AI Act w rekrutacji – co oznacza dla Ciebie? Jak możesz się przygotować? Radczyni prawna odpowiada!

AI w rekrutacji: co naprawdę mówi prawo, a nie internetowe plotki

77% osób z branży HR i niemal 98% agencji rekrutacyjnych korzysta już z narzędzi opartych na AI. To dawno przestało być ciekawostką – to standard, który jednocześnie budzi mnóstwo pytań i niepewności.

Całe nagranie webinaru

Jeśli wolisz obejrzeć całość zamiast czytać – tu jest pełne nagranie (90 minut)

Spis treści

Human in the loop oznacza po prostu człowieka, który na końcu procesu – w tym przypadku AI-owego – podejmuje decyzję. AI zbiera dane, sortuje je, pomaga, ale ostateczną decyzję zawsze musi podjąć człowiek. I nie chodzi o to, iż on tylko popatrzy i zaakceptuje wynik systemu – w razie kontroli będzie sprawdzane, czy rzeczywiście miał uprawnienia, żeby ten wynik zmienić, i czy kiedykolwiek się z systemem nie zgodził.

Natalia Lener-Bobek, radczyni prawna, Sawaryn i Partnerzy

To unijne rozporządzenie, stosowane bezpośrednio w całej Europie – nie trzeba go „wdrażać” żadną polską ustawą. Reguluje tylko wycinek AI (systemy zakazane, wysokiego i ograniczonego ryzyka), a nie sztuczną inteligencję w ogóle, i działa eksterytorialnie: jeżeli system jest przeznaczony do użytku w UE, przepisy obowiązują niezależnie od tego, skąd pochodzi dostawca.

Najpierw ustawodawca – załącznik do AI Act wprost wymienia systemy HR-owe (skanowanie CV, ranking, ocenę odpowiedzi w teście, decyzje o wynagrodzeniu czy zwolnieniu). Na co dzień to jednak firma sama ustala, czy dane narzędzie się kwalifikuje, a organ nadzoru może to później zweryfikować. Szybki test: czy system ocenia człowieka (a nie tylko porządkuje dokumenty) i czy jego wynik zmienia czyjąś sytuację? jeżeli tak choćby do jednego z tych pytań – mamy system wysokiego ryzyka. Profilowanie w jakiejkolwiek formie wyklucza wszelkie wyjątki.

To dwa zupełnie odrębne reżimy stosowane równolegle – żaden nie zastępuje drugiego. W rekrutacji nakładają się na siebie w kilku miejscach, przede wszystkim w art. 22 RODO (zakaz w pełni automatycznych decyzji wywołujących skutki prawne, np. odrzucenia aplikacji) oraz w obowiązkach informacyjnych: AI Act każe poinformować, iż w ogóle używamy AI, a RODO – o logice systemu, znaczeniu i konsekwencjach dla kandydata.

Nowo powoływana Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – będzie klasyfikować systemy, prowadzić kontrole i nakładać kary. Równolegle w tej samej sprawie może działać Prezes UODO (kwestie RODO), Państwowa Inspekcja Pracy (monitoring pracowników) i UOKiK, jeżeli w grę wchodzą konsumenci – to trzy niezależne postępowania mogące dotyczyć tego samego procesu.

Zdecydowanie skarga – anonimowa lub nie. Postępowania niemal zawsze zaczynają się od zgłoszenia konkretnej osoby, a nie od proaktywnej kontroli organu. Ludzie coraz lepiej znają swoje prawa wynikające z RODO i coraz częściej z nich korzystają.

Do wszystkiego, co przygotowuje decyzję, ale jej nie podejmuje: redagowanie ogłoszeń, porządkowanie i strukturyzowanie danych, umawianie spotkań, transkrypcja rozmów, przygotowanie pytań rekrutacyjnych, analiza rynku. To obszar administracyjno-operacyjny, niezwiązany z wiążącymi decyzjami o konkretnych kandydatach.

