AI Act už platí a časť povinností sa uplatňuje dnes. Ide najmä o AI gramotnosť a zákaz vybraných praktík. Pri samostatných vysokorizikových systémoch pre nábor sa po definitívnom schválení Digital Omnibus on AI Radou Európskej únie počíta s termínom 2. december 2027. GDPR, zákon o ochrane osobných údajov, Zákonník práce a antidiskriminačný zákon sa uplatňujú bez odkladu.
AI gramotnosť v každodennej práci HR
AI gramotnosť neznamená znalosť programovania. Recruiter musí vedieť, aký účel má nástroj, aké osobné údaje používa, čo vyjadruje skóre a kedy môže byť výsledok chybný. Musí rozpoznať aj situáciu, keď systém zamieňa štatistickú podobnosť s pracovnou spôsobilosťou alebo znevýhodňuje kandidátov na základe nevhodného zástupného znaku.
GDPR školenie a školenie zamestnancov o AI preto nemajú byť formálnou prezentáciou. GDPR školenie má vysvetliť právny základ, ochranu osobných údajov, dobu uchovávania a práva kandidáta. Školenie zamestnancov o AI má ukázať, ako preveriť výstup a kedy rozhodnúť inak. Dobré GDPR pre firmy počíta s tým, že GDPR dokumentácia, interné smernice zamestnávateľa a skutočná prax hovoria rovnakým jazykom.
Zakázané použitia a citlivé hranice
Pre HR je osobitne relevantný zákaz používania AI na identifikovanie alebo odvodzovanie emócií a úmyslov fyzickej osoby z biometrických údajov v pracovnom prostredí. Výnimka sa týka úzko vymedzených medicínskych a bezpečnostných dôvodov. Nie každá technická analýza obrazu alebo zvuku je preto automaticky zakázaná. Pri pracovnom videopohovore však zamestnávateľ nemá používať nástroj, ktorý z tváre, hlasu alebo pohybov hodnotí nervozitu, úprimnosť, motiváciu či emocionálnu stabilitu. Súhlas so spracovaním osobných údajov taký zákaz neodstráni. HR musí vedieť, aké biometrické údaje nástroj používa a aké závery z nich vytvára.
Osobitné riziko predstavujú citlivé osobné údaje. AI môže z fotografie, mena, hlasu, adresy alebo kariérnej histórie odhadovať zdravotný stav, etnický pôvod, náboženstvo alebo sexuálnu orientáciu. Takto odvodené citlivé osobné údaje zostávajú chránené. Ochrana osobných údajov sa neuplatňuje iba na údaje, ktoré kandidát vedome napísal do životopisu.
Ktoré nástroje sú vysokorizikové
Vysokorizikové sú najmä systémy, ktoré filtrujú životopisy, prideľujú skóre, zostavujú poradie kandidátov, odporúčajú vyradenie alebo predvídajú pracovný výkon. Rovnaké pravidlá môžu zasiahnuť nástroje na cielenie pracovných ponúk, povyšovanie, prideľovanie úloh, monitorovanie zamestnancov a rozhodovanie o skončení pracovného pomeru. Vysokorizikový môže byť aj systém, ktorý používa pracovná agentúra, ak určuje, koho predstaví klientovi.
Nie každý nástroj v HR je vysokorizikový. Program na plánovanie pohovorov, kontrolu úplnosti formulára alebo preklad životopisu môže byť iba pomocným riešením. Rozhoduje však reálne použitie. Ak sa administratívne odporúčanie stane faktickým dôvodom na vyradenie, právna klasifikácia sa môže zmeniť. Dôležité je aj profilovanie, teda automatizované hodnotenie pracovného výkonu, správania, spoľahlivosti alebo iných vlastností človeka.
Nižšie riziko podľa AI Actu neznamená výnimku z GDPR. Aj chatbot alebo kalendár môže spracúvať osobné údaje. Musí existovať právny základ, primeraná bezpečnosť a jasná doba uchovávania. Kandidát má tiež vedieť, že komunikuje s AI, ak to nie je z okolností zrejmé.
Čo AI Act priamo mení pre zamestnávateľa
Pri vysokorizikovom systéme bude zamestnávateľ povinný používať nástroj podľa návodu, zabezpečiť primerané vstupné údaje a určiť osoby pre ľudský dohľad. Tieto osoby musia mať potrebnú odbornú spôsobilosť, školenie a právomoc odporúčanie systému zmeniť alebo jeho použitie zastaviť. Mechanické potvrdenie poradia kandidátov nie je účinná kontrola a môže zachovať problém automatizovaného rozhodovania.
