Skip to main content

Art. 15 dla technologii HR: dokładność, solidność i cyberbezpieczeństwo

Jak art. 15 (dokładność, solidność, cyberbezpieczeństwo) dotyczy AI do rekrutacji i zarządzania pracownikami z załącznika III pkt 4: zakres, role, terminy, kary i to, co rozporządzenie pozostawia otwarte.

Dostawcy systemów AI wysokiego ryzyka do rekrutacji lub zarządzania pracownikami muszą je projektować tak, by osiągały odpowiedni poziom dokładności, solidności i cyberbezpieczeństwa (art. 15).

To systemy z załącznika III pkt 4; art. 15 dotyczy ich od 2 grudnia 2027. Dostawca deklaruje poziomy i wskaźniki dokładności w instrukcji obsługi (art. 15 ust. 3). Pracodawcy, którzy tylko korzystają z takiego systemu, są podmiotami wdrażającymi i nie są związani art. 15. Kary sięgają 15 mln EUR (art. 99 ust. 4). Dla przedsiębiorstwa do 3 % światowego obrotu rocznego, jeżeli ta kwota jest wyższa. Następny krok: wypisz wskaźniki, które zadeklarujesz.

Art. 15 wymaga odpowiedniego poziomu, a nie stałej liczby

Art. 15 określa wymogi projektowe dla dostawcy. Nie podaje żadnej wartości dokładności dla żadnego sektora.

  • art. 15(1)
    Odpowiedni poziom w całym cyklu życia

    Systemy AI wysokiego ryzyka projektuje się i opracowuje tak, aby osiągały odpowiedni poziom dokładności, solidności i cyberbezpieczeństwa oraz aby pod tymi względami działały spójnie w całym cyklu życia.

  • art. 15(2)
    Wzorce porównawcze wspiera Komisja

    Komisja zachęca, w stosownych przypadkach, do opracowywania wzorców porównawczych i metod pomiarowych, we współpracy z zainteresowanymi stronami, takimi jak organy metrologiczne i organy ds. analizy porównawczej. To nie jest obowiązek dostawcy.

  • art. 15(3)
    Deklarowanie poziomów i wskaźników

    Poziomy dokładności i odpowiednie wskaźniki dokładności podaje się w dołączonej instrukcji obsługi.

  • art. 15(4)
    Odporność na błędy i pętle sprzężenia zwrotnego

    Systemy muszą być możliwie odporne na błędy, usterki i niespójności, które mogą wystąpić w systemie lub w środowisku jego działania, w szczególności z powodu interakcji z osobami fizycznymi lub innymi systemami. Podejmuje się środki techniczne i organizacyjne; jako opcje wymieniono redundancję techniczną oraz plany zapasowe lub zapewniające bezpieczeństwo. System, który uczy się dalej po wprowadzeniu do obrotu, projektuje się tak, aby wyeliminować lub w maksymalnym stopniu ograniczyć ryzyko, że stronnicze wyniki wpłyną na dane wejściowe w przyszłości (pętle sprzężenia zwrotnego).

  • art. 15(5)
    Cyberbezpieczeństwo wobec nieuprawnionych osób trzecich

    Systemy muszą być odporne na próby nieuprawnionych osób trzecich zmiany ich wykorzystania, wyników lub działania przez wykorzystanie słabych punktów. Rozwiązania techniczne obejmują w stosownych przypadkach środki przeciwko zatruwaniu danych, zatruwaniu modelu, przykładom kontradyktoryjnym lub uchylaniu się modelu, atakom na poufność i wadom modelu.

Jaka AI w HR musi spełniać art. 15

Art. 15 wiąże tylko dostawców systemów AI wysokiego ryzyka. Poniższe wiersze pokazują, kiedy AI w HR staje się systemem wysokiego ryzyka.

  • Technologie HR nie są kategorią w rozporządzeniu

    Rozporządzenie nie zna kategorii „technologie HR”. Ta strona używa tego słowa dla AI, która podlega rozporządzeniu przez załącznik III pkt 4 (zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia) oraz przez zakaz z art. 5 ust. 1 lit. f) dotyczący wnioskowania o emocjach w miejscu pracy.

