Kompletny przewodnik po zgodności AI w rekrutacji (2026)

Czym jest zgodność AI w rekrutacji?

Zgodność AI w rekrutacji odnosi się do zestawu zobowiązań prawnych, które pracodawcy muszą spełnić, korzystając ze sztucznej inteligencji, algorytmów lub zautomatyzowanych narzędzi na dowolnym etapie procesu rekrutacji. Obejmuje to oprogramowanie do selekcji CV, wywiady prowadzone przez chatboty, modele oceniania oraz wszelkie narzędzia filtrujące lub oceniające kandydatów bez bezpośredniej oceny ludzkiej.

Od 2026 r. trzy ramy regulacyjne kształtują wymogi w zakresie zgodności rekrutacyjnej dla większości pracodawców w Wielkiej Brytanii i UE: Rozporządzenie o Ochronie Danych Osobowych (RODO), ustawa o AI UE i przepisy o prawie do pracy. Łącznie tworzą one szczegółowe obowiązki dotyczące sposobu gromadzenia danych kandydatów, podejmowania zautomatyzowanych decyzji i tego, kto ma prawo pracować.

Zgodność to nie ćwiczenie zaznaczania pól wyboru. Kary są poważne (do 6% globalnych obrotów na mocy ustawy o AI UE), a aktywność organów egzekucyjnych rośnie. W 2023 roku Urząd Ochrony Danych Osobowych (UODO) nałożył kary na organizacje przetwarzające dane osobowe kandydatów bez odpowiedniej podstawy prawnej w zautomatyzowanych procesach rekrutacji, sygnalizując, że organy nadzorcze uważnie monitorują algorytmiczne systemy przetwarzające dane osobowe.

Dlaczego 2026 r. jest punktem przełomowym

Obowiązki wynikające z ustawy o AI UE dotyczące systemów AI wysokiego ryzyka, które wprost obejmują AI stosowaną w zatrudnieniu, stały się obowiązujące w sierpniu 2026 r. dla większości organizacji. To nie jest wymóg przyszłości. Jeśli dzisiaj używasz AI do selekcji, oceniania lub shortlistowania kandydatów i prowadzisz działalność w UE, odliczanie już się rozpoczęło.

Jednocześnie UODO nasila kontrolę algorytmicznego podejmowania decyzji w rekrutacji, a kandydaci coraz lepiej znają swoje prawa wynikające z RODO. Zbudowanie zgodnego procesu teraz chroni przed grzywnami, skargami kandydatów i szkodą reputacyjną.

Ustawa o AI UE i AI w zatrudnieniu

Ustawa o AI UE wprowadza czterostopniowy system klasyfikacji ryzyka dla AI. AI w zatrudnieniu należy do najwyżej regulowanej kategorii: wysokiego ryzyka. Załącznik III ustawy wprost wymienia AI stosowaną do rekrutacji i selekcji, w tym selekcję CV, ocenianie kandydatów i ocenę rozmów kwalifikacyjnych, jako zastosowania wysokiego ryzyka.

Co oznacza klasyfikacja wysokiego ryzyka w praktyce

Pracodawcy i dostawcy technologii HR wdrażający AI wysokiego ryzyka w rekrutacji muszą spełniać wymagający zestaw obowiązków. Nie są to dobrowolne wytyczne, ale wymogi prawne z realnymi konsekwencjami.

Po pierwsze, przed wdrożeniem systemu AI należy przeprowadzić ocenę zgodności. Obejmuje ona dokumentowanie celu systemu, danych, na których był trenowany, jego znanych ograniczeń oraz środków podjętych w celu ograniczenia stronniczości i błędów. Pracodawcy kupujący gotowe narzędzia powinni zażądać tej dokumentacji od dostawcy.

Wymóg nadzoru ludzkiego

Każdy system AI wysokiego ryzyka musi być zaprojektowany tak, aby umożliwiać ludzką weryfikację i ingerencję. W kontekście rekrutacji oznacza to, że żaden kandydat nie powinien być odrzucony ani zakwalifikowany do kolejnego etapu wyłącznie na podstawie decyzji AI bez zapewnienia człowiekowi rzeczywistej możliwości dokonania przeglądu i odwrócenia tej decyzji.

Nie jest to spełnione przez proces pieczętowania, w którym człowiek zatwierdza wyniki AI bez rzeczywistego zaangażowania się w materiały kandydata. Nadzór musi być merytoryczny. Człowiek musi mieć dostęp do rozumowania AI i podstawowych danych kandydatów oraz być zdolny do wyciągnięcia odmiennych wniosków.

Przejrzystość wobec kandydatów

Kandydaci muszą być informowani o stosowaniu AI w ich ocenie. Ujawnienie to powinno pojawić się przed rozpoczęciem interakcji z AI, w ogłoszeniu o pracę, procesie składania aplikacji lub dedykowanym powiadomieniu. Ujawnienie powinno wyjaśniać, jaki rodzaj AI jest stosowany, co ocenia i w jaki sposób jej wyniki są wykorzystywane w decyzji selekcyjnej.

