Prezes UODO wskazuje na potrzebę uregulowania stosowania systemów AI w zatrudnieniu

Mirosław Wróblewski skierował do ministry pracy, rodziny i polityki społecznej wniosek o podjęcie pracy nad przepisami, które zapewnią dodatkową ochronę przed dyskryminacją kandydatów i pracowników na skutek stosowania systemów sztucznej inteligencji. Mają one bowiem tendencję do utrwalania istniejących uprzedzeń obecnych w danych, na których zostały wytrenowane.

Prezes Urzędu Ochrony Danych Osobowych wskazał, że dociera do niego coraz więcej sygnałów o stosowaniu w procesach rekrutacyjnych narzędzi opartych na sztucznej inteligencji. Pozwalają one na przetwarzanie danych osobowych na dużą skalę, w tym nieraz także danych należących do specjalnej kategorii (wrażliwe). Dlatego zdaniem Mirosława Wróblewskiego konieczne są dodatkowe regulacje, które zapobiegną dyskryminacyjnym skutkom stosowania takich systemów.

RODO przewiduje możliwość wprowadzenia takich dodatkowych gwarancji w krajowych przepisach z zakresu prawa pracy. Z kolei Kodeks pracy ustanawia obowiązek równego traktowania pracowników niezależnie od płci, wieku, niepełnosprawności, pochodzenia, wyznania, przekonań politycznych czy orientacji seksualnej. Tymczasem systemy sztucznej inteligencji rodzą poważne ryzyko powielania uprzedzeń istniejących w danych treningowych. Ponadto, mogą one również analizować znacznie więcej informacji, niż przewiduje to katalog danych, których pracodawca może żądać od kandydata do pracy - określony w art. 221 Kodeksu pracy.

Prezes UODO zwraca też uwagę na prawo osoby, której dane dotyczą, do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu danych przez algorytmy. Przepis ten wprowadza jednak wyjątek - możliwość dopuszczenia stosowania takiego automatycznego przetwarzania w prawie krajowym. Jeżeli jednak profilowanie ma być stosowane lub dozwolone na podstawie przepisów prawa, to powinny one gwarantować właściwe środki ochrony praw osób, których te dane dotyczą.

W Rozporządzeniu UE o sztucznej inteligencji (tzw. Akt w sprawie sztucznej inteligencji, ang. AI Act) Narzędzia sztucznej inteligencji stosowane w rekrutacji zostały zaliczone do tzw. systemów wysokiego ryzyka. Jak stanowi art. 86 ust. 1 tego rozporządzenia: "Każda osoba, na którą AI ma wpływ, będąca przedmiotem decyzji podjętej przez podmiot stosujący na podstawie wyników systemu AI wysokiego ryzyka wymienionego w załączniku III, z wyjątkiem systemów wymienionych w pkt 2 tego załącznika, która to decyzja wywołuje skutki prawne lub w podobny sposób oddziałuje na tę osobę na tyle znacząco, że uważa ona, iż ma to niepożądany wpływ na jej zdrowie, bezpieczeństwo lub prawa podstawowe, ma prawo uzyskania od podmiotu stosującego jasnego i merytorycznego wyjaśnienia roli tego systemu AI w procedurze podejmowania decyzji oraz głównych elementów podjętej decyzji".

Ponadto, gdyby ministerstwo chciało wprowadzić przepisy dopuszczające stosowanie takich systemów sztucznej inteligencji w zatrudnieniu, należy poprzedzić to oceną skutków dla ochrony danych. Pozwoli to zidentyfikować potencjalne ryzyka, a także ułatwi podmiotom korzystającym z narzędzi sztucznej inteligencji wykazanie zgodności przetwarzania danych osobowych z przepisami RODO. Przeprowadzenie takiej oceny pozwoli rozstrzygnąć czy przyjmowane rozwiązania przewidują jednocześnie odpowiednie zabezpieczenia praw i wolności osób, których dane dotyczą.

Obowiązek przeprowadzenia oceny stosowania danego systemu wysokiego ryzyka dla praw podstawowych (w tym także prawa do prywatności) wynika wprost z art. 27 Aktu w sprawie sztucznej inteligencji . Należy jednak podkreślić, że ma ona jedynie uzupełniać ocenę dla ochrony danych, a nie ją zastępować. Systemy wysokiego ryzyka powinny być transparentne, tzn. powinny gwarantować dostęp do informacji o sposobie działania modeli sztucznej inteligencji oraz rzetelnego wyjaśnienia zarówno procesów technicznych takiego systemu oraz do uzasadnienia decyzji podjętej na skutek ich stosowania. Ponadto osoby, które z nich korzystają muszą mieć świadomość, że mają do czynienia ze sztuczną inteligencją. W przepisach powinny zatem zostać wskazane cele, których realizacji ma służyć wykorzystywanie takich systemów. Regulacje powinny również określić kto jest administratorem danych oraz jakie gwarancje ochrony praw i przysługują osobom, których dane dotyczą.

Z kolei art. 26 Aktu w sprawie sztucznej inteligencji stanowi, że systemy wysokiego ryzyka muszą spełnić wymogi prawne dotyczące m.in.: utrzymywania systemu zarządzania ryzykiem (art. 9), danych i zarządzania danymi (art. 10), dokumentacji technicznej (art. 11), rejestrowania zdarzeń podczas działania systemów sztucznej inteligencji (art. 12), przejrzystości i dostarczania informacji użytkownikom (art. 13), nadzoru ze strony człowieka (art. 14), solidności, dokładności i cyberbezpieczeństwa (art. 15 Akt w sprawie sztucznej inteligencji ). Wskazane w rozporządzeniu UE o sztucznej inteligencji gwarancje powinny zostać odzwierciedlone w krajowych przepisach prawa o randze ustawy.

Prezes UODO zadeklarował resortowi rodziny, pracy i polityki społecznej swoje eksperckie wsparcie w analizie propozycji przepisów z perspektywy ich zgodności z RODO.

DPNT.0623.18.2026