05 · dla: Dział kadr i rekrutacjiAI Act w dziale kadr i rekrutacji
stan ustalony Narzędzia, które sortują kandydatów i oceniają pracowników, wchodzą w reżim wysokiego ryzyka 2 grudnia 2027 r., ale zakaz wnioskowania o emocjach w miejscu pracy, wymogi RODO przy decyzjach zautomatyzowanych i przepisy Kodeksu pracy o monitoringu wiążą już dziś.
Co cię dotyczy
- Zakaz systemów wnioskujących o emocjach kandydata lub pracownika na podstawie jego danych biometrycznych (twarz, głos, mimika), także podczas rozmowy kwalifikacyjnej. Wyjątkiem są względy medyczne i względy bezpieczeństwa.Art. 5 ust. 1 lit. f w związku z art. 3 pkt 39 rozporządzenia (UE) 2024/1689, stosowany od 2 lutego 2025 r. Zakotwiczenie w danych biometrycznych wynika z definicji systemu rozpoznawania emocji; przy narzędziach wnioskujących z samej treści wypowiedzi zakres zakazu bywa sporny.
- Odrzucenie kandydata albo ocena pracownika przesądzona przez wynik narzędzia to decyzja opierająca się wyłącznie na zautomatyzowanym przetwarzaniu: potrzebna jest podstawa z art. 22 ust. 2 RODO, a przy umowie i wyraźnej zgodzie także prawo do interwencji człowieka, wyrażenia własnego stanowiska i zakwestionowania decyzji.Art. 22 ust. 1-3 RODO, wraz z obowiązkiem informacyjnym o zasadach podejmowania decyzji oraz o znaczeniu i przewidywanych konsekwencjach przetwarzania (art. 13 ust. 2 lit. f i art. 15 ust. 1 lit. h RODO).
- Udział człowieka w decyzji musi być rzeczywisty. Zatwierdzenie listy przygotowanej przez narzędzie, bez realnej możliwości zmiany wyniku, nie wyprowadza sprawy spod art. 22 RODO.Wyroki sądu apelacyjnego w Amsterdamie z 4 kwietnia 2023 r. (ECLI:NL:GHAMS:2023:793, 796 i 804), opisane w rejestrze orzeczeń: sąd ocenił udział pracownika platformy jako akt niewiele więcej niż symboliczny.
- Ocena skutków dla ochrony danych przed wdrożeniem narzędzia, które punktuje kandydatów albo monitoruje pracowników. To obowiązek z RODO, niezależny od AI Act i działający dziś.Art. 35 RODO, w szczególności ust. 3 lit. a (systematyczna, kompleksowa ocena czynników osobowych opierająca się na zautomatyzowanym przetwarzaniu, w tym profilowaniu, będąca podstawą decyzji wywołujących skutki prawne lub podobnie istotnie wpływających).
- Wdrożenie narzędzia monitorującego lub oceniającego zachowanie pracownika wymaga ustalenia celów, zakresu i sposobu zastosowania w układzie zbiorowym pracy, regulaminie pracy albo obwieszczeniu, poinformowania załogi przed uruchomieniem oraz przekazania informacji pracownikowi przed dopuszczeniem go do pracy.Art. 22(3) § 4 w związku z § 3 oraz art. 22(2) § 6-8 Kodeksu pracy.
Czego na siebie nie brać
- Terminy 2 sierpnia 2026 r. i 2 sierpnia 2027 r. dla kadrowych systemów wysokiego ryzyka.Rozporządzenie (UE) 2026/1744 przesunęło reżim wysokiego ryzyka dla załącznika III na 2 grudnia 2027 r., a dla załącznika I na 2 sierpnia 2028 r. Opracowania opisujące stan sprzed 27 lipca 2026 r. podają daty nieaktualne.
