Ryzyka prawne automatyzacji procesów HR

Wdrożenie AI w obszarze zatrudnienia niesie konkretne ryzyka prawne — od dyskryminacji algorytmicznej, przez naruszenia RODO, po niezgodność z AI Act. Wszystkie te ryzyka materializują się jako odpowiedzialność pracodawcy, nie dostawcy technologii.

Ryzyko 1 — dyskryminacja algorytmiczna

Dyskryminacja algorytmiczna to sytuacja, w której system AI podejmuje decyzje na podstawie cech niepowiązanych z kompetencjami zawodowymi (np. płci, wieku, pochodzenia etnicznego), często w sposób nieoczywisty, wynikający z uprzedzeń zawartych w danych treningowych. W doktrynie prawa przyjmuje się, że dyskryminacja algorytmiczna stanowi dyskryminację w rozumieniu Kodeksu pracy, a ciężar udowodnienia, że do niej nie doszło, może spoczywać na organizacji korzystającej z AI.

Ryzyko 2 — naruszenie AI Act w zakresie systemów wysokiego ryzyka

Jeśli system AI jest wykorzystywany do rekrutacji, oceny lub monitorowania pracowników i nie spełnia wymogów AI Act (analiza ryzyka, nadzór ludzki, dokumentacja, informowanie pracowników), pracodawca narusza obowiązujące przepisy unijne, niezależnie od tego, czy dostawca systemu twierdzi, że jest on zgodny z przepisami.

Ryzyko 3 — naruszenie RODO przy monitoringu

Monitoring pracowników wspierany przez AI (np. analiza aktywności, śledzenie lokalizacji, analiza treści komunikacji) musi być zgodny nie tylko z Kodeksem pracy, ale równocześnie z RODO. Zgodnie z art. 22 Kodeksu pracy monitoring może być stosowany, jeśli jest niezbędny do zapewnienia bezpieczeństwa pracowników lub ochrony mienia, a pracodawca musi określić cel i zakres monitoringu oraz poinformować o nim pracowników. Sama zgodność z Kodeksem pracy nie zwalnia z obowiązków wynikających z RODO i odwrotnie — pracodawca musi spełnić oba reżimy równocześnie, w tym w przypadku bardziej ryzykownych systemów — przeprowadzić ocenę skutków dla ochrony danych (DPIA).

Ryzyko 4 — odpowiedzialność za błędne decyzje AI

Jeżeli algorytm wygeneruje błędną rekomendację lub nieprawdziwą informację i w efekcie wprowadzi kogoś w błąd (np. klienta, kandydata do pracy), odpowiedzialność za to poniesie przedsiębiorca wdrażający system, a nie sam algorytm. Zgodnie z Kodeksem pracy, w przypadku szkody wyrządzonej przez niewłaściwe wykorzystanie AI przez pracownika lub sam system w miejscu pracy, to pracodawca jest zasadniczo zobowiązany do naprawienia szkody wobec osób trzecich.

Ryzyko 5 — brak transparentności wobec pracowników i kandydatów

Podmioty stosujące systemy wysokiego ryzyka, które podejmują decyzje dotyczące osób fizycznych lub uczestniczą w ich podejmowaniu, muszą poinformować te osoby, że wobec nich używany jest system AI wysokiego ryzyka, oraz zapewnić możliwość zakwestionowania takiej decyzji. Brak tego obowiązku informacyjnego jest samodzielnym naruszeniem, niezależnym od tego, czy sama decyzja AI była merytorycznie słuszna.

Jak ograniczać te ryzyka — praktyczne kroki

przeprowadzić analizę, czy wdrażany system AI kwalifikuje się jako system wysokiego ryzyka wg AI Act,
zapewnić realny, a nie iluzoryczny nadzór ludzki nad decyzjami wspieranymi przez AI,
przeprowadzić ocenę skutków dla ochrony danych (DPIA) przed wdrożeniem systemów o istotnym wpływie na pracowników,
informować pracowników i kandydatów o wykorzystaniu systemów AI oraz zapewnić im prawo do odwołania,
prowadzić dokumentację i logi działania systemu, umożliwiające audyt decyzji,
inwestować w szkolenia AI literacy dla działu HR i zarządzających.