Când algoritmul selectează candidatul: obligațiile operatorului HR sub regimul sistemelor cu risc înalt conform AI Act
Un candidat aplică pentru un post. Încarcă CV-ul, răspunde la câteva întrebări într-o platformă, poate susține chiar și un interviu video. Câteva zile mai târziu, primește un mesaj standard: „Vă mulțumim pentru interes, însă profilul dumneavoastră nu corespunde criteriilor noastre actuale.”
Întrebarea incomodă este alta: cine a decis, de fapt? Recruiterul, un departament al angajatorului însuși sau sistemul AI care a analizat CV-ul, a atribuit un scor, a ordonat candidații și a trimis mai departe doar primele zece profiluri selectate?
În recrutare, Regulamentul 2024/1689 privind inteligența artificială (în cele ce urmează „AI Act” sau „Regulamentul”) nu interzice folosirea algoritmilor, dar schimbă radical standardul de confort juridic. Un instrument care filtrează candidaturi, evaluează candidați, construiește scoruri de compatibilitate sau recomandă o listă scurtă nu mai poate fi tratat ca un simplu software administrativ, ci, în logica AI Act, intră în categoria sistemelor cu risc înalt din Anexa III.
De ce recrutarea este o zonă sensibilă
Accesul la muncă nu este o interacțiune comercială simplă. Pentru candidat, rezultatul poate însemna acces la venit, statut profesional, mobilitate socială și, în anumite cazuri, dreptul efectiv de a concura pentru o poziție. De aceea, AI Act tratează ocuparea forței de muncă și managementul lucrătorilor ca domenii în care erorile algoritmice pot afecta drepturi fundamentale.
Nu orice aplicație folosită de departamentul HR este, prin simpla ei existență, un sistem AI cu risc înalt: de exemplu, un calendar pentru interviuri, o bază de date pasivă sau un formular online nu devin automat „high-risk”. Diferența apare când sistemul este destinat să genereze predicții, recomandări, scoruri, clasificări sau alte rezultate care influențează modul în care este selectată ori respinsă o persoană. AI Act definește sistemul AI prin capacitatea sa de a genera rezultate, precum predicții, recomandări sau decizii, care pot influența medii fizice ori virtuale.
Criteriul relevant nu este eticheta comercială pusă de furnizor („smart recruitment”, „talent intelligence”, „CV ranking”, „candidate matching”), ci scopul intenționat și efectul real al sistemului în procesul de recrutare. Articolul 6 din AI Act califică drept sisteme cu risc înalt sistemele prevăzute în Anexa III, iar sistemele destinate recrutării și selecției sunt enumerate expres în această anexă.
Operatorul HR: între GDPR și AI Act
În limbajul GDPR, angajatorul sau agenția de recrutare care stabilește scopurile și mijloacele prelucrării datelor candidaților este, de regulă, operator de date. În limbajul AI Act, aceeași entitate devine „deployer”, adică persoana fizică sau juridică ce operează un sistem AI sub autoritatea sa. Regulamentul folosește și noțiunea mai largă de „operator”, care acoperă, după caz, furnizorul, producătorul, deployer-ul, importatorul sau distribuitorul.
Această distincție nu este cosmetică. Furnizorul (societatea care dezvoltă platforma de scoring al candidaților) răspunde pentru conformitate, documentare, management al riscului și transparență tehnică. Angajatorul sau recrutorul care folosește sistemul are obligații proprii: să îl utilizeze conform instrucțiunilor, să asigure supraveghere umană, să monitorizeze funcționarea, să păstreze loguri și să informeze persoanele vizate.
Mai există o capcană practică: compania HR poate deveni ea însăși „furnizor” în sensul AI Act dacă modifică substanțial sistemul, îl rebranduiește (cum se întâmplă în cazul licențelor whitelabel) sau îi schimbă deliberat scopul. De exemplu, o agenție de recrutare achiziționează o platformă de scoring a candidaților, îi adaugă propriile criterii de filtrare, o integrează cu baza sa de date internă și o oferă clienților. Din perspectiva AI Act, agenția nu mai este un simplu „deployer”, pentru că a intervenit în logica și prezentarea sistemului încât preia obligațiile de furnizor, inclusiv cele privind managementul riscului, documentația tehnică și declarația de conformitate.
Prima întrebare: sistemul chiar influențează selecția?
Un departament HR ar trebui să înceapă cu o întrebare simplă: ce face concret sistemul în procesul de recrutare?
Dacă sistemul doar centralizează candidaturi, riscul AI Act poate fi limitat. Dacă însă sistemul extrage automat competențe din CV, compară profilul candidatului cu istoricul angajărilor anterioare, acordă scoruri, recomandă candidați, elimină candidaturi sub un prag sau ordonează lista transmisă recruiter-ului, el intră în zona sensibilă. Nu este necesar ca algoritmul să aibă ultimul cuvânt formal, cât este suficient ca output-ul său să influențeze semnificativ decizia umană.
