AI Act w dziale HR: 7 zastosowań AI pod lupą przepisów na 2026 rok
Od 28 października KRiBSI zacznie przyjmować skargi i może nakładać kary. Zestawiliśmy siedem zastosowań AI w rekrutacji i zarządzaniu ludźmi, których prawo zakazuje albo które uznaje za obarczone wysokim ryzykiem. Przy każdym opisujemy, co oznacza dla mikrofirmy, a co dla korporacji.
Od 28 października 2026 Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), czyli nowy polski organ nadzoru nad AI, uzyska pełne uprawnienia kontrolne. Będzie mogła badać dokumentację techniczną i procedury wdrożeniowe, wydawać wiążące opinie indywidualne i nakładać kary. Skargę złoży pracownik, kandydat, klient albo konkurent. Wystarczy wskazać system AI, opisać okoliczności i wyjaśnić, na czym polega naruszenie unijnego AI Act lub polskiej ustawy o systemach sztucznej inteligencji. Zasadnicza część tej ustawy obowiązuje od 11 sierpnia.
Dla działów HR to zmiana praktyczna, bo AI trafiła do nich szybciej niż procedury. Z raportu „Cyberportret polskiego biznesu 2026” ESET i DAGMA Bezpieczeństwo IT wynika, że 62 proc. pracowników korzysta już z narzędzi AI w pracy. 10 proc. przyznaje, że udostępnia otwartym modelom wrażliwe dane firmowe. Wyciąganie danych z CV należy do najczęstszych pierwszych wdrożeń AI w polskich firmach.
Jak zestawiliśmy siedem zastosowań
Podstawą jest załącznik III do AI Act, który w punkcie 4 wylicza zastosowania wysokiego ryzyka w zatrudnieniu, oraz art. 5 z listą praktyk zakazanych. Uzupełniliśmy je analizami prawniczymi i danymi o kosztach wdrożeń. Każde zastosowanie opisujemy według trzech kryteriów:
- status prawny: zakaz czy wysokie ryzyko i od kiedy obowiązują przepisy,
- skala firmy: jak to samo zastosowanie wygląda w mikrofirmie z gotowym systemem, a jak w korporacji z własnym wdrożeniem,
- koszt po stronie użytkownika: czego przepisy wymagają od pracodawcy, który system kupuje, a nie tworzy.
Jedno złudzenie trzeba rozwiać od razu. Firma, która kupuje gotowy ATS (system do obsługi rekrutacji) z funkcjami AI, jest w świetle AI Act podmiotem wdrażającym, a nie dostawcą. Zakup narzędzia reklamowanego jako zgodne z przepisami nie zwalnia jej z własnych obowiązków. Musi korzystać z systemu zgodnie z instrukcją dostawcy, wyznaczyć przeszkolone osoby z realnym prawem do interwencji, monitorować działanie systemu i przechowywać logi przez co najmniej sześć miesięcy. Musi też informować kandydatów, na których decyzję wpłynęła AI, a przed wdrożeniem uprzedzić przedstawicieli pracowników. Ogólnego zwolnienia dla małych firm nie ma, choć przepisy zakładają proporcjonalność do skali organizacji.
Te obowiązki dotyczą systemów wysokiego ryzyka i pierwotnie miały obowiązywać od 2 sierpnia 2026. Pakiet Digital Omnibus ma je przesunąć na 2 grudnia 2027. Porozumienie polityczne zawarto 7 maja 2026, ale akt wciąż czeka na formalne przyjęcie. Już teraz obowiązują natomiast zakazy z art. 5 AI Act oraz wymogi przejrzystości, które weszły w życie 2 sierpnia 2026.
1. Filtrowanie i analiza CV
Dla kogo: każda firma, która dostaje więcej zgłoszeń, niż rekruter zdąży przeczytać. W mikrofirmie to zwykle funkcja wbudowana w abonamentowy ATS, w korporacji często własna integracja. Co daje: szybkie odsianie aplikacji, które nie spełniają wymagań formalnych.
