AI ACT w praktyce HR: obowiązki, ryzyka i rekomendacje dla pracowników

Wstęp

Sztuczna inteligencja coraz wyraźniej wchodzi do codziennej praktyki działów HR, od automatycznego screeningu CV, przez systemy AI wspierające onboarding, po rozwiązania służące ocenie wyników pracy, planowaniu zatrudnienia czy monitorowaniu aktywności pracowników. Dla organizacji oznacza to szybsze procesy, większą skalowalność i większą spójność działań kadrowych. Jednocześnie pojawia się nowy poziom odpowiedzialności prawnej i organizacyjnej. W obszarze zatrudnienia AI nie jest już wyłącznie kwestią innowacji, lecz także compliance, zarządzania ryzykiem i ładu korporacyjnego. 

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. (AI Act), opublikowane w Dzienniku Urzędowym UE 12 lipca 2024 r. 

Kluczowe znaczenie ma tu rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. (AI Act), opublikowane w Dzienniku Urzędowym UE 12 lipca 2024 r. Rozporządzenie weszło w życie 1 sierpnia 2024 r. Zgodnie z art. 113 AI Act poszczególne grupy przepisów stosuje się w następujących terminach: 

• od 2 lutego 2025 r. – przepisy ogólne (rozdział I, w tym art. 4 dotyczący obowiązku zapewnienia odpowiedniego poziomu kompetencji w zakresie AI) oraz zakazy określonych praktyk AI (rozdział II); 

• od 2 sierpnia 2025 r. – obowiązki dotyczące modeli AI ogólnego przeznaczenia (rozdział V) oraz przepisy o zarządzaniu i organach nadzoru (rozdział VII); 

• od 2 sierpnia 2026 r. – zasadnicze obowiązki dotyczące systemów AI wysokiego ryzyka wskazanych w załączniku III, w tym systemów wykorzystywanych w zatrudnieniu, zarządzaniu pracownikami i dostępie do samozatrudnienia (art. 6 ust. 2 w zw. z załącznikiem III pkt 4); 

• od 2 sierpnia 2027 r. – obowiązki dotyczące systemów AI wysokiego ryzyka, które są jednocześnie objęte innymi unijnymi przepisami harmonizacyjnymi (art. 6 ust. 1). 

Dla pracodawców kluczowe są dwa pierwsze terminy, zakazy i wymóg kompetencji obowiązują już dziś oraz termin 2 sierpnia 2026 r., od którego w pełni stosowane będą wymogi wobec systemów AI wysokiego ryzyka wykorzystywanych w procesach HR. 

Kiedy AI w HR staje się systemem wysokiego ryzyka? 

Centralnym elementem AI Act jest klasyfikacja systemów sztucznej inteligencji według poziomu ryzyka. Zgodnie z art. 6 oraz załącznikiem III do rozporządzenia za systemy AI wysokiego ryzyka uznaje się m.in. systemy wykorzystywane w obszarze zatrudnienia, zarządzania pracownikami i dostępu do samozatrudnienia. W praktyce chodzi przede wszystkim o systemy przeznaczone do rekrutacji i selekcji kandydatów, w tym do analizowania i filtrowania aplikacji oraz oceny kandydatów, a także o systemy wpływające na warunki relacji pracowniczych, decyzje dotyczące awansu lub zakończenia współpracy, przydzielanie zadań na podstawie indywidualnych cech lub zachowań oraz monitorowanie i ocenę wyników pracy lub zachowania pracowników. 

Nie każdy system wskazany w załączniku III będzie automatycznie systemem AI wysokiego ryzyka w każdej sytuacji. Art. 6 ust. 3 AI Act przewiduje wyjątek dla systemów, które nie stwarzają istotnego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych, w szczególności dlatego, że nie wpływają istotnie na wynik procesu decyzyjnego. Dotyczy to zwłaszcza systemów wykonujących wąskie zadania pomocnicze lub przygotowawcze. Jeżeli jednak system dokonuje profilowania osób fizycznych, co do zasady nie można skorzystać z tego wyłączenia. 

