Personální oddělení dostane na inzerát stovky životopisů a dodavatel náborového softwaru nabízí modul, který je seřadí podle vhodnosti. Jiný nástroj slibuje průběžné hodnocení výkonu obchodníků podle dat z CRM. Obě použití patří do oblasti, kterou evropský zákonodárce označil za citlivou, protože výstup systému ovlivňuje, kdo dostane práci a kdo o ni přijde. Na zaměstnavatele zde dopadají dva předpisy najednou: nařízení o umělé inteligenci (AI Act) a GDPR.
Kdy je HR nástroj vysoce rizikový
Za vysoce rizikové považuje AI Act systémy vyjmenované v příloze III (čl. 6 odst. 2). Oblasti zaměstnanosti se týká její bod 4:
systémy AI určené k použití za účelem náboru nebo výběru fyzických osob, zejména pokud jde o zveřejňování cílených nabídek zaměstnání, k analýze a třídění žádostí o zaměstnání a k hodnocení uchazečů;
Písmeno b) přidává systémy používané při rozhodování o pracovních podmínkách, kariérním postupu a skončení pracovního poměru, při přidělování úkolů podle chování či osobních rysů a při monitorování a hodnocení výkonnosti a chování zaměstnanců. Z tohoto seznamu existuje výjimka pro systémy, které nepředstavují významné riziko a podstatně neovlivňují výsledek rozhodování, například při úzké procedurální nebo přípravné úloze (čl. 6 odst. 3). Výjimka však neplatí nikdy, pokud systém provádí profilování fyzických osob. Nástroj, který z údajů o uchazeči odvozuje jeho vhodnost, zpravidla profiluje.
Co platí už dnes
Hlavní povinnosti pro vysoce rizikové systémy podle přílohy III se po novele (EU) 2026/1744 uplatňují od 2. prosince 2027. To neznamená, že do toho data je vše dovoleno. Od 2. února 2025 je zakázáno používat systémy AI k odvozování emocí fyzické osoby na pracovišti, s výjimkou použití ze zdravotních nebo bezpečnostních důvodů (čl. 5 odst. 1 písm. f)). Nástroj, který při videopohovoru vyhodnocuje nervozitu nebo nadšení uchazeče, je proto třeba posoudit už dnes, protože hrozí, že pod tento zákaz spadne.
Plně platí i GDPR. Uchazeč má právo, aby se na něj nevztahovalo rozhodnutí založené výlučně na automatizovaném zpracování včetně profilování, které má právní účinky nebo jej podobně významně ovlivňuje (čl. 22 odst. 1 GDPR). Automatické vyřazení ze seznamu bez toho, aby výsledek někdo skutečně posoudil, je typickým příkladem. Postupy elektronického náboru bez lidského zásahu uvádí i bod odůvodnění 71 GDPR. Pokud se rozhodnutí opírá o výjimku pro uzavření nebo plnění smlouvy či o výslovný souhlas (čl. 22 odst. 2 písm. a) a c)), musí správce zajistit alespoň právo na lidský zásah, právo vyjádřit stanovisko a napadnout rozhodnutí (čl. 22 odst. 3). Systematické a rozsáhlé hodnocení osobních aspektů lidí založené na automatizovaném zpracování, z něhož vycházejí rozhodnutí s podobně závažným dopadem, je zároveň případem, kdy GDPR výslovně vyžaduje posouzení vlivu na ochranu údajů ještě před spuštěním (čl. 35 odst. 3 písm. a)).
Při monitorování výkonu je třeba pamatovat i na slovenský Zákonník práce. Do soukromí zaměstnance na pracovišti smí zaměstnavatel monitorováním zasáhnout jen z vážných důvodů spočívajících ve zvláštní povaze své činnosti a po předchozím upozornění. Pokud zavádí kontrolní mechanismus, musí se zástupci zaměstnanců projednat rozsah kontroly, způsob jejího provedení a dobu jejího trvání a zaměstnance o nich informovat (§ 13 odst. 4 zákona č. 311/2001 Z. z.).