- Obowiązki dostawcy: dokumentacja techniczna, ocena zgodności, deklaracja UE, oznakowanie CE.Dział kadr kupujący gotowe narzędzie jest podmiotem stosującym. Rolę odwraca umieszczenie własnej nazwy lub znaku towarowego na systemie wysokiego ryzyka, istotna zmiana albo zmiana przeznaczenia (art. 25 ust. 1), a poza tym samo zlecenie zbudowania narzędzia i oddanie go do użytku pod własną nazwą, już na podstawie definicji z art. 3 pkt 3.
- Ocena skutków dla praw podstawowych z art. 27, jeżeli pracodawca jest podmiotem prywatnym spoza sektora usług publicznych.Art. 27 ust. 1 nakłada ją na podmioty prawa publicznego, podmioty prywatne świadczące usługi publiczne oraz stosujących systemy z załącznika III pkt 5 lit. b i c. Kadry w urzędzie, w spółce komunalnej albo u prywatnego podmiotu świadczącego usługi publiczne są tym objęte, a zwykły pracodawca prywatny korzystający z narzędzia z pkt 4 nie. To samo rozróżnienie dotyczy rejestracji użycia w bazie UE: art. 49 ust. 3 obciąża podmioty stosujące będące organami publicznymi. Ocena skutków dla ochrony danych z art. 35 RODO obowiązuje niezależnie od tego podziału.
- Oznaczanie ogłoszenia o pracę napisanego z pomocą modelu językowego.Obowiązek oznaczania treści syntetycznych w formacie odczytywalnym maszynowo z art. 50 ust. 2 spoczywa na dostawcy systemu. Obowiązek ujawnienia z art. 50 ust. 4 akapit drugi dotyczy tekstu publikowanego w celu informowania społeczeństwa o sprawach leżących w interesie publicznym, a ogłoszenie rekrutacyjne nim nie jest. Uwaga: przy materiale obrazowym, dźwiękowym i wideo, na przykład w wygenerowanym spocie rekrutacyjnym, obowiązek ujawnienia z akapitu pierwszego działa bez tego wyjątku.
Dlaczego kadry są tu przypadkiem szczególnym
Załącznik III pkt 4 obejmuje systemy używane przy rekrutacji, selekcji, podejmowaniu decyzji o awansie i rozwiązaniu umowy oraz przy ocenie i monitorowaniu pracy. To jeden z niewielu obszarów, w których zwykły pracodawca, bez żadnych ambicji technologicznych, trafia do reżimu wysokiego ryzyka po prostu przez kupienie narzędzia rekrutacyjnego.
Data jest jednak odsunięta: 2 grudnia 2027 r. Do tego czasu obowiązki wynikają nie z AI Act, lecz z trzech innych źródeł, które działają dziś i o których w materiałach o AI Act mówi się najmniej: zakazu z art. 5, przepisów RODO o decyzjach zautomatyzowanych i ocenie skutków oraz przepisów Kodeksu pracy o monitoringu.
Jedna sytuacja od początku do końca
Spółka wdraża narzędzie, które z nadesłanych zgłoszeń wyciąga dane, punktuje dopasowanie do ogłoszenia i układa listę rankingową. Rekruter dostaje pierwszą dwudziestkę.
Pytanie pierwsze dotyczy tego, czy narzędzie analizuje nagranie wideo kandydata pod kątem mimiki i głosu. Jeżeli tak i jeżeli wyciąga z tego wnioski o emocjach, wchodzi zakaz z art. 5 ust. 1 lit. f, a to jest przepis obowiązujący od lutego 2025 r. z najwyższą stawką kary w całym rozporządzeniu.
Pytanie drugie dotyczy tego, co dzieje się z osobami spoza dwudziestki. Jeżeli nikt ich zgłoszeń nie ogląda, decyzja o odrzuceniu zapadła wyłącznie automatycznie i potrzebuje podstawy z art. 22 ust. 2 RODO. Jeżeli rekruter formalnie zatwierdza listę, ale nie ma czasu ani danych, żeby ją zmienić, sprawa wygląda tak samo. Sądy amsterdamskie nazwały taki przegląd niewiele więcej niż aktem symbolicznym.