Przykład praktyczny: system, który porządkuje dokumenty aplikacyjne, usuwa duplikaty albo tworzy neutralne zestawienie danych bez rekomendowania wyboru kandydata, bez rankingu i bez scoringu, może w określonych przypadkach nie zostać zakwalifikowany jako system AI wysokiego ryzyka. Inaczej będzie jednak wtedy, gdy system nadaje kandydatom punkty, tworzy listę preferowanych osób, przewiduje „dopasowanie” do stanowiska albo generuje sugestię zatrudnienia lub odrzucenia. 

Czego pracodawcy robić nie mogą: zakazane praktyki AI w miejscu pracy? 

Z perspektywy pracodawców równie ważne jak rozróżnienie między systemami wysokiego i niższego ryzyka są praktyki zakazane. W środowisku pracy szczególne znaczenie ma zakaz wprowadzania do obrotu, oddawania do użytku lub wykorzystywania systemów AI do wnioskowania o emocjach osoby fizycznej, z wyjątkiem przypadków uzasadnionych względami medycznymi lub bezpieczeństwa. Oznacza to, że systemy mające „odczytywać” nastawienie, stres, zaangażowanie czy stan emocjonalny pracownika na podstawie obrazu, głosu, mimiki albo innych sygnałów biologicznych lub biometrycznych co do zasady nie powinny być wdrażane w organizacji. Dla HR i zarządów to ważny sygnał, nie każdy technicznie dostępny system można legalnie zastosować tylko dlatego, że obiecuje wyższą efektywność zarządzania personelem. 

Kupienie narzędzia to za mało: za co naprawdę odpowiada pracodawca? 

Na gruncie AI Act pracodawca korzystający z systemu AI wysokiego ryzyka w procesach HR występuje co do zasady jako „podmiot stosujący” (deployer). To rozróżnienie ma praktyczne znaczenie, pracodawca nie odpowiada za wszystkie obowiązki przewidziane dla producenta lub dostawcy systemu, ale nie może też zasłaniać się tym, że system został kupiony od zewnętrznego dostawcy. Organizacja odpowiada za zgodne, bezpieczne i udokumentowane wykorzystanie systemu AI w swojej działalności.  

Po pierwsze, pracodawca powinien wdrożyć środki techniczne i organizacyjne zapewniające używanie systemu zgodnie z instrukcją i przeznaczeniem określonym przez dostawcę. W praktyce oznacza to konieczność ustalenia, kto może korzystać z systemu, do jakich procesów, na jakich danych i przy jakich ograniczeniach. Po drugie, kluczowym wymogiem jest skuteczny nadzór ludzki. Nie chodzi o symboliczny udział człowieka „na końcu procesu”, lecz o realną możliwość zrozumienia działania systemu, oceny jego wyniku i interwencji, gdy wynik budzi wątpliwości, jest nieadekwatny albo może prowadzić do naruszenia praw osoby, której dotyczy. Osoby sprawujące nadzór powinny mieć odpowiednie kompetencje, przeszkolenie i rzeczywiste uprawnienie do zakwestionowania rekomendacji systemu lub wstrzymania jego użycia. Po trzecie, przed oddaniem systemu do użytku lub jego wykorzystaniem pracodawca powinien poinformować przedstawicieli pracowników oraz pracowników, których stosowanie systemu dotyczy. Z punktu widzenia organizacyjnego nie powinien to być lakoniczny komunikat. Dobra praktyka wymaga, aby informacja obejmowała cel użycia systemu, obszar procesu HR, którego dotyczy, ogólny charakter wpływu systemu na decyzje oraz wskazanie, gdzie można zgłosić wątpliwości lub żądanie wyjaśnień. Obowiązek ten należy odróżnić od obowiązków informacyjnych wobec osób, których dane dotyczą na gruncie RODO – oba reżimy powinny zostać ze sobą spójnie połączone. Po czwarte, osoba fizyczna, wobec której stosowany jest system AI wysokiego ryzyka, powinna zostać poinformowana o samym fakcie jego użycia. W praktyce może to dotyczyć zarówno kandydata w procesie rekrutacyjnym, jak i pracownika, którego wyniki, zachowanie lub aktywność są analizowane przez system.  

