Poradnik

AI w rekrutacji

Czy używanie AI w rekrutacji jest legalne? Przewodnik po zgodności

Dawid Winiarski

Last update:

July 17, 2026

Stan na lipiec 2026. Ten przewodnik odzwierciedla Rozporządzenie (UE) 2024/1689 (AI Act UE), RODO (Rozporządzenie (UE) 2016/679) oraz poprawki Digital Omnibus, przyjęte przez Parlament Europejski 16 czerwca 2026 i przez Radę UE 29 czerwca 2026. Poprawki omnibusa nie zostały opublikowane w Dzienniku Urzędowym na lipiec 2026. Do czasu publikacji obowiązującym prawem pozostają pierwotne daty stosowania dla wysokiego ryzyka. To ogólna informacja, nie porada prawna. Przed oparciem planowania zgodności na jakiejkolwiek dacie czy obowiązku, potwierdź swoją klasyfikację i obowiązki z prawnikiem i ze swoim organem nadzorczym.

Krótka odpowiedź: tak, używanie AI w rekrutacji jest legalne, ale większość takiego użycia jest regulowana jako wysokie ryzyko, a obowiązki spadają na ciebie jako firmę używającą narzędzia, nie tylko na dostawcę, który je zbudował. To przewodnik dla osoby, która musi podjąć tę decyzję i ją obronić: founder, head of people, head of legal albo osoba odpowiedzialna za security i compliance w firmie liczącej mniej więcej 50-500 osób, która gdzieś w rekrutacji ma już włączoną funkcję AI.

Omawia, dlaczego AI rekrutacyjne jest wysokiego ryzyka na mocy AI Act, czego status wysokiego ryzyka wymaga potem od deployera, jak równolegle działają zasady RODO dotyczące zautomatyzowanych decyzji, gdzie obowiązki audytu bias już realnie gryzą, i co położyć na stole przy negocjacjach z dostawcą. Na koniec powinieneś umieć na piśmie odpowiedzieć na trzy pytania: czy nasze użycie jest wysokiego ryzyka, co jesteśmy winni, i czego potrzebujemy od ludzi, którzy sprzedali nam to narzędzie.

To pełny towarzysz decyzyjny i compliance dla krótszego tekstu klasyfikacyjnego „AI w rekrutacji jest domyślnie wysokiego ryzyka". Jeśli potrzebujesz tylko potwierdzić, że twój stack jest objęty zakresem, przeczytaj najpierw tamten. Jeśli musisz na tej podstawie działać, to jest ten dłuższy spacer.

