AI w rekrutacji to najczęstszy przypadek, w którym zwykła firma, a nie dostawca technologii, wchodzi w obszar systemów wysokiego ryzyka AI Act. Filtrowanie CV i ocena kandydatów są wprost wymienione w załączniku III, a rozpoznawanie emocji kandydatów jest zakazane już dziś. Wyjaśniamy, co z tego wynika dla działu HR i jak korzystać z AI bez naruszania przepisów.
Po AI w rekrutacji łatwo sięgnąć: od modułów w systemach ATS po prompt w publicznym czacie, do którego rekruter wkleja dwadzieścia CV. Problem polega na tym, że z punktu widzenia prawa liczy się zastosowanie, a nie narzędzie. Ten sam model językowy, który pisze ogłoszenie, w innym zadaniu staje się systemem wysokiego ryzyka. Stan prawny na listopad 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej.
Dlaczego AI w rekrutacji to system wysokiego ryzyka
Załącznik III AI Act w punkcie 4 wymienia obszar zatrudnienia. Za systemy wysokiego ryzyka uznaje m.in. systemy AI przeznaczone do:
- rekrutacji lub wyboru osób, w szczególności do publikowania ukierunkowanych ogłoszeń o pracę, analizowania i filtrowania zgłoszeń oraz oceniania kandydatów (lit. a),
- podejmowania decyzji o awansie, rozwiązaniu stosunku pracy, przydzielaniu zadań na podstawie zachowania lub cech osobistych oraz monitorowania i oceny pracowników (lit. b).
Art. 6 ust. 3 przewiduje wyjątek dla systemów, które wykonują wąskie zadanie proceduralne albo jedynie przygotowują ocenę dokonywaną przez człowieka. Wyjątek nie obejmuje jednak systemów profilujących osoby fizyczne, a ranking kandydatów według dopasowania do stanowiska jest w praktyce profilowaniem. Kto chce skorzystać z wyjątku, musi swoją ocenę udokumentować.
Po zmianie wprowadzonej rozporządzeniem (UE) 2026/1744, tzw. Digital Omnibus, obowiązki dla systemów wysokiego ryzyka z załącznika III stosuje się od 2 grudnia 2027 r. zamiast od 2 sierpnia 2026 r. To więcej czasu, ale nie zwolnienie: RODO obowiązuje w pełni już dziś, a wdrożenie wymogów w procesie rekrutacji trwa miesiącami.
Co jest zakazane już dziś: rozpoznawanie emocji
Art. 5 ust. 1 lit. f AI Act zakazuje stosowania systemów AI do wyciągania wniosków na temat emocji osób fizycznych w miejscu pracy i w instytucjach edukacyjnych, z wyjątkiem względów medycznych lub bezpieczeństwa. Zakaz obowiązuje od 2 lutego 2025 r. Komisja Europejska w wytycznych dotyczących praktyk zakazanych interpretuje „miejsce pracy” szeroko, obejmując nim także proces rekrutacji. Narzędzie, które analizuje mimikę lub głos kandydata na nagraniu rozmowy i ocenia jego „entuzjazm” albo „stres”, mieści się w zakazie.
Zakaz dotyczy wnioskowania o emocjach na podstawie danych biometrycznych (twarz, głos). Zakazana jest też kategoryzacja biometryczna służąca wnioskowaniu m.in. o poglądach politycznych, przekonaniach religijnych czy orientacji seksualnej. Jeśli dostawca narzędzia do wideorozmów reklamuje „analizę osobowości z nagrania”, trzeba to sprawdzić przed zakupem, a nie po.
Obowiązki pracodawcy jako podmiotu stosującego
Pracodawca, który używa systemu wysokiego ryzyka do rekrutacji, jest podmiotem stosującym (deployer). Jego obowiązki wynikają z AI Act i nakładają się na RODO oraz prawo pracy. Wymogi AI Act z tabeli stosuje się od 2 grudnia 2027 r., wymogi RODO i Kodeksu pracy obowiązują już teraz:
| Obowiązek | Co to oznacza w praktyce | Podstawa |
|---|---|---|
| Nadzór człowieka | Wyniki systemu weryfikuje osoba z kompetencjami, przeszkoleniem i uprawnieniem do odrzucenia rekomendacji | AI Act art. 26 ust. 2 |
| Jakość danych wejściowych | Dane, nad którymi masz kontrolę (np. kryteria, opisy stanowisk), są adekwatne i reprezentatywne | AI Act art. 26 ust. 4 |
| Monitorowanie i incydenty | Obserwacja działania, zgłaszanie poważnych incydentów dostawcy i organowi, wstrzymanie użycia w razie ryzyka | AI Act art. 26 ust. 5 |
| Logi | Przechowywanie automatycznie generowanych logów co najmniej przez 6 miesięcy, jeśli są pod Twoją kontrolą | AI Act art. 26 ust. 6 |
| Informowanie pracowników | Przed wdrożeniem w miejscu pracy poinformowanie przedstawicieli pracowników i pracowników, których to dotyczy | AI Act art. 26 ust. 7 |
| Informowanie kandydatów | Kandydat wie, że w procesie decyzyjnym używany jest system AI; ma prawo do wyjaśnienia roli systemu w decyzji | AI Act art. 26 ust. 11, art. 86; RODO art. 13 |
| Ocena skutków (DPIA) | Ocena ryzyka dla kandydatów z wykorzystaniem informacji od dostawcy systemu | RODO art. 35, AI Act art. 26 ust. 9 |
| Brak decyzji wyłącznie automatycznych | Odrzucenie kandydata nie może wynikać wyłącznie z automatycznego przetwarzania bez realnego udziału człowieka | RODO art. 22 |
| Zakres danych | System nie przetwarza więcej danych, niż pracodawca może żądać od kandydata | Kodeks pracy art. 22¹ |
Do tego dochodzi obowiązek z art. 4 AI Act: osoby obsługujące systemy AI w imieniu firmy powinny mieć odpowiednie kompetencje. Nadzór nad stosowaniem AI Act w Polsce sprawuje organ powołany ustawą o systemach sztucznej inteligencji, która obowiązuje od 11 sierpnia 2026 r. Ogólny przegląd ról i kategorii ryzyka znajdziesz w artykule AI a dane firmowe w UE: RODO, AI Act, NIS2 i DORA.