Do obowiązków deployera należy ponadto korzystanie z systemu zgodnie z instrukcją używania, zapewnienie, aby dane wejściowe pozostające pod jego kontrolą były adekwatne i wystarczająco reprezentatywne w świetle zamierzonego celu systemu, monitorowanie działania systemu, przechowywanie automatycznie generowanych logów – o ile pozostają pod kontrolą organizacji przez okres odpowiedni do celu, nie krótszy niż 6 miesięcy oraz współpraca z dostawcą i właściwymi organami w razie incydentu. Z perspektywy zarządczej kluczowe jest więc nie tylko „wdrożenie narzędzia”, ale również zbudowanie modelu bieżącego nadzoru, eskalacji problemów i dokumentowania decyzji podejmowanych przy jego wsparciu. Osobnym obowiązkiem jest zapewnienie odpowiedniego poziomu wiedzy i kompetencji osób korzystających z systemów AI. HR, menedżerowie liniowi i osoby podejmujące decyzje personalne powinni rozumieć nie tylko funkcje systemu, lecz także jego ograniczenia, ryzyka błędów, ryzyka dyskryminacji oraz zasady bezpiecznego korzystania z wyników generowanych przez system. 

AI może dyskryminować – dlatego ocena ryzyka to nie formalność? 

AI Act przewiduje obowiązek przeprowadzenia oceny skutków dla praw podstawowych w określonych przypadkach wskazanych w rozporządzeniu. Jednocześnie w praktyce stosowania AI w obszarze HR przez pracodawców prywatnych zakres tego obowiązku nie zawsze wynika jednoznacznie z przepisów. Niezależnie od tego, przeprowadzenie oceny skutków dla praw podstawowych – nawet w sytuacjach, gdy formalny obowiązek nie jest jednoznaczny – powinno być traktowane jako dobra praktyka compliance i element zarządzania ryzykiem organizacyjnym. Dobrze przygotowana ocena pozwala odpowiedzieć na pytania, czy dany system może prowadzić do dyskryminacji, czy dane wejściowe są adekwatne i reprezentatywne, czy wynik systemu może utrwalać wcześniejsze uprzedzenia organizacyjne oraz czy osoba, której decyzja dotyczy, ma realną możliwość uzyskania wyjaśnienia i interwencji człowieka. 

AI Act to nie wszystko: gdzie wchodzą RODO i Kodeks pracy? 

AI Act nie zastępuje RODO ani przepisów prawa pracy. Przeciwnie, nakłada dodatkową warstwę obowiązków, którą należy stosować równolegle z przepisami o ochronie danych osobowych, zasadami równego traktowania oraz ograniczeniami dotyczącymi zakresu danych, jakie pracodawca może legalnie pozyskiwać i wykorzystywać. Nawet prawidłowo sklasyfikowany i formalnie dopuszczalny system AI może być używany niezgodnie z prawem, jeśli narusza reguły przetwarzania danych albo prowadzi do niedopuszczalnej automatyzacji decyzji kadrowych. Szczególne znaczenie ma art. 22 RODO. Zgodnie z tym przepisem osoba ma prawo nie podlegać decyzji opierającej się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, jeżeli decyzja ta wywołuje wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa. W praktyce HR mogą to być m.in. automatyczne odrzucenie kandydata, automatyczne zakwalifikowanie pracownika do działań naprawczych, czy wykorzystanie scoringu wpływającego na premię, awans albo rozwiązanie współpracy. Orzecznictwo TSUE, w tym wyrok w sprawie SCHUFA (C‑634/21), potwierdza, że scoring oparty na danych osobowych może zostać uznany za element zautomatyzowanego podejmowania decyzji w rozumieniu art. 22 RODO, jeżeli w praktyce przesądza o wyniku procesu. Oznacza to konieczność szczególnie ostrożnego podejścia do systemów AI wykorzystywanych w HR, nawet wtedy, gdy formalnie przewidziany jest udział człowieka w procesie decyzyjnym. 

