AI nástroj dnes vie za niekoľko minút prečítať stovky životopisov, vytvoriť skóre uchádzačov, odporučiť pozvanie na pohovor alebo upozorniť manažéra na pokles produktivity. Práve preto však umelá inteligencia v HR nie je iba technologickou otázkou. Každý takýto výstup môže ovplyvniť prístup človeka k zamestnaniu, pracovné podmienky, odmeňovanie, pracovný pomer alebo dokonca skončenie pracovného pomeru. Do jedného procesu sa preto stretáva AI Act, GDPR, ochrana osobných údajov, Zákonník práce, antidiskriminačný zákon aj interné smernice zamestnávateľa.
Prvým pravidlom je nehodnotiť nástroj podľa názvu, ale podľa toho, čo v praxi robí. Iné riziko má kalendár, ktorý iba navrhne termín pohovoru, a iné systém, ktorý filtruje životopisy, hodnotí osobnosť, predvída pracovný výkon alebo prideľuje zamestnancom úlohy. Rozhodujúce je, aké osobné údaje spracúva, či profiluje človeka a do akej miery jeho výstup reálne ovplyvňuje rozhodnutie HR alebo manažéra.
AI pri nábore: pomocník áno, neviditeľný rozhodca nie
AI možno pri nábore používať na vyhľadávanie relevantných skúseností, triedenie životopisov, porovnanie kvalifikácie s pracovnou ponukou alebo prípravu podkladov pre recruitera. Systémy určené na nábor a výber pracovníkov, najmä na analyzovanie a filtrovanie žiadostí či hodnotenie kandidátov, patria podľa AI Actu medzi typické vysokorizikové použitia. Rovnako sem patria nástroje na rozhodovanie o povýšení, skončení pracovného pomeru, prideľovaní úloh podľa správania alebo osobných vlastností a na monitorovanie či hodnotenie výkonu. Po zmene AI Actu cez Digital Omnibus sa kľúčové pravidlá pre tieto samostatné vysokorizikové systémy uplatnia od 2. decembra 2027.
To však neznamená, že dovtedy je HR bez pravidiel. GDPR, pracovné právo a zákaz diskriminácie platia už dnes. Navyše platia zakázané praktiky AI Actu, napríklad používanie AI na odvodzovanie emócií na pracovisku z biometrických údajov, okrem úzko vymedzených medicínskych alebo bezpečnostných dôvodov. Videopohovor preto nemožno zmeniť na automatický test nervozity, úprimnosti či emocionálnej stability iba preto, že ho ponúka dodávateľ.
Pri nábore zároveň platí § 41 Zákonníka práce: zamestnávateľ môže požadovať iba informácie súvisiace s prácou a nesmie obchádzať zakázané otázky cez algoritmus. Ak sa recruiter nesmie pýtať na tehotenstvo, rodinné pomery, politickú, odborovú alebo náboženskú príslušnosť, nemá ich AI ani nepriamo odhadovať z fotografie, mena, adresy či kariérnej histórie.
GDPR: právny základ, minimum údajov a jasná doba uchovávania
Každý životopis, výsledok testu, poznámka z pohovoru, pracovné hodnotenie zamestnanca, údaj o dochádzke či GPS poloha sú osobné údaje, ak ich možno priradiť ku konkrétnemu človeku. Zamestnávateľ ako prevádzkovateľ musí pri každom účele určiť právny základ, rozsah údajov, príjemcov a dobu uchovávania. Súhlas so spracovaním osobných údajov nie je univerzálnym riešením.
V pracovnoprávnych vzťahoch býva jeho dobrovoľnosť problematická a pri nábore môže byť spracúvanie potrebné na kroky pred uzatvorením pracovnej zmluvy alebo sa môže opierať o iný primeraný právny základ podľa konkrétneho účelu.
Informačná povinnosť GDPR má byť praktická, nie skrytá v dlhom dokumente. Uchádzač alebo zamestnanec má vedieť, aké údaje systém používa, odkiaľ ich získava, čo z nich vytvára, komu sa poskytujú a ako dlho sa uchovávajú. Zásada minimalizácie znamená, že firma nemá zbierať všetko, čo technicky dokáže. Doba uchovávania musí nadväzovať na reálny účel: údaje neúspešného kandidáta sa nemajú automaticky meniť na akýsi talentový profil a monitoring pracovného zariadenia sa nemá uchovávať bez časového limitu.
