Opis
problemu

Narzędzia oparte na sztucznej inteligencji coraz szerzej wchodzą do procesów HR – od automatycznego skanowania CV i chatbotów rekrutacyjnych, przez systemy oceniające predyspozycje kandydatów na podstawie nagrań wideo, aż po algorytmy wspierające decyzje o awansach, przydziale zadań czy rozwiązaniu umowy. Każde z tych zastosowań oznacza przetwarzanie danych osobowych na dużą skalę, a często – zautomatyzowane podejmowanie decyzji w rozumieniu RODO. Poniżej przedstawiam kluczowe obowiązki i ryzyka, które powinien uwzględnić każdy dział HR wdrażający rozwiązania AI.

1. AI w HR to zawsze przetwarzanie danych osobowych

Zanim dojdzie do jakiejkolwiek analizy zgodności z RODO, trzeba pamiętać, że samo wprowadzenie danych kandydata lub pracownika do systemu AI (CV, nagranie rozmowy, wyniki testu, dane z monitoringu) stanowi przetwarzanie danych osobowych. Oznacza to konieczność zapewnienia:

• podstawy prawnej przetwarzania (art. 6 ust. 1 RODO) – najczęściej niezbędność do zawarcia umowy (rekrutacja) lub wykonania umowy (zarządzanie zatrudnieniem), względnie prawnie uzasadniony interes administratora;
• szczególnej ostrożności, gdy AI analizuje dane szczególnych kategorii (art. 9 RODO) – np. narzędzia do analizy mowy ciała czy tonu głosu mogą pośrednio ujawniać stan zdrowia,
• zgodności z zasadą minimalizacji danych (art. 5 ust. 1 lit. c) – wiele narzędzi AI domyślnie pobiera i przetwarza więcej danych, niż jest to niezbędne do celu rekrutacji czy oceny;
• zgodności z zasadą celowości – dane zebrane na potrzeby rekrutacji nie mogą być bez dodatkowej podstawy wykorzystywane np. do budowania profilu pracownika po zatrudnieniu.

2. Zautomatyzowane podejmowanie decyzji – art. 22 RODO

To najważniejszy i najczęściej pomijany aspekt wdrożeń AI w HR. Artykuł 22 RODO przyznaje kandydatowi/pracownikowi prawo do niepodlegania decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec niego skutki prawne lub w podobny sposób istotnie na niego wpływa.

Kiedy decyzja HR jest objęta art. 22 RODO?

• system AI samodzielnie odrzuca kandydata na wczesnym etapie rekrutacji bez udziału człowieka (np. automatyczne odsiewanie CV poniżej progu punktowego);
• algorytm automatycznie typuje pracowników do zwolnienia, awansu lub premii na podstawie analizy danych, bez merytorycznej weryfikacji przez przełożonego;
• narzędzie do oceny wideo-rozmów kwalifikacyjnych generuje wynik decydujący o przejściu do kolejnego etapu bez korekty człowieka.

Kiedy takie przetwarzanie jest dopuszczalne? Wyłącznie gdy zachodzi jedna z przesłanek z art. 22 ust. 2 RODO:

1. jest niezbędne do zawarcia lub wykonania umowy między kandydatem/pracownikiem a pracodawcą;
2. jest dozwolone przez prawo UE lub prawo krajowe, które przewiduje właściwe środki ochrony praw i interesów osoby;
3. opiera się na wyraźnej zgodzie osoby, której dane dotyczą (zgoda musi być dobrowolna – co bywa problematyczne w relacji pracodawca–kandydat/pracownik ze względu na nierównowagę stron).

W praktyce oznacza to konieczność wdrożenia procedury odwoławczej oraz zapewnienia realnego, merytorycznego udziału człowieka w procesie decyzyjnym – nie wystarczy formalne „kliknięcie akceptacji” wyniku wygenerowanego przez algorytm.

3. Obowiązki informacyjne wobec kandydatów i pracowników

Zgodnie z art. 13 i 14 RODO, administrator musi poinformować osobę, której dane dotyczą, o istnieniu zautomatyzowanego podejmowania decyzji, w tym profilowania, a także o:

• zasadach jego podejmowania (logice stosowanej przez system, w zrozumiałej dla przeciętnego odbiorcy formie – nie chodzi o ujawnienie kodu źródłowego algorytmu, lecz o wyjaśnienie, jakie kryteria i dane są brane pod uwagę);
• znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

4. Powierzenie przetwarzania i dostawcy narzędzi AI

Większość rozwiązań AI w HR to usługi zewnętrznych dostawców (platformy ATS, chatboty, narzędzia do analizy wideo). Zawsze należy zweryfikować:

• czy dostawca działa jako procesor (przetwarza dane w imieniu pracodawcy) i czy zawarto z nim umowę powierzenia przetwarzania danych (art. 28 RODO) z pełnym zakresem obowiązków, w tym audytowych;
• czy dane są przetwarzane poza Europejskim Obszarem Gospodarczym – jeśli tak, konieczne jest zapewnienie odpowiedniego mechanizmu transferu (standardowe klauzule umowne, decyzja o adekwatności);
• czy dostawca wykorzystuje dane klientów do trenowania własnych modeli AI – jeśli tak, wymaga to odrębnej podstawy prawnej i zwykle nie mieści się w zakresie zwykłego powierzenia przetwarzania (dostawca stałby się wówczas współadministratorem lub odrębnym administratorem w tym zakresie).

5. Nakładanie się z unijnym rozporządzeniem o AI (AI Act)

Niezależnie od RODO, systemy AI wykorzystywane do rekrutacji, selekcji kandydatów, oceny wydajności czy podejmowania decyzji o awansie, warunkach zatrudnienia lub rozwiązaniu stosunku pracy zostały zaklasyfikowane w unijnym rozporządzeniu o sztucznej inteligencji (AI Act) jako systemy wysokiego ryzyka (załącznik III). Oznacza to dodatkowe, niezależne od RODO obowiązki po stronie pracodawcy jako podmiotu stosującego taki system (tzw. deployer), m.in.:

• zapewnienie nadzoru ludzkiego nad działaniem systemu;
• prowadzenie odpowiedniej dokumentacji i rejestrów działania systemu;
• informowanie pracowników i ich przedstawicieli przed wdrożeniem systemu wysokiego ryzyka w miejscu pracy;
• weryfikację, czy dostawca systemu spełnił obowiązki wynikające z AI Act (m.in. ocenę zgodności, dokumentację techniczną).

Ze względu na tempo wdrażania przepisów wykonawczych do AI Act zalecana jest bieżąca weryfikacja aktualnego stanu prawnego przed wdrożeniem konkretnego narzędzia.

Podsumowanie

Wdrożenie AI w procesach HR wymaga znacznie więcej niż jednorazowej aktualizacji klauzuli zgody. Kluczowe ryzyka koncentrują się wokół zautomatyzowanego podejmowania decyzji obowiązków informacyjnych oraz konieczności przeprowadzenia oceny skutków dla ochrony danych. Do tego dochodzą – coraz istotniejsze – wymogi wynikające z unijnego AI Act, które w praktyce HR-owej trzeba analizować równolegle z RODO, a nie w oderwaniu od niego.