Pytanie trzecie dotyczy dokumentów: czy przeprowadzono ocenę skutków dla ochrony danych (art. 35 RODO), czy w informacji dla kandydata opisano zasady podejmowania decyzji i czy przy narzędziu oceniającym pracowników dopełniono trybu z Kodeksu pracy.
Rozwiązanie nie polega na rezygnacji z narzędzia. Polega na tym, żeby rekruter miał realną możliwość zmiany wyniku, dostał uzasadnienie punktacji, a odrzucenie poza pierwszą dwudziestką nie następowało automatycznie.
Najczęstsza wpadka
Opisanie procesu tak, jak wygodnie brzmi, zamiast tak, jak wygląda. Jeżeli w dokumentach stoi, że decyzję podejmuje człowiek, a w praktyce nikt nigdy nie zmienił wyniku narzędzia, dokumentacja obróci się przeciwko pracodawcy przy pierwszym pytaniu organu albo sądu. Bezpieczniejszy jest opis zgodny z rzeczywistością i decyzja, żeby tę rzeczywistość zmienić.
Druga wpadka: przyjęcie, że skoro reżim wysokiego ryzyka zaczyna się w grudniu 2027 r., to do tego czasu nie ma o czym mówić. Zakaz z art. 5 i przepisy RODO działają od lat.
Co się zmieni 2 grudnia 2027 r.
Do obowiązków dojdą te z art. 26: używanie systemu zgodnie z instrukcją, powierzenie nadzoru osobom mającym niezbędne kompetencje, przeszkolenie i uprawnienia, monitorowanie działania, przechowywanie rejestrów zdarzeń oraz zapewnienie, by dane wejściowe były adekwatne i wystarczająco reprezentatywne.
Osobno wchodzi obowiązek, o którym w materiałach kadrowych mówi się rzadko: przed oddaniem do użytku albo wykorzystaniem systemu wysokiego ryzyka w miejscu pracy pracodawca informuje przedstawicieli pracowników i pracowników, których to dotyczy, że będzie wobec nich wykorzystywany taki system (art. 26 ust. 7). To informacja uprzednia, więc trzeba ją zaplanować razem z wdrożeniem, a nie po nim.
- Spisz narzędzia używane w rekrutacji i w ocenie pracowników: nazwa, dostawca, kto ich używa, na jakim etapie i czy ich wynik może zamknąć kandydatowi drogę dalej. (kierownik działu kadr)
- Sprawdź w dokumentacji i w umowie z dostawcą, czy któreś narzędzie analizuje twarz, głos lub mimikę, żeby wnioskować o emocjach, nastawieniu albo zaangażowaniu. Jeżeli tak, wstrzymaj korzystanie z tej funkcji do czasu wyjaśnienia. (osoba prowadząca rekrutację wspólnie z działem informatyki)
- Opisz w jednym dokumencie, kto konkretnie podejmuje decyzję o odrzuceniu kandydata, na jakich danych, ile ma na to czasu i czy może zmienić wynik podpowiedziany przez narzędzie. Opis ma odpowiadać temu, co robi się w praktyce. (kadry wspólnie z inspektorem ochrony danych)
Źródła: rozporządzenie (UE) 2024/1689 (AI Act), art. 3 pkt 3, 4 i 39, art. 4, art. 5 ust. 1 lit. f, art. 25, art. 26 ust. 7, art. 27 ust. 1, art. 49 ust. 3, art. 50 ust. 2 i 4 oraz załącznik III pkt 4; rozporządzenie (UE) 2026/1744 zmieniające AI Act, w mocy od 27 lipca 2026 r.; rozporządzenie (UE) 2016/679 (RODO), art. 13 ust. 2 lit. f, art. 15 ust. 1 lit. h, art. 22 i art. 35; Kodeks pracy, art. 22(2) § 6-8 i art. 22(3) § 3-4; wyroki sądu apelacyjnego w Amsterdamie z 4 kwietnia 2023 r., opisane w rejestrze orzeczeń. Sprawdzone 5.08.2026. Treść ma charakter ogólny i nie zastępuje oceny konkretnej sytuacji. Kryteria doboru i cykl przeglądu opisuje metodologia.