Ograniczenia: algorytm uczy się na historii firmy, także na jej uprzedzeniach. Amazon od 2014 roku budował narzędzie oceniające CV w skali od jednej do pięciu gwiazdek, wytrenowane na zgłoszeniach z dziesięciu lat, zdominowanych przez mężczyzn. System obniżał ocenę CV ze słowem „women's” i degradował absolwentki żeńskich uczelni. W 2017 roku projekt porzucono. Czego wymaga: realnego nadzoru. Rekruter, który automatycznie akceptuje ranking, bo nie ma czasu przejrzeć 800 odrzuconych CV, nie spełnia tego wymogu.
2. Kierowane ogłoszenia o pracę
Dla kogo: firmy, które publikują oferty przez platformy dobierające odbiorców algorytmicznie. Mała firma korzysta zwykle z ustawień platformy, duża często zleca kampanie agencji. Co daje: dotarcie z ofertą do osób o pasującym profilu.
Ograniczenia: załącznik III wprost wymienia kierowane ogłoszenia o pracę jako wysokie ryzyko. Decyzja o tym, kto w ogóle zobaczy ofertę, zapada poza wzrokiem rekrutera. Czego wymaga: wiedzy, na jakiej podstawie system wybiera odbiorców. Przy współpracy z agencją to pytanie warto wpisać do briefu i umowy.
3. Ocena i ranking kandydatów
Dla kogo: firmy prowadzące wiele rekrutacji jednocześnie i firmy korzystające z testów lub rozmów ocenianych automatycznie. Co daje: porównywalną ocenę dużej liczby kandydatów.
Ograniczenia: w USA toczy się sprawa Mobley v. Workday. Derek Mobley twierdzi, że od 2017 roku odrzucono go w ponad 100 rekrutacjach prowadzonych przez firmy korzystające z Workday, z powodu wieku, rasy i niepełnosprawności. W lipcu 2024 roku sąd federalny uznał, że dostawca AI może odpowiadać jako „agent” pracodawcy. W maju 2025 roku wstępnie certyfikował pozew zbiorowy. Workday zaprzecza zarzutom i podkreśla, że jego narzędzia nie podejmują decyzji rekrutacyjnych. To prawo amerykańskie, nie AI Act, ale to sygnał, że odpowiedzialność za algorytm może objąć także dostawcę. Czego wymaga: dokumentacji po stronie dostawcy i nadzoru po stronie pracodawcy.
Prof. Paweł Wajda w rozmowie z pulsHR zwraca uwagę na skalę tej zmiany:
Mając na uwadze, że obecnie narzędzia AI są powszechnie wykorzystywane w procesach rekrutacji, można z powodzeniem wskazać, że zmiany te dotkną cały rynek pracy.
4. Decyzje o awansie, warunkach pracy i zwolnieniu
Dla kogo: głównie średnie i duże organizacje z systemami ocen okresowych i ścieżkami kariery. W mikrofirmie takie decyzje rzadko przechodzą przez system. Co daje: porządkuje dane o wynikach przed rozmową o awansie lub rozstaniu.
Ograniczenia: badanie Julie Bedard z Boston Consulting Group nie dotyczyło awansów, ale pokazuje ogólny problem nadzoru nad AI. Menedżerowie, którym powiedziano, że pracę wykonał „pracownik AI”, wychwycili o 18 proc. mniej błędów niż ci, którzy wiedzieli, że to „narzędzie AI”. Wniosek dla HR: im bardziej ludzki wydaje się system, tym łatwiej o słabszy nadzór. Czego wymaga: udokumentowanego, niezależnego osądu człowieka przy każdej decyzji.
5. Przydzielanie zadań i układanie grafiku
Dla kogo: handel, logistyka, produkcja, platformy kurierskie. Co daje: szybsze układanie zmian i rozdzielanie pracy.
Ograniczenia: to przypadek graniczny. Wysokim ryzykiem jest przydział zadań na podstawie zachowania, cech osobowości lub cech osobistych. Grafik układany wyłącznie według preferencji zadeklarowanych przez pracowników zwykle jest poza zakresem przepisów. Systemy decydujące o przydziale pracy na platformach kurierskich są już objęte regulacją. Czego wymaga: sprawdzenia, czy narzędzie tylko zbiera preferencje, czy także wnioskuje o ludziach.
6. Monitorowanie i ocena wydajności
Dla kogo: zespoły zdalne, contact center, sprzedaż. Co daje: bieżący obraz obciążenia i wyników.
