AI w rekrutacji 2026: screening CV i pytania rekrutacyjne — co jest legalne po AI Act 

Jeśli filtrujesz CV automatem albo prowadzisz rozmowy z chatbotem, to od 2 grudnia 2027 roku Twój proces rekrutacyjny wejdzie pod unijne obowiązki dla systemów podwyższonego ryzyka. Nie dlatego, że robisz coś złego - tylko dlatego, że automatyczne kwalifikowanie kandydatów Komisja Europejska wymieniła wprost w załączniku III rozporządzenia o sztucznej inteligencji.

Nie wszystko, co sprzedaje się z napisem „AI w rekrutacji", jest warte wdrożenia. Krótki przegląd tego, co realnie się opłaca w AI w 2026, a co jest dopłatą za efekt, znajdziesz w tym zestawieniu. Poniżej skupiam się na jednym obszarze: czym konkretnie się dzisiaj różni legalne od nielegalnego.

Jedna rzecz działa jednak już teraz i dotyczy właśnie rekrutacji: zakaz rozpoznawania emocji w miejscu pracy obowiązuje od 2 lutego 2025 roku. Jeśli Twój ATS ocenia „energię kandydata” na podstawie głosu albo mimiki, to nie czekasz na 2027.

Rekrutacja jest wymieniona w załączniku III wprost

Załącznik III rozporządzenia (UE) 2024/1689 wymienia obszary, w których system AI uznaje się za podwyższone ryzyko. Punkt 4 to „zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia”. Litera a obejmuje systemy wykorzystywane do celów rekrutacji lub wyboru osób fizycznych, w szczególności do umieszczania ukierunkowanych ogłoszeń o pracę, analizowania i filtrowania podań o pracę oraz do oceny kandydatów.

Litera b sięga dalej i obejmuje decyzje wpływające na warunki stosunku pracy, awanse i rozwiązanie umowy, przydzielanie zadań w oparciu o indywidualne zachowanie czy cechy osobowości oraz monitorowanie i ocenę wydajności pracowników.

W praktyce oznacza to, że firmowe narzędzia, które na rynku opisuje się jednym zdaniem - „CV-sorting software for recruitment" po stronie Komisji Europejskiej, „a CV-scanning tool that ranks job applicants" w tłumaczeniu serwisu referencyjnego - trafiają do kategorii systemów podwyższonego ryzyka. Nie dlatego, że automatyzacja jest zła, tylko dlatego, że decyzja o tym, kto dostanie szansę, ma konsekwencje dla czyjeśś podstawy prawnej.

Przesunięty termin: 2 grudnia 2027, nie 2 sierpnia 2026

To jest numer, który najczęściej powtarza się błędnie, więc warto go sprawdzić na stronie Komisji Europejskiej. Rozporządzenie weszło w życie 1 sierpnia 2024 roku i stosuje się je od 2 sierpnia 2026 roku, z wyjątkami. Wyjątki dotyczą dokładnie Twojej branży.

Oś czasu wygląda tak:

• 2 lutego 2025 - zakazane praktyki z art. 5 oraz obowiązek kompetencji AI (tzw. AI literacy).
• 2 sierpnia 2025 - zasady nadzoru i obowiązki dla modeli ogólnego przeznaczenia (GPAI).
• 2 sierpnia 2026 - ogólna stosowalność rozporządzenia, nadzór i egzekwowanie, zasady przejrzystości.
• 2 grudnia 2027 - systemy podwyższonego ryzyka z załącznika III, w tym zatrudnianie i rekrutacja.
• 2 sierpnia 2028 - systemy wbudowane w produkty objęte odrębnymi przepisami unijnymi, na przykład wózki jezdnią podnośnikową.

Zmianę terminu wprowadziła nowelizacja zwana AI Omnibus. Przyjęto ją 19 listopada 2025 roku, porozumienie polityczne osiągnięto 7 maja 2026, a dokument wszedł w życie 27 lipca 2026 roku. Wcześniejsze materiały analityczne zapowiadały obowiązki dla załącznika III już od 2 sierpnia 2026 i dziś są nieaktualne.

To zjawisko nie dotyczy jednej branży. Nowe terminy przesuwają cały łańcuch wyliczeń, między innymi tam, gdzie firmy muszą spełniać zgodność produktową z AI. Jeśli prowadzisz datowany plan wdrożeń, warto przestawić go o rok.

Jest jeden haczyk, o którym trzeba wiedzieć. Serwis referencyjny Komisji na każdej stronie tekstu przepisów zawiera adnotację, że wyświetlana wersja nie została jeszcze zaktualizowana po nowelizacji. Cytaty artykułów poniżej pochodzą właśnie z tej wersji.

Jedna furtka dla prostego screeningu

Art. 6 ust. 3 pozwala uznać system z załącznika III za system inny niż podwyższonego ryzyka, jeśli spełnią się konkretne warunki. Jeden z nich brzmi: system ma wykonać zadanie przygotowujące do oceny istotnej dla zastosowań z załącznika III.

