Pytanie, czy AI może analizować CV, przestało być dziś teoretyczne. Dla wielu firm narzędzia oparte na sztucznej inteligencji stały się częścią codziennej rekrutacji, pomagają sortować aplikacje, streszczać doświadczenie kandydatów, wyłapywać słowa kluczowe i budować krótkie listy osób „najlepiej dopasowanych” do stanowiska. Problem polega na tym, że w świetle AI Act nie jest to już zwykły technologiczny dodatek do ATS, lecz obszar, który wprost trafia do katalogu zastosowań wysokiego ryzyka. Załącznik III rozporządzenia wymienia systemy AI używane do rekrutacji lub wyboru osób fizycznych, w tym do analizowania i filtrowania podań o pracę oraz do oceny kandydatów. Komisja Europejska w oficjalnym FAQ potwierdza ten kierunek i podaje takie przypadki jako klasyczne przykłady high risk AI w zatrudnieniu.
Zapraszamy do współpracy
Szczegółowe informacje o ofercie i warunkach współpracy można uzyskać telefonicznie lub wysyłając zapytanie za pomocą formularza kontaktowego.
To oznacza, że odpowiedź na pytanie, czy AI może analizować CV, brzmi, tak, ale nie na zasadzie pełnej dowolności. AI Act nie zakazuje samej analizy CV, lecz obudowuje ją bardzo konkretnymi wymogami. W praktyce unijny ustawodawca przyjął, że jeżeli system wpływa na dostęp człowieka do pracy, jego przyszłe perspektywy zawodowe i źródło utrzymania, to ryzyko błędu, uprzedzeń i nieprzejrzystości jest zbyt duże, by zostawić ten obszar bez ścisłych reguł. Motywy rozporządzenia wskazują wprost, że takie systemy mogą utrwalać historyczne wzorce dyskryminacji i oddziaływać na prawa pracownicze.
Czy AI może analizować CV zgodnie z AI ACT?
Tak, AI może analizować CV, ale trzeba od razu odróżnić dwa zupełnie różne scenariusze. Pierwszy to sytuacja, w której narzędzie realnie filtruje kandydatów, nadaje im scoring, porządkuje ich według przewidywanego dopasowania albo wpływa na shortlistę. Drugi to sytuacja, w której AI wykonuje jedynie techniczne, wąskie i pomocnicze czynności, na przykład porządkuje pliki, wydobywa dane z dokumentu albo przygotowuje materiał dla rekrutera bez wpływu na końcową ocenę. AI Act sam przewiduje, że nie każdy system z obszaru załącznika III automatycznie będzie wysokiego ryzyka, jeżeli spełnia warunki z art. 6 ust. 3, czyli wykonuje wąsko określone zadanie proceduralne, poprawia wynik wcześniejszej czynności człowieka albo ma charakter przygotowawczy.
Jednocześnie rozporządzenie zastrzega, że jeśli taki system dokonuje profilowania osób fizycznych, to zawsze pozostaje systemem wysokiego ryzyka. Komisja podkreśla też, że klasyfikacja zależy od przeznaczenia systemu, funkcji, jaką pełni, oraz konkretnego celu, dla którego jest używany.
To rozróżnienie jest bardzo ważne z punktu widzenia praktyki. Jeżeli dostawca sprzedaje narzędzie jako „asystenta rekrutera”, ale w rzeczywistości system rekomenduje odrzucenie kandydatów albo przesuwa ich niżej na liście w oparciu o własną ocenę profilu, doświadczenia czy przewidywanego dopasowania, to trudno traktować takie rozwiązanie jako niewinną automatyzację biurową. W takim układzie pytanie, czy AI może analizować CV, zamienia się w pytanie, czy firma potrafi wykazać zgodność narzędzia z reżimem high risk, a to już zupełnie inny poziom odpowiedzialności.
