AI招聘合规完整指南（2026年）

什么是AI招聘合规？

AI招聘合规是指雇主在招聘过程中任何环节使用人工智能、算法或自动化工具时必须履行的一系列法律义务。这包括简历筛选软件、基于聊天机器人的面试、评分模型，以及任何无需直接人工判断即可筛选或排名候选人的工具。

截至2026年，三大监管框架塑造了中国大多数雇主的招聘合规要求：《个人信息保护法》（PIPL，2021年）、国家互联网信息办公室（网信办）2022年发布的《互联网信息服务算法推荐管理规定》，以及《劳动合同法》等劳动关系法律。这三者共同规定了候选人数据收集方式、自动化决策方式以及工作许可核查的具体义务。面向全球市场运营的企业，还需参照欧盟GDPR及欧盟AI法案的相关要求。

合规不是走形式。罚款金额不容小觑，执法力度正在不断加强。2023年，国家互联网信息办公室（网信办）对多家在招聘过程中违规使用算法处理个人信息的企业进行了专项检查并责令整改，表明监管机构正对处理个人数据的算法系统施以严格审查。

为什么2026年是转折点

针对高风险AI系统的欧盟AI法案义务（明确包含招聘AI）已于2026年8月起对大多数组织适用。这不是未来的要求。如果您今天正在欧盟地区使用AI筛选、排名或入围候选人，计时已经开始。

与此同时，网信办对招聘中算法决策的监管力度持续加强，候选人对其《个人信息保护法》（PIPL）权利的认知也在不断提升。现在建立合规流程，能保护企业免受行政处罚、候选人投诉及声誉损害。

欧盟AI法案与招聘AI

欧盟AI法案为AI建立了四级风险分类体系。招聘AI属于最高监管级别：高风险。该法案附录三明确将用于招聘和选拔的AI列为高风险应用，包括简历筛选、候选人排名及面试评估。

高风险分类在实践中意味着什么

在招聘中部署高风险AI的雇主和HR科技供应商必须遵守一系列严格的义务。这些不是可选指南，而是有约束力的法律要求。

首先，在部署AI系统之前必须完成合规性评估。这包括记录系统目的、训练数据、已知局限性以及减少偏见和错误的措施。对于购买现成工具的雇主，应向供应商索取相关文件。

人工监督要求

每个高风险AI系统都必须设计为允许人工审核和覆盖。在招聘场景中，这意味着不得仅凭AI决策拒绝或推进候选人，人工必须有实质性的审核和撤销能力。

仅由人工橡皮图章式地批准AI输出而不真正审阅候选人材料，并不满足这一要求。监督必须是实质性的。人工必须能够查阅AI的推理过程和候选人基础数据，并且有能力得出不同结论。

对候选人的透明度

必须告知候选人其评估中使用了AI。此披露应在AI交互开始之前出现，可以在职位发布、申请流程或专项通知中说明。披露内容应解释使用何种类型的AI、评估什么内容，以及其输出如何用于选拔决策。

GDPR与候选人数据

GDPR适用于处理欧盟或英国境内居民候选人个人数据的每位雇主，无论雇主总部位于何处。招聘是GDPR合规的最高风险领域之一，因为它涉及来自与雇主没有既有关系的个人的大量敏感个人数据。

处理的合法依据

在积极招聘期间处理候选人数据，通常依据合法利益（第6条第1款f项）或合同履行（第6条第1款b项，预合同步骤）。同意很少是招聘的正确依据：它必须自愿给予，而雇主与求职者之间的权力不平衡损害了这一前提。

特殊类别数据（包括健康、残疾、民族出身和宗教信仰）需要第9条下的额外合法依据，最常见的是明确同意或雇佣法律义务的必要性。如果您的筛选问题或心理测量工具无意中收集了特殊类别数据，需将此额外依据记录在案。

数据最小化与目的限制

您只能收集招聘决策所必要的候选人数据。这一原则涉及几种常见做法：在年龄非真实要求时询问出生日期、面试前要求提供照片，或收集与岗位无明确关联的大量社交媒体信息。基于关键词的筛选工具在收集与受保护特征相关的代理数据时也可能引入无意识偏见。

目的限制意味着为某一职位收集的数据不能在没有新合法依据的情况下自由用于其他职位。如果您希望保留被拒候选人以备未来机会，这需要明确同意，且必须及时履行撤回同意的请求。

保留期限

GDPR没有规定候选人数据的单一保留期限。然而，存储限制原则要求您在数据不再需要时将其删除。实践中，大多数组织将保留期限设定为招聘结束后六个月，有些延长至12个月以应对潜在的歧视申诉。