Tak, wprost – rozpoznawanie emocji (stresu, pewności siebie, entuzjazmu) to jedna z praktyk zakazanych AI Act, a Komisja Europejska potwierdziła, iż obejmuje to również proces rekrutacyjny, nie tylko miejsce pracy. Jedyne wyjątki dotyczą bezpieczeństwa (np. badanie zmęczenia kierowcy), nie oceny kandydatów.

Zwykłe sprawdzenie profilu na LinkedIn jest w porządku – to platforma biznesowa, na której działamy zawodowo. Zupełnie inaczej wygląda sytuacja, w której budujemy agenta śledzącego konkretną osobę w sieci i oceniającego ją na tej podstawie przez jakiś czas – to już zakazany scoring społeczny.

Nie, to nie jest praktyka zakazana – tworzymy sobie w ten sposób system wysokiego ryzyka, co jest jak najbardziej dozwolone. najważniejsze jest to, żeby wiedzieć, jak system dobrał kandydatów, i żeby ranking wspierał decyzję rekrutera, a nie ją zastępował.

Problem pojawia się dopiero wtedy, gdy odrzucamy lub zatrudniamy wyłącznie na podstawie samego rankingu.

Jeśli to naprawdę tylko skrypt (bez samouczenia się i wyciągania samodzielnych wniosków), a nie sztuczna inteligencja, AI Act go nie obejmuje. Granica bywa jednak płynna – decyduje faktyczna konstrukcja techniczna narzędzia i to, czy ono jedynie filtruje, czy już rankinguje ludzi.

W razie wątpliwości warto dokładnie sprawdzić, jak dane narzędzie działa „pod maską”.

Wklejanie CV do publicznego narzędzia AI jest ujawnieniem danych osoby trzeciej. Nie wiemy, gdzie te dane wylądują, nie mamy umowy powierzenia z dostawcą, a kandydat najczęściej w ogóle nie wie, iż tak przetwarzamy jego dane.

Natalia Lener-Bobek, radczyni prawna, Sawaryn i Partnerzy

Tak, w zdecydowanej większości przypadków – chyba iż korzystamy z licencji, z którą mamy podpisaną umowę powierzenia i którą wcześniej zweryfikowaliśmy jako bezpieczną.

Problem to jednocześnie: brak podstawy prawnej do przekazania danych, naruszenie obowiązku informacyjnego wobec kandydata, dane trafiające poza EOG oraz – jeżeli model faktycznie wybiera kandydata – złamanie zakazu w pełni automatycznych decyzji z art. 22 RODO.

To zależy, czy to naprawdę anonimizacja, czy tylko pseudonimizacja. Samo usunięcie imienia, nazwiska i maila zwykle nie wystarcza – jeżeli w CV zostaje np. bardzo specyficzne doświadczenie zawodowe, osobę wciąż można zidentyfikować.

Dopiero gdy nie ma żadnej realnej szansy na identyfikację, RODO przestaje mieć zastosowanie – w praktyce ta granica jest osiągana rzadziej, niż się wydaje.

Tak, ale trzeba spełnić warunki na trzech poziomach: podstawa prawna dla samego nagrywania (zgoda kandydata), status dostawcy narzędzia (umowa powierzenia, wiedza o lokalizacji serwerów i podprocesorach) oraz to, co narzędzie robi z nagraniem.

Samo streszczenie to jeszcze nie wysokie ryzyko, ale jeżeli notatnik zaczyna przyznawać punkty i budować ranking kandydatów, wchodzimy już w system wysokiego ryzyka.

Dobra praktyka: traktować surowe nagranie jako materiał roboczy i usuwać je, gdy tylko powstanie notatka – zostaje sama treściwa notatka, bez prywatnych dygresji, danych o zdrowiu, poglądach czy innych informacji, które w ogóle nie powinny trafiać do dokumentacji rekrutacyjnej.

