Art. 26 dla technologii HR: obowiązki podmiotów wdrażających

Art. 26 nakłada te obowiązki na podmioty wdrażające systemy AI wysokiego ryzyka.

• art. 26(7)
  Informowanie pracowników i ich przedstawicieli

  Podmioty wdrażające będące pracodawcami muszą poinformować przedstawicieli pracowników i zainteresowanych pracowników, zanim oddadzą do użytku lub zaczną wykorzystywać system AI wysokiego ryzyka w miejscu pracy, że będzie on wobec nich stosowany. Informacje przekazuje się, w stosownych przypadkach, zgodnie z zasadami i procedurami ustanowionymi w prawie i praktyce unijnych i krajowych w zakresie informowania pracowników i ich przedstawicieli.

• art. 26(1)
  Stosowanie zgodnie z instrukcją

  Podjąć odpowiednie środki techniczne i organizacyjne, aby system był wykorzystywany zgodnie z instrukcją obsługi.

• art. 26(2)
  Powierzenie nadzoru ze strony człowieka

  Powierzyć sprawowanie nadzoru ze strony człowieka osobom fizycznym, które mają niezbędne kompetencje, przeszkolenie i uprawnienia, a także niezbędne wsparcie.

• art. 26(4)
  Kontrola danych wejściowych

  W zakresie, w jakim podmiot wdrażający sprawuje kontrolę nad danymi wejściowymi, zapewnić, aby były one adekwatne i wystarczająco reprezentatywne w świetle przeznaczenia systemu.

• art. 26(5)
  Monitorować, informować, zawiesić

  Monitorować działanie na podstawie instrukcji obsługi i w stosownych przypadkach informować dostawców. Jeżeli korzystanie z systemu zgodnie z instrukcją może powodować ryzyko w rozumieniu art. 79 ust. 1, bez zbędnej zwłoki poinformować dostawcę lub dystrybutora oraz właściwy organ nadzoru rynku i zawiesić korzystanie z systemu. Po poważnym incydencie niezwłocznie poinformować najpierw dostawcę, a następnie importera lub dystrybutora oraz organy nadzoru rynku. Jeżeli nie można skontaktować się z dostawcą, stosuje się odpowiednio art. 73.

• art. 26(6)
  Przechowywać rejestry zdarzeń

  Przechowywać generowane automatycznie przez system rejestry zdarzeń, w zakresie, w jakim pozostają pod ich kontrolą, przez okres odpowiedni do przeznaczenia systemu, wynoszący co najmniej sześć miesięcy, o ile prawo Unii lub prawo krajowe, w szczególności dotyczące ochrony danych osobowych, nie stanowi inaczej.

• art. 26(11)
  Informować osoby, których dotyczą decyzje

  W przypadku systemów z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub pomagają w ich podejmowaniu, poinformować te osoby, że stosuje się wobec nich system, bez uszczerbku dla art. 50.

• art. 26(8)
  Organy publiczne rejestrują się

  Podmioty wdrażające będące organami publicznymi lub instytucjami, organami i jednostkami organizacyjnymi Unii muszą przestrzegać obowiązków rejestracyjnych z art. 49, które dotyczą systemów z załącznika III. Jeżeli stwierdzą, że system, którego zamierzają używać, nie został zarejestrowany w unijnej bazie danych, nie mogą z niego korzystać i informują dostawcę lub dystrybutora.

• art. 26(9)
  Ocena skutków dla ochrony danych

  W stosownych przypadkach wykorzystać informacje przekazane na podstawie art. 13 do przeprowadzenia oceny skutków dla ochrony danych na podstawie art. 35 rozporządzenia (UE) 2016/679 lub art. 27 dyrektywy (UE) 2016/680.

• art. 26(12)
  Współpracować z organami

  Współpracować z właściwymi organami w ramach wszelkich działań, jakie podejmują one w związku z systemem AI wysokiego ryzyka.

Art. 26 wiąże tylko podmioty wdrażające systemy AI wysokiego ryzyka. Poniższe wiersze pokazują, kiedy AI w HR staje się systemem wysokiego ryzyka i co to znaczy dla pracodawcy.

• Technologie HR nie są kategorią w rozporządzeniu

  Rozporządzenie nie zna kategorii „technologie HR”. Ta strona używa tego słowa dla AI, która podlega rozporządzeniu przez załącznik III pkt 4 (zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia) oraz przez zakaz z art. 5 ust. 1 lit. f) dotyczący wnioskowania o emocjach w miejscu pracy.