Kiedy AI analizujące CV staje się systemem wysokiego ryzyka
Najprościej ujmując, AI analizujące CV staje się systemem wysokiego ryzyka wtedy, gdy służy do rekrutacji lub wyboru kandydatów, a więc gdy pomaga decydować, kto ma dostać szansę, a kto zostanie odrzucony już na wstępie. Rozporządzenie wymienia tu nie tylko analizowanie i filtrowanie podań o pracę, ale także ocenę kandydatów oraz nawet umieszczanie ukierunkowanych ogłoszeń o pracę. Z perspektywy AI Act nie chodzi więc wyłącznie o „czytanie CV”, lecz o cały algorytmiczny wpływ na dostęp do zatrudnienia.
To, dlaczego UE podeszła do tego tak rygorystycznie, dobrze pokazują zarówno motywy AI Act, jak i obserwacje regulatorów spoza samego tekstu rozporządzenia. ICO w 2024 roku poinformował, że audytował dostawców i deweloperów narzędzi AI dla rekrutacji, a wyniki pokazały istotne obszary do poprawy, zwłaszcza w zakresie fair processing, minimalizacji danych i jasnego wyjaśniania kandydatom, jak ich dane są wykorzystywane.
Z kolei amerykańska EEOC od lat wskazuje, że narzędzia używane przy zatrudnieniu mogą prowadzić do dyskryminacji, na przykład gdy oprogramowanie do wywiadów wideo gorzej ocenia osoby z określonymi wzorcami mowy wynikającymi z niepełnosprawności. To pokazuje, że obawy unijnego prawodawcy nie są abstrakcyjne, lecz wynikają z realnych doświadczeń rynku.
Czy AI może odrzucać CV bez udziału człowieka?
I tutaj dochodzimy do najważniejszej praktycznej odpowiedzi. Sam AI Act nie mówi wprost jednym zdaniem, że „AI nie może odrzucać CV”, ale cały jego mechanizm idzie dokładnie w stronę ograniczenia automatycznego, bezrefleksyjnego decydowania o człowieku. Wymaga bowiem skutecznego nadzoru człowieka nad systemami wysokiego ryzyka, a środki nadzoru mają umożliwiać m.in. interpretację wyniku, zignorowanie go, unieważnienie albo odwrócenie.
Dodatkowo podmioty stosujące systemy wysokiego ryzyka, które podejmują decyzje dotyczące osób fizycznych lub uczestniczą w ich podejmowaniu, muszą poinformować te osoby, że wobec nich używany jest system AI wysokiego ryzyka. Komisja w FAQ idzie dalej i wskazuje również na prawo do wyjaśnienia w sytuacji, gdy wynik systemu wysokiego ryzyka został użyty do podjęcia decyzji wywołującej skutki prawne wobec osoby fizycznej.
W praktyce oznacza to, że całkowicie automatyczne odrzucanie CV, bez realnego udziału człowieka, bez możliwości sensownej kontroli i bez przejrzystości wobec kandydata, jest rozwiązaniem bardzo ryzykownym prawnie. I to nie tylko na gruncie AI Act, ale także RODO, ponieważ AI Act wprost nie narusza obowiązujących ram ochrony danych, a osoby, których dane dotyczą, zachowują wszystkie prawa wynikające z prawa unijnego, w tym prawa związane z całkowicie zautomatyzowanym podejmowaniem decyzji i profilowaniem.
Jak wdrożyć AI do analizy CV zgodnie z prawem?
Jeżeli firma chce korzystać z AI do analizy CV, powinna patrzeć na ten proces co najmniej z dwóch perspektyw. Pierwsza dotyczy dostawcy systemu, druga samego pracodawcy lub agencji rekrutacyjnej jako deployera. Z perspektywy dostawcy system wysokiego ryzyka wymaga oceny zgodności, zarządzania ryzykiem, odpowiedniej jakości danych, dokumentacji i identyfikowalności, transparentności, nadzoru człowieka oraz odpowiedniego poziomu dokładności, solidności i cyberbezpieczeństwa. Komisja podkreśla również obowiązek rejestracji takich systemów w publicznej bazie UE.