Zamestnávateľ bude musieť priebežne monitorovať fungovanie systému a uchovávať automaticky vytvorené logy, ktoré má pod kontrolou, spravidla najmenej šesť mesiacov. Interný postup má určiť, kto preverí neobvyklý výstup, kto kontaktuje dodávateľa a kedy sa používanie nástroja pozastaví.
Pred použitím vysokorizikového systému na pracovisku musí zamestnávateľ informovať zástupcov zamestnancov a dotknutých pracovníkov. Pri nábore musí kandidát dostať jasnú informáciu, ak sa na rozhodovaní o jeho žiadosti podieľa vysokoriziková AI. Ak výsledok významne a nepriaznivo zasiahne jeho postavenie, môže mať právo na zmysluplné vysvetlenie úlohy systému a hlavných prvkov rozhodnutia. Odpoveď, že algoritmus pridelil nízke skóre, spravidla nebude stačiť.
Nie každý súkromný zamestnávateľ musí vypracovať FRIA, teda posúdenie vplyvu na základné práva. Táto povinnosť sa týka najmä verejnoprávnych subjektov, poskytovateľov verejných služieb a niektorých osobitných použití. Registráciu vysokorizikového systému v európskej databáze zabezpečuje najmä poskytovateľ, pričom osobitné povinnosti používateľa sa týkajú najmä verejného sektora.
GDPR pri každom životopise
GDPR sa uplatní na každý životopis, hodnotenie, poznámku recruitera aj záznam pohovoru. Zamestnávateľ musí určiť účel, právny základ a rozsah údajov. Osobné údaje sa nesmú zbierať preventívne iba preto, že sú verejne dostupné. Ochrana osobných údajov vyžaduje minimalizáciu, presnosť a primeranú dobu uchovávania.
Písomný súhlas so spracovaním osobných údajov na účely výberového konania nie je univerzálnym riešením. Pri údajoch potrebných pred uzatvorením pracovnej zmluvy môže byť vhodný iný právny základ. Súhlas so spracovaním osobných údajov musí byť slobodný, konkrétny a odvolateľný. Samostatný súhlas so spracovaním osobných údajov môže byť vhodný pri zaradení kandidáta do databázy pre budúce pracovné ponuky.
Kandidát musí dostať zrozumiteľné informácie o tom, aké osobné údaje sa používajú, odkiaľ pochádzajú, komu sa poskytujú a ako dlho sa uchovávajú. Musí vedieť, ako požiadať o prístup, opravu alebo výmaz. GDPR dokumentácia má opisovať aj automatizované rozhodovanie a možnosť ľudského preskúmania.
GDPR obmedzuje rozhodnutia založené výlučne na automatizovanom spracúvaní, ak majú právne alebo podobne závažné účinky. Automatické vyradenie môže kandidátovi odňať reálnu pracovnú príležitosť. Kliknutie recruitera na tlačidlo schváliť nie je zmysluplný ľudský zásah, ak výsledok nevie preveriť a zmeniť.
Pri rizikovom hodnotení bude často potrebné DPIA, teda posúdenie vplyvu na ochranu osobných údajov. DPIA a FRIA nie sú totožné. DPIA skúma najmä osobné údaje a súkromie. FRIA hodnotí širšie základné práva vrátane rovnosti a ľudskej dôstojnosti. Môžu využívať spoločné podklady, no jedno automaticky nenahrádza druhé.
Dodávateľ nie je právny štít
Poskytovateľ ATS alebo AI platformy často vystupuje ako sprostredkovateľ. Zamestnávateľ preto potrebuje zmluvu o spracúvaní osobných údajov. Zmluva o spracúvaní osobných údajov má upraviť pokyny, bezpečnosť, ďalších dodávateľov, incidenty, prenosy údajov a výmaz po skončení služby. Ak poskytovateľ používa osobné údaje na vlastný vývoj, jeho postavenie treba posúdiť osobitne.
GDPR dokumentácia nesmie byť iba stiahnutý GDPR vzor. Má zachytiť reálne toky údajov, prístupové práva, bezpečnostné opatrenia a postup pri porušení ochrany osobných údajov. GDPR pokuta nie je jediným rizikom. Chybné používanie AI môže viesť aj k diskriminačnému sporu a poškodeniu dôvery kandidátov.
