AI招募合規完整指南（2026年）

什麼是AI招募合規？

AI招募合規是指雇主在招募過程中任何環節使用人工智慧、演算法或自動化工具時必須履行的一系列法律義務。這包括履歷篩選軟體、基於聊天機器人的面試、評分模型，以及任何無需直接人工判斷即可篩選或排名應徵者的工具。

截至2026年，三大監管框架塑造了台灣大多數雇主的招募合規要求：《個人資料保護法》（PDPA）、正在研議中的《人工智慧基本法草案》，以及《就業服務法》等勞動相關法規。這三者共同規定了應徵者資料收集方式、自動化決策方式以及工作許可核查的具體義務。面向歐盟市場運營的企業，還需參照EU GDPR及歐盟AI法案的相關要求。

合規不是走形式。罰款金額不容忽視，執法力度持續加強。2023年，法務部調查局及個人資料保護主管機關對多家在招募過程中未依法處理求職者個人資料的企業進行調查，顯示主管機關正對處理個人資料的演算法系統加強審查。

為什麼2026年是轉折點

針對高風險AI系統的歐盟AI法案義務（明確包含招募AI）已於2026年8月起對大多數組織適用。這不是未來的要求。如果您今天正在歐盟地區使用AI篩選、排名或入圍應徵者，計時已經開始。

與此同時，個人資料保護主管機關對招募中演算法決策的監督力度不斷加強，應徵者對其《個人資料保護法》（PDPA）權利的認知也在持續提升。現在建立合規流程，能保護企業免受罰款、應徵者投訴及聲譽損害。

歐盟AI法案與招募AI

歐盟AI法案為AI建立了四級風險分類體系。招募AI屬於最高監管級別：高風險。該法案附錄三明確將用於招募和選拔的AI列為高風險應用，包括履歷篩選、應徵者排名及面試評估。

高風險分類在實務中意味著什麼

在招募中部署高風險AI的雇主和HR科技供應商必須遵守一系列嚴格的義務。這些不是可選指南，而是具有約束力的法律要求。

首先，在部署AI系統之前必須完成合規性評估。這包括記錄系統目的、訓練資料、已知局限性以及減少偏見和錯誤的措施。對於購買現成工具的雇主，應向供應商索取相關文件。

人工監督要求

每個高風險AI系統都必須設計為允許人工審核和覆蓋。在招募場景中，這意味著不得僅憑AI決策拒絕或推進應徵者，人工必須有實質性的審核和撤銷能力。

僅由人工橡皮圖章式地批准AI輸出而不真正審閱應徵者材料，並不滿足這一要求。監督必須是實質性的。人工必須能夠查閱AI的推理過程和應徵者基礎資料，並且有能力得出不同結論。

對應徵者的透明度

必須告知應徵者其評估中使用了AI。此披露應在AI互動開始之前出現，可以在職缺發布、申請流程或專項通知中說明。披露內容應解釋使用何種類型的AI、評估什麼內容，以及其輸出如何用於選拔決策。

GDPR與應徵者資料

GDPR適用於處理歐盟或英國境內居民應徵者個人資料的每位雇主，無論雇主總部位於何處。招募是GDPR合規的最高風險領域之一，因為它涉及來自與雇主沒有既有關係的個人的大量敏感個人資料。

處理的合法依據

在積極招募期間處理應徵者資料，通常依據合法利益（第6條第1款f項）或合約履行（第6條第1款b項，前合約步驟）。同意很少是招募的正確依據：它必須自願給予，而雇主與求職者之間的權力不平衡損害了這一前提。

特殊類別資料（包括健康、殘疾、民族出身和宗教信仰）需要第9條下的額外合法依據，最常見的是明確同意或雇用法律義務的必要性。如果您的篩選問題或心理測量工具無意中收集了特殊類別資料，需將此額外依據記錄在案。

資料最小化與目的限制

您只能收集招募決策所必要的應徵者資料。這一原則涉及幾種常見做法：在年齡非真實要求時詢問出生日期、面試前要求提供照片，或收集與職位無明確關聯的大量社群媒體資訊。基於關鍵字的篩選工具在收集與受保護特徵相關的代理資料時也可能引入無意識偏見。

目的限制意味著為某一職位收集的資料不能在沒有新合法依據的情況下自由用於其他職位。如果您希望保留未錄取應徵者以備未來機會，這需要明確同意，且必須及時履行撤回同意的請求。

保留期限

GDPR沒有規定應徵者資料的單一保留期限。然而，儲存限制原則要求您在資料不再需要時將其刪除。實務上，大多數組織將保留期限設定為招募結束後六個月，有些延長至12個月以應對潛在的歧視申訴。