Używanie AI w rekrutacji i zarządzaniu ludźmi jest legalne w UE, ale AI używane do rekrutowania, selekcjonowania, przesiewania albo oceny kandydatów oraz AI używane do decydowania o awansie, zwolnieniu, przydziale zadań czy monitorowaniu wydajności jest wysokiego ryzyka na mocy punktu 4 Załącznika III Rozporządzenia (UE) 2024/1689.
Obowiązki dla wysokiego ryzyka spoczywają na tobie jako deployerze (organizacji, która używa systemu) na mocy Artykułu 26, nawet gdy narzędzie zbudował dostawca. „Po prostu kupiliśmy funkcję" nie przenosi tego obowiązku.
Artykuł 6(3) pozwala systemowi wyjść z wysokiego ryzyka, jeśli nie stwarza istotnego ryzyka, ale ta furtka zamyka się, gdy system profiluje ludzi, a większość AI rekrutacyjnego profiluje ludzi, więc rzadko ma tu zastosowanie.
„Człowiek i tak podpisuje decyzję" nie zmienia klasyfikacji, a na mocy Artykułu 22 RODO automatyczne zatwierdzenie też nie liczy się jako udział człowieka. Nadzór musi być rzeczywisty i sprawowany przez kogoś z uprawnieniami i kompetencjami, żeby zmienić wynik (Wytyczne EDPB/WP29 WP251, zatwierdzone 25 maja 2018).
Podstawowe obowiązki deployera: kompetentny nadzór ludzki (Artykuł 26(2)), używanie zgodnie z instrukcją providera (Artykuł 26(1)), jakość danych wejściowych tam, gdzie je kontrolujesz (Artykuł 26(4)), monitorowanie i eskalacja incydentów (Artykuł 26(5)), przechowywanie logów przez co najmniej sześć miesięcy (Artykuł 26(6)), informowanie przedstawicieli pracowników i osób, których to dotyczy, przed użyciem w miejscu pracy (Artykuł 26(7)), informowanie kandydatów, że podlegają systemowi (Artykuł 26(11)), oraz ocena wpływu na prawa podstawowe na mocy Artykułu 27, tam gdzie ma zastosowanie.
Rozpoznawanie emocji w miejscu pracy jest wprost zakazane na mocy Artykułu 5, z wąskimi wyjątkami medycznymi i bezpieczeństwa. To zakaz, nie obowiązek dla wysokiego ryzyka, i obowiązuje od 2 lutego 2025.
Egzekwowanie nie jest teoretyczne. W sierpniu 2023 amerykańska EEOC ugodowo zakończyła swoją pierwszą sprawę o dyskryminację przy rekrutacji przez AI, iTutorGroup, za 365 000 USD, w związku z oprogramowaniem, które automatycznie odrzucało starszych kandydatów. Nowojorskie Local Law 144 wymaga niezależnego audytu bias dla zautomatyzowanych narzędzi decyzji zatrudnieniowych, odkąd egzekwowanie zaczęło się 5 lipca 2023.
Poziomy kar w AI Act: do 35 mln EUR albo 7% globalnego rocznego obrotu za praktyki zakazane (Artykuł 5); do 15 mln EUR albo 3% za większość pozostałych naruszeń; do 7,5 mln EUR albo 1% za dostarczenie mylących informacji. Naruszenia RODO niosą do 20 mln EUR albo 4%.
Daty: zakazy z Artykułu 5 i obowiązek kompetencji AI z Artykułu 4 obowiązują od 2 lutego 2025. Obowiązki przejrzystości z Artykułu 50 mają zastosowanie od 2 sierpnia 2026. Obowiązki dla wysokiego ryzyka z Załącznika III mają zastosowanie od 2 sierpnia 2026 na mocy tekstu bazowego; Digital Omnibus, przyjęty przez Parlament i Radę w czerwcu 2026 i oczekujący na publikację w Dzienniku Urzędowym, przesuwa tę datę na 2 grudnia 2027.

Spis treści

Szczera odpowiedź: tak, z obowiązkami

W UE nie ma zakazu używania AI do rekrutacji ani zarządzania ludźmi. AI Act nie zakazuje tej kategorii. To, co robi, to umieszczenie większości takiego użycia w kategorii wysokiego ryzyka, czyli zdefiniowanym zestawie obowiązków, a nie zakazie. Pytanie prawne nigdy więc nie brzmi „czy możemy", tylko „czy zrobiliśmy to, czego wymaga status wysokiego ryzyka".

Jeden wąski wycinek to prawdziwy zakaz. Rozpoznawanie emocji w miejscu pracy, oprogramowanie wnioskujące o stanie emocjonalnym kandydata albo pracownika, jest zakazane na mocy Artykułu 5, z wyjątkami tylko z powodów medycznych albo bezpieczeństwa. Ten zakaz obowiązuje od 2 lutego 2025. Precyzyjna odpowiedź brzmi więc: AI w rekrutacji jest legalne, z dołączonymi obowiązkami, poza wycinkiem, który przekracza linię Artykułu 5 i jest nielegalny. Większość firm jest daleko od tej linii. Są dokładnie w strefie wysokiego ryzyka z obowiązkami i po prostu tego nie zauważyły.

Dla firmy z mid-marketu liczy się to, że AI zwykle przyszło w pakiecie. Scoring rankingujący CV wewnątrz systemu do śledzenia kandydatów, filtr przesiewający AI na portalu z ofertami pracy, dodatek do wideorozmów kwalifikacyjnych, który punktuje kandydatów: nic z tego nie wygląda jak wdrażanie systemu AI wysokiego ryzyka, a wszystko tym jest.

