Rekrutacja w dobie AI Act i RODO

Sztuczna inteligencja wkracza w nasze życie

Obecna transformacja w przemyśle (zwana czwartą rewolucją przemysłową lub Przemysłem 4.0) ma na celu stworzenie bardziej inteligentnych i zintegrowanych systemów, które zwiększają efektywność, redukują koszty i poprawiają jakość produktów i usług, prowadząc do głębokiego wpływu na nasze życie i pracę.

Jednym z kluczowych elementów Przemysłu 4.0. jest kwestia rozwoju sztucznej inteligencji, która jest coraz powszechniej wykorzystywana w nauce, przemyśle, czy życiu codziennym.

Czy rozporządzenie w sprawie sztucznej inteligencji Ai Act już obowiązuje?

Technologie, a przede wszystkim ich szybki rozwój często wyprzedza istniejące ramy prawne, jak również może ograniczać gwarantowane przez prawodawstwo unijne prawa podstawowe. Sztuczna inteligencja już dziś jest powszechnie wykorzystywana w wielu aspektach życia. Unijny prawodawca i tak w miarę szybko działał przygotowując nowe przepisy, które niewątpliwie wpłyną na unijny rynek.

Rozporządzeniem AI ACT Rada UE wraz z pozostałymi organami Unii Europejskiej zapewnia realizację praw podstawowych obywateli Unii Europejskiej.

Komisja Europejska przygotowała przepisy regulujące rozwój i zastosowanie sztucznej inteligencji w Unii Europejskiej, zwane Akt o sztucznej inteligencji (Artificial Intelligence Act). W marcu 2024 r. Parlament Europejski uchwalił AI Act., a Rada Unii Europejskiej przyjęła go w maju 2024 r. Aktualnie, po zatwierdzeniu przez Radę UE, AI Act oczekuje opublikowania w Dzienniku Urzędowym UE. Nastąpi to niebawem.

Rozporządzenie dotyczące sztucznej inteligencji wejdzie w życie 20 dni po jego publikacji w Dzienniku Urzędowym UE i będzie w pełni stosowane po 2 latach. Pewnymi wyjątkami będą zakazy, które wejdą w życie po 6 miesiącach, zasady zarządzania i obowiązki dotyczące modeli sztucznej inteligencji ogólnego przeznaczenia, które wejdą w życie po 12 miesiącach, a zasady dotyczące systemów AI – wbudowanych w produkty regulowane – zaczną obowiązywać po 36 miesiącach.

Unijne rozporządzenie w zakresie sztucznej inteligencji, podobnie jak w przypadku RODO będzie stosowane bezpośrednio przez państwa członkowskie UE, chroniąc prawa podstawowe obywateli UE.

Kogo dotyczy i co reguluje AI Act? Analiza LexDigital

Sztuczna inteligencja przy rekrutacji pracowników

Pracodawcy już sięgają do systemów sztucznej inteligencji w procesach rekrutacyjnych. Będą to robić w przyszłości, bowiem dzięki AI pracodawca może znacznie zaoszczędzić czas i zasoby, jednocześnie poprawiając jakość prowadzonych rekrutacji. Sztuczna inteligencja może być w różny sposób wykorzystywania w procesie rekrutacji.

Sztuczną inteligencję można w procesach rekrutacyjnych wykorzystywać do:

• Skryningu CV (przeszukiwaniu CV kandydatów, aby znaleźć interesujące pracodawcę umiejętności czy doświadczenie, jak również na analizie danych dotyczących zatrudnienia, aby prowadzić predykcje co do przyszłości kandydata u pracodawcy);
• oceny testów kompetencji wykonanych przez kandydatów do pracy;
• prowadzenia części rozmów rekrutacyjnych poprzez chatboty ;
• analizy danych z różnych źródeł, takich jaki profile w mediach społecznościowych (social scoring), czy całej historii aktywności w Internecie dotyczącej kandydata;
• analizy danych takich jak tonu głosu, mimika, modele zachowań kandydata podczas rozmów kwalifikacyjnych, w tym systemy identyfikacji biometrycznej;
• minimalizacji uprzedzeń związanych z określonymi wrażliwymi grupami (płcią, wiekiem, rasą, stopniem niepełnosprawności kandydatów);

Możliwość wykorzystywania sztucznej inteligencji już jest, a w przyszłości będzie jeszcze ściślej regulowana.