• Załącznik III pkt 4: zatrudnienie i zarządzanie pracownikami

  Załącznik III pkt 4 lit. a) obejmuje systemy AI przeznaczone do wykorzystania do rekrutacji lub wyboru osób fizycznych, w szczególności do zamieszczania ukierunkowanych ogłoszeń o pracę, analizowania i filtrowania podań o pracę oraz do oceny kandydatów. Lit. b) obejmuje systemy AI przeznaczone do wykorzystania do podejmowania decyzji wpływających na warunki stosunków pracy, awans lub rozwiązanie umownych stosunków pracy, przydzielania zadań na podstawie indywidualnych zachowań lub cech osobistych oraz monitorowania i oceny wydajności i zachowania osób w ramach takich stosunków. System z załącznika III jest uznawany za niebędący systemem wysokiego ryzyka tylko na podstawie art. 6 ust. 3, a dostawca musi udokumentować tę ocenę przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku (art. 6 ust. 4). Art. 6 ust. 3 nigdy nie ma zastosowania, gdy system dokonuje profilowania osób fizycznych. Dostawca, który uznaje swój system z załącznika III za niebędący systemem wysokiego ryzyka, podlega obowiązkowi rejestracji z art. 49 ust. 2.

• Dostawca i podmiot wdrażający

  Dostawca, na przykład producent oprogramowania HR, opracowuje system AI lub zleca jego opracowanie i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą (art. 3 pkt 3). Pracodawca, agencja rekrutacyjna lub inny podmiot, który wykorzystuje system pod własnym nadzorem, jest podmiotem wdrażającym (w rozporządzeniu: podmiotem stosującym; art. 3 pkt 4). Podmiot wdrażający staje się dostawcą, jeżeli umieści swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, wprowadzi istotną zmianę, po której system pozostaje systemem wysokiego ryzyka, albo zmieni przeznaczenie systemu niebędącego systemem wysokiego ryzyka tak, że staje się nim (art. 25 ust. 1). Rozporządzenie nie ma zastosowania do obowiązków podmiotów wdrażających będących osobami fizycznymi, które korzystają z systemów AI w ramach czysto osobistej działalności o charakterze niezawodowym (art. 2 ust. 10).

• Wnioskowanie o emocjach w miejscu pracy: art. 5 ust. 1 lit. f)

  Art. 5 ust. 1 lit. f) zakazuje wprowadzania do obrotu, oddawania do użytku w tym konkretnym celu oraz wykorzystywania systemów AI do wnioskowania o emocjach osoby fizycznej w miejscu pracy i w instytucjach edukacyjnych, z wyjątkiem przypadków, gdy system ma być wdrożony lub wprowadzony do obrotu ze względów medycznych lub bezpieczeństwa. Rozporządzenie nie definiuje „miejsca pracy”. Czy rozmowa kwalifikacyjna online z kandydatem podlega zakazowi, tekst nie rozstrzyga; zapytaj prawnika i sprawdź wytyczne Komisji dotyczące zakazanych praktyk (art. 96 ust. 1 lit. b)). Obowiązek informowania osób narażonych z art. 50 ust. 3 jest odrębny i nie czyni zakazanego użycia zgodnym z prawem.

• Ocena skutków dla praw podstawowych (art. 27)

  Art. 27 ust. 1 dotyczy podmiotów wdrażających systemy wysokiego ryzyka, o których mowa w art. 6 ust. 2, z wyjątkiem systemów w obszarze z pkt 2 załącznika III, które są podmiotami prawa publicznego lub podmiotami prywatnymi świadczącymi usługi publiczne, oraz podmiotów wdrażających systemy z załącznika III pkt 5 lit. b) i c). Podmiot prawa publicznego, który wdraża system z pkt 4, na przykład do rekrutacji w służbie cywilnej, musi przeprowadzić ocenę przed wdrożeniem. Prywatny pracodawca, który nie jest podmiotem prywatnym świadczącym usługi publiczne, nie ma obowiązku z art. 27 dla systemu z pkt 4; czy pracodawca świadczy usługi publiczne, to kwestia faktów, zapytaj prawnika.

• Kandydaci i pracownicy: art. 26 ust. 11 i art. 86

  Podmioty wdrażające systemy z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub pomagają w ich podejmowaniu, muszą poinformować te osoby, że jest wobec nich stosowany system (art. 26 ust. 11); w HR są to kandydaci i pracownicy. Osoba, wobec której podmiot wdrażający podjął decyzję na podstawie wyniku systemu z załącznika III, z wyjątkiem pkt 2, wywołującą skutki prawne lub w podobny sposób znacząco wpływającą na tę osobę w sposób, który jej zdaniem ma niekorzystny wpływ na jej zdrowie, bezpieczeństwo lub prawa podstawowe, ma prawo uzyskać od podmiotu wdrażającego jasne i merytoryczne wyjaśnienia dotyczące roli systemu AI w procesie podejmowania decyzji oraz głównych elementów podjętej decyzji (art. 86 ust. 1). Art. 86 stosuje się tylko w zakresie, w jakim prawo to nie jest przewidziane inaczej w prawie Unii (art. 86 ust. 3).

• Terminy

  Systemy z załącznika III pkt 4 muszą spełniać te obowiązki od 2 grudnia 2027 (art. 113 akapit trzeci lit. c) ppkt (i)). System wprowadzony do obrotu lub oddany do użytku przed tą datą jest objęty rozporządzeniem tylko wtedy, gdy po niej wprowadzono istotne zmiany w jego projekcie; w każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2). Zakaz z art. 5 ust. 1 lit. f) obowiązuje od 2 lutego 2025; wyjątek z art. 113 akapit trzeci lit. a) go nie dotyczy.

