Rozporządzenie AI HR: zgodność w technologii HR

„Technologia HR” nie jest kategorią w rozporządzeniu. Liczy się zastosowanie wymienione w załączniku III pkt 4 („Zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia”).

Art. 5 obowiązuje od 2 lutego 2025, z wyjątkiem art. 5 ust. 1 akapit pierwszy lit. ba i bb oraz ust. 1a i 1b, które obowiązują od 2 grudnia 2026 (art. 113 lit. a). Poniższa lista nie jest kompletna; art. 5 zawiera dalsze zakazy.

• Wnioskowanie o emocjach w pracy: art. 5 ust. 1 lit. f

  Zakazane jest wprowadzanie do obrotu, oddawanie do użytku w tym konkretnym celu lub wykorzystywanie systemów AI do wyciągania wniosków na temat emocji osoby fizycznej w miejscu pracy lub instytucjach edukacyjnych, z wyjątkiem przypadków, w których system AI ma zostać wdrożony lub wprowadzony do obrotu ze względów medycznych lub bezpieczeństwa. Rozporządzenie nie definiuje „miejsca pracy”. To, czy zakaz obejmuje kandydatów podczas rozmów wideo, jest kwestią wykładni, której ta strona nie rozstrzyga.

• Kategoryzacja biometryczna według cech wrażliwych: art. 5 ust. 1 lit. g

  Zakazane są systemy kategoryzacji biometrycznej, które indywidualnie kategoryzują osoby fizyczne w oparciu o ich dane biometryczne, aby wywnioskować lub wydedukować ich rasę, poglądy polityczne, przynależność do związków zawodowych, przekonania religijne lub filozoficzne, życie seksualne lub orientację seksualną. Zakaz nie obejmuje etykietowania ani filtrowania legalnie pozyskanych zbiorów danych biometrycznych, takich jak obrazy, na podstawie danych biometrycznych ani kategoryzacji danych biometrycznych w obszarze ścigania przestępstw.

• Scoring społeczny: art. 5 ust. 1 lit. c

  Zakazane są systemy AI przeznaczone do oceny lub klasyfikacji osób fizycznych lub grup osób przez określony czas na podstawie ich zachowania społecznego lub znanych, wywnioskowanych lub przewidywanych cech osobistych lub cech osobowości, jeżeli scoring społeczny prowadzi do krzywdzącego lub niekorzystnego traktowania w kontekstach społecznych niezwiązanych z kontekstami, w których pierwotnie wygenerowano lub zebrano dane, albo do krzywdzącego lub niekorzystnego traktowania nieuzasadnionego lub nieproporcjonalnego do ich zachowania społecznego lub jego wagi.

• Rozpoznawanie emocji, które nie jest zakazane

  Systemy rozpoznawania emocji i systemy kategoryzacji biometrycznej, które nie są zakazane, nie są wyłączone z rozporządzenia. Załącznik III pkt 1 lit. b i c wymienia kategoryzację biometryczną według wrażliwych lub chronionych atrybutów lub cech oraz rozpoznawanie emocji jako systemy wysokiego ryzyka w zakresie, w jakim ich wykorzystywanie jest dozwolone na mocy odpowiednich przepisów prawa Unii lub prawa krajowego. Podmioty wdrażające system rozpoznawania emocji lub system kategoryzacji biometrycznej informują osoby fizyczne, które są im poddawane, o działaniu systemu i przetwarzają dane osobowe zgodnie z prawem o ochronie danych (art. 50 ust. 3). System rozpoznawania emocji służy do identyfikacji lub wywnioskowania emocji lub zamiarów osób fizycznych na podstawie ich danych biometrycznych (art. 3 pkt 39).

• Twórca oprogramowania jest dostawcą, a pracodawca, który z niego korzysta, podmiotem wdrażającym

  Dostawca to osoba fizyczna lub prawna, organ publiczny, agencja lub inny podmiot, który rozwija system AI lub zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym (art. 3 pkt 3). Dostawcy systemów wysokiego ryzyka muszą zapewnić zgodność swoich systemów z wymogami sekcji 2 (art. 8–15) (art. 16 lit. a). Podmiot wdrażający (w rozporządzeniu: podmiot stosujący) to osoba fizyczna lub prawna, organ publiczny, agencja lub inny podmiot, który wykorzystuje system AI pod własnym zarządem, chyba że system jest wykorzystywany w ramach osobistej działalności o charakterze niezawodowym (art. 3 pkt 4). Pracodawca, który korzysta z systemu HR, jest podmiotem wdrażającym i podlega obowiązkom z art. 26. Podmiot wdrażający staje się dostawcą, jeżeli umieszcza swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, dokonuje w nim istotnej zmiany lub zmienia przeznaczenie systemu w taki sposób, że staje się on systemem wysokiego ryzyka (art. 25 ust. 1).