Dlaczego AI rekrutacyjne jest wysokiego ryzyka

AI Act dzieli systemy według ryzyka, jakie stwarzają dla zdrowia, bezpieczeństwa i praw podstawowych. Kategoria wysokiego ryzyka jest wąska i nazwana wprost. Pochodzi z dwóch list: Załącznika I (AI wbudowane w regulowane produkty, gdzie narzędzia rekrutacyjne nie mieszczą się) i Załącznika III (lista samodzielnych zastosowań). Punkt 4 Załącznika III nosi tytuł zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia. Rekrutacja i HR są tam nazwane wprost.

Punkt 4 dzieli się na dwa. Punkt 4(a) obejmuje AI przeznaczone do rekrutacji albo selekcji ludzi, w szczególności do kierowania targetowanych ogłoszeń o pracę, analizowania i filtrowania aplikacji oraz oceny kandydatów. Punkt 4(b) obejmuje AI przeznaczone do podejmowania decyzji o warunkach pracy, awansie albo zwolnieniu, przydzielania zadań na podstawie zachowania albo cech osobistych, albo do monitorowania i oceny wydajności i zachowania. Razem obejmują większość cyklu życia rekrutacji i zarządzania ludźmi.

Prawodawca wyznaczył tu granicę, bo decyzje o tym, kto zostaje zatrudniony, awansowany, jakie zadania dostaje albo kto odchodzi, kształtują kariery i źródła utrzymania, wadliwy model może na skalę powielać dyskryminację, a narzędzia monitorujące sięgają w prywatność. Klasyfikacja podąża za zastosowaniem, nie za marką na pudełku: model ogólnego przeznaczenia używany do punktowania kandydatów jest wysokiego ryzyka w tym zastosowaniu, mimo że sam model jest ogólnego przeznaczenia.

Użycie modelu językowego do napisania albo dopracowania ogłoszenia o pracę to zwykła praca nad treścią, nie zastosowanie z punktu 4. Granica jest przekraczana, gdy AI targetuje, filtruje albo ocenia ludzi, nie wtedy, gdy pomaga napisać ogłoszenie. Samo pisanie wiąże się co najwyżej z obowiązkiem przejrzystości z Artykułu 50, tam gdzie ma zastosowanie.

Furtka, która zwykle się nie otwiera

Artykuł 6(3) daje drogę wyjścia. System, który skądinąd byłby wysokiego ryzyka na mocy Załącznika III, nie jest wysokiego ryzyka, jeśli nie stwarza istotnego ryzyka szkody dla zdrowia, bezpieczeństwa czy praw podstawowych, w tym przez to, że nie wpływa istotnie na wynik podejmowania decyzji. Akt podaje przykłady: system wykonujący wąskie zadanie proceduralne albo taki, który tylko poprawia wynik zakończonej czynności ludzkiej.

Dla rekrutacji ta furtka jest węższa, niż wygląda na pierwszy rzut oka, bo Artykuł 6(3) niesie własne nadpisanie. Wyjątek nie ma zastosowania, a system pozostaje wysokiego ryzyka, jeśli profiluje osoby fizyczne. Profilowanie jest zdefiniowane w RODO jako zautomatyzowane przetwarzanie w celu oceny osobistych aspektów danej osoby, a większość AI rekrutacyjnego robi dokładnie to: punktuje, rankinguje, przewiduje dopasowanie albo wnioskuje o cechach. Narzędzie, które rankinguje kandydatów według przewidywanej trafności, profiluje, więc furtka z Artykułu 6(3) jest dla niego zamknięta. Naprawdę urzędnicze narzędzie, na przykład takie, które tylko usuwa duplikaty aplikacji albo formatuje dane bez oceniania kogokolwiek, może się kwalifikować, ale w momencie, gdy system zaczyna oceniać ludzi, przestaje.

Deployer, który powołuje się na Artykuł 6(3), żeby traktować system jako niebędący wysokiego ryzyka, musi udokumentować tę ocenę, a provider, który podjął tę samą decyzję, ma własne obowiązki rejestracyjne i dokumentacyjne. To nie jest cichy opt-out. To decyzja, którą musisz umieć pokazać.

