Twoja rekrutacja może być systemem wysokiego ryzyka

Większość firm, które używają AI, nie ma systemu wysokiego ryzyka. Ale spora część tych, które mają, o tym nie wie. I najczęściej wchodzi do tej kategorii przez rekrutację.

Nie przez wielki projekt wdrożeniowy z budżetem i komitetem sterującym. Przez narzędzie, które dział HR kupił sam, w abonamencie, bo skracało przeglądanie zgłoszeń z trzech dni do dwóch godzin.

Co dokładnie mówi przepis

Załącznik III do AI Act, punkt 4, obejmuje systemy AI przeznaczone do rekrutacji lub wyboru osób fizycznych, w szczególności do umieszczania ukierunkowanych ogłoszeń o pracę, analizowania i przesiewania zgłoszeń oraz oceny kandydatów.

Ten sam punkt obejmuje systemy służące do podejmowania decyzji wpływających na warunki stosunku pracy, decyzji o awansie i o rozwiązaniu umowy, a także do przydzielania zadań i monitorowania oraz oceny pracowników.

Innymi słowy: cała ścieżka od ogłoszenia do rozstania.

Trzy nieporozumienia, które słyszy się najczęściej

"Przecież decyzję podejmuje człowiek." To nie wyłącza kwalifikacji. Przepis mówi o systemach używanych do przesiewania i oceny, a nie tylko o takich, które decydują samodzielnie. Nadzór człowieka jest jednym z obowiązków przy systemach wysokiego ryzyka, a nie sposobem na wyjście z tej kategorii.

"To nie jest AI, to zwykłe filtrowanie." Granica bywa cienka i warto ją sprawdzić, a nie założyć. Filtr, który odrzuca zgłoszenia bez wymaganych uprawnień, to reguła. System, który uczy się na danych historycznych, punktuje dopasowanie albo układa ranking kandydatów, to co innego. W wątpliwych przypadkach decyduje sposób działania narzędzia, a nie to, jak nazywa je dostawca w materiałach marketingowych.

"Nie kupowaliśmy żadnego AI do rekrutacji." Najczęstszy i najbardziej ryzykowny. Funkcje AI bywają wbudowane w systemy ATS, których firma używa od lat, i włączają się wraz z aktualizacją. Nikt niczego nie kupował, a mimo to narzędzie zaczęło punktować kandydatów.

Co się z tym wiąże

Reżim wysokiego ryzyka jest wyraźnie szerszy niż obowiązki, które dotyczą dziś każdej firmy używającej AI. Po stronie podmiotu stosującego, czyli firmy, która narzędzie kupiła i używa:

• używanie systemu zgodnie z instrukcją dostawcy,
• monitorowanie jego działania,
• informowanie pracowników, że taki system jest stosowany,
• przechowywanie logów generowanych przez system,
• zapewnienie realnego nadzoru człowieka, czyli osoby z kompetencjami i uprawnieniem do interwencji.

Ocena zgodności systemu i ewentualny certyfikat jednostki notyfikowanej to obowiązki dostawcy, nie Wasze. Ale to Wy odpowiadacie za sprawdzenie, czy dostawca je spełnił, zanim narzędzia użyjecie.

Warto od razu rozwiać jedno nieporozumienie dotyczące oceny skutków dla praw podstawowych, czyli FRIA. Ten obowiązek nie obejmuje wszystkich podmiotów stosujących systemy wysokiego ryzyka. Dotyczy podmiotów prawa publicznego, podmiotów prywatnych świadczących usługi publiczne oraz tych, którzy stosują systemy scoringu kredytowego albo oceny ryzyka w ubezpieczeniach na życie i zdrowotnych. Prywatna firma rekrutująca do siebie zwykle mu nie podlega.

Terminy, czyli dlaczego to nie jest problem na 2027

Obowiązki dla systemów z Załącznika III stosuje się od 2 grudnia 2027. Digital Omnibus przesunął tę datę z sierpnia 2026, więc zapasu jest szesnaście miesięcy.

Brzmi jak dużo. W praktyce znaczy tyle, że rynek doradczy, audytowy i prawniczy będzie obłożony w drugiej połowie 2027, a firmy, które ruszą w ostatniej chwili, staną w tej samej kolejce co wszyscy.

Poza tym przesunięcie nie dotyczy niczego innego. Firma z narzędziem rekrutacyjnym podlega dziś obowiązkowi kompetencji w zakresie AI, zakazanym praktykom i obowiązkom przejrzystości, dokładnie tak samo jak każda inna. A od 28 października 2026 kandydat, który uzna, że coś poszło nie tak, może złożyć skargę do polskiego organu nadzoru.

Co zrobić w tym miesiącu

Klasyfikacja, w odróżnieniu od pełnego wdrożenia reżimu, jest możliwa dziś i zajmuje dni, nie miesiące.

Krok pierwszy: spisać, czego HR faktycznie używa. Nie tylko narzędzia z osobną fakturą. Także funkcje AI w systemie ATS, wtyczki do przeglądania profili, narzędzia do analizy nagrań z rozmów, generatory pytań rekrutacyjnych.

Krok drugi: sprawdzić każde narzędzie pod kątem punktu 4 Załącznika III. Pytanie kontrolne brzmi: czy to narzędzie w jakikolwiek sposób różnicuje kandydatów albo pracowników? Jeśli tak, wymaga uważnego przyjrzenia się.

Krok trzeci: zapytać dostawcę. Czy uznaje swój system za system wysokiego ryzyka w rozumieniu AI Act? Jaką dokumentację i instrukcję udostępnia? Czy przewiduje ocenę zgodności przed grudniem 2027? Odpowiedź, albo jej brak, powie Wam sporo o tym, z kim pracujecie.

Krok czwarty: przeszkolić ludzi, którzy z tego korzystają. Nadzór człowieka nad systemem, którego zasad działania ten człowiek nie rozumie, jest nadzorem tylko na papierze. To zresztą osobny obowiązek, działający od lutego 2025.

Perspektywa, o której się nie mówi

Wokół tego tematu narosło sporo lęku, więc warto powiedzieć też drugą stronę. Firma, która ma system z Załącznika III i wie o tym, jest w znacznie lepszej sytuacji niż taka, która ma i nie wie.

Ma czas do grudnia 2027. Może wybrać dostawcę, który traktuje zgodność poważnie. Może uporządkować proces zanim ktokolwiek zapyta. Może wreszcie potraktować to jako argument w rozmowie z kandydatami, bo transparentność wobec osób, o których decyduje algorytm, jest przewagą, a nie kosztem.

Najgorszy scenariusz to nie jest kontrola. Najgorszy scenariusz to odkrycie w połowie 2027 roku, że narzędzie kupione trzy lata wcześniej podpada pod przepis, dostawca nie planuje oceny zgodności, a zmiana systemu rekrutacyjnego zajmuje pół roku.

Sprawdźcie, czy Was to dotyczy

Więcej o tym, kto wpada do tej kategorii, jakie obowiązki się z nią wiążą i co da się zrobić już teraz, opisujemy na stronie o systemach wysokiego ryzyka.

Jeśli chcecie zacząć od szybkiej diagnozy, AI Ready Check zajmuje trzy minuty i jest bezpłatny.

✦ Ten artykuł powstał z wykorzystaniem sztucznej inteligencji, a przed publikacją został zweryfikowany przez autora, który ponosi za niego odpowiedzialność redakcyjną.