Dane osobowe kandydatów do pracy a RODO

W zakresie dotyczącym danych osobowych kandydatów do pracy zacznijmy od dość oczywistego stwierdzenia:

Przetwarzanie danych osobowych kandydatów do pracy wymaga stosowania zarówno RODO jak i AI Act.

Jakie ma to znaczenie praktyczne? Potencjalny pracodawca decydując się na przetwarzanie danych osobowych kandydatów do pracy musi pamiętać o obowiązkach wynikając z RODO, a w szczególności:

• posiadaniu podstawy prawnej do przetwarzania danych osobowych (zapewnienie zgodności przetwarzania z prawem - art. 6 i 9 RODO). W przypadku kandydatów do pracy są to przede wszystkim przepisy prawa pracy, a w szczególności art. 22¹ Kodeksu Pracy (dalej: "KP"), który wskazuje kategorie danych osobowych, do pozyskania których potencjalny pracodawca jest obowiązany. Przetwarzanie zwykłych danych osobowych kandydata do pracy możliwe jest również na podstawie zgody 22¹ª KP. Inicjatywa pozyskania zgody może być po stronie pracodawcy. Natomiast stosowanie do art. 9 ust. 1 RODO przetwarzanie szczególnych kategorii danych na podstawie zgody możliwe jest gdy przekazanie tych danych osobowych następuje z inicjatywy kandydata do pracy. Poza ustawowymi wyjątkami całkowicie zakazane jest pozyskiwanie informacji o niekaralności;
• zapewnieniu realizacji zasady minimalizacji danych (art. 5 ust. 1 lit. c RODO) i ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO) poprzez zbieranie danych osobowych niezbędnych do wyboru najlepszego kandydata. Po zakończeniu procesu rekrutacji dane osobowe kandydata powinny być usunięte, a ewentualnie pozostawienie powinno być wyjątkowe i szczególnie uzasadnione, chyba, że administrator danych pozyska zgodę na przetwarzanie danych osobowych w przyszłych procesach rekrutacyjnych, spełniającą wymogi art. 4 pkt. 11) RODO;
• dopełnieniu przez potencjalnego pracodawcę obowiązku poinformowania kandydatów do pracy o przetwarzaniu ich danych zgodnie z art. 13 i 14 RODO.

Aktualna klauzula RODO do CV 2024. Jak poprawnie sformułować zgodę?

Dane osobowe kandydatów do pracy a system AI

W sytuacji, w której potencjalny pracodawca decyduje się użyć system AI (niezależnie od tego czy sam go wytworzy, czy skorzysta z rozwiązania rynkowego) do celów rekrutacji musi dodatkowo zastosować przepisy regulujące sztuczną inteligencję. AI Act zawiera klasyfikację systemów wykorzystującą sztuczną inteligencję w zależności od ryzyka.

Rozporządzenie wymienia cztery kategorie ryzyka:

• minimalnego ryzyka
• ograniczonego ryzyka
• wysokiego ryzyka
• niedopuszczalnego ryzyka.

W zależności od kontekstu i sposobu jego użycia systemy służące rekrutacji można zakwalifikować do systemów danego ryzyka. Przykładowo systemem ograniczonego ryzyka zapewne będzie chatbot. System ten powinien zapewniać m.in to, że świadomością danej osoby jest to, że rozmawia z maszyną.