Pri rozsiahlejšom profilovaní, systematickom hodnotení ľudí alebo monitorovaní treba preveriť potrebu DPIA, teda posúdenia vplyvu na ochranu osobných údajov. Pri automatizovanom hodnotení s významnými účinkami môže ísť o situáciu, pri ktorej GDPR DPIA výslovne predpokladá. Posúdenie má vzniknúť pred nasadením systému, nie až po sťažnosti zamestnanca.
Automatizované rozhodovanie a reálny ľudský dohľad
Najcitlivejšia hranica vzniká vtedy, keď systém rozhodnutie fakticky robí. GDPR chráni človeka pred rozhodnutím založeným výlučne na automatizovanom spracúvaní vrátane profilovania, ak má právne alebo podobne významné účinky. Automatické vyradenie uchádzača, zamietnutie povýšenia alebo pridelenie sankcie môže túto hranicu dosiahnuť.
Ľudský dohľad musí byť skutočný. Nestačí, ak manažér klikne na „schváliť“ bez toho, aby poznal kritériá, videl podklady a mohol odporúčanie zmeniť. Osoba vykonávajúca kontrolu musí mať kompetenciu, školenie a právomoc systém spochybniť. AI Act po novele vyžaduje, aby poskytovatelia a subjekty nasadzujúce AI prijímali opatrenia na podporu AI gramotnosti ľudí, ktorí s nástrojom pracujú. Školenie zamestnancov a GDPR školenie preto majú vysvetliť nielen obsluhu systému, ale aj jeho limity, riziko skreslenia, ochranu osobných údajov a postup pri chybnom výstupe.
Monitoring produktivity, e-mailov, zariadení a GPS
Monitoring zamestnancov je miesto, kde sa stretáva technická možnosť s hranicami súkromia. § 13 Zákonníka práce neumožňuje zamestnávateľovi bez vážnych dôvodov vyplývajúcich z osobitnej povahy jeho činnosti narúšať súkromie zamestnanca monitorovaním, záznamom pracovných telefonátov alebo kontrolou pracovnej elektronickej pošty bez predchádzajúceho upozornenia. Ak sa zavádza kontrolný mechanizmus, jeho rozsah, spôsob a dobu trvania treba prerokovať so zástupcami zamestnancov a zamestnancov o nich informovať.
Primeranosť sa posudzuje podľa účelu. Iné je zaznamenať prihlásenie do systému na ochranu kybernetickej bezpečnosti a iné analyzovať obsah každej správy, počet kliknutí alebo pohyb myši ako dôkaz pracovného výkonu. Pri GPS treba odlíšiť ochranu vozidla a organizáciu pracovnej doby od nepretržitého sledovania človeka aj mimo pracovného času. Vhodným nastavením býva obmedzenie sledovania na nevyhnutný čas, presný okruh oprávnených osôb, kratšia doba uchovávania a technická možnosť vypnúť sledovanie mimo práce, ak to účel umožňuje.
Kto zodpovedá: zamestnávateľ, dodávateľ alebo používateľ?
Zodpovednosť sa nedá vyriešiť vetou v obchodných podmienkach. Podľa GDPR je zamestnávateľ spravidla prevádzkovateľom, pretože určuje, prečo sa údaje uchádzačov a zamestnancov používajú. Dodávateľ môže byť sprostredkovateľom, ak spracúva údaje iba podľa pokynov, ale pri vlastnom tréningu modelu alebo vlastných účeloch môže mať samostatné postavenie. Podľa AI Actu je výrobca alebo dodávateľ systému typicky poskytovateľom a firma, ktorá nástroj používa, subjektom nasadzujúcim systém. Ak však firma systém podstatne zmení, uvedie ho pod vlastným menom alebo zmení jeho zamýšľaný účel tak, že vznikne vysokorizikové použitie, môže prevziať povinnosti poskytovateľa.
Zmluva o spracúvaní osobných údajov má riešiť pokyny, bezpečnosť, subdodávateľov, incidenty, prenosy do tretích krajín a výmaz údajov. Obchodná zmluva by mala navyše upraviť presnosť a limity nástroja, zmeny modelu, logovanie, audit, vysvetliteľnosť výstupov, testovanie diskriminačných účinkov a súčinnosť pri žiadosti uchádzača alebo kontrole úradu. Dodávateľ nie je právny štít: práva a povinnosti zamestnávateľa zostávajú zachované aj pri cloudovej službe.