Czego status wysokiego ryzyka wymaga od ciebie jako deployera

Akt przypisuje role: provider, deployer, importer, dystrybutor (Artykuł 3). Deployer to każdy, kto używa systemu AI w kontekście zawodowym. Większość firm prowadzących AI rekrutacyjne to deployerzy. Miej na uwadze Artykuł 25: jeśli istotnie zmodyfikujesz system wysokiego ryzyka albo umieścisz na nim własną nazwę lub znak towarowy, możesz wejść w cięższe buty providera. Dla firmy, która po prostu włącza funkcję dostawcy, właściwym zestawem są obowiązki deployera z Artykułu 26.

Artykuł 26 to lista obowiązków deployera. Dla wdrożenia HR obowiązujące obowiązki to poniższe.

Używaj zgodnie z instrukcją (Artykuł 26(1)). Podejmij środki techniczne i organizacyjne, żeby używać systemu zgodnie z instrukcją użytkowania providera. Jeśli używasz go do celu, którego instrukcja nie obejmuje, wychodzisz poza mapę, na której zbudowano ocenę zgodności.
Przydziel kompetentny nadzór ludzki (Artykuł 26(2)). Nadzór trafia do imiennie wskazanych osób fizycznych z potrzebnymi kompetencjami, szkoleniem, uprawnieniami i wsparciem. Osoba weryfikująca, która w praktyce nie może przełamać decyzji AI, nie spełnia tego wymogu. Obowiązek zaprojektowania nadzoru ludzkiego po stronie providera znajduje się w Artykule 14; twój obowiązek to obsługiwać go realnymi ludźmi.
Zarządzaj danymi wejściowymi, które kontrolujesz (Artykuł 26(4)). Tam, gdzie kontrolujesz dane wejściowe, zadbaj, żeby były istotne i wystarczająco reprezentatywne dla zamierzonego celu systemu. Podanie modelowi przesiewającemu przekrzywionego albo niereprezentatywnego zbioru kandydatów to twoja ekspozycja, nie tylko dostawcy.
Monitoruj i eskaluj (Artykuł 26(5)). Monitoruj działanie względem instrukcji. Jeśli masz powody sądzić, że użycie stwarza ryzyko, poinformuj providera albo dystrybutora oraz organ nadzoru rynku bez zbędnej zwłoki i wstrzymaj użycie. Poważne incydenty trafiają najpierw do providera, potem dalej w łańcuch.
Przechowuj logi przez co najmniej sześć miesięcy (Artykuł 26(6)). Zachowaj logi, które system generuje automatycznie, tam gdzie są pod twoją kontrolą, przez co najmniej sześć miesięcy, chyba że inne prawo wymaga dłużej.
Informuj pracowników przed użyciem w miejscu pracy (Artykuł 26(7)). Zanim system wysokiego ryzyka zostanie oddany do użytku w miejscu pracy, pracodawca musi poinformować przedstawicieli pracowników i osoby, których to dotyczy, że będą mu podlegać. To stały obowiązek dla narzędzi zarządzania ludźmi z punktu 4(b), osobny od powiadomienia kierowanego do kandydatów.
Informuj osoby, o których decyduje system (Artykuł 26(11)). Tam, gdzie system z Załącznika III podejmuje albo wspiera decyzje o osobach fizycznych, deployer musi powiedzieć tym osobom, że im podlegają. Dla kandydata oznacza to poinformowanie, że AI jest częścią przesiewu albo oceny.
Wspieraj DPIA (Artykuł 26(9)). Użyj informacji od providera z Artykułu 13, żeby zasilić swoją ocenę skutków dla ochrony danych z RODO na mocy Artykułu 35.
Przeprowadź FRIA tam, gdzie wymagana (Artykuł 27). Omówione niżej.
Współpracuj z organami (Artykuł 26(12)). Współpracuj z właściwymi organami przy każdym działaniu, jakie podejmują wobec systemu.