Z perspektywy pracodawcy obowiązki nie kończą się na podpisaniu umowy z dostawcą. Komisja wskazuje, że deployer musi korzystać z systemu zgodnie z instrukcją użycia, monitorować jego działanie, reagować na zidentyfikowane ryzyka lub poważne incydenty i przypisać nadzór człowieka do osoby odpowiednio przygotowanej do tej roli. Gdy deployer dostarcza dane wejściowe, muszą one być relewantne i wystarczająco reprezentatywne dla celu systemu. W praktyce HR oznacza to, że nie wystarczy kupić „sprytne AI do rekrutacji”, trzeba jeszcze umieć nim zarządzać, rozumieć jego ograniczenia i potrafić obronić cały proces decyzyjny.
Bardzo trafnie ujął to ICO, które zaleca przed wdrożeniem takich narzędzi przeprowadzenie DPIA, ustalenie właściwej podstawy prawnej, jasne rozpisanie ról administratora i procesora, sprawdzenie, czy dostawca realnie ograniczył ryzyko biasu, oraz zapewnienie kandydatom przejrzystej informacji o tym, jak AI wykorzystuje ich dane i jak mogą kwestionować zautomatyzowane decyzje. Dla polskich firm to cenna wskazówka, ponieważ pokazuje, że compliance w tym obszarze nie jest jedynie kwestią „AI Act checklist”, lecz łączy AI Act z RODO i praktyką HR.
AI w rekrutacji. Gdzie kończy się wygoda, a zaczyna problem?
Największym błędem firm jest dziś myślenie, że skoro narzędzie oszczędza czas, to z definicji jest bezpieczne. Tymczasem właśnie tam, gdzie AI skraca proces i automatyzuje selekcję, najłatwiej przeoczyć, że system wzmacnia stare schematy. Jeżeli model był trenowany na danych historycznych z organizacji, w której przez lata premiowano określony typ doświadczenia, styl komunikacji albo profil kandydata, może zacząć kopiować te preferencje i ubierać je w pozornie neutralny język „dopasowania”. Dlatego AI Act tak mocno akcentuje jakość danych, dokumentację, testowanie i nadzór człowieka.
Co ciekawe, AI Act pokazuje też szerszą filozofię ochrony w zatrudnieniu. Wprost zakazuje na przykład systemów AI służących do wyciągania wniosków o emocjach osoby fizycznej w miejscu pracy, poza wyjątkami medycznymi lub związanymi z bezpieczeństwem. Komisja w opublikowanych wytycznych podaje, że używanie takich systemów do mierzenia poziomu motywacji, satysfakcji z pracy czy dobrostanu pracownika byłoby objęte zakazem. To bardzo czytelny sygnał, że w relacji pracodawca, pracownik oraz kandydat ustawodawca nie chce zostawiać przestrzeni na zbyt daleko idącą algorytmiczną ocenę człowieka.
Od kiedy te zasady będą naprawdę działały?
Na dziś oficjalna oś czasu Komisji mówi jasno, że zakazy, definicje i AI literacy obowiązują od 2 lutego 2025 roku, natomiast większość przepisów AI Act, w tym reguły dla systemów wysokiego ryzyka z załącznika III, ma wejść do stosowania od 2 sierpnia 2026 roku. Jednocześnie Komisja w FAQ zaznacza, że w listopadzie 2025 roku zaproponowała w ramach Digital Omnibus korektę harmonogramu dla reguł high risk, ze względu na opóźnienia w przygotowaniu standardów i narzędzi wsparcia. Na moment pisania tego tekstu jest to jednak propozycja będąca w toku prac, więc punktem odniesienia nadal pozostaje oficjalna data 2 sierpnia 2026 roku.
Wnioski
Czy AI może analizować CV? Tak, ale nie można już udawać, że to tylko neutralna automatyzacja administracyjna. Jeżeli system pomaga filtrować aplikacje, oceniać kandydatów albo wpływać na shortlistę, bardzo często wchodzi w obszar wysokiego ryzyka. To oznacza obowiązki po stronie dostawcy, obowiązki po stronie pracodawcy i rosnące znaczenie przejrzystości wobec kandydatów. Dobra wiadomość jest taka, że AI w rekrutacji nie została zakazana. Zła jest taka, że po AI Act nie da się już legalnie traktować jej jako czarnej skrzynki, która „po prostu robi screening”.
| Redakcja BPPZ.pl