Pracovné právo a diskriminácia
Zákonník práce dovoľuje pri nábore požadovať iba informácie súvisiace s prácou. Ak sa HR nesmie pýtať na tehotenstvo, rodinné pomery alebo politické presvedčenie, algoritmus ich nesmie zisťovať nepriamo. Pracovné právo nemožno obísť technickým riešením ani tvrdením, že údaj našiel systém.
Antidiskriminačný zákon zakazuje priamu aj nepriamu diskrimináciu. Nepriama diskriminácia vzniká, keď neutrálne kritérium bez primeraného dôvodu znevýhodní určitú skupinu. AI môže namiesto veku, pohlavia alebo etnického pôvodu použiť adresu, školu, jazyk alebo kariérnu prestávku. Práve preto musí zamestnávateľ testovať rozdiely vo výsledkoch a primerané úpravy pre ľudí so zdravotným postihnutím.
Pracovný pomer sa nezačína až podpisom pracovnej zmluvy. Zásady rovnakého zaobchádzania chránia človeka už vo výberovom konaní. Zákonník práce, antidiskriminačný zákon a pracovné právo preto ovplyvňujú už tvorbu pracovnej ponuky, nastavenie testu aj spôsob vyradenia. Pracovná zmluva ani neskorší pracovný pomer nenapravia diskriminačný nábor.
Ktoré interné postupy a smernice treba upraviť
AI Act neprikazuje vytvorenie internej smernice. Zamestnávateľ však potrebuje písomné pravidlá, ktorými preukáže, kto môže AI nástroj schváliť, na aký účel sa môže používať a kto nesie zodpovednosť za výsledok. Podľa veľkosti firmy môže ísť o samostatnú AI smernicu alebo o zmenu náborovej smernice, GDPR dokumentácie a bezpečnostných pravidiel.
Prvým krokom má byť register AI systémov. Pri každom nástroji sa zaznamená dodávateľ, účel, používané osobné údaje, riziková kategória, zodpovedná osoba, doba uchovávania a to, či nástroj iba pomáha alebo ovplyvňuje vyradenie. Recruiter by nemal bez interného schválenia zapnúť novú funkciu v AI systéme ani odovzdať životopisy verejne dostupnej AI službe.
Náborová smernica má určiť povolené a zakázané použitia, pravidlá ľudského dohľadu a situácie, v ktorých sa výsledok musí preveriť. Mala by vylúčiť automatické zamietnutie bez zmysluplnej kontroly a stanoviť, ako sa zaznamená dôvod potvrdenia alebo zmeny odporúčania. Súčasťou má byť aj postup pre primerané úpravy testovania a kontrolu priamej aj nepriamej diskriminácie.
Postup obstarávania musí od dodávateľa vyžadovať opis zamýšľaného účelu, rizikovú klasifikáciu, návod, informácie o dátach, presnosti, logovaní, testovaní diskriminačných účinkov a bezpečnosti. Zmluva o spracúvaní osobných údajov a obchodná zmluva majú riešiť subdodávateľov, prenosy údajov, incidenty, audit, výmaz údajov, zmeny modelu a súčinnosť pri sťažnosti kandidáta.
GDPR dokumentácia musí nadväzovať na skutočný proces. Treba aktualizovať informačnú povinnosť GDPR, záznamy o spracovateľských činnostiach a postup pri žiadosti o prístup, opravu, výmaz alebo ľudské preskúmanie. Pred nasadením rizikového systému sa vykoná DPIA a preverí sa potreba FRIA.
Interné pravidlá majú obsahovať aj incidentný postup. Zamestnanec musí vedieť, komu oznámi podozrivý výstup, diskriminačný výsledok alebo porušenie ochrany osobných údajov. Firma má pravidelne testovať, koho systém odporúča a koho vyraďuje, pretože výsledok sa môže zmeniť po úprave dát, pracovnej ponuky alebo modelu.
AI v nábore teda nie je zakázaná. Môže zrýchliť administratívu a zlepšiť vyhľadávanie relevantných skúseností. Bez jasných interných smerníc však dokáže rovnako rýchlo vytvoriť chyby. Zamestnávateľ, ktorý pozná povinnosti zamestnávateľa, rešpektuje GDPR, Zákonník práce a antidiskriminačný zákon a zachováva skutočné ľudské rozhodovanie, môže technológiu používať efektívne aj dôveryhodne.