Provider ma swój własny stos obowiązków (zarządzanie ryzykiem, zarządzanie danymi, dokumentacja techniczna, ocena zgodności, instrukcja użytkowania), ale one nie zwalniają cię z twoich. Obowiązki biegną równolegle.

Ocena wpływu na prawa podstawowe

Artykuł 27 wymaga od niektórych deployerów systemów wysokiego ryzyka z Załącznika III przeprowadzenia oceny wpływu na prawa podstawowe (FRIA) przed pierwszym użyciem. Najjaśniejszy obowiązkowy zakres to podmioty publiczne i prywatni operatorzy świadczący usługi publiczne, plus konkretne przypadki, takie jak scoring zdolności kredytowej i wycena ubezpieczeń na życie i zdrowotnych oparta na ryzyku. To, czy dany prywatny pracodawca jest ściśle zobowiązany dla wewnętrznego narzędzia rekrutacyjnego, może zależeć od wdrożenia, więc traktuj FRIA jako odpowiedzialny domyślny wybór dla każdego systemu rekrutacyjnego wysokiego ryzyka i potwierdź dokładny wyzwalacz z prawnikiem.

Artykuł 27 określa, co zawiera FRIA:

opis procesów deployera, w których system będzie używany;
okres i częstotliwość zamierzonego użycia;
kategorie osób fizycznych i grup, które prawdopodobnie zostaną dotknięte;
konkretne ryzyka szkody dla tych osób;
środki nadzoru ludzkiego, zgodnie z instrukcją providera;
środki do podjęcia, jeśli te ryzyka się zmaterializują, w tym wewnętrzne zarządzanie i mechanizmy skargowe.

Dwie praktyczne uwagi. Po pierwsze, FRIA mocno pokrywa się z DPIA z RODO (Artykuł 35), a Akt oczekuje, że wykorzystasz już wykonaną pracę: tam, gdzie masz już DPIA, FRIA może na niej bazować, zamiast ją duplikować. Po drugie, AI Office ma opublikować szablon FRIA, a na czerwiec 2026 ten szablon nie został jeszcze wydany. Nie możesz na niego czekać. Powyższe elementy z Artykułu 27 to treść, z formularzem albo bez niego.

Artykuł 22 RODO i prawo do człowieka

AI Act nie wypiera prawa ochrony danych. Działa obok niego, a dla rekrutacji RODO to starsze i ostrzejsze narzędzie.

Artykuł 22 RODO daje osobie prawo do tego, żeby nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, która wywołuje skutki prawne albo w podobnie istotny sposób na nią wpływa. W pełni zautomatyzowana decyzja o odrzuceniu w rekrutacji to podręcznikowy przykład. Trybunał Sprawiedliwości i EDPB traktują Artykuł 22(1) jako zakaz co do zasady, nie tylko prawo, na które ktoś musi się powołać, co oznacza, że nie możesz prowadzić wyłącznie zautomatyzowanych odrzuceń, chyba że mieścisz się w jednym z wąskich wyjątków (konieczność umowna, wyraźna zgoda albo prawo to dopuszczające) i wprowadzisz zabezpieczenia.

Zabezpieczenia mają znaczenie, podobnie jak to, co liczy się jako decyzja „wyłącznie zautomatyzowana". Zgodnie z Wytycznymi WP29/EDPB (WP251, zatwierdzonymi przez EDPB 25 maja 2018), udział człowieka będący tylko symbolicznym gestem nie wyprowadza decyzji spod Artykułu 22. Jeśli osoba rutynowo stosuje wynik modelu bez realnego wpływu na rezultat, decyzja wciąż jest wyłącznie zautomatyzowana. Żeby to przełamać, osoba weryfikująca musi mieć uprawnienia i kompetencje, żeby zmienić decyzję, i musi faktycznie rozważyć istotne dane. To ten sam standard, do którego z drugiej strony dochodzi Artykuł 26(2) AI Act. Oba przepisy chcą nadzoru, który może powiedzieć nie, sprawowanego przez kogoś, kto rozumie system.