RODO i dane kandydatów

RODO ma zastosowanie do każdego pracodawcy przetwarzającego dane osobowe kandydatów zamieszkałych w UE lub Wielkiej Brytanii, niezależnie od miejsca siedziby pracodawcy. Rekrutacja jest jednym z obszarów najwyższego ryzyka z punktu widzenia zgodności z RODO, ponieważ wiąże się z dużymi ilościami wrażliwych danych osobowych osób, które nie mają istniejącej relacji z pracodawcą.

Podstawa prawna przetwarzania

Przetwarzanie danych kandydatów podczas aktywnej rekrutacji zazwyczaj opiera się na uzasadnionym interesie (art. 6(1)(f)) lub wykonaniu umowy (art. 6(1)(b), na etapach przedkontraktowych). Zgoda rzadko stanowi właściwą podstawę dla rekrutacji: musi być udzielona dobrowolnie, co jest utrudnione przez nierównowagę sił między pracodawcą a osobą poszukującą pracy.

Dane szczególnych kategorii, w tym dane o stanie zdrowia, niepełnosprawności, pochodzeniu etnicznym i przekonaniach religijnych, wymagają dodatkowej podstawy prawnej na mocy art. 9, najczęściej wyraźnej zgody lub konieczności wynikającej z obowiązków prawa pracy. Jeśli pytania selekcyjne lub narzędzia psychometryczne nieumyślnie zbierają dane szczególnych kategorii, należy udokumentować tę dodatkową podstawę.

Minimalizacja danych i ograniczenie celu

Możesz zbierać jedynie dane kandydatów niezbędne do podjęcia decyzji rekrutacyjnej. Zasada ta dotyczy kilku powszechnych praktyk: pytania o datę urodzenia, gdy wiek nie jest rzeczywistym wymogiem, żądania zdjęcia przed rozmową kwalifikacyjną lub zbierania obszernych informacji z mediów społecznościowych bez wyraźnego związku ze stanowiskiem. Narzędzia do selekcji oparte na słowach kluczowych mogą również wprowadzać nieumyślne uprzedzenia podczas zbierania danych zastępczych korelujących z cechami chronionymi.

Ograniczenie celu oznacza, że danych zebranych dla jednej roli nie można swobodnie ponownie wykorzystywać dla innej bez nowej podstawy prawnej. Jeśli chcesz zatrzymać odrzuconych kandydatów na przyszłe możliwości, wymaga to wyraźnej zgody, a wycofanie tej zgody należy niezwłocznie uwzględnić.

Okresy przechowywania

Nie istnieje jednolity okres przechowywania danych kandydatów wymagany przez RODO. Jednak zasada ograniczenia przechowywania wymaga usunięcia danych, gdy nie są już potrzebne. W praktyce większość organizacji ustala okres przechowywania sześciu miesięcy od zakończenia rekrutacji. Niektóre przedłużają go do 12 miesięcy, aby móc odeprzeć potencjalne roszczenia dyskryminacyjne.

Niezależnie od wybranego okresu, należy go udokumentować w informacji o ochronie prywatności i egzekwować. Okres przechowywania, który deklarujesz, ale nie stosujesz, jest gorszy niż brak zadeklarowanego okresu. Dowodzi regulatorom, że wiedziałeś, co powinieneś robić, i zdecydowałeś się tego nie robić.

Zautomatyzowane decyzje i Artykuł 22 RODO

Artykuł 22 RODO przyznaje osobom prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, które wywołuje skutki prawne lub podobnie istotne skutki. W kontekście rekrutacji decyzja o odrzuceniu lub wstępnej kwalifikacji podjęta w całości przez algorytm bez znaczącego zaangażowania człowieka uruchamia to prawo.

Co uruchamia Artykuł 22

Kluczowym testem jest to, czy decyzja oparta jest wyłącznie na zautomatyzowanym przetwarzaniu i wywołuje istotny skutek. Odrzucenie kandydatury jest istotnym skutkiem. Uszeregowanie poniżej progu rozmowy kwalifikacyjnej przez algorytm i w związku z tym nieocenione przez człowieka jest również istotnym skutkiem, nawet jeśli pracodawca charakteryzuje proces jako wspomagany przez AI, a nie zdecydowany przez AI.

Istotne jest, że Artykuł 22 ma zastosowanie nawet wtedy, gdy pracodawca uważa, że człowiek jest zaangażowany, jeśli ta ludzka weryfikacja jest powierzchowna lub nominalna. UODO wyjaśniło, że człowiek, który po prostu akceptuje wyniki AI bez rzeczywistego zaangażowania się w podstawowe informacje, nie stanowi znaczącego zaangażowania ludzkiego.

Wymagane zabezpieczenia

W przypadku gdy zautomatyzowane podejmowanie decyzji jest stosowane zgodnie z prawem, czy to za zgodą kandydata, czy jako konieczne do zawarcia umowy, muszą być zapewnione trzy zabezpieczenia. Po pierwsze, kandydaci muszą być poinformowani o zautomatyzowanym podejmowaniu decyzji i otrzymać znaczące informacje o zastosowanej logice. Po drugie, kandydaci muszą mieć możliwość zażądania ludzkiej weryfikacji jakiejkolwiek zautomatyzowanej decyzji. Po trzecie, kandydaci muszą móc zakwestionować decyzję i wyrazić swój punkt widzenia.