Nagrywanie obrazu formalnie nie jest zabronione, ale warto trzymać się zasady minimalizacji z RODO. jeżeli celem jest tylko notatka z rozmowy, wystarczy dźwięk – obraz ujawnia cechy, o które nie wolno pytać (wiek, pochodzenie etniczne, niepełnosprawność, ciążę, symbole religijne) i wyraźnie zwiększa ryzyko zarzutu dyskryminacji.

Podpisanie regulaminu przez rekrutera to za mało. Potrzebna jest konkretna procedura: wyznaczona z imienia i nazwiska osoba decyzyjna, jej realne uprawnienie do nadpisania wyniku systemu bez negatywnych konsekwencji, ślad decyzyjny (co zarekomendował system, a co zdecydował człowiek i dlaczego), udokumentowane szkolenia tej osoby, ścieżka odwoławcza dla kandydata oraz przechowywane logi.

Jeżeli kontrola zobaczy, iż decyzje rekrutera w stu procentach pokrywają się z tym, co podpowiedział system, mamy dwie możliwości: albo ten system jest wyjątkowo doskonały, albo nikt tak naprawdę nie stosuje human in the loop.

Natalia Lener-Bobek, radczyni prawna, Sawaryn i Partnerzy

Między innymi: system zarządzania ryzykiem przez cały cykl życia produktu, dbałość o jakość danych treningowych i badanie ich pod kątem uprzedzeń, dokumentacja techniczna i automatyczne logowanie zdarzeń, instrukcja obsługi dla użytkownika, zaprojektowanie realnego nadzoru człowieka oraz odpowiedni poziom cyberbezpieczeństwa i ocena zgodności z prawem UE.

Używać systemu ściśle zgodnie z jego instrukcją (jeśli narzędzie jest opisane jako „wstępne porządkowanie”, nie można na jego podstawie podejmować finalnych decyzji o odrzuceniu), powierzyć nadzór konkretnej, przeszkolonej osobie, dbać o jakość danych wejściowych, monitorować system, przechowywać logi i informować zarówno pracowników, jak i kandydatów o tym, iż AI jest używane.

Tak, i ten obowiązek wynika przede wszystkim z RODO (art. 13), a dodatkowo z art. 50 AI Act dotyczącego przejrzystości. Ogólne hasło „korzystamy z AI” nie wystarczy – informacja powinna wskazywać minimum: na jakim etapie AI wchodzi do gry, co konkretnie robi, na jakich kryteriach się opiera, iż ostateczną decyzję podejmuje człowiek, oraz jak i gdzie kandydat może zakwestionować wynik.

Zawsze na samym początku, czyli w momencie pozyskiwania danych – w ogłoszeniu o pracę i w klauzuli informacyjnej przy formularzu aplikacyjnym. jeżeli w trakcie wieloetapowej rekrutacji wprowadzamy nowe narzędzie AI (np. dopiero na etapie oceny zadania), informację trzeba podać przed tym etapem, nigdy po fakcie.

Tak – informujemy o samym używaniu AI do rankingowania czy weryfikacji aplikacji, niezależnie od tego, czy system decyduje sam, czy tylko wspiera decyzję rekrutera. Nie informujemy dopiero wtedy, gdy AI podejmuje decyzję, tylko zawsze, gdy AI w ogóle uczestniczy w ocenie kandydata.

Do samego używania AI wspierającego ocenę aplikacji wystarczy poinformowanie – podstawą prawną nie jest zgoda, tylko podjęcie działań zmierzających do zawarcia umowy lub prawnie uzasadniony interes administratora.

Zgoda w rekrutacji nigdy nie jest w pełni dobrowolna (kandydat musi ją wyrazić, żeby w ogóle wziąć udział w procesie), dlatego jest adekwatną podstawą wyłącznie dla dodatkowych czynności, jak nagrywanie rozmów czy przechowywanie CV na potrzeby przyszłych rekrutacji.