Povinnosti zaměstnavatele od prosince 2027
Zaměstnavatel, který koupí hotový HR systém, je zpravidla zavádějícím subjektem. Pokud byl systém uveden na trh nebo do provozu před 2. prosincem 2027, vztahuje se na něj nařízení, jen pokud v něm později dojde k významným změnám návrhu. Systémy určené k používání orgány veřejné moci musí být v souladu do 2. srpna 2030 (čl. 111 odst. 2 ve znění novely). U systémů, na které se nařízení vztahuje, mu čl. 26 ukládá zejména:
- používat systém podle návodu poskytovatele a přijmout k tomu technická a organizační opatření (odst. 1),
- přidělit lidský dohled osobám, které mají potřebnou způsobilost, odbornou přípravu a pravomoci (odst. 2),
- pokud má kontrolu nad vstupními údaji, zajistit, aby byly relevantní a dostatečně reprezentativní (odst. 4),
- uchovávat logy generované systémem, pokud jsou pod jeho kontrolou, nejméně šest měsíců (odst. 6),
- před nasazením na pracovišti informovat zástupce zaměstnanců a dotčené zaměstnance (odst. 7),
- informovat uchazeče a zaměstnance, o nichž systém pomáhá rozhodovat, že se na ně vysoce rizikový systém používá (odst. 11).
Informace od poskytovatele má zaměstnavatel využít při posouzení vlivu podle GDPR (čl. 26 odst. 9). Zvláštní posouzení vlivu na základní práva podle čl. 27 se týká orgánů veřejné moci, soukromých subjektů poskytujících veřejné služby a vybraných finančních použití, nikoli běžného soukromého zaměstnavatele.
Když si zaměstnavatel nástroj poskládá sám
Jiná situace nastává, když personalista začne třídit životopisy přes univerzální chatbot. Kdo změní zamýšlený účel systému, který nebyl vysoce rizikový, tak, že se z něj vysoce rizikový stane, považuje se za jeho poskytovatele se všemi povinnostmi (čl. 25 odst. 1 písm. c)). Zda k tomu stačí samotné použití obecného nástroje k takovému účelu, nařízení výslovně neřeší, riziko je však třeba zvážit. I toto pravidlo se u systémů podle přílohy III uplatní od 2. prosince 2027. Jak se rozdělují úlohy poskytovatele a zavádějícího subjektu, rozebíráme v článku kdy se ze zavádějícího subjektu stává poskytovatel AI. Improvizované použití obecného nástroje k hodnocení lidí tak může zaměstnavateli přinést povinnosti, které by při koupi hotového produktu nesl jeho dodavatel.
Postup, který doporučujeme
Nejprve zmapujte, kde AI v HR procesu vystupuje a zda jen pomáhá, nebo o lidech fakticky rozhoduje. U každého nástroje si od dodavatele vyžádejte informaci, zda jej považuje za vysoce rizikový, a jeho návod k použití. Nastavte lidskou kontrolu výsledků, informujte uchazeče a zástupce zaměstnanců a vypracujte posouzení vlivu podle GDPR. Zaměstnance, kteří s nástroji pracují, proškolte; co po novele vyžaduje povinnost gramotnosti v oblasti AI, vysvětluje otázka zda musíte zaměstnance školit.
Klasifikaci HR nástrojů, pravidla lidského dohledu a smlouvy s dodavateli připravíme v rámci služby AI Act a nasazení umělé inteligence. Posouzení vlivu, informační povinnosti vůči uchazečům a nastavení monitorování zaměstnanců sladíme ve službě GDPR a ochrana osobních údajů.
Článek představuje obecnou právní informaci ke stavu k datu 26. 9. 2026 — nejde o právní službu ani radu k vaší konkrétní věci. Právní předpisy se mění a vaše situace se může v detailech lišit; před rozhodnutím si postup ověřte nebo se nám ozvěte.