Bezpieczne zastosowania a zastosowania wysokiego ryzyka
Nie każde użycie AI w dziale HR jest wysokiego ryzyka. Kluczowe pytanie brzmi: czy system wpływa na to, który kandydat przejdzie dalej?
| Zastosowanie | Kategoria | Uwagi |
|---|---|---|
| Szkic treści ogłoszenia o pracę | Minimalne ryzyko | Sprawdź język pod kątem dyskryminacji. Uwaga: ukierunkowane wyświetlanie ogłoszeń wybranym grupom to już zał. III pkt 4 |
| Umawianie terminów rozmów | Minimalne ryzyko | Dane kontaktowe kandydatów nadal objęte RODO |
| Chatbot odpowiadający na pytania kandydatów | Przejrzystość (art. 50) | Informacja, że kandydat rozmawia z AI; bez oceny kandydata |
| Streszczenie CV dla rekrutera | Zależy od sposobu użycia | Bez oceny i rankingu może mieścić się w wyjątku z art. 6 ust. 3; wymaga udokumentowania |
| Filtrowanie, ranking i scoring kandydatów | Wysokie ryzyko | Pełne obowiązki od 2 grudnia 2027 r., RODO art. 22 już dziś |
| Analiza emocji na nagraniu rozmowy | Zakazane | Art. 5 ust. 1 lit. f, od 2 lutego 2025 r. |
Własny model a zgodność: co pomaga, czego nie załatwia
Model uruchomiony na własnym serwerze GPU w Polsce ułatwia kilka rzeczy. CV kandydatów nie trafiają do dostawcy API ani poza EOG. Logi przechowujesz sam, przez tyle czasu, ile wymaga AI Act i Twoja polityka retencji. Wersja modelu nie zmienia się bez Twojej decyzji, więc wyniki są powtarzalne, a ewentualne wyjaśnienie decyzji ma się na czym oprzeć. Pracownicy nie muszą też korzystać z prywatnych kont w publicznych narzędziach, co opisujemy w artykule o wycieku danych do publicznych AI.
Własny model nie usuwa natomiast żadnego obowiązku podmiotu stosującego. Jest też pułapka: jeśli firma sama zbuduje na własnym LLM narzędzie do oceny kandydatów i odda je do użytku, może stać się dostawcą systemu wysokiego ryzyka. Wtedy dochodzą obowiązki dostawcy: system zarządzania ryzykiem, zarządzanie danymi, dokumentacja techniczna, ocena zgodności i rejestracja w unijnej bazie danych. Do zadań bez oceny kandydatów (ogłoszenia, terminy, odpowiedzi na pytania) własny model sprawdza się bardzo dobrze. Jak zbudować takie środowisko, opisuje nasz przewodnik po własnym LLM w firmie.
FAQ: najczęściej zadawane pytania
Czy można używać AI do selekcji CV?
Można, ale to zastosowanie wysokiego ryzyka według AI Act. Od 2 grudnia 2027 r. wymaga m.in. nadzoru człowieka, przechowywania logów i informowania kandydatów, a już dziś decyzja o odrzuceniu nie może zapadać wyłącznie automatycznie (art. 22 RODO).
Czy analiza emocji kandydata na rozmowie wideo jest legalna?
Nie. Wnioskowanie o emocjach na podstawie twarzy lub głosu w miejscu pracy jest zakazane od 2 lutego 2025 r., a Komisja Europejska obejmuje tym pojęciem także rekrutację. Wyjątki dotyczą wyłącznie względów medycznych i bezpieczeństwa.
Czy trzeba informować kandydatów, że rekrutację wspiera AI?
Tak. RODO wymaga informacji o sposobie przetwarzania danych, a od 2 grudnia 2027 r. AI Act nakłada na podmiot stosujący system wysokiego ryzyka obowiązek informowania osób, których dotyczą decyzje. Od tej daty kandydat może też żądać wyjaśnienia roli systemu w decyzji (art. 86).
Od kiedy obowiązują przepisy AI Act dotyczące rekrutacji?
Zakaz rozpoznawania emocji i obowiązek kompetencji w zakresie AI obowiązują od 2 lutego 2025 r. Obowiązki dla systemów wysokiego ryzyka z załącznika III, w tym rekrutacyjnych, stosuje się od 2 grudnia 2027 r.
Chcesz uporządkować zasady korzystania z AI w HR, zanim zrobi to audyt? vCISO pomoże przygotować rejestr systemów AI, DPIA i politykę korzystania z narzędzi. Skontaktuj się z nami, a jeśli chcesz uruchomić model na własnej infrastrukturze, dobierzemy też sprzęt.