Można z nich korzystać, ale wymaga to realnej weryfikacji: umowy powierzenia z dostawcą, wiedzy o tym, gdzie lądują dane, i sprawdzenia uprawnień rozszerzenia (często mają dostęp do odczytu i zmiany danych na wszystkich odwiedzanych stronach, czyli też do skrzynki mailowej czy CRM-u). Odpowiedzialność za wyciek czy błąd zawsze zostaje po stronie firmy, choćby jeżeli winę ponosi dostawca wtyczki.

Dzięki rozwojowi vibe codingu mamy coraz więcej narzędzi oferowanych za niewielkie pieniądze. Wystarczy jednak zapytać dostawcę, jak to działa i jak ma się to do AI Act, żeby zapadła niezręczna cisza.

Sam fakt zadania tego pytania jest bardzo mocnym testem, czy warto z kogoś korzystać.

Natalia Lener-Bobek, radczyni prawna, Sawaryn i Partnerzy

Przede wszystkim: czy dostawca w ogóle ma świadomość, iż jest dostawcą systemu wysokiego ryzyka i plan na 2027 rok.

Dalej: architekturę danych (lokalizacja w EOG, możliwość wyłączenia trenowania modelu na naszych danych), wyjaśnialność wyników, możliwość nadpisania decyzji systemu, eksport logów, kompletną dokumentację oraz jasną umowę określającą, kto za co odpowiada i w jakim zakresie.

Wobec kandydata czy pracownika – zawsze firma, która z narzędzia korzysta, niezależnie od tego, czyja to była wina. Wobec organu nadzoru zależy od okoliczności, ale najważniejsze jest brzmienie umowy z dostawcą: jak skonstruowany jest limit jego odpowiedzialności – bo bywa, iż formalnie odpowiada, ale realnie tylko do wysokości miesięcznego abonamentu.

Praktyki zakazane, AI Literacy (dziś raczej zalecenie niż twardy obowiązek), pośrednie obowiązki wobec dostawców modeli ogólnego przeznaczenia oraz – od sierpnia 2026 – art. 50 dotyczący przejrzystości, czyli oznaczanie treści i interakcji generowanych przez AI (chatboty, deepfake’i).

Obowiązki dla systemów wysokiego ryzyka zostały przesunięte na 2 grudnia 2027, bo Europa nie była na nie jeszcze gotowa proceduralnie.

Nie, prawo nie działa wstecz.

Jeśli jednak taka treść zostanie później zmodyfikowana lub ponownie opublikowana już po wejściu przepisu w życie, obowiązek oznaczenia zaczyna obowiązywać od tego momentu.

W Polsce jeszcze nie – Prezes UODO dopiero wystąpił o rozpoczęcie prac nad regulacją AI w zatrudnianiu i zwalnianiu.

W UE za to mamy konkretne przykłady: holenderski organ ochrony danych nałożył w sierpniu 2026 roku na Ubera karę 825 mln euro za automatyczne blokowanie kont kierowców bez udziału człowieka, a w USA toczy się głośny pozew zbiorowy przeciwko Workday o dyskryminację algorytmiczną w procesie rekrutacji.

Nie – RODO i prawo pracy obowiązują niezależnie od kalendarza AI Act i już dziś regulują automatyczne decyzje o kandydatach czy pracownikach.

Przesunięcie terminu daje dodatkowy czas na przygotowania, nie zwalnia z bieżącej odpowiedzialności.

Punkt wyjścia to jedna, jasno napisana polityka AI opisująca, z czego wolno korzystać i na jakich zasadach (pomaga to uniknąć „shadow AI”).

W ślad za nią trzeba zaktualizować dokumentację RODO oraz umowy – z dostawcami narzędzi, NDA, umowy B2B i o pracę – tak, by uwzględniały korzystanie z AI i kwestię praw do jego wytworów.

Zapamiętaj

Chcesz korzystać z AI w rekrutacji bez ryzyka prawnego?

AI w Traffit przetwarza dane wyłącznie w EOG, nie trenuje modeli na danych kandydatów i nigdy nie podejmuje wiążących decyzji za rekrutera – decyzję zawsze zostawia człowiekowi.