無論您選擇何種期限，都應在隱私聲明中記錄並執行。聲明了但未執行的保留期限比沒有聲明的期限更糟糕。這向監管機構表明您知道應該做什麼，卻選擇不做。

自動化決策與GDPR第22條

GDPR第22條賦予個人不受純粹基於自動化處理的決策（產生法律或類似重大影響）約束的權利。在招募場景中，完全由演算法在沒有實質性人工參與的情況下做出的拒絕或入圍決策會觸發此權利。

什麼會觸發第22條

關鍵判斷標準是：決策是否純粹基於自動化處理，且是否產生重大影響。被拒於工作申請之外是重大影響。被演算法排名在面試門檻以下因此從未經人工審核，也是重大影響，即便雇主將此流程定性為AI輔助而非AI決策。

關鍵是，即使雇主認為有人工參與，若該人工審核流於形式，自動化決策相關規定仍然適用。主管機關已釐清，僅接受AI輸出而不真正審閱基礎資訊的人工不構成實質性人工參與。

必需的保障措施

在合法使用自動化決策的情況下（無論是基於應徵者同意還是合約簽訂的必要性），必須具備三項保障措施。第一，必須告知應徵者正在進行自動化決策，並提供有關邏輯的有意義資訊。第二，應徵者必須能夠請求對任何自動化決策進行人工審核。第三，應徵者必須能夠對決策提出異議並表達意見。

實務上，這意味著需要建立面向應徵者的機制：申請流程中的清晰告知、審核請求的聯絡管道，以及處理此類請求的包含真實人工評估的內部流程。

工作權核查

工作權立法要求雇主在用工開始前核實每位員工是否具有在相關國家工作的許可。未能正確執行核查將消除對非法用工處罰的法定抗辯，英國的處罰金額最高可達每名非法工人6萬英鎊。

數位身分驗證

在英國，內政部自2022年4月起批准對英國及愛爾蘭國民使用身分證件驗證技術（IDVT）進行工作權核查。數位核查必須透過經認證的身分服務提供商（IDSP）進行。雇主不能自行執行IDVT核查。使用經認證的提供商，在正確執行核查的情況下可獲得法定抗辯。

數位核查並非強制性要求：雇主仍可進行手動文件核查。然而，數位核查速度更快、一致性更強，且在證件驗證中出現人為錯誤的可能性更低，這些因素在大規模招募時尤為重要。

生物特徵資料規則

多款數位身分驗證產品使用生物特徵面部比對，將即時自拍與證件上的照片進行比較。生物特徵資料是GDPR下的特殊類別資料，需要明確的合法依據。對於工作權核查，這通常依據第9條第2款b項下的雇用法律必要性依據。

如果您在招募過程中收集生物特徵資料，必須在隱私聲明中予以披露。應徵者必須了解收集了哪些生物特徵資料、如何使用以及保留多長時間。生物特徵範本應在驗證完成後立即刪除。

外國人工作許可核查

依據《就業服務法》第43條，雇主聘用外國人須事先取得主管機關（勞動部）許可。外國員工須持有合法工作許可及居留許可，雇主有義務於受僱前完成核查。違規聘用未取得工作許可之外國人，雇主可處新台幣15萬元至150萬元不等之罰鍰。中華民國（台灣）國籍公民無需另行申請工作許可，雇主無需對其進行此項核查。

建立合規的AI篩選流程

合規流程並不意味著流程更慢。GDPR和歐盟AI法案規定的是義務，而非工作流程設計。有了正確的基礎，您可以在滿足所有要求的同時運行快速、大批量的篩選流程。以下是建立合規流程的六個步驟。

合規稽核清單

罰則與執法

GDPR和歐盟AI法案都規定了重大財務罰則。了解罰則結構有助於校準商業判斷：合規計劃的成本遠低於重大執法行動的代價。

GDPR罰則

GDPR執法採用兩級制度。較輕微的違規行為（例如記錄不足和缺少隱私聲明）可處以最高1000萬歐元或全球年營業額2%的罰款，以較高者為準。更嚴重的違規行為（包括無合法依據的處理、違反資料主體權利及安全性不足）可處以最高2000萬歐元或全球年營業額4%的罰款。

歐盟AI法案罰則

歐盟AI法案規定了單獨的罰則。使用禁止AI應用可處以最高3500萬歐元或全球年營業額7%的罰款。與高風險AI系統相關的違規行為（包括不符合透明度、人工監督或文件要求）可處以最高1500萬歐元或年營業額3%的罰款。

常見合規錯誤

常見問題