  • Załącznik III pkt 4: zatrudnienie i zarządzanie pracownikami

    Załącznik III pkt 4 lit. a) obejmuje systemy AI przeznaczone do wykorzystania do rekrutacji lub wyboru osób fizycznych, w szczególności do zamieszczania ukierunkowanych ogłoszeń o pracę, analizowania i filtrowania podań o pracę oraz do oceny kandydatów. Lit. b) obejmuje systemy AI przeznaczone do wykorzystania do podejmowania decyzji wpływających na warunki stosunków pracy, awans lub rozwiązanie umownych stosunków pracy, przydzielania zadań na podstawie indywidualnych zachowań lub cech osobistych oraz monitorowania i oceny wydajności i zachowania osób w ramach takich stosunków. System z załącznika III jest uznawany za niebędący systemem wysokiego ryzyka tylko na podstawie art. 6 ust. 3, a dostawca musi udokumentować tę ocenę przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku (art. 6 ust. 4). Art. 6 ust. 3 nigdy nie ma zastosowania, gdy system dokonuje profilowania osób fizycznych. Dostawca, który uznaje swój system z załącznika III za niebędący systemem wysokiego ryzyka, podlega obowiązkowi rejestracji z art. 49 ust. 2.

  • Dostawca i podmiot wdrażający

    Dostawca, na przykład producent oprogramowania HR, opracowuje system AI lub zleca jego opracowanie i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą (art. 3 pkt 3). Pracodawca, agencja rekrutacyjna lub inny podmiot, który wykorzystuje system pod własnym nadzorem, jest podmiotem wdrażającym (w rozporządzeniu: podmiotem stosującym; art. 3 pkt 4). Podmiot wdrażający staje się dostawcą, jeżeli umieści swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, wprowadzi istotną zmianę, po której system pozostaje systemem wysokiego ryzyka, albo zmieni przeznaczenie systemu niebędącego systemem wysokiego ryzyka tak, że staje się nim (art. 25 ust. 1). Rozporządzenie nie ma zastosowania do obowiązków podmiotów wdrażających będących osobami fizycznymi, które korzystają z systemów AI w ramach czysto osobistej działalności o charakterze niezawodowym (art. 2 ust. 10).

  • Terminy

    Systemy z załącznika III pkt 4 muszą spełniać te obowiązki od 2 grudnia 2027 (art. 113 akapit trzeci lit. c) ppkt (i)). System wprowadzony do obrotu lub oddany do użytku przed tą datą jest objęty rozporządzeniem tylko wtedy, gdy po niej wprowadzono istotne zmiany w jego projekcie; w każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2). Zakaz z art. 5 ust. 1 lit. f) obowiązuje od 2 lutego 2025; wyjątek z art. 113 akapit trzeci lit. a) go nie dotyczy.

  • Kary

    Naruszenie obowiązków dostawców (art. 16) i podmiotów wdrażających (art. 26) może skutkować karą pieniężną do 15 mln EUR lub, jeżeli sprawca jest przedsiębiorstwem, do 3 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP, w tym przedsiębiorstw typu start-up, każda kara może sięgać najwyżej niższej z tych kwot (art. 99 ust. 6); to samo dotyczy małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a). Każde państwo członkowskie decyduje, w jakim zakresie kary pieniężne mogą być nakładane na organy i podmioty publiczne mające siedzibę na jego terytorium (art. 99 ust. 8).

  • Granice zakresu stosowania

    Rozporządzenie nie ma zastosowania do obszarów wykraczających poza zakres prawa Unii (pierwsze zdanie art. 2 ust. 3), do systemów AI ani modeli AI, w tym ich wyników, opracowanych i oddanych do użytku wyłącznie w celu badań naukowych i prac rozwojowych (art. 2 ust. 6), ani do działalności badawczej, testowej i rozwojowej prowadzonej przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku; testowanie w warunkach rzeczywistych nie jest objęte tym wyłączeniem (art. 2 ust. 8). Nie ma zastosowania do systemów AI udostępnianych na podstawie wolnych licencji otwartego oprogramowania, chyba że są wprowadzane do obrotu lub oddawane do użytku jako systemy AI wysokiego ryzyka albo podlegają art. 5 lub 50 (art. 2 ust. 12).