• Kary

  Naruszenie obowiązków dostawców (art. 16) i podmiotów wdrażających (art. 26) może skutkować karą pieniężną do 15 mln EUR lub, jeżeli sprawca jest przedsiębiorstwem, do 3 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). Dla MŚP, w tym przedsiębiorstw typu start-up, każda kara może sięgać najwyżej niższej z tych kwot (art. 99 ust. 6); to samo dotyczy małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a). Każde państwo członkowskie decyduje, w jakim zakresie kary pieniężne mogą być nakładane na organy i podmioty publiczne mające siedzibę na jego terytorium (art. 99 ust. 8).

• Granice zakresu stosowania

  Rozporządzenie nie ma zastosowania do obszarów wykraczających poza zakres prawa Unii (pierwsze zdanie art. 2 ust. 3), do systemów AI ani modeli AI, w tym ich wyników, opracowanych i oddanych do użytku wyłącznie w celu badań naukowych i prac rozwojowych (art. 2 ust. 6), ani do działalności badawczej, testowej i rozwojowej prowadzonej przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku; testowanie w warunkach rzeczywistych nie jest objęte tym wyłączeniem (art. 2 ust. 8). Nie ma zastosowania do systemów AI udostępnianych na podstawie wolnych licencji otwartego oprogramowania, chyba że są wprowadzane do obrotu lub oddawane do użytku jako systemy AI wysokiego ryzyka albo podlegają art. 5 lub 50 (art. 2 ust. 12).

• Brak liczb dotyczących personelu i szkoleń

  Art. 26 nie ustala liczby pracowników, godzin szkolenia ani kwalifikacji osób nadzorujących system HR. Wymaga niezbędnych kompetencji, przeszkolenia, uprawnień i wsparcia (art. 26 ust. 2). Komisja opracowuje wytyczne dotyczące stosowania wymogów i obowiązków z art. 8–15 oraz art. 25 i 26 (art. 96 ust. 1 lit. a)). Art. 4 zobowiązuje podmioty wdrażające, tak jak dostawców, do podjęcia środków wspierających kompetencje w zakresie AI ich personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu; nie wymaga gwarantowania konkretnego poziomu (art. 4 ust. 1).

• Kto podejmuje decyzję o zatrudnieniu

  Art. 26 nie mówi, że człowiek musi podjąć ostateczną decyzję o zatrudnieniu. Wymaga nadzoru ze strony człowieka sprawowanego przez osoby fizyczne o niezbędnych kompetencjach, przeszkoleniu i uprawnieniach oraz opisanych wyżej praw do informacji i wyjaśnień. Prawo Unii dotyczące ochrony danych osobowych stosuje się obok rozporządzenia (art. 2 ust. 7). Art. 85 pozwala każdej osobie, która ma podstawy, by uznać, że doszło do naruszenia rozporządzenia, złożyć skargę do właściwego organu nadzoru rynku, bez uszczerbku dla innych środków ochrony (art. 85).

• Krajowe przepisy na rzecz pracowników

  Art. 2 ust. 11 nie uniemożliwia Unii ani państwom członkowskim utrzymywania lub wprowadzania przepisów korzystniejszych dla pracowników w zakresie ochrony ich praw w związku z wykorzystywaniem systemów AI przez pracodawców ani zachęcania do stosowania korzystniejszych dla pracowników układów zbiorowych lub zezwalania na nie. Rozporządzenie nie zawiera prawa do współdecydowania; art. 26 ust. 7 wymaga tylko poinformowania przedstawicieli pracowników i zainteresowanych pracowników. To, co dodaje prawo krajowe, wykracza poza tę stronę.

• Rejestry zdarzeń i dane osobowe

  Art. 26 ust. 6 ustala co najmniej sześć miesięcy dla rejestrów zdarzeń pod kontrolą podmiotu wdrażającego i ustępuje innemu prawu Unii lub krajowemu, w szczególności o ochronie danych osobowych. Rozporządzenie nie podaje okresu przechowywania dokumentacji kandydatów ani pracowników.

• Artykuł 26: obowiązki podmiotu wdrażającego AI wysokiego ryzyka

  Art. 26 dla wszystkich sektorów: kto jest podmiotem wdrażającym, obowiązki, art. 27 i kary.

• Rozporządzenie AI HR: zgodność w technologii HR

  Przegląd technologii HR: jak rozporządzenie obejmuje AI do rekrutacji i zarządzania pracownikami.

• Art. 50 dla technologii HR: przejrzystość i zakaz wnioskowania o emocjach

  AI w HR i art. 50: chatboty, rozpoznawanie emocji i zakaz wnioskowania o emocjach w pracy.

• Załącznik III szczegółowo: 8 kategorii wysokiego ryzyka

  Jak załącznik III czyni systemy AI systemami wysokiego ryzyka, w tym w zatrudnieniu i zarządzaniu pracownikami.