• Kroki dostawcy przed wprowadzeniem do obrotu

  Przed wprowadzeniem do obrotu lub oddaniem do użytku systemu wysokiego ryzyka wymienionego w załączniku III (z wyjątkiem pkt 2) dostawca rejestruje siebie i swój system w unijnej bazie danych (art. 49 ust. 1). W przypadku systemów, o których mowa w pkt 2–8 załącznika III, dostawca stosuje procedurę oceny zgodności opartą na kontroli wewnętrznej (załącznik VI), która nie przewiduje udziału jednostki notyfikowanej (art. 43 ust. 2). Dostawca, który uznał, że jego system z załącznika III nie jest systemem wysokiego ryzyka na podstawie art. 6 ust. 3, dokumentuje ocenę (art. 6 ust. 4) i rejestruje siebie oraz system w unijnej bazie danych przed wprowadzeniem do obrotu lub oddaniem do użytku (art. 49 ust. 2).

• Obowiązki pracodawcy jako podmiotu wdrażającego

  Podmioty wdrażające systemy wysokiego ryzyka podejmują odpowiednie środki techniczne i organizacyjne, aby wykorzystywać je zgodnie z instrukcją obsługi (art. 26 ust. 1), powierzają nadzór ludzki osobom fizycznym mającym niezbędne kompetencje, przeszkolenie i uprawnienia (art. 26 ust. 2), monitorują działanie systemu na podstawie instrukcji obsługi (art. 26 ust. 5) i przechowują rejestry zdarzeń pozostające pod ich kontrolą przez co najmniej sześć miesięcy, chyba że inne przepisy stanowią inaczej (art. 26 ust. 6). Pracodawcy informują przedstawicieli pracowników i pracowników, których to dotyczy, przed wykorzystaniem systemu w miejscu pracy (art. 26 ust. 7), w stosownych przypadkach zgodnie z zasadami i procedurami prawa Unii i prawa krajowego w zakresie informowania pracowników i ich przedstawicieli. Podmioty wdrażające systemy z załącznika III, które podejmują decyzje dotyczące osób fizycznych lub pomagają w ich podejmowaniu, informują te osoby, że jest w stosunku do nich wykorzystywany system (art. 26 ust. 11). Osoby, których to dotyczy, mają prawo do wyjaśnień w przypadkach opisanych w art. 86 ust. 1. Dostawcy i podmioty wdrażające systemy AI podejmują również środki mające na celu zapewnienie odpowiedniego poziomu kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się w ich imieniu działaniem i wykorzystaniem systemów; nie muszą gwarantować określonego poziomu kompetencji w zakresie AI żadnej osoby (art. 4 ust. 1).

• Pracodawcy publiczni mają dodatkowe obowiązki

  Podmioty wdrażające będące organami publicznymi lub instytucjami, organami i jednostkami organizacyjnymi Unii spełniają obowiązki rejestracyjne z art. 49 (art. 26 ust. 8). Przed wdrożeniem systemu wysokiego ryzyka, o którym mowa w art. 6 ust. 2, z wyjątkiem systemów w obszarze wymienionym w pkt 2 załącznika III, podmioty wdrażające będące podmiotami prawa publicznego lub podmiotami prywatnymi świadczącymi usługi publiczne przeprowadzają ocenę skutków dla praw podstawowych (art. 27 ust. 1). Pracodawca, który nie jest ani podmiotem prawa publicznego, ani podmiotem prywatnym świadczącym usługi publiczne, nie podlega art. 27 ust. 1 w odniesieniu do załącznika III pkt 4.