Z kolei Załącznik nr III do AI Act zawiera wskazane systemy sztucznej inteligencji, które uznawane są za systemy wysokiego ryzyka, a wśród nich wymienia systemy sztucznej inteligencji wykorzystywane w celu rekrutacji lub wyboru osób fizycznych, w szczególności w przypadku informowania o wakatach, selekcji lub filtrowania podań o pracę, oceny kandydatów w trakcie rozmów kwalifikacyjnych lub testów.

Dodatkowo operatorzy sztucznej inteligencji wysokiego ryzyka, stosownie do art. 29 AI Act, zobowiązani są do obowiązku przeprowadzenia oceny skutków dla ochrony danych zgodnie z art. 35 RODO.

Przy korzystaniu ze sztucznej inteligencji w celach rekrutacyjnych warto oprzeć się na niedawno opublikowanych (3 czerwca 2024 r.) wytycznych Europejskiego Inspektora Ochrony Danych Osobowych opisujących czym jest generatywna sztuczna inteligencja i zasad jej używania. Przedmiotem wytycznych EIOD jest m.in. na istotność wspomnianej minimalizacji przetwarzania danych przez administratorów.

Czy systemy identyfikacji biometrycznej działające u potencjalnego pracodawcy są dozwolone?

Odrębnym zagadnieniem jest identyfikacja biometryczna. Temat ten jest szczególnie traktowany na gruncie RODO jak i AI Act. RODO co do zasady zalicza dane biometryczne do danych szczególnej kategorii podlegającej wzmocnionej ochronie. Tak jak to już zostało wspomniane na gruncie obecnie obowiązujących regulacji, w szczególności art. 22¹ᵇ KP stosownie do którego przetwarzanie danych szczególnej kategorii kandydata do pracy jest możliwe w oparciu o zgodę, gdy przekazanie tych danych osobowych następuje z inicjatywy kandydata do pracy. Powyższe postanowienie wydaje się martwe w odniesieniu do danych biometrycznych kandydata do pracy, jak bowiem kandydat do pracy miałby ze swojej inicjatywy przekazać dane biometryczne.

Dodatkowo warto podkreślić, że zgodnie z AI Act systemami niedopuszczalnego ryzyka są systemy klasyfikujące osoby fizyczne na podstawie ich danych biometrycznych, w celu wyciągnięcia wniosków o określonych aspektach życia prywatnego.

W obecnym stanie prawnym przetwarzanie danych biometrycznych przy użyciu systemów sztucznej inteligencji kandydatów do pracy jest praktycznie niemożliwe.

AI Act przegłosowany. Nadchodzi rewolucja w przepisach

Wpływ sztucznej inteligencji na naszą przyszłość

Zagadnień na styku ze sztuczną inteligencją i ochroną danych osobowych jest wiele. Kevin Kelly w swojej książce "Nieuniknione - Jak Technologie zmienią naszą przyszłość" stwierdza, że:

Rozwój technologii cyfrowych zmienia naszą percepcję stabilności i trwałości rzeczywistości. W świecie niematerialnym cyfrowym, nic nie jest zapewnione na zawsze ani niezmienne. Dynamika cyfrowego wszechświata sprawia, że wszystko może ulec zmianie w sposób nieprzewidywalny i szybki. (...) Sztuczna inteligencja nie jest jednym z nas. Jest czymś innym. Może to być nasz największy wynalazek, ale jednocześnie nasze największe wyzwanie.

Nie sposób się nie zgodzić z tym stwierdzeniem. Wyzwania jakie nas czekają ze sztuczną inteligencją służą rozwojowi społeczeństw, jednak AI Act słusznie w tym wyścigu daje ramy, które są kompromisem pomiędzy rozwojem a poszanowaniem naszych praw podstawowych, w szczególności naszego bezpieczeństwa.

Społeczny zespół ekspertów przy PUODO powołany. W składzie Mariola Więckowska z LexDigital!