To jest okno dla narzędzi, które tylko przygotowują materiał, a nie podejmują decyzji. Nie zmienia to jednak niczego automatycznie. Dwa warunki trzeba spełnić łącznie: system nie może stwarzać istotnego ryzyka szkody, w tym przez niedoskonalenie wyniku decyzji. I obowiązuje wyłączenie, które zamyka furtkę w najczęstszym scenariuszu: system z załącznika III zawsze uznaje się za podwyższone ryzyko wtedy, gdy wykonuje profilowanie osób fizycznych.

Screening CV, który jedynie porządkuje aplikacje, i system, który nadaje kandydatowi punktację i buduje ranking, to dwa różne narzędzia. To rozróżnienie jest po polsku przedmiotem dyskusji, bo wiele systemów ATS robi obie rzeczy naraz.

Co pracodawca musi zrobić, gdy wejdzie termin

Obowiązki podmiotu stosującego opisuje art. 26. Są krótkie i konkretne:

• zapewnić, żeby system był używany zgodnie z dołączoną instrukcją obsługi (ust. 1);
• powieżyć nadzór ze strony człowieka osobom z odpowiednimi kompetencjami, przeszkoleniem i uprawnieniami (ust. 2);
• zadbać o adekwatność i wystarczającą reprezentatywność danych wejściowych (ust. 4), czyli o to, na jakiej podstawie model uczył się rozpoznawać dobre CV;
• w razie ryzyka zawiesić korzystanie z systemu (ust. 5).

Jest też obowiązek, który najczęściej jest pomijany, a dotyczy wprost kandydatów. Ustęp 11 stanowi, że podmioty stosujące systemy z załącznika III, które podejmują decyzje lub uczestniczą w ich podejmowaniu dotyczących osób fizycznych, informują te osoby o wykorzystywaniu systemu AI wysokiego ryzyka. Innymi słowy: informacja o algorytmie musi trafić do kandydata przed rozmową, a nie do polityki prywatności na stronie, której nikt nie czyta.

Ta sama logika dotyczy tego, skąd bierze się wkład do modelu. Dane, na których system się uczył, to wejście, przez które wchodzą uprzedzenia, a temat cyberbezpieczeństwa napędzanego przez AI ma z tym więcej wspólnego, niż zwykle się wydaje.

Pracodawcom ustęp 7 dodatkowo nakłada obowiązek poinformowania przedstawicieli pracowników i pracowników, których dotyczy, o wykorzystywaniu systemu wysokiego ryzyka w miejscu pracy.

Ocena wpływu na prawa podstawowe: tu rekrutacja jej nie wymaga

Art. 27 wprowadza obowiązek oceny wpływu na prawa podstawowe przed wdrożeniem systemu podwyższonego ryzyka. Czytając jego brzmienie, łatwo wyciągnąć błędny wniosek, że każdy pracodawca musi ją przeprowadzić.

Art. 27 wskazuje trzy grupy podmiotów stosujących: organy publiczne, podmioty prywatne świadczące usługi publiczne oraz podmioty stosujące systemy z punktów 5 lit. b i c załącznika III. Punkt 5 załącznika III dotyczy dostępu do usług podstawowych, kredytów i ubezpieczeń oraz zarządzania majątkiem, a nie zatrudniania. Zatrudnienie to punkt 4, który w wyliczeniu z art. 27 nie pada.

Praktyczny wniosek: rekrutacja podlega obowiązkom z art. 26, ale nie art. 27. Ocena nadal może mieć znaczenie z innego powodu. Art. 27 wyraźnie odsyła do oceny skutków ochrony danych, czyli DPIA na podstawie art. 35 RODO, i nakazuje, żeby się uzupełniały, nie zastępowały.

Zakaz, który działa już teraz: rozpoznawanie emocji

Art. 5 lit. f zakazuje wprowadzania do obrotu, oddawania do użytku w tym konkretnym celu albo wykorzystywania systemów AI do wyciągania wniosków na temat emocji osoby fizycznej w miejscu pracy lub instytucjach edukacyjnych. Wyjątek jest wąski: system wdrażany ze względów medycznych lub bezpieczeństwa.

Ten zakaz obowiązuje od 2 lutego 2025 roku i nie czeka na 2027. W rekrutacji oznacza ono koniec rozwiązań, które oceniają kandydata po jego głosie, mimice, tempie mówienia albo „pozytywnym nastroju" w nagraniu z rozmowy. Nie ma znaczenia, że dostawca nazywa to funkcją „engagement scoring". Liczy się to, co system robi.