Diskriminácia a skreslenie: kontrolujte výsledky, nie iba model
AI môže kopírovať historické rozhodnutia alebo používať zástupné znaky, ktoré na prvý pohľad pôsobia neutrálne. Adresa, škola, jazyk, dĺžka kariérnej prestávky či typ pracovného času môžu vytvoriť nepriamu diskrimináciu, ak bez objektívneho a primeraného dôvodu znevýhodňujú určitú skupinu. Kontrola preto nemá skončiť pri vyhlásení dodávateľa.
Firma má pravidelne porovnávať, koho systém odporúča, koho vyraďuje a pri ktorých skupinách sa objavujú výrazné odchýlky. Kritériá musia súvisieť s prácou, byť zrozumiteľné a preveriteľné. Pri ľuďoch so zdravotným postihnutím treba myslieť aj na primerané úpravy testovania. Ak je na kontrolu skreslenia potrebné pracovať s citlivými osobnými údajmi, treba mať osobitný právny rámec a prísne ochranné opatrenia, nemožno ich zbierať len preto, že by to bolo analyticky zaujímavé.
Čo má obsahovať interná smernica pre AI v HR
Dobrá interná smernica alebo aktualizovaný pracovný poriadok má vytvoriť jednoduchú cestu od nákupu nástroja po jeho každodenné používanie. Mala by určiť register AI systémov, povolené a zakázané použitia, zodpovedné osoby, právny základ spracúvania, pravidlá minimalizácie a uchovávania, ľudský dohľad, testovanie diskriminácie, DPIA, incidenčný postup a podmienky pre monitoring zamestnancov. Súčasťou majú byť aj pravidlá, kedy možno použiť verejnú generatívnu AI a aké osobné údaje či obchodné tajomstvo do nej zamestnanec nesmie vložiť.
Interné smernice musia nadväzovať na skutočnú prax. Ak dokument tvrdí, že AI iba pomáha, ale manažéri vždy preberajú jej skóre, firma má automatizované rozhodovanie fakticky, nie iba na papieri. Ak GDPR dokumentácia uvádza krátku dobu uchovávania, systém musí byť technicky nastavený tak, aby údaje naozaj vymazal. A ak školenie hovorí o ľudskom dohľade, používateľ musí mať čas, informácie a právomoc rozhodnúť inak.
Pred nasadením AI si urobte jednoduchý právny test
Pred nákupom alebo zapnutím novej AI funkcie by HR, IT, právnik a zodpovedná osoba pre ochranu osobných údajov mali vedieť odpovedať na niekoľko základných otázok: Aký je presný účel systému? Ktoré osobné údaje potrebuje a ktoré iba zbiera navyše? Robí profilovanie? Ovplyvňuje prijatie do zamestnania, odmeňovanie, pracovné podmienky, pracovný čas, povýšenie alebo skončenie pracovného pomeru? Kto môže zmeniť jeho odporúčanie? Aké logy vznikajú a ako dlho sa uchovávajú? Ak firma tieto otázky nevie zodpovedať, nie je pripravená ani informačná povinnosť, ani interná smernica, ani zmluva s dodávateľom.
Rovnako dôležité je preveriť proces po nasadení. Povinnosti zamestnávateľa nekončia podpisom zmluvy. Treba sledovať zmeny modelu, nové funkcie, presnosť výstupov a sťažnosti používateľov.
Ak sa z nástroja na administratívnu pomoc postupne stane systém na pracovné hodnotenie zamestnanca, musí sa znovu posúdiť účel, riziková klasifikácia, právny základ a DPIA. Interné smernice by preto mali zaviesť pravidelnú revíziu a povinnosť oznámiť zmenu HR alebo DPO ešte pred jej aktiváciou. Tak sa GDPR dokumentácia, pracovný poriadok a reálne práva a povinnosti zamestnanca nebudú rozchádzať s tým, čo technológia skutočne robí.
AI v HR môže zrýchliť nábor, zjednodušiť organizáciu práce a pomôcť pri vyhodnocovaní veľkého množstva údajov. Právne bezpečný model však stojí na štyroch pilieroch: jasný účel, zákonné spracúvanie osobných údajov, primeraná ľudská kontrola a dôkaz, že systém v praxi neprodukuje diskriminačné alebo neprimerané výsledky. Keď sa tieto pravidlá premietnu do zmluvy, GDPR dokumentácie, interných smerníc a školenia zamestnancov, umelá inteligencia sa môže stať užitočným HR nástrojom bez toho, aby sa z nej stal neviditeľný rozhodca nad pracovným životom človeka.