1 godzina temu
Postulat legislacyjny, a nie projekt ustawy
W piśmie o sygn. DPNT.0623.18.2026 Prezes UODO poinformował, iż do Urzędu docierają sygnały o wprowadzaniu przez pracodawców rozwiązań opartych na sztucznej inteligencji w procesach rekrutacyjnych. Z przekazanych informacji wynika, iż ich stosowanie może wiązać się także z wykorzystywaniem danych szczególnych kategorii, o których mowa w art. 9 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO).
Organ zwrócił się w związku z tym do resortu pracy o informację, czy planowane lub przygotowywane są zmiany w krajowych przepisach prawa pracy. Ich celem miałoby być ustanowienie dodatkowych gwarancji w związku z ryzykiem naruszenia ochrony danych oraz innych praw podstawowych, w szczególności zakazu dyskryminacji kandydatów do pracy i pracowników.
Nie przedstawiono jednak brzmienia przyszłych przepisów ani harmonogramu prac. Wystąpienie nie zmienia obowiązującego prawa i nie przesądza o przygotowaniu nowelizacji. Wskazuje jedynie zagadnienia, które zdaniem organu należy uwzględnić, o ile ustawodawca zdecyduje się uregulować wykorzystywanie AI w zatrudnieniu.
Obecne gwarancje wynikają z Kodeksu pracy i RODO
Punktem wyjścia są obowiązujące przepisy Kodeksu pracy. Artykuł 183a KP ustanawia zasadę równego traktowania pracowników bez względu m.in. na płeć, wiek, niepełnosprawność, pochodzenie, wyznanie, przekonania polityczne lub orientację seksualną. Zdaniem organu AI może jednak utrwalać uprzedzenia obecne w danych treningowych, prowadząc do dyskryminacji algorytmicznej.
Artykuł 221 KP określa natomiast katalog danych, jakich pracodawca może żądać od osoby ubiegającej się o zatrudnienie. Prezes UODO wskazuje na ryzyko, iż narzędzia AI będą analizowały znacznie szerszy zbiór informacji, w tym dane szczególnych kategorii. Problem obejmuje zatem nie tylko wynik działania systemu, ale również zakres danych wykorzystywanych do oceny kandydata.
RODO pozwala państwom członkowskim wprowadzać bardziej szczegółowe przepisy dotyczące przetwarzania danych w związku z zatrudnieniem. Prezes UODO odwołuje się w tym zakresie do art. 88 oraz do art. 9 ust. 3 i 4 RODO. W przypadku danych szczególnych kategorii regulacja powinna ponadto uwzględniać warunki określone w art. 9 ust. 2–4 RODO, a także konstytucyjne zasady praworządności i źródeł prawa.
Ewentualna ustawa powinna precyzyjnie określać warunki przetwarzania: rodzaje danych, osoby, których dane dotyczą, odbiorców, cele ujawniania, ograniczenia celu i okresy przechowywania. Powinna też regulować operacje i procedury przetwarzania oraz środki zapewniające jego zgodność z prawem i rzetelność. Rozwiązanie oparte na art. 6 ust. 3 RODO musi służyć celowi leżącemu w interesie publicznym i być proporcjonalne do prawnie uzasadnionego celu.
Zautomatyzowana decyzja wymaga szczególnych zabezpieczeń
Ważnym punktem wystąpienia jest art. 22 RODO. Zgodnie z zasadą wynikającą z tego przepisu osoba ma prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, o ile decyzja wywołuje wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa.
Jednym z wyjątków jest sytuacja, w której taką decyzję dopuszcza prawo Unii lub prawo państwa członkowskiego adekwatne dla administratora. Regulacja musi wówczas przewidywać odpowiednie środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby. Ewentualne dopuszczenie profilowania w zatrudnieniu nie może więc ograniczać się do przyznania pracodawcy takiej możliwości.
Jako przykład organ przywołuje art. 105a ust. 1a Prawa bankowego. Przepis określa cele i zakres przetwarzania oraz gwarantuje osobie objętej decyzją automatyczną prawo do wyjaśnienia jej podstaw, interwencji człowieka w celu ponownego rozstrzygnięcia i przedstawienia własnego stanowiska. Prezes UODO nie postuluje bezpośredniego przeniesienia tej regulacji do Kodeksu pracy, ale wskazuje ją jako przykład zabezpieczeń wymaganych przez art. 22 RODO.