Co rozporządzenie pozostawia otwarte dla technologii HR

  • Brak wartości dokładności i wskaźnika rzetelności

    Art. 15 nie podaje dla żadnego sektora wskaźnika dokładności, wartości minimalnej, metody testowania ani normy, a rozporządzenie nie podaje wskaźnika rzetelności (fairness) dla systemów HR. Dostawca deklaruje poziomy i odpowiednie wskaźniki (art. 15 ust. 3). Dokumentacja techniczna musi też opisywać wskaźniki służące do pomiaru dokładności, solidności i zgodności, a także potencjalnie dyskryminujące skutki (załącznik IV pkt 2 lit. g)).

  • Domniemania zgodności

    Rozporządzenie samo nie podaje żadnej normy. Systemy zgodne z normami zharmonizowanymi, do których odniesienia opublikowano w Dzienniku Urzędowym, uznaje się za zgodne z wymogami sekcji 2 w zakresie, w jakim normy te je obejmują (art. 40 ust. 1). Certyfikat cyberbezpieczeństwa lub oświadczenie o zgodności na podstawie rozporządzenia (UE) 2019/881, opublikowane w Dzienniku Urzędowym, daje domniemanie zgodności z wymogami cyberbezpieczeństwa z art. 15 (art. 42 ust. 2); systemy objęte rozporządzeniem (UE) 2024/2847, które spełniają warunki jego art. 12 ust. 1, uznaje się za zgodne z tymi wymogami (art. 42 ust. 3). Komisja opracowuje wytyczne dotyczące stosowania wymogów i obowiązków z art. 8–15 oraz art. 25 i 26 (art. 96 ust. 1 lit. a)).

  • Przykład: pętle sprzężenia zwrotnego w narzędziu do rankingu

    Przykład, nie wymóg rozporządzenia: dostawca narzędzia do rankingu kandydatów, które uczy się dalej po wprowadzeniu do obrotu, mógłby sprawdzać, czy jego wcześniejsze rankingi wpływają na dane, z których potem się uczy; do tego odnosi się art. 15 ust. 4 o pętlach sprzężenia zwrotnego, który wymaga od dostawcy zajęcia się tym zagadnieniem.

Pytania o art. 15 w technologiach HR

Czy art. 15 ustala wartość dokładności lub wskaźnik rzetelności dla AI w rekrutacji?

Nie. Art. 15 ust. 1 wymaga odpowiedniego poziomu, a art. 15 ust. 3 wymaga, by dostawca zadeklarował poziomy i odpowiednie wskaźniki dokładności w instrukcji obsługi. Rozporządzenie nie podaje wartości, wskaźnika ani metody testowania dla systemów HR.

Kto musi spełniać art. 15, gdy pracodawca kupuje narzędzie do wstępnej selekcji?

Dostawca projektuje system tak, by spełniał art. 15 (art. 16 lit. a)). Pracodawca jest podmiotem wdrażającym i korzysta z systemu zgodnie z instrukcją obsługi (art. 26 ust. 1). Podmiot wdrażający, który umieści swoją nazwę na systemie, wprowadzi istotną zmianę lub zmieni przeznaczenie, staje się dostawcą (art. 25 ust. 1).

Od kiedy art. 15 dotyczy systemu do wstępnej selekcji CV?

Od 2 grudnia 2027, jeżeli system jest systemem z załącznika III pkt 4, który jest systemem wysokiego ryzyka (art. 6 ust. 2 i art. 113). System już obecny na rynku przed tą datą jest objęty dopiero po istotnej zmianie w jego projekcie (art. 111 ust. 2).

Powiązane strony

Scanara przygotowuje dowody na podstawie Państwa repozytoriów

Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.