Jest też wątek przejrzystości. Tam, gdzie ma zastosowanie Artykuł 22, RODO wymaga sensownej informacji o logice zaangażowanej w decyzję oraz o znaczeniu i przewidywanych konsekwencjach dla danej osoby. A AI Act dodaje w Artykule 86 prawo osoby dotkniętej decyzją podjętą na podstawie wyniku systemu wysokiego ryzyka do uzyskania jasnego i zrozumiałego wyjaśnienia roli, jaką odegrał system. Dla odrzuconego kandydata to połączenie to realne uprawnienie: wiedzieć, że AI było zaangażowane, i dostać wyjaśnienie jego roli.

Audyty bias: AI Act, nowojorskie Local Law 144 i egzekwowanie

„Audyt bias" znaczy co innego w różnych reżimach prawnych, a firma rekrutująca ponad granicami może podlegać więcej niż jednemu naraz.

W AI Act kwestia dyskryminacji jest obsługiwana przez obowiązki providera dotyczące zarządzania danymi (badanie zbiorów danych pod kątem bias na mocy Artykułu 10) oraz monitorowanie i nadzór po stronie deployera, a nie przez jeden nazwany obowiązek „audytu bias" nałożony na deployera. Praktyczny efekt jest ten sam: oczekuje się, że będziesz obserwować i będziesz umiał udowodnić, że obserwowałeś, nierówne wyniki.

Pod tym wszystkim leży istniejące unijne prawo antydyskryminacyjne. Dyrektywa o równości rasowej (2000/43/WE), Dyrektywa o równości w zatrudnieniu (2000/78/WE) oraz przekształcona Dyrektywa o równości płci (2006/54/WE) zakazują bezpośredniej i pośredniej dyskryminacji w zatrudnieniu ze względu na cechy chronione. Narzędzie AI, które wywołuje nierówny wpływ na chronioną grupę, może naruszać to prawo niezależnie od AI Act, a to pracodawca używający narzędzia odpowiada.

Niektóre jurysdykcje są znacznie bardziej szczegółowe. Nowojorskie Local Law 144 zakazuje używania zautomatyzowanego narzędzia decyzji zatrudnieniowych, chyba że przeszło niezależny audyt bias w ciągu ostatniego roku, wyniki audytu są opublikowane, a kandydaci dostają powiadomienie. Egzekwowanie zaczęło się 5 lipca 2023, z karami cywilnymi od 500 do 1500 USD za naruszenie dziennie. Jeśli rekrutujesz do Nowego Jorku, ten audyt bias to konkretny, aktualny wymóg, nie przyszły.

A egzekwowanie leżącej u podstaw zasady antydyskryminacyjnej jest już realne. W sierpniu 2023 amerykańska Equal Employment Opportunity Commission ugodowo zakończyła swoją pierwszą sprawę o dyskryminację przy rekrutacji przez AI. iTutorGroup zgodziła się zapłacić 365 000 USD, po tym jak EEOC zarzuciła, że jej oprogramowanie rekrutacyjne automatycznie odrzucało kandydatki w wieku 55 lat i starsze oraz kandydatów w wieku 60 lat i starszych, z naruszeniem Age Discrimination in Employment Act. Ta ugoda to użyteczny wyznacznik dla każdego pracodawcy: firma używająca narzędzia została uznana odpowiedzialną za to, co narzędzie zrobiło, szkoda była wyborem projektowym, który wypłynął jako wynik rekrutacji, a rozstrzygnięcie wymagało nowej polityki, szkoleń i warunków nakazowych ponad samą płatność.

Czego żądać od dostawcy

Nie spełnisz swoich obowiązków deployera bez współpracy providera, a właściwy moment, żeby ją zabezpieczyć, jest przed podpisaniem umowy. Akt daje ci dźwignię: provider systemu wysokiego ryzyka jest ci winien instrukcję użytkowania i informacje na mocy Artykułu 13, a ty potrzebujesz od niego konkretnych rzeczy, żeby zrealizować Artykuł 26 i Artykuł 27. Wpisz to do umowy i przeglądu bezpieczeństwa, nie do pełnego nadziei maila później.

