Кадровий відділ отримує на оголошення сотні резюме, а постачальник рекрутингового програмного забезпечення пропонує модуль, який упорядкує їх за придатністю. Інший інструмент обіцяє поточне оцінювання результатів роботи менеджерів із продажу за даними з CRM. Обидва застосування належать до царини, яку європейський законодавець визнав чутливою, бо результат роботи системи впливає на те, хто отримає роботу, а хто її втратить. На роботодавця тут одночасно поширюються два акти: регламент про штучний інтелект (AI Act) і GDPR.
Коли HR-інструмент є високоризиковим
Високоризиковими AI Act вважає системи, перелічені в додатку III (ст. 6(2)). Царини зайнятості стосується його пункт 4:
системи ШІ, призначені для використання під час добору чи відбору фізичних осіб, зокрема для розміщення цільових оголошень про роботу, для аналізу та фільтрування заяв про прийняття на роботу і для оцінювання кандидатів;
Літера b) додає системи, які використовуються при вирішенні про умови праці, кар’єрне просування та припинення трудових відносин, при розподілі завдань за поведінкою чи особистими рисами та при моніторингу й оцінюванні результативності та поведінки працівників. Із цього переліку існує виняток для систем, які не становлять значного ризику і суттєво не впливають на результат вирішення, наприклад при вузькому процедурному або підготовчому завданні (ст. 6(3)). Виняток, однак, ніколи не діє, якщо система здійснює профілювання фізичних осіб. Інструмент, який із даних про кандидата виводить його придатність, як правило, профілює.
Що діє вже сьогодні
Основні обов’язки щодо систем високого ризику за додатком III після зміни Регламентом (ЄС) 2026/1744 застосовуються з 2 грудня 2027 року. Це не означає, що до цієї дати дозволено все. Із 2 лютого 2025 року заборонено використовувати системи ШІ для виведення емоцій фізичної особи на робочому місці, за винятком використання з медичних міркувань або з міркувань безпеки (ст. 5(1)(f)). Інструмент, який під час відеоспівбесіди оцінює нервовість чи захопленість кандидата, тому потрібно оцінити вже сьогодні, бо існує ризик, що він підпаде під цю заборону.
Повною мірою діє й GDPR. Кандидат має право не підлягати рішенню, яке ґрунтується виключно на автоматизованому обробленні, зокрема профілюванні, і яке породжує правові наслідки або подібним чином суттєво на нього впливає (ст. 22(1) GDPR). Автоматичне вилучення зі списку без того, щоб результат хтось справді оцінив, є типовим прикладом. Процедури електронного найму без участі людини згадує й пункт 71 преамбули GDPR. Якщо рішення спирається на виняток для укладення чи виконання договору або на прямо висловлену згоду (ст. 22(2)(a) і (c)), контролер має забезпечити принаймні право на втручання людини, право висловити свою позицію та оскаржити рішення (ст. 22(3)). Систематичне й масштабне оцінювання особистих аспектів людей, що ґрунтується на автоматизованому обробленні і з якого виходять рішення з подібно істотним впливом, є водночас випадком, коли GDPR прямо вимагає оцінювання впливу на захист даних ще до запуску (ст. 35(3)(a)).
При моніторингу результатів роботи потрібно пам’ятати й про Кодекс законів про працю. Втручатися моніторингом у приватне життя працівника на робочому місці роботодавець може лише з серйозних причин, що полягають в особливому характері його діяльності, і після попереднього повідомлення. Якщо він запроваджує механізм контролю, то має узгодити з представниками працівників обсяг контролю, спосіб її здійснення та тривалість і поінформувати про них працівників (§ 13 ч. 4 Закону № 311/2001 Z. z.).
Обов’язки роботодавця з грудня 2027 року
Роботодавець, який купує готову HR-систему, як правило, є суб’єктом, який впроваджує ШІ. Якщо систему було введено в обіг або в експлуатацію до 2 грудня 2027 року, регламент застосовується до неї, лише якщо згодом у її конструкції відбудуться суттєві зміни. Системи, призначені для використання органами публічної влади, мають відповідати вимогам до 2 серпня 2030 року (ст. 111(2) у редакції змін). Щодо систем, на які поширюється регламент, ст. 26 покладає на нього насамперед:
- використовувати систему згідно з інструкцією постачальника і вжити для цього технічних та організаційних заходів (ч. 1),
- доручити людський нагляд особам, які мають потрібну спроможність, професійну підготовку та повноваження (ч. 2),
- якщо він контролює вхідні дані, забезпечити, щоб вони були релевантними й достатньо репрезентативними (ч. 4),
- зберігати логи, які генерує система, якщо вони перебувають під його контролем, щонайменше шість місяців (ч. 6),
- перед упровадженням на робочому місці поінформувати представників працівників і відповідних працівників (ч. 7),
- поінформувати кандидатів і працівників, щодо яких система допомагає ухвалювати рішення, що до них застосовується високоризикова система (ч. 11).
Інформацію від постачальника роботодавець має використати при оцінюванні впливу за GDPR (ст. 26(9)). Окреме оцінювання впливу на основоположні права за ст. 27 стосується органів публічної влади, приватних суб’єктів, які надають публічні послуги, та окремих фінансових застосувань, а не звичайного приватного роботодавця.
Коли роботодавець складає інструмент сам
Інша ситуація настає, коли кадровик починає сортувати резюме через універсальний чат-бот. Хто змінює передбачувану мету системи, яка високоризиковою не була, так, що вона нею стає, вважається її постачальником з усіма обов’язками (ст. 25(1)(c)). Чи достатньо для цього самого лише використання універсального інструмента з такою метою, регламент прямо не врегульовує, однак цей ризик варто зважити. І це правило щодо систем за додатком III застосується з 2 грудня 2027 року. Як розподіляються ролі постачальника й користувача, ми розбираємо у статті коли з користувача ШІ стає його постачальник. Імпровізоване використання універсального інструмента для оцінювання людей може таким чином принести роботодавцеві обов’язки, які при купівлі готового продукту ніс би його постачальник.
Порядок дій, який ми рекомендуємо
Спершу з’ясуйте, де ШІ виступає в HR-процесі і чи він лише допомагає, чи фактично вирішує щодо людей. Щодо кожного інструмента запитайте в постачальника інформацію, чи вважає він його високоризиковим, та його інструкцію з використання. Налаштуйте людський контроль результатів, поінформуйте кандидатів і представників працівників та розробіть оцінювання впливу за GDPR. Працівників, які працюють з інструментами, навчіть; чого після змін вимагає обов’язок грамотності у сфері ШІ, пояснює відповідь чи потрібно навчати працівників.
Класифікацію HR-інструментів, правила людського нагляду та договори з постачальниками ми підготуємо в межах послуги AI Act і впровадження штучного інтелекту. Оцінювання впливу, інформаційні обов’язки щодо кандидатів і налаштування моніторингу працівників ми узгодимо в послузі GDPR і захист персональних даних.
Ця стаття містить загальну правову інформацію станом на 26 вересня 2026 р.. Вона не є юридичною послугою чи консультацією щодо вашої конкретної справи. Законодавство змінюється, а обставини вашої ситуації можуть відрізнятися. Перед ухваленням рішення перевірте належний порядок дій або зв’яжіться з нами.