Poza emocjami art. 5 obejmuje też między innymi zbieranie baz danych twarzy przez nieukierunkowane pobieranie zdjęć z internetu i z kamer przemysłowych oraz wnioskowanie z biometrii o poglądach politycznych, przynależności do związków zawodowych, przekonaniach religijnych, światopoglądzie, seksualności i orientacji seksualnej, z wyjątkiem etykietowania i filtrowania zbiorów biometrycznych pozyskanych zgodnie z prawem.

Prawo do wyjaśnienia decyzji

Art. 86 daje kandydatowi konkretne narzędzie. Osoba, na którą ma wpływ AI i która jest przedmiotem decyzji podjętej na podstawie wyników systemu z załącznika III, ma prawo uzyskania od podmiotu stosującego jasnego i merytorycznego wyjaśnienia roli tego systemu AI w procedurze podejmowania decyzji oraz głównych elementów podjętej decyzji.

Próg jest jednak zawyżony i warto go znać, zanim napiszesz procedurę. Prawo działa przy decyzjach, które wywołują skutki prawne albo oddziałują na osobę na tyle istotnie, że ta uważa, iż ma to niepożądany wpływ na jej zdrowie, bezpieczeństwo lub prawa podstawowe. Odrzucenie aplikacji po automatycznym rankingu mieści się tu w sposób oczywisty, ale warto to mieć zapisane w procedurze, a nie w głowie rekrutera.

AI Act nie zastępuje RODO

Rozporządzenie wprost zastrzega, że nie narusza RODO, a przepisy o ochronie danych osobowych stosuje się do danych przetwarzanych w związku z prawami i obowiązkami z niego wynikającymi. Rekreurować się na AI Act nie znaczy pozwolić sobie na mniej informacji o przetwarzaniu.

Pozostaje cały dotychczasowy szkielet: podstawa przetwarzania, cel, zakres danych, okres przechowywania. Wzór klauzuli rekrutacyjnej, jaki warto mieć w podglądzie, opisuje to tak: przetwarzanie odbywa się na podstawie uprawnienia pracodawcy wynikającego z art. 22¹ Kodeksu pracy, zgodnie z art. 6 ust. 1 lit. b i c RODO, a na zgodę - art. 6 ust. 1 lit. a. Dane z CV i listu motywacyjnego oraz podstawowe dane kontaktowe trafiają do zakresu przetwarzania, a kandydat jest informowany, że podanie danych z art. 22¹ Kodeksu pracy jest niezbędne, aby uczestniczyć w postępowaniu rekrutacyjnym.

W tym samym wzorcu pada okres: dane przechowuje się przez czas niezbędny do przeprowadzenia rekrutacji, a kandydatów, którzy wyrazili zgodę na przyszłe procesy, przez 6 miesięcy od jej wyrażenia. Dane związane z roszczeniami przechowuje się przez 3 lata od zakończenia procesu. Warto zweryfikować te terminy we własnej klauzuli, bo w wielu firmach są rozjechane.

Osobna sprawa to profilowanie i zautomatyzowane podejmowanie decyzji. Art. 5 zakazuje konkretnych zastosowań, ale nie zdejmuje z Ciebie RODO, a art. 26 ust. 9 wprost odsyła do oceny skutków z art. 35.

Zanim jednak zaczniesz przenosić CV gdziekolwiek, warto odpowiedzieć sobie na pytanie, gdzie te dane w ogóle mają być. Argumenty za samodzielnym serwerem zamiast chmury omawiałem osobno, bo w rekrutacji do gry wchodzi jeszcze jeden czynnik, którego w innych branżach nie ma: każde CV to żywy człowiek, który czeka na odpowiedź.

Lista kontrolna przed wdrożeniem narzędzia

Kolejność, która w praktyce oszczędza najwięcej pracy:

1. Spisz narzędzia, które już używasz - nazwa dostawcy, do czego służy, kto podejmuje decyzję.
2. Sprawdź, czy któreś z nich nie bierze udziału w analizie emocji lub biometrii. To jest sprawa na teraz, nie na 2027.
3. Sprawdź, czy profilują. Profilowanie zamyka furtkę art. 6 ust. 3 i zostawia system w kategorii podwyższonego ryzyka.
4. Ustal, kto odpowiada za instrukcję obsługi i nadzór człowieka. Art. 26 wymaga konkretnych osób, nie działu.
5. Przygotuj informację dla kandydata na wcześniejszym etapie niż dotychczas.
6. Sprawdź klauzulę rekrutacyjną i okresy przechowywania pod kątem RODO.

Jeśli wdrażasz narzędzie do rekrutacji i potrzebujesz, żeby ktoś przejrzał je pod kątem zgodności, zanim trafi do ATS, napisz - odpowiadam zwykle tego samego dnia. Pierwsza rozmowa jest bezpłatna i zwykle wystarcza, żeby wiedzieć, czy to narzędzie w ogóle pasuje do Twojego procesu. Szerzej wygląda to arkusz 40 pytań do audytu AI w firmie - warto go przejść, zanim zaczniesz dokupywać kolejne narzędzia.