无论您选择何种期限，都应在隐私声明中记录并执行。声明了但未执行的保留期限比没有声明的期限更糟糕。这向监管机构表明您知道应该做什么，却选择不做。

自动化决策与GDPR第22条

GDPR第22条赋予个人不受纯粹基于自动化处理的决策（产生法律或类似重大影响）约束的权利。在招聘场景中，完全由算法在没有实质性人工参与的情况下做出的拒绝或入围决策会触发此权利。

什么会触发第22条

关键判断标准是：决策是否纯粹基于自动化处理，且是否产生重大影响。被拒于工作申请之外是重大影响。被算法排名在面试门槛以下因此从未经人工审核，也是重大影响，即便雇主将此流程定性为AI辅助而非AI决策。

关键是，即使雇主认为有人工参与，若该人工审核流于形式，自动化决策相关规定仍然适用。网信办已明确，仅接受AI输出而不真正审阅基础信息的人工不构成实质性人工参与。

必需的保障措施

在合法使用自动化决策的情况下（无论是基于候选人同意还是合同签订的必要性），必须具备三项保障措施。第一，必须告知候选人正在进行自动化决策，并提供有关逻辑的有意义信息。第二，候选人必须能够请求对任何自动化决策进行人工审核。第三，候选人必须能够对决策提出异议并表达意见。

实践中，这意味着需要建立面向候选人的机制：申请流程中的清晰告知、审核请求的联系渠道，以及处理此类请求的包含真实人工评估的内部流程。

工作权核查

工作权立法要求雇主在用工开始前核实每位员工是否具有在相关国家工作的许可。未能正确执行核查将消除对非法用工处罚的法定抗辩，英国的处罚金额最高可达每名非法工人6万英镑。

数字身份验证

在英国，内政部自2022年4月起批准对英国及爱尔兰国民使用身份证件验证技术（IDVT）进行工作权核查。数字核查必须通过经认证的身份服务提供商（IDSP）进行。雇主不能自行执行IDVT核查。使用经认证的提供商，在正确执行核查的情况下可获得法定抗辩。

数字核查并非强制性要求：雇主仍可进行手动文件核查。然而，数字核查速度更快、一致性更强，且在证件验证中出现人为错误的可能性更低，这些因素在大规模招聘时尤为重要。

生物特征数据规则

多款数字身份验证产品使用生物特征面部比对，将实时自拍与证件上的照片进行比较。生物特征数据是GDPR下的特殊类别数据，需要明确的合法依据。对于工作权核查，这通常依据第9条第2款b项下的雇佣法律必要性依据。

如果您在招聘过程中收集生物特征数据，必须在隐私声明中予以披露。候选人必须了解收集了哪些生物特征数据、如何使用以及保留多长时间。生物特征模板应在验证完成后立即删除。

外国人工作许可核查

在华就业的外国人须持有由国家外国专家局（现归并至人力资源和社会保障部）颁发的《外国人来华工作许可证》及公安机关核发的居留许可。雇主有义务核查外籍员工的工作许可及签证类别，确保其具备合法就业资格。违规雇用无工作许可外国人将面临罚款，情节严重者可能承担刑事责任。中国公民无需额外办理工作许可，雇主无需对其进行此项核查。

建立合规的AI筛选流程

合规流程并不意味着流程更慢。GDPR和欧盟AI法案规定的是义务，而非工作流程设计。有了正确的基础，您可以在满足所有要求的同时运行快速、大批量的筛选流程。以下是建立合规流程的六个步骤。

合规审计清单

处罚与执法

GDPR和欧盟AI法案都规定了重大财务处罚。了解处罚结构有助于校准商业判断：合规计划的成本远低于重大执法行动的代价。

GDPR处罚

GDPR执法采用两级制度。较轻微的违规行为（例如记录不足和缺少隐私声明）可处以最高1000万欧元或全球年营业额2%的罚款，以较高者为准。更严重的违规行为（包括无合法依据的处理、违反数据主体权利及安全性不足）可处以最高2000万欧元或全球年营业额4%的罚款。

欧盟AI法案处罚

欧盟AI法案规定了单独的处罚措施。使用禁止AI应用可处以最高3500万欧元或全球年营业额7%的罚款。与高风险AI系统相关的违规行为（包括不符合透明度、人工监督或文件要求）可处以最高1500万欧元或年营业额3%的罚款。

常见合规错误

常见问题