Stanowisko klasyfikacyjne na piśmie. Czy dostawca traktuje system jako wysokiego ryzyka na mocy punktu 4 Załącznika III, a jeśli powołuje się na wyjątek z Artykułu 6(3), jakie jest jego udokumentowane uzasadnienie. Musisz wiedzieć, na jakim gruncie stoisz.
Instrukcja użytkowania i informacje z Artykułu 13. Zamierzony cel, możliwości i ograniczenia systemu, znane ryzyka, środki nadzoru ludzkiego, do których jest zaprojektowany (Artykuł 14), oraz charakterystyki dokładności i wydajności. Zasilają twoją DPIA i FRIA.
Dowód zgodności. Potwierdzenie, że system przeszedł ocenę zgodności, ma oznakowanie CE tam, gdzie jest wymagane, i jest albo będzie zarejestrowany w unijnej bazie danych. Dla systemu, który dostawca klasyfikuje jako niebędący wysokiego ryzyka na mocy Artykułu 6(3), zapytaj, jak ta decyzja jest udokumentowana.
Testy bias i wydajności. Dowody zarządzania danymi i badania bias stojące za modelem (Artykuł 10), w miarę możliwości rozbite według wyników dla chronionych grup, oraz jasne stwierdzenie, na jakiej populacji model był walidowany. Jeśli rekrutujesz do Nowego Jorku, zapytaj wprost, czy narzędzie wspiera audyt bias zgodny z Local Law 144.
Warunki ochrony danych. Umowa powierzenia (DPA), imienna lista subprocesorów, podstawa prawna i przepływy danych, oraz, co kluczowe, jasna odpowiedź, czy dane twoich kandydatów są używane do trenowania albo ulepszania modeli dostawcy, i jak się z tego wypisać.
Logowanie i wyjaśnialność. Potwierdzenie, że logi potrzebne do Artykułu 26(6) są dla ciebie dostępne, oraz że system potrafi wygenerować taki rodzaj wyjaśnienia dla pojedynczej decyzji, jaki przewiduje Artykuł 86.
Zobowiązanie do informowania o zmianach. Jak dostawca powiadomi cię o istotnych modyfikacjach, zmianach modelu albo incydentach, żebyś nieświadomie nie prowadził innego systemu niż ten, który oceniłeś.

Dostawca, który nie potrafi odpowiedzieć na pytania o klasyfikację i zgodność, mówi ci coś o dojrzałości produktu, co samo w sobie jest częścią decyzji.

Sekwencja decyzyjna, którą przeprowadzisz w tym kwartale

Nie potrzebujesz programu, żeby dojść do odpowiedzi, którą da się obronić. Musisz przejść krótką sekwencję i zapisać to, co znajdziesz.

Inwentaryzacja. Wypisz każde miejsce, w którym AI dotyka rekrutacji albo zarządzania ludźmi: funkcje rankingowe i dopasowujące w systemie do śledzenia kandydatów, przesiew na portalach z ofertami pracy, narzędzia sourcingowe, scoring wideorozmów kwalifikacyjnych, platformy oceniające i wszelkie narzędzia do wydajności albo monitorowania.
Sklasyfikuj każde. Dla każdego zdecyduj, czy targetuje, filtruje albo ocenia ludzi (punkt 4(a)), czy podejmuje albo wspiera decyzje o zarządzaniu ludźmi (punkt 4(b)). Jeśli tak przy którymkolwiek, traktuj jako wysokiego ryzyka, chyba że ma zastosowanie prawdziwy, udokumentowany wyjątek z Artykułu 6(3), pamiętając, że profilowanie zamyka tę furtkę.
Sprawdź linię zakazu. Potwierdź, że nic nie wnioskuje o stanie emocjonalnym kandydatów ani pracowników. Jeśli coś to robi, to problem z Artykułu 5 do zatrzymania, nie obowiązek do udokumentowania.
Zmapuj swoje obowiązki. Dla każdego systemu wysokiego ryzyka przydziel imiennie wskazany nadzór ludzki, potwierdź, że używasz go zgodnie z instrukcją dostawcy, ustaw logowanie i monitorowanie oraz napisz powiadomienia dla kandydatów i pracowników.
Przeprowadź oceny. Zrób albo rozszerz DPIA i przeprowadź FRIA na elementach z Artykułu 27. Tam, gdzie się pokrywają, wykorzystaj jedną dla drugiej.
Naciśnij dostawcę. Zdobądź informacje z Artykułu 13, dowody zgodności i bias oraz odpowiedź w sprawie trenowania na danych, wszystko na piśmie.
Zdecyduj i zapisz. Ustal na piśmie, czy każdy system zostaje, zmienia się, czy odchodzi, i dlaczego. Ten pisemny zapis zamienia „używamy AI w rekrutacji" z ekspozycji w stanowisko, którego da się bronić.

