AI Act w Hr i rekrutacji – jak uniknąć kar i bezpiecznie korzystać z AI w firmie?

AI Act to pierwsze kompleksowe rozporządzenie regulujące wykorzystanie sztucznej inteligencji w Unii Europejskiej. Choć wiele organizacji traktuje je jako temat przyszłości, część przepisów już obowiązuje. Na przykład od lutego 2025 roku zakazane jest wykorzystywanie systemów AI do manipulacji zachowaniem użytkowników czy niektóre formy biometrycznej identyfikacji osób w przestrzeni publicznej.

Z perspektywy działów HR najważniejszą datą jest sierpień 2026 roku. To właśnie wtedy zaczną obowiązywać przepisy dotyczące systemów AI wysokiego ryzyka, a do tej kategorii zaliczono m.in. rozwiązania wykorzystywane w rekrutacji, selekcji kandydatów, ocenie pracowników, planowaniu ścieżek kariery czy podejmowaniu decyzji związanych z zatrudnieniem.

Oznacza to, że organizacje korzystające z takich narzędzi będą musiały wykazać, że działają one w sposób transparentny, są odpowiednio nadzorowane przez człowieka, a ich wykorzystanie nie prowadzi do dyskryminacji kandydatów lub pracowników.

Dobra dokumentacja staje się jednym z kluczowych elementów zgodności. Firmy powinny dokładnie wiedzieć, z jakich narzędzi AI korzystają i w jakim celu, jakie dane przetwarzają, kto odpowiada za nadzór nad systemami oraz w jaki sposób podejmowane są decyzje wspierane przez sztuczną inteligencję.

Warto również dokumentować szkolenia pracowników, procedury bezpieczeństwa oraz działania związane z oceną ryzyka. W przypadku kontroli to właśnie dokumentacja będzie jednym z najważniejszych dowodów potwierdzających zgodność z regulacjami.

Niekoniecznie. Paradoksalnie wiele obowiązków związanych z AI Act można realizować dzięki tym samym narzędziom, które wcześniej zostały wdrożone w celu automatyzacji procesów HR.

Jeżeli organizacja korzysta z systemów do elektronicznego obiegu dokumentów, zarządzania procesami czy elektronicznych teczek pracowniczych, znaczna część wymaganej dokumentacji może być tworzona i przechowywana automatycznie. Dotyczy to między innymi rejestrów wykorzystywanych narzędzi AI, procedur, ocen ryzyka, zgód, polityk wewnętrznych czy historii podejmowanych decyzji.

Zdecydowanie tak.

Konsekwencje mogą mieć zarówno wymiar finansowy, jak i wizerunkowy.

W zależności od rodzaju naruszenia organizacje mogą zostać objęte karami sięgającymi nawet do 150 mln zł (35 mln euro) lub 7% globalnego rocznego obrotu firmy za najpoważniejsze naruszenia, takie jak stosowanie zakazanych praktyk AI. Oczywiście organy nadzorcze przy nakładaniu kar mają brać pod uwagę m.in. wielkość firmy, charakter naruszenia, skalę działalności, stopień winy oraz działania naprawcze.

Pod wieloma względami AI Act przypomina początki RODO. Różnica polega jednak na tym, że AI Act wymaga nie tylko zarządzania danymi, ale również kontrolowania sposobu działania samych algorytmów. Oznacza to konieczność współpracy działów HR, prawnych, IT oraz dostawców technologii.

Przy wyborze dostawcy systemów HR warto zwrócić uwagę nie tylko na funkcjonalność rozwiązania, ale również na kwestie związane z bezpieczeństwem i zgodnością z AI Act. W praktyce oznacza to, że warto zapytać, czy system rejestruje, kiedy i w jakim zakresie sztuczna inteligencja uczestniczyła w procesie rekrutacyjnym, czy możliwe jest odtworzenie powodów przyznania kandydatowi określonej oceny lub rekomendacji oraz w jaki sposób dokumentowane są zmiany w modelach AI. Istotne jest również to, jak wygląda procedura postępowania w przypadku wykrycia błędu oraz czy dostawca udostępnia raporty i dokumentację niezbędne do wykazania zgodności z AI Act.

Wskazałbym przeprowadzenie inwentaryzacji wszystkich narzędzi wykorzystujących sztuczną inteligencję w organizacji. W wielu firmach AI pojawia się oddolnie – pracownicy korzystają z różnych rozwiązań bez wiedzy działu HR, IT czy zarządu. Dopóki organizacja nie wie, gdzie i w jaki sposób wykorzystywana jest sztuczna inteligencja, trudno mówić o skutecznym zarządzaniu ryzykiem i zgodności z AI Act. To od tej wiedzy powinny rozpocząć się wszystkie dalsze działania.