AI Act permite, în anumite condiții, ca un sistem din Anexa III să nu fie tratat ca risc înalt dacă nu prezintă un risc semnificativ de afectare a sănătății, siguranței sau drepturilor fundamentale și dacă nu influențează material rezultatul deciziei. Excepția trebuie însă documentată, iar sistemele care realizează profilarea persoanelor fizice rămân, în principiu, sisteme cu risc înalt.
În termeni practici, cu cât scorul AI contează mai mult în selecție, cu atât argumentul „a fost doar un instrument auxiliar” devine mai greu de susținut. Dacă recruiter-ul vede doar candidații preselectați de sistem, supravegherea umană nu mai este reală, ci este decorativă.
Achiziția sistemului: due diligence, nu demo comercial
Pentru operatorul HR, conformitatea începe înainte de semnarea unui contract pentru achiziționarea unui software. AI Act cere ca sistemele cu risc înalt să fie suficient de transparente pentru ca deployer-ul să poată interpreta rezultatele și să le folosească în mod corespunzător. Instrucțiunile de utilizare trebuie să includă, între altele, scopul intenționat, caracteristicile și limitările sistemului, nivelurile de acuratețe, riscurile cunoscute, datele de intrare așteptate, modul de interpretare a rezultatelor și măsurile de supraveghere umană.
Întrebările relevante pentru furnizor nu sunt doar tehnice, ci sunt juridice și operaționale. Ce anume evaluează sistemul? Pe ce date a fost antrenat? Care sunt limitele sale cunoscute? Cum se comportă pentru categorii diferite de candidați? Cum pot fi contestate sau explicate rezultatele? Ce loguri produce? Ce intervenție umană este posibilă? Ce se întâmplă când sistemul greșește?
Un contract HR-tech care nu conține răspunsuri la aceste întrebări va crea un risc dublu: risc de neconformitate cu AI Act și risc de neconformitate cu GDPR. Cele două regimuri nu se exclud: AI Act menține expres aplicabilitatea GDPR și a celorlalte norme privind protecția datelor și a vieții private.
Folosirea conform instrucțiunilor și problema „scopului extins”
Una dintre obligațiile centrale ale deployer-ului este utilizarea sistemului AI cu risc înalt conform instrucțiunilor furnizorului. Această regulă pare banală, dar în HR este adesea ignorată.
De exemplu, un sistem achiziționat pentru trierea inițială a candidaturilor nu ar trebui folosit și pentru evaluarea performanței angajaților existenți. Un instrument creat pentru recomandarea candidaților nu ar trebui transformat, informal, într-un mecanism de respingere automată. Un model calibrat pentru un anumit tip de poziție nu ar trebui aplicat fără validare pentru roluri diferite, industrii diferite sau piețe de muncă diferite.
AI Act obligă deployer-ul să utilizeze sistemul în acord cu instrucțiunile și să se asigure că persoanele cărora li se atribuie supravegherea umană au competența, pregătirea, autoritatea și sprijinul necesare. Deployer-ul trebuie, de asemenea, să monitorizeze funcționarea sistemului și să informeze furnizorul și autoritățile competente atunci când utilizarea sistemului poate genera un risc relevant.
Supravegherea umană nu este o semnătură la final
Una dintre cele mai importante confuzii în recrutarea automatizată este aceea că prezența unui recruiter în proces rezolvă problema. Dacă sistemul elimină candidați înainte ca un om să îi vadă, decizia nu mai este cu adevărat umană. Dacă recruiterul aprobă invariabil scorul algoritmic, intervenția sa este formală. Dacă platforma nu explică suficient criteriile evaluate, persoana responsabilă nu are cum să supravegheze efectiv procesul.
Articolul 14 din AI Act cere ca sistemele AI cu risc înalt să fie concepute astfel încât să poată fi supravegheate de persoane fizice. Supravegherea trebuie să permită, după caz, înțelegerea capacităților și limitărilor sistemului, monitorizarea funcționării, interpretarea corectă a rezultatelor, evitarea automatismului psihologic de tip „automation bias” și posibilitatea de a ignora, anula sau inversa output-ul sistemului.
Întrebarea juridică nu este „există un om în proces?”, ci „omul poate schimba efectiv rezultatul?”. Dacă răspunsul este negativ, organizația trebuie să trateze procesul ca pe unul automatizat în substanță, chiar dacă organigrama internă îl descrie altfel.