Ograniczenia: o kwalifikacji decyduje profilowanie, czyli automatyczna ocena wydajności, zachowania, wiarygodności czy lokalizacji danej osoby. System z załącznika III, który profiluje ludzi, zawsze jest wysokiego ryzyka. Wyjątek dotyczy tylko wąskich zadań proceduralnych, które nie wpływają istotnie na decyzję człowieka i nie profilują. Czego wymaga: poinformowania przedstawicieli pracowników przed wdrożeniem, logów i nadzoru.
7. Rozpoznawanie emocji w miejscu pracy
Dla kogo: nikogo. Co daje: obietnicę oceny „entuzjazmu”, „pewności siebie” czy „dopasowania kulturowego” z mimiki, głosu i mowy ciała.
Ograniczenia: art. 5 ust. 1 lit. f) AI Act zakazuje tego od 2 lutego 2025, a przesunięcie terminów tego zakazu nie dotyczy. Uzasadnieniem jest asymetria władzy między pracodawcą a pracownikiem. Wyjątek obejmuje tylko cele medyczne i bezpieczeństwa. Zakazana jest też kategoryzacja biometryczna, która wnioskuje o rasie, orientacji seksualnej, poglądach, przekonaniach religijnych czy przynależności związkowej. Już w 2019 roku HireVue po krytyce Electronic Privacy Information Center zrezygnował z analizy twarzy w wideorozmowach. Czego wymaga: wyłączenia takich funkcji w każdym używanym narzędziu.
Ile kosztuje przygotowanie, a ile błąd
Na wdrożenia w samym HR nie znaleźliśmy danych, ale ogólne koszty AI w małych firmach dają orientację. Audyt procesów to 4 000-6 000 zł, pilot na jednym lub dwóch procesach 5 000-10 000 zł. System AI z integracjami kosztuje od 50 000 zł. Licencje i dostęp do API (interfejsu, przez który program łączy się z modelem AI) to 50-5 000 zł miesięcznie. Tylko 8,4 proc. polskich firm zatrudniających co najmniej 10 osób wdrożyło AI pod koniec 2025 roku, przy średniej unijnej 20 proc.
Po drugiej stronie są kary: do 35 mln euro lub 7 proc. obrotu za zakazane praktyki i do 15 mln euro lub 3 proc. za inne naruszenia. Małe i średnie firmy płacą niższy z tych limitów. Polska ustawa obniża karę o 30-90 proc. przy samodzielnym zgłoszeniu naruszenia. Za wykonanie zaleceń KRiBSI w ciągu trzech miesięcy przewiduje obniżkę o 10-50 proc.
Wymóg nadzoru obejmuje też to, co pracownicy robią z AI na własną rękę. Marcin Mika z ADP Polska proponuje w pulsHR proste podejście:
Sztuczna inteligencja powinna być traktowana jak stażysta, który nie ma dostępu do wewnętrznych informacji na poziomie doświadczonego pracownika, i którego efekty pracy muszą być sprawdzane przed puszczeniem ich w świat.
Lista kontrolna: od czego zacząć przygotowania
Nawet jeśli główne obowiązki przyjdą w grudniu 2027 roku, inwentaryzację warto zrobić teraz. Zakazy i skargi działają już dziś.
- Spisz narzędzia z funkcjami AI używane w rekrutacji i ocenie ludzi.
- Wyłącz funkcje analizy emocji, mimiki i głosu.
- Poproś dostawcę o dokumentację techniczną i instrukcję użytkowania.
- Wyznacz osobę z realnym prawem do zmiany decyzji systemu.
- Przygotuj informację dla kandydatów i przedstawicieli pracowników.
Co wybrać, jeśli…
Jesteś małą firmą z gotowym ATS: nie dotrenowuj modelu na własnych danych i nie oznaczaj go swoją marką. Taka zmiana może zrobić z ciebie dostawcę z pełnym zestawem obowiązków. Wybieraj narzędzie, którego dostawca pokaże dokumentację, a o odrzuceniu zawsze niech decyduje człowiek.
Jesteś dużą organizacją z własnymi wdrożeniami: licz się z tym, że możesz być dostawcą, nie tylko użytkownikiem. Przegląd każdego systemu powinien objąć dział prawny, zespół ds. prywatności i bezpieczeństwo IT, a nie tylko HR. Jeśli masz wątpliwości, od 28 października możesz wystąpić do KRiBSI o opinię indywidualną.