Przeprowadź to raz, a większość z tego stanie się zadaniem utrzymaniowym: sprawdzaj ponownie, gdy narzędzie się zmienia, gdy dodajesz nowe albo gdy zmienia się prawo.

O autorze

Dawid Winiarski pisze o zarządzaniu AI, tożsamości i dostępie dla firm, które wdrożyły AI szybciej, niż nauczyły się nim zarządzać. Ten przewodnik to ogólna informacja, nie porada prawna.

Źródła

Regulation (EU) 2024/1689 (EU AI Act), Annex III, point 4 (employment, workers' management) · https://artificialintelligenceact.eu/annex/3/ (nazwane zastosowania wysokiego ryzyka w rekrutacji i zarządzaniu ludźmi)
AI Act, Article 26 (obligations of deployers of high-risk AI systems) · https://artificialintelligenceact.eu/article/26/ (nadzór ludzki, instrukcje, dane wejściowe, monitorowanie, logi, informacje dla pracowników i kandydatów, powiązanie z DPIA; wejście w życie 2 sierpnia 2026)
AI Act, Article 27 (Fundamental Rights Impact Assessment) · https://artificialintelligenceact.eu/article/27/ (zakres FRIA i wymagane elementy)
AI Act, Article 6 (classification rules, including the Article 6(3) exception and profiling override) · https://artificialintelligenceact.eu/article/6/ (kiedy system z Załącznika III jest wysokiego ryzyka, a kiedy nie)
AI Act, Article 5 (prohibited practices, including workplace emotion recognition) · https://artificialintelligenceact.eu/article/5/ (zakazany wycinek)
AI Act, Article 86 (right to explanation of individual decision-making) · https://artificialintelligenceact.eu/article/86/ (prawo osoby dotkniętej decyzją do wyjaśnienia roli systemu)
AI Act, Article 113 (entry into force and application) · https://artificialintelligenceact.eu/article/113/ (bazowy harmonogram stosowania)
European Commission, AI Act overview · https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai (poziomy ryzyka i role)
GDPR, Article 22 (automated individual decision-making, including profiling) · https://gdpr-info.eu/art-22-gdpr/ (prawo do niepodlegania wyłącznie zautomatyzowanym decyzjom)
EDPB/WP29 Guidelines on automated decision-making and profiling (WP251), endorsed by the EDPB 25 May 2018 · https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/automated-individual-decision-making-and-profiling_en (co liczy się jako sensowny udział człowieka)
EEOC, "iTutorGroup to Pay USD 365,000 to Settle EEOC Discriminatory Hiring Suit" (9 August 2023) · https://www.eeoc.gov/newsroom/itutorgroup-pay-365000-settle-eeoc-discriminatory-hiring-suit (pierwsza ugoda EEOC w sprawie dyskryminacji przy rekrutacji przez AI)
NYC Department of Consumer and Worker Protection, Automated Employment Decision Tools (Local Law 144) · https://www.nyc.gov/site/dca/about/automated-employment-decision-tools.page (wymogi audytu bias, powiadomienia i publikacji; egzekwowanie od 5 lipca 2023)
Directive 2000/78/EC (Employment Equality Directive) · https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A32000L0078 (unijne ramy antydyskryminacyjne w zatrudnieniu)