Kandydat dzwoni po pracy. Rekruter ma 80 CV w kolejce.

Załącznik III pkt 4 AI Act, rekrutacja jako system wysokiego ryzyka

AI Act w Załączniku III pkt 4 lit. a wymienia wprost: systemy AI przeznaczone do rekrutacji lub selekcji osób fizycznych, w szczególności do zamieszczania ukierunkowanych ogłoszeń o pracę, analizy i filtrowania aplikacji oraz oceny kandydatów. Taka klasyfikacja pociąga za sobą obowiązki providera i deployera: system zarządzania ryzykiem (art. 9), dokumentacja techniczna (art. 11), rejestry zdarzeń, nadzór człowieka (art. 14), dokładność i odporność (art. 15), ocena zgodności (art. 43), rejestracja w bazie EU (art. 49), obowiązki deployera (art. 26). Obowiązki dla systemów z Załącznika III stosuje się od 2 sierpnia 2026 r., termin ten może zostać przesunięty w trakcie prac nad pakietem Digital Omnibus, dokładny stan legislacyjny weryfikuj bezpośrednio w EUR-Lex.

źródło · AI Act Załącznik III, EUR-Lex↗

Wyjątek z art. 6 ust. 3 AI Act, „wąskie zadanie proceduralne”

Art. 6 ust. 3 AI Act przewiduje wąski wyjątek: system z Załącznika III może NIE być uznany za wysokiego ryzyka, jeśli wykonuje wyłącznie ograniczone zadanie proceduralne albo usprawnia wynik pracy człowieka i nie wpływa istotnie na decyzję. Voicebot prowadzący tylko umawianie rozmów bez oceny kandydata może podpadać pod ten wyjątek; voicebot wykonujący kwalifikację A/B/C (ocenę), raczej nie. Każdy deployer musi udokumentować własną analizę. Decyzja i jej uzasadnienie rejestrowane są w bazie EU.

źródło · AI Act art. 6, EUR-Lex↗

Nasze podejście, transparentność, nie ukrywanie klasyfikacji

Wdrożenie voicebota w rekrutacji projektujemy ostrożnie: agent pracuje w ścisłym zakresie (zbieranie danych, umawianie), ocena merytoryczna (rekomendacja kandydata) pozostaje po stronie człowieka. Przed startem przygotowujemy z klientem dokumentację konfiguracji pozwalającą ocenić kwalifikację (art. 6 ust. 3 AI Act), ale finalna odpowiedzialność za klasyfikację i zgodność spoczywa na deployerze (pracodawcy / agencji rekrutacyjnej), z którym wdrożenie jest prowadzone. Tam, gdzie zakres realnie wchodzi w „analizę i filtrowanie aplikacji” lub „ocenę kandydatów”, konieczne jest pełne wdrożenie wymogów high-risk, wykracza to poza zakres standardowego pakietu voicebota.

Art. 6 RODO, podstawy prawne w rekrutacji

Pierwszy kontakt z kandydatem (po aplikacji) opiera się na prawnie uzasadnionym interesie pracodawcy (art. 6 ust. 1 lit. f) lub na żądaniu kandydata (lit. b, kroki prowadzące do zawarcia umowy). Reaktywacja z bazy po dłuższym czasie wymaga już zgody marketingowej (lit. a). Dla systemów wysokiego ryzyka stosowanie przepisów RODO kumuluje się z obowiązkami AI Act.

źródło · RODO, EUR-Lex↗

Kodeks pracy art. 22^1, zakres danych kandydata

Pracodawca może żądać od kandydata wyłącznie danych wymienionych w art. 22^1 § 1 Kodeksu pracy: imię, nazwisko, data urodzenia, dane kontaktowe, wykształcenie, kwalifikacje zawodowe, przebieg dotychczasowego zatrudnienia. PESEL, stan cywilny, zdjęcie, dane o dzieciach pojawiają się dopiero przy zatrudnieniu (§ 3), nie na etapie rekrutacji. Voicebot konfigurujemy ściśle pod ten zakres, agent nie pyta o PESEL, zdjęcie ani stan cywilny.

Art. 22 RODO, zautomatyzowane decyzje

Decyzja o zatrudnieniu nie zapada wyłącznie automatycznie w rozumieniu art. 22 RODO, ostateczną rekomendację formułuje rekruter na podstawie zebranego kontekstu i własnej oceny. Voicebot pełni rolę narzędzia zbierającego dane, nie podmiotu rozstrzygającego. Skargi dotyczące przetwarzania danych osobowych kandydata kierowane są do Prezesa Urzędu Ochrony Danych Osobowych (UODO).

źródło · UODO, organ nadzorczy↗

Art. 50 AI Act, oznaczenie rozmowy z AI

Niezależnie od klasyfikacji risk-tier, art. 50 AI Act wymaga poinformowania kandydata na początku rozmowy, że rozmawia z systemem AI. Kandydat w każdej chwili może poprosić o rozmowę z człowiekiem. Obowiązek stosowany od 2 sierpnia 2026 r.

źródło · AI Act art. 50, EUR-Lex↗

Art. 398 PKE, kontakt wychodzący do bazy kandydatów

Rozmowa wychodząca do kandydatów „z bazy” (poza kontekstem konkretnej aplikacji) wymaga zgody marketingowej, analogicznie do innych branż outbound. Brak zgody = ryzyko kary z PKE + RODO. Nasza polityka: reaktywacja wyłącznie z udokumentowaną zgodą.