Naruszenie art. 5 podlega karom do 35 mln EUR lub, w przypadku przedsiębiorstwa, do 7 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 3). Naruszenie obowiązków dostawców (art. 16), podmiotów wdrażających (art. 26) oraz obowiązków przejrzystości z art. 50 podlega karom do 15 mln EUR lub, w przypadku przedsiębiorstwa, do 3 %, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4). W przypadku MŚP, w tym przedsiębiorstw typu start-up, każda kara wynosi najwyżej tyle, ile niższa z wartości procentowej lub kwoty (art. 99 ust. 6); w przypadku małych spółek o średniej kapitalizacji (art. 3 pkt 14b) to samo dotyczy kar z art. 99 ust. 4 i 5 (art. 99 ust. 6a). Każde państwo członkowskie określa, w jakim zakresie administracyjne kary pieniężne mogą być nakładane na organy publiczne i organy mające siedzibę w tym państwie członkowskim (art. 99 ust. 8). Przepisy o karach z rozdziału XII obowiązują od 2 sierpnia 2025, z wyjątkiem art. 101 (art. 113 lit. b).

• art. 9
  System zarządzania ryzykiem

  System zarządzania ryzykiem jest ustanawiany, wdrażany, dokumentowany i utrzymywany jako ciągły proces iteracyjny przez cały cykl życia (art. 9 ust. 1 i 2).

• art. 10
  Dane i zarządzanie danymi

  Zbiory danych treningowych, walidacyjnych i testowych spełniają kryteria jakości i podlegają praktykom zarządzania danymi, które obejmują badanie pod kątem możliwej stronniczości (art. 10 ust. 2–4).

• art. 12
  Przechowywanie rejestrów

  Systemy AI wysokiego ryzyka technicznie umożliwiają automatyczne rejestrowanie zdarzeń (rejestry zdarzeń) w całym okresie życia systemu (art. 12 ust. 1).

• art. 13
  Przejrzystość i udostępnianie informacji podmiotom wdrażającym

  Działanie jest wystarczająco przejrzyste, aby podmioty wdrażające mogły interpretować wyniki i odpowiednio ich używać, a do systemu dołączona jest instrukcja obsługi (art. 13 ust. 1–3).

• art. 14
  Nadzór ludzki

  Systemy są projektowane tak, aby osoby fizyczne mogły skutecznie je nadzorować w okresie ich wykorzystywania (art. 14 ust. 1).

• art. 15
  Dokładność, solidność i cyberbezpieczeństwo

  Systemy osiągają odpowiedni poziom dokładności, solidności i cyberbezpieczeństwa oraz działają spójnie pod tymi względami przez cały cykl życia; poziomy dokładności i wskaźniki są deklarowane w instrukcji obsługi (art. 15 ust. 1 i 3).

• art. 26
  Obowiązki podmiotów wdrażających

  Podmioty wdrażające wykorzystują system zgodnie z instrukcją obsługi, powierzają nadzór ludzki, monitorują działanie na podstawie instrukcji obsługi, przechowują rejestry pod swoją kontrolą oraz informują osoby podlegające decyzjom (art. 26 ust. 1, 2, 5, 6 i 11). Pracodawcy informują przedstawicieli pracowników i pracowników, których to dotyczy, w stosownych przypadkach zgodnie z zasadami i procedurami prawa Unii i prawa krajowego w zakresie informowania pracowników i ich przedstawicieli (art. 26 ust. 7).

• art. 50
  Obowiązki w zakresie przejrzystości

  Dostawcy zapewniają, aby systemy AI przeznaczone do bezpośredniej interakcji z osobami fizycznymi informowały te osoby, że wchodzą w interakcję z systemem AI, chyba że jest to oczywiste (art. 50 ust. 1). Podmioty wdrażające systemy rozpoznawania emocji lub kategoryzacji biometrycznej informują osoby fizyczne, które są im poddawane (art. 50 ust. 3).

• Artykuł 9: zarządzanie ryzykiem w AI dla HR — EU AI Act

  Zarządzanie ryzykiem przez cały cykl życia w technologii HR.

• Artykuł 14: nadzór ludzki w AI dla HR — EU AI Act

  Środki nadzoru ludzkiego w technologii HR.

• Zakazane praktyki AI: artykuł 5 rozporządzenia AI

  Wszystkie zakazy z art. 5 i wyjątki od nich.

• Załącznik III szczegółowo: 8 kategorii wysokiego ryzyka

  Wszystkie obszary załącznika III, w tym pkt 4 dotyczący zatrudnienia.