Co zarząd i HR powinni zrobić już teraz? 

Aby przygotować organizację do stosowania AI Act w HR, warto potraktować ten temat jako projekt przekrojowy obejmujący prawo, HR, IT, cyberbezpieczeństwo i zakupy. Rekomendowane są co najmniej następujące działania: 

• Przeprowadzić mapowanie wszystkich systemów AI używanych w HR, nie tylko tych kupionych jako „AI”, ale również funkcji AI wbudowanych w systemy ocen, platformy produktywności i systemy monitoringu. 

• Dla każdego systemu ustalić jego rzeczywisty cel, sposób użycia, dane wejściowe, wpływ na decyzje kadrowe oraz to, czy może on zostać zakwalifikowany jako system AI wysokiego ryzyka lub czy w ogóle nie wchodzi w obszar praktyk zakazanych. 

• Zweryfikować umowy z dostawcami, w szczególności zakres informacji o systemie, instrukcję używania, parametry jakościowe, dostępność logów, zasady zgłaszania incydentów, wsparcie przy ocenie ryzyka oraz odpowiedzialność kontraktową za niezgodność systemu. 

• Wyznaczyć właściciela procesu po stronie organizacji – osobę lub zespół odpowiedzialny za zatwierdzanie zastosowań AI w HR, ocenę ryzyk i koordynację działań między HR, działem prawnym, compliance, IT i bezpieczeństwem. 

• Wdrożyć rzeczywisty nadzór ludzki nad systemami wykorzystywanymi w rekrutacji, ocenach pracowniczych, monitoringu i decyzjach personalnych, wraz z procedurą interwencji, eskalacji i dokumentowania odstąpień od rekomendacji systemu. 

• Przygotować wzory komunikatów i klauzul informacyjnych dla kandydatów, pracowników i przedstawicieli pracowników, tak aby spełnić wymogi przejrzystości zarówno z AI Act, jak i z RODO. 

• Ocenić, czy dla danego rozwiązania konieczna jest ocena skutków dla praw podstawowych na gruncie AI Act oraz ocena skutków dla ochrony danych (DPIA) na gruncie RODO. 

• Przeszkolić osoby decyzyjne w HR i menedżerów liniowych z ograniczeń korzystania z AI, w szczególności z zakazu bezrefleksyjnego polegania na scoringu, rankingu lub predykcjach generowanych przez system. 

• Zbudować wewnętrzną politykę korzystania z AI w obszarze zatrudnienia, która określi dopuszczalne zastosowania systemów AI, zasady akceptacji nowych systemów, minimalne wymogi dokumentacyjne oraz tryb okresowego przeglądu ich działania. 

Podsumowanie 

Wdrożenie AI w HR wymaga od pracodawcy czegoś więcej niż wyboru atrakcyjnego technologicznie systemu. Konieczne jest ustalenie, w jakich procesach system AI będzie wykorzystywany, czy może wpływać na sytuację kandydatów lub pracowników, jakie dane przetwarza, kto nadzoruje jego działanie oraz w jaki sposób organizacja dokumentuje decyzje podejmowane przy jego wsparciu. AI Act przesuwa ciężar odpowiedzialności z samego zakupu technologii na sposób jej realnego używania w organizacji. Dla pracodawców i działów HR najbezpieczniejszym kierunkiem jest potraktowanie AI jako obszaru compliance, zarządzania ryzykiem i odpowiedzialności zarządczej. Organizacje, które już teraz uporządkują katalog systemów AI, relacje z dostawcami, procedury nadzoru, komunikację z pracownikami i kompetencje osób korzystających z AI, będą lepiej przygotowane nie tylko na obowiązki regulacyjne, ale także na oczekiwania pracowników, kandydatów, organów nadzoru i rynku.