Systemy rekrutacyjne jako AI wysokiego ryzyka
Prezes UODO odwołuje się również do rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.6.2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (Dz.Urz. UE L z 2024 r., s. 1689; dalej: AIAct). Zgodnie z art. 6 ust. 2 AIAct w zw. z załącznikiem III tego rozporządzenia systemy AI wykorzystywane w rekrutacji zaliczono do systemów wysokiego ryzyka. Ich wdrażanie i stosowanie wiąże się z wymaganiami dotyczącymi bezpieczeństwa, przejrzystości, nadzoru człowieka i ochrony praw podstawowych.
Organ zwraca uwagę na art. 86 ust. 1 AIAct. Przepis ten przyznaje osobie, wobec której podmiot stosujący podjął wywołującą skutki prawne lub podobnie znacząco oddziałującą decyzję na podstawie wyników określonego systemu AI wysokiego ryzyka, prawo do uzyskania jasnego i merytorycznego wyjaśnienia. Wyjaśnienie powinno dotyczyć roli systemu w procedurze decyzyjnej oraz głównych elementów podjętej decyzji.
Pismo odwołuje się również do obowiązków podmiotów stosujących systemy AI wysokiego ryzyka, określonych w art. 26 AIAct. Wśród gwarancji, które powinny znaleźć odzwierciedlenie w ustawie, wymieniono elementy odpowiadające art. 9–15 AIAct: zarządzanie ryzykiem i danymi, dokumentację techniczną, rejestrowanie zdarzeń, przejrzystość, nadzór człowieka, solidność, dokładność i cyberbezpieczeństwo.
Postulat ustawowego ujęcia tych zagadnień nie oznacza zastąpienia AIAct regulacją krajową. Z pisma wynika raczej oczekiwanie, aby krajowe przepisy prawa pracy i ochrony danych tworzyły spójne otoczenie dla unijnych wymagań, a jednocześnie konkretyzowały gwarancje przysługujące kandydatom oraz pracownikom.
Ocena skutków przed przyjęciem nowych rozwiązań
Zdaniem Prezesa UODO przygotowanie przepisów dotyczących AI w zatrudnieniu powinno zostać poprzedzone oceną skutków dla ochrony danych. Zastosowanie nowych technologii oraz charakter, zakres, kontekst i cele przetwarzania mogą bowiem powodować wysokie ryzyko naruszenia praw lub wolności osób. Organ postuluje też test prywatności uwzględniający ochronę danych w fazie projektowania z art. 25 ust. 1 RODO.
Taka ocena ma pomóc projektodawcy rozpoznać ryzyka, wykazać zgodność przyjmowanych rozwiązań z zasadami z art. 5 RODO i warunkami określonymi w art. 6 ust. 3 RODO, a także sprawdzić, czy projekt przewiduje odpowiednie zabezpieczenia praw i wolności osób, których dane będą przetwarzane.
Prezes UODO odwołuje się również do oceny skutków systemu AI wysokiego ryzyka dla praw podstawowych (Fundamental Rights Impact Assessment – FRIA), o której mowa w art. 27 AIAct. Podkreśla, iż FRIA jest mechanizmem odrębnym od oceny skutków dla ochrony danych. Zgodnie z przywołanym w piśmie motywem 96 AIAct oceny te mają się uzupełniać, a nie zastępować. Wystąpienie koncentruje się na relacji między oboma instrumentami i nie rozwija szczegółowo zakresu podmiotowego obowiązku przeprowadzenia FRIA.
Co powinny określać przyszłe przepisy
Ewentualna regulacja powinna jasno wskazać cele wykorzystywania AI w zatrudnieniu, administratorów danych oraz gwarancje praw osób poddawanych ocenie. Kandydaci i pracownicy mają być świadomi udziału AI w procesie, a dostępne informacje powinny wyjaśniać zarówno techniczne działanie systemu, jak i jego rolę w konkretnej decyzji. Potrzebne są także rzeczywisty nadzór człowieka i możliwość zakwestionowania wyniku automatycznej oceny.
W porównaniu z obecnym stanem prawnym postulowana regulacja nie tworzyłaby ochrony od podstaw, ale uszczegóławiała gwarancje rozproszone między Kodeksem pracy, RODO i AIAct. Powinna powiązać zasady równego traktowania i katalog danych pozyskiwanych w rekrutacji z wymogami dotyczącymi profilowania, przejrzystości systemów wysokiego ryzyka oraz wyjaśnialności decyzji.
Samo wystąpienie nie nakłada na pracodawców nowych obowiązków. Prezes UODO zadeklarował eksperckie wsparcie resortu przy ocenie przyszłych propozycji pod kątem zgodności z RODO. Dalsze działania zależą od stanowiska Ministerstwa Rodziny, Pracy i Polityki Społecznej oraz ewentualnego rozpoczęcia prac nad konkretnymi przepisami.