W praktyce oznacza to stworzenie mechanizmu skierowanego do kandydatów: wyraźne powiadomienie w procesie składania aplikacji, kontakt do wniosków o weryfikację i wewnętrzny proces obsługi tych wniosków z rzeczywistą oceną ludzką.

Weryfikacja prawa do pracy

Ustawa o promocji zatrudnienia i instytucjach rynku pracy zobowiązuje pracodawców do weryfikacji, że każdy pracownik posiada zezwolenie na pracę w Polsce przed rozpoczęciem zatrudnienia. Niezachowanie należytej staranności przy weryfikacji może skutkować karami do 30 000 zł za zatrudnienie cudzoziemca bez wymaganego zezwolenia na pracę.

Cyfrowa weryfikacja tożsamości

W Polsce pracodawcy mają obowiązek przechowywania kopii dokumentów potwierdzających prawo do pracy pracownika przez cały okres zatrudnienia. Dla obywateli polskich i UE wystarczy dowód tożsamości lub paszport. Dla obywateli spoza UE/EOG wymagane jest zezwolenie na pracę lub zezwolenie na pobyt uprawniające do wykonywania pracy.

Cyfrowe systemy weryfikacji tożsamości mogą przyspieszyć proces i zmniejszyć ryzyko błędów ludzkich przy sprawdzaniu dokumentów. Korzystając z zewnętrznych usług weryfikacji, należy zawrzeć umowę powierzenia przetwarzania danych zgodnie z art. 28 RODO.

Zasady dotyczące danych biometrycznych

Kilka produktów do cyfrowej weryfikacji tożsamości stosuje biometryczne porównanie twarzy, porównując selfie w czasie rzeczywistym ze zdjęciem na dokumencie. Dane biometryczne są danymi szczególnych kategorii zgodnie z RODO i wymagają wyraźnej podstawy prawnej. W przypadku weryfikacji prawa do pracy zazwyczaj opiera się to na podstawie konieczności wynikającej z przepisów prawa pracy na mocy art. 9(2)(b).

Jeśli zbierasz dane biometryczne jako część procesu rekrutacji, musi to być ujawnione w informacji o ochronie prywatności. Kandydaci muszą rozumieć, jakie dane biometryczne są zbierane, jak są wykorzystywane i jak długo są przechowywane. Szablony biometryczne powinny być usunięte po zakończeniu weryfikacji.

Swobodny przepływ pracowników UE/EOG

Obywatele UE, EOG i Szwajcarii korzystają ze swobodnego przepływu pracowników i mogą legalnie pracować w Polsce bez dodatkowego zezwolenia na pracę. Pracodawcy powinni zweryfikować ich tożsamość na podstawie ważnego dowodu tożsamości lub paszportu UE. Dla pracowników spoza UE/EOG wymagane jest zezwolenie na pracę lub zezwolenie jednolite na pobyt i pracę, które pracodawca musi uzyskać przed rozpoczęciem pracy przez cudzoziemca.

Budowanie zgodnego procesu selekcji AI

Zgodny proces nie oznacza wolniejszego. RODO i ustawa o AI UE definiują obowiązki, a nie projekty przepływu pracy. Mając właściwe podstawy, możesz prowadzić szybki, wysokoobiętościowy proces selekcji spełniający wszystkie wymagania. Oto sześć kroków do jego zbudowania.

Lista kontrolna audytu zgodności

Sankcje i egzekwowanie

Zarówno RODO, jak i ustawa o AI UE niosą ze sobą istotne kary finansowe. Zrozumienie struktury kar kalibruje uzasadnienie biznesowe: koszty programu zgodności stanowią ułamek kosztów materialnego działania egzekucyjnego.

Kary wynikające z RODO

Egzekwowanie RODO działa na podstawie systemu dwupoziomowego. Mniej poważne naruszenia, takie jak nieodpowiednia dokumentacja i brakujące informacje o ochronie prywatności, podlegają karom do 10 milionów euro lub 2% całkowitego rocznego globalnego obrotu, w zależności od tego, która kwota jest wyższa. Poważniejsze naruszenia, w tym przetwarzanie bez podstawy prawnej, naruszenie praw osoby, której dane dotyczą, i nieodpowiednie zabezpieczenia, podlegają karom do 20 milionów euro lub 4% całkowitego rocznego globalnego obrotu.

Kary wynikające z ustawy o AI UE

Ustawa o AI UE przewiduje odrębne kary. Używanie zakazanych aplikacji AI podlega karom do 35 milionów euro lub 7% całkowitego rocznego globalnego obrotu. Naruszenia dotyczące systemów AI wysokiego ryzyka, w tym nieprzestrzeganie wymogów przejrzystości, nadzoru ludzkiego lub dokumentacji, podlegają karom do 15 milionów euro lub 3% rocznych obrotów.

Typowe błędy w zakresie zgodności

Często zadawane pytania