Articolul 22 GDPR rămâne central. Persoana vizată are dreptul de a nu fi supusă unei decizii bazate exclusiv pe prelucrare automată, inclusiv profilare, atunci când decizia produce efecte juridice sau o afectează semnificativ în mod similar. Excepțiile presupun condiții stricte și garanții adecvate, inclusiv dreptul de a obține intervenție umană, de a-și exprima punctul de vedere și de a contesta decizia. În recrutare, o respingere automată poate avea un impact semnificativ asupra persoanei. Chiar și atunci când compania susține că decizia finală aparține unui recruiter, analiza trebuie să privească realitatea procesului. Dacă algoritmul a exclus candidatul din lista vizibilă, iar omul nu a avut posibilitatea reală de a evalua dosarul, intervenția umană este iluzorie.
Jurisprudența CJUE în materia scoring-ului automatizat, inclusiv cauza SCHUFA, arată că un scor calculat automat poate intra în zona art. 22 GDPR atunci când joacă un rol determinant în decizia luată ulterior de o altă entitate. Logica este relevantă și în HR: nu este suficient ca decizia finală să fie, formal, a angajatorului, dacă scorul AI a determinat în fapt rezultatul.
Informarea candidaților și a lucrătorilor
AI Act adaugă obligații explicite de informare, astfel că, înainte de a pune în funcțiune sau de a utiliza un sistem AI cu risc înalt la locul de muncă, deployer-ul trebuie să informeze reprezentanții lucrătorilor și lucrătorii afectați că vor fi supuși utilizării sistemului. De asemenea, persoanele fizice supuse unei decizii sau unei asistențe a procesului decizional printr-un sistem AI cu risc înalt trebuie informate că un astfel de sistem este utilizat.
Pentru candidați, această informare nu ar trebui disimulată într-o politică de confidențialitate generică. O formulare utilă trebuie să explice, într-un limbaj inteligibil, că aplicația poate fi analizată printr-un sistem AI, ce rol are sistemul în proces, dacă rezultatul poate influența selecția, cine revizuiește rezultatul și cum poate candidatul solicita clarificări sau intervenție umană.
Aici se suprapun AI Act și GDPR. Dacă sistemul prelucrează date personale, iar în recrutare aproape întotdeauna o face, angajatorul trebuie să respecte principiile GDPR privind legalitatea, transparența, minimizarea datelor, limitarea stocării și exercitarea drepturilor persoanelor vizate.
Mai mult, AI Act introduce un drept distinct la explicație pentru persoanele afectate de anumite decizii luate de deployer pe baza output-ului unui sistem AI cu risc înalt din Anexa III. Persoana are dreptul să primească explicații clare și semnificative privind rolul sistemului AI în procedura decizională și principalele elemente ale deciziei, atunci când decizia produce efecte juridice sau o afectează semnificativ în privința drepturilor sale fundamentale, a sănătății sau a siguranței.
În practică, asta nu înseamnă că angajatorul trebuie să divulge codul sursă, algoritmul integral sau secretele comerciale ale furnizorului. Înseamnă însă că nu poate răspunde candidatului cu o frază de tipul: „sistemul a generat un scor intern”. O explicație utilă ar trebui să indice rolul sistemului, criteriile principale evaluate, modul în care output-ul a fost folosit și existența unei revizuiri umane.
Pentru departamentele HR, acest drept trebuie pregătit înainte de lansarea sistemului, nu după prima plângere. Dacă organizația nu poate explica intern de ce un candidat a fost respins, nu va putea explica satisfăcător nici extern.
Loguri, monitorizare și incidente
AI Act cere deployer-ilor de sisteme AI cu risc înalt să păstreze logurile generate automat, în măsura în care aceste loguri se află sub controlul lor, pentru o perioadă de cel puțin șase luni, cu excepția cazului în care dreptul UE sau dreptul național aplicabil prevede altfel. Deployer-ul trebuie să monitorizeze funcționarea sistemului și să ia măsuri atunci când are motive să considere că utilizarea acestuia poate genera un risc.
În recrutare, logurile pot arăta ce versiune a sistemului a fost folosită, ce criterii au fost aplicate, ce scor a primit candidatul, dacă recruiterul a revizuit rezultatul și dacă a existat o intervenție umană reală. Fără loguri, compania nu poate reconstitui un proces pe care trebuie să îl justifice.
Monitorizarea nu trebuie să fie doar tehnică, ci se impune ca departamentul HR să urmărească periodic dacă anumite categorii de candidați sunt eliminate disproporționat, dacă sistemul favorizează nejustificat anumite trasee educaționale sau profesionale, dacă pragurile de scor sunt calibrate corect și dacă recruiterii se bazează exclusiv pe recomandarea automată.
Când un incident apare (de exemplu, un candidat demonstrează că a fost exclus pe baza unui criteriu discriminatoriu codificat în sistem, sau un lot întreg de candidaturi este eliminat din cauza unei erori de configurare) deployer-ul trebuie să poată reacționa rