotyczące jakości, reprezentatywności i adekwatności zbiorów danych wykorzystywanych przy projektowaniu, trenowaniu, walidacji i testowaniu systemów wysokiego ryzyka.

W praktyce oznacza to konieczność badania danych także pod kątem stronniczości, sprzężeń zwrotnych oraz historycznych wzorców zatrudniania, które mogą prowadzić do utrwalenia nierówności zamiast ich ograniczenia. Na etapie rekrutacji zastosowanie znajduje zakaz dyskryminacji określony w art. 18(3a) Kodeksu pracy oraz standard równego traktowania.

Pracodawca nie może zwolnić się z odpowiedzialności przez wskazanie, że wadliwy wynik wygenerował zewnętrzny system. To on organizuje proces, określa cel wykorzystania narzędzia i podejmuje decyzję o jego użyciu. Umowa z dostawcą może regulować regres i odpowiedzialność kontraktową, ale nie zastąpi po stronie pracodawcy obowiązku zapewnienia niedyskryminacyjnego procesu rekrutacyjnego.

Wątek ten warto odczytywać także w świetle dyrektywy 2000/78/WE, która ustanawia ogólne ramy równego traktowania w zakresie zatrudnienia i pracy. Jej znaczenie praktyczne polega na tym, że dyskryminacja pośrednia może wynikać z pozornie neutralnego kryterium, praktyki lub mechanizmu, jeżeli w konkretnych warunkach prowadzą one do szczególnie niekorzystnej sytuacji osób chronionych.

W przypadku AI takie ryzyko może powstać nawet wtedy, gdy model nie wykorzystuje wprost cech prawnie chronionych, ale posługuje się zmiennymi zastępczymi albo danymi historycznymi odtwarzającymi wcześniejsze nierówności.

Zanim klikniesz „wdrażamy”: Lista kontrolna dla pracodawcy

Korzystanie z AI w rekrutacji należy traktować jako element zarządzania zgodnością procesu zatrudniania z prawem, a nie jedynie jako usprawnienie techniczne lub zakup narzędzia informatycznego. Pracodawca powinien ocenić, czy sposób działania systemu, zakres przetwarzanych danych, rola człowieka oraz relacja z dostawcą pozwalają wykazać zgodność z RODO, Kodeksem pracy i AI Act. W praktyce minimalny standard należytej staranności po stronie pracodawcy obejmuje w szczególności:

• zinwentaryzowanie narzędzi AI używanych w rekrutacji, ich funkcji, danych wejściowych, wpływu na decyzję o kandydacie oraz weryfikację, czy sposób konfiguracji, oznaczenia własną nazwą, istotnej modyfikacji albo zmiany przeznaczenia nie prowadzi do uznania pracodawcy za dostawcę systemu na podstawie art. 25 AI Act
• zapewnienie rzeczywistego nadzoru człowieka: rekruter powinien mieć kompetencję, czas i uprawnienie do zakwestionowania rekomendacji systemu
• weryfikację podstawy prawnej i zakresu danych, z uwzględnieniem art. 5, art. 13 i art. 22 RODO oraz art. 22(1), art. 22(1a) i art. 22(1b) Kodeksu pracy
• aktualizację klauzul informacyjnych i ustanowienie czytelnej ścieżki, w której kandydat może uzyskać interwencję człowieka, jasne i znaczące wyjaśnienie roli systemu AI w decyzji zgodnie z art. 86 AI Act oraz zakwestionować wynik
• ocenę ryzyka dyskryminacji, testowanie wyników oraz wymaganie od dostawcy dokumentacji, możliwości audytu, informacji o przeznaczeniu i ograniczeniach systemu, danych testowych lub treningowych, zasadach aktualizacji modelu, wsparciu w realizacji praw kandydatów oraz obowiązku informowania o istotnych zmianach systemu
• przygotowanie procedury zgodności z AI Act, w tym zasad nadzoru, logowania, informowania kandydatów, pracowników i ich przedstawicieli, przechowywania automatycznie generowanych rejestrów zdarzeń co najmniej przez 6 miesięcy, szkoleń z kompetencji AI oraz — tylko w przypadkach objętych art. 27 AI Act — oceny wpływu na prawa podstawowe (FRIA).

Na poziomie dokumentacyjnym HR powinien zweryfikować przede wszystkim: procedurę rekrutacyjną, zasady korzystania z narzędzi AI, klauzulę informacyjną dla kandydatów, rejestr czynności przetwarzania, ocenę skutków dla ochrony danych, instrukcję dla rekruterów, wzór odpowiedzi na żądanie interwencji człowieka oraz umowę z dostawcą. Jeżeli system istotnie wpływa na selekcję kandydatów, dokumentacja powinna obejmować także opis logiki procesu oraz zasady dokumentowania odstępstw od rekomendacji systemu.

Odrębnego uregulowania wymaga obsługa pytań i skarg kandydatów dotyczących wykorzystania AI. Procedura powinna wskazywać osoby odpowiedzialne za analizę zgłoszenia, terminy odpowiedzi, zakres informacji możliwych do przekazania kandydatowi oraz przypadki, w których konieczna jest ponowna ocena aplikacji przez człowieka.

Jeżeli wadliwość rekrutacji zostanie stwierdzona po zakończeniu procesu, co do zasady nie da się „cofnąć” wszystkich jej skutków; znaczenia nabiera wówczas mechanizm skargowy, ewentualna rekompensata oraz środki naprawcze ograniczające ryzyko naruszeń w kolejnych procesach. Brak takiego mechanizmu zwiększa ryzyko sporu o dyskryminację, naruszenie RODO albo nieprzejrzystość procesu.

Uzupełnieniem tej procedury powinno być uwzględnienie art. 86 AI Act. Jeżeli kandydat jest objęty decyzją podjętą przez podmiot stosujący na podstawie wyniku systemu wysokiego ryzyka z Załącznika III, a decyzja wywołuje wobec niego skutki prawne lub podobnie istotnie na niego wpływa, powinien mieć możliwość uzyskania jasnego i znaczącego wyjaśnienia roli systemu AI w procesie decyzyjnym oraz głównych elementów podjętej decyzji. W rekrutacji nie wystarczy więc ogólna informacja, że „wykorzystano algorytm”, wyjaśnienie powinno odnosić się do realnego wpływu systemu na ocenę konkretnej aplikacji.

W polskim modelu egzekwowania AI Act znaczenie praktyczne mogą mieć także organy ochrony praw podstawowych wskazane na podstawie art. 77 AI Act. W odniesieniu do ryzyk pracowniczych i rekrutacyjnych szczególnie istotna jest Państwowa Inspekcja Pracy, obok Rzecznika Praw Dziecka i Rzecznika Praw Pacjenta. Dla pracodawcy oznacza to, że ryzyko kontroli nie ogranicza się wyłącznie do aspektów ochrony danych osobowych, ale może obejmować również wpływ systemu AI na prawa kandydatów i pracowników.

Rekomendacje dla HR: Automatyzuj proces, ale nie odpowiedzialność

Z perspektywy prawnej kluczowa konkluzja jest jednoznaczna: automatyzacja może usprawnić rekrutację, ale nie przenosi odpowiedzialności za zgodność procesu na dostawcę technologii ani na sam system. Pracodawca musi być w stanie wykazać, że korzysta z narzędzia zgodnie z jego przeznaczeniem, kontroluje dane wejściowe, zapewnia kompetentny nadzór człowieka, przejrzyście informuje kandydatów i dysponuje procedurą ponownej oceny decyzji. Brak takiej dokumentacji może istotnie obciążać pracodawcę w razie skargi kandydata, kontroli organu nadzorczego lub sporu o dyskryminację.

Ryzyko to ma także wymiar sankcyjny. Art. 99 AI Act przewiduje wielopoziomowy system administracyjnych kar pieniężnych. Za naruszenia zakazanych praktyk AI kary mogą sięgać 35 mln euro albo 7% całkowitego rocznego światowego obrotu. Za naruszenia większości pozostałych obowiązków, w tym obowiązków dotyczących systemów wysokiego ryzyka limit wynosi 15 mln euro albo 3% obrotu, a za przekazanie organom nieprawidłowych, niepełnych lub wprowadzających w błąd informacji 7,5 mln euro albo 1% obrotu.

Jednocześnie art. 111 ust. 2 AI Act przewiduje szczególny reżim przejściowy dla systemów wysokiego ryzyka wprowadzonych do obrotu lub oddanych do użytku przed 2 sierpnia 2026 r. Co do zasady AI Act znajdzie do nich zastosowanie, jeżeli po tej dacie zostaną poddane istotnym zmianom w projekcie. Nie dotyczy to jednak zakazanych praktyk z art. 5 AI Act, które obowiązują niezależnie od tego reżimu przejściowego.

Praktyczne działania warto uporządkować w kolejności odpowiadającej cyklowi wdrożenia: najpierw zmapować proces rekrutacyjny i punkty wpływu AI na ocenę kandydata, następnie opisać kryteria działania systemu, ustanowić standard realnej kontroli człowieka, zaktualizować dokumentację RODO i umowę z dostawcą, a po uruchomieniu cyklicznie testować wyniki pod kątem dyskryminacji pośredniej.

Najbezpieczniejszym rozwiązaniem jest przyjęcie zasady, że AI może wspierać ocenę, ale nie może tworzyć niekontrolowanego mechanizmu selekcji. Dział HR powinien umieć odpowiedzieć na pięć pytań kontrolnych: jaki jest cel użycia systemu, jakie dane są przetwarzane, jak powstaje rekomendacja, kto ją weryfikuje oraz jak kandydat może skutecznie zakwestionować wynik.

Podsumowanie — Rekomendacje na pracodawcy i działu HR

1. Zinwentaryzuj narzędzia AI używane w rekrutacji i określ czy pełnią funkcję pomocniczą, czy wpływają na ocenę, ranking, preselekcję albo odrzucenie kandydatów.
   Przykład: jeżeli narzędzie wyłącznie porządkuje aplikacje według daty wpływu, ryzyko regulacyjne będzie inne niż wtedy, gdy automatycznie wskazuje kandydatów „najlepiej dopasowanych” do stanowiska.
2. Sklasyfikuj system pod kątem AI Act, w szczególności sprawdzając, czy mieści się w kategorii systemów wysokiego ryzyka stosowanych w rekrutacji lub selekcji osób fizycznych oraz czy sposób jego oznaczenia, modyfikacji albo zmiany przeznaczenia nie powoduje przejęcia obowiązków dostawcy z art. 25 AI Act.
   Przykład: scoring CV, automatyczne filtrowanie aplikacji albo ranking kandydatów powinny być oceniane inaczej niż narzędzie służące wyłącznie do technicznego umawiania rozmów.
3. Ustal i udokumentuj role prawne, zasady nadzoru człowieka, zakres danych, relację z dostawcą oraz powiązanie wymogów AI Act z dokumentacją RODO i prawa pracy.
   Przykład: w dokumentacji warto wskazać, kto odpowiada za konfigurację systemu, kto zatwierdza kryteria oceny, kto analizuje przypadki graniczne i kto odpowiada na żądania kandydatów.
4. Zapewnij realny nadzór człowieka: rekruter powinien rozumieć rekomendację systemu, mieć dostęp do informacji o jej podstawach oraz faktyczne uprawnienie do jej zmiany albo odrzucenia.
   Przykład: przy kandydacie ocenionym minimalnie poniżej progu systemowego rekruter powinien zweryfikować aplikację, zanim kandydat zostanie wykluczony z procesu.
5. Zweryfikuj umowę z dostawcą narzędzia AI, w tym dostęp do dokumentacji, informacje o przeznaczeniu i ograniczeniach systemu, danych testowych lub treningowych, zasady aktualizacji modelu, odpowiedzialność za błędy, możliwość audytu, wsparcie przy realizacji praw kandydatów, obowiązek informowania o istotnych zmianach oraz warunki wykorzystywania danych kandydatów do trenowania systemu.
6. Zaktualizuj dokumentację RODO, w szczególności klauzule informacyjne, rejestr czynności przetwarzania, ocenę skutków dla ochrony danych, podstawy prawne przetwarzania oraz procedury realizacji praw kandydatów, uwzględniając także prawo do jasnego i znaczącego wyjaśnienia roli systemu AI w decyzji zgodnie z art. 86 AI Act.
   Przykład: klauzula informacyjna powinna wskazywać, na jakim etapie rekrutacji działa system, jakie dane analizuje, jak kandydat może zażądać ponownej oceny przez człowieka i kiedy może oczekiwać wyjaśnienia wpływu systemu na jego aplikację.
7. Przestrzegaj granic danych określonych w art. 22(1), art. 22(1a) i art. 22(1b) Kodeksu pracy oraz art. 9 i 10 RODO; nie zbieraj ani nie analizuj dodatkowych danych tylko dlatego, że narzędzie technicznie potrafi je przetworzyć.
   Przykład: analiza profili społecznościowych, mimiki, głosu, tonu wypowiedzi albo parametrów fizjologicznych kandydata powinna być traktowana jako obszar wysokiego ryzyka prawnego, a nie jedynie jako kwestia „szczególnej ostrożności”.
8. Testuj system pod kątem dyskryminacji pośredniej, analizując rzeczywiste wyniki działania narzędzia, a nie tylko deklarowaną neutralność jego kryteriów.
   Przykład: HR powinien okresowo sprawdzać, czy system nie odrzuca nieproporcjonalnie kandydatów z przerwami w zatrudnieniu, niestandardową ścieżką kariery albo doświadczeniem zdobytym poza typowym profilem organizacji.
9. Przygotuj ścieżkę obsługi pytań i skarg kandydatów, określając osoby odpowiedzialne, terminy odpowiedzi, zakres przekazywanych informacji i zasady ponownej oceny aplikacji przez człowieka.
   Przykład: kandydat powinien wiedzieć, do kogo może skierować żądanie wyjaśnienia wyniku systemu, w jakim terminie otrzyma odpowiedź i kto ponownie oceni jego aplikację.
10. Zapewnij przechowywanie automatycznie generowanych rejestrów zdarzeń zgodnie z art. 26 AI Act co najmniej przez 6 miesięcy, chyba że z przepisów lub dokumentacji systemu wynika dłuższy termin.
    Przykład: dokumentacja wdrożenia powinna wskazywać, kto ma dostęp do logów, jak są zabezpieczane i w jaki sposób mogą zostać wykorzystane przy wyjaśnianiu skargi kandydata albo audycie procesu.
11. Przeszkol rekruterów i osoby nadzorujące system AI zgodnie z art. 4 AI Act, aby rozumiały przeznaczenie systemu, jego ograniczenia, ryzyka dyskryminacji, zasady nadzoru człowieka, procedurę obsługi skarg oraz potrafiły zakwestionować wynik i dokumentować odstąpienie od rekomendacji systemu.

W praktyce najbezpieczniejsze wdrożenie AI w rekrutacji to takie, w którym technologia wspiera człowieka, ale nie zastępuje jego odpowiedzialności, oceny i obowiązku wyjaśnienia decyzji kandydatowi.

Podstawy prawne

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji oraz zmieniające rozporządzenia i dyrektywy UE, w szczególności art. 4, art. 5 ust. 1 lit. g, art. 6 ust. 2, art. 10, art. 25, art. 26 ust. 7 i 11, art. 27, art. 77, art. 86, art. 99, art. 111 ust. 2 oraz Załącznik III pkt 4.
2. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO), w szczególności art. 5, art. 9, art. 10, art. 13, art. 22, art. 35 oraz motyw 71.
3. Ustawa z dnia 26 czerwca 1974 r. — Kodeks pracy, w szczególności art. 22(1), art. 22(1a), art. 22(1b) oraz art. 18(3a).
4. Dyrektywa Rady 2000/78/WE z dnia 27 listopada 2000 r. ustanawiająca ogólne warunki ramowe równego traktowania w zakresie zatrudnienia i pracy.
5. Wyrok Sądu Najwyższego z 17 października 2018 r., II PK 178/17.
6. Wyrok Trybunału Sprawiedliwości Unii Europejskiej z 7 grudnia 2023 r., C-634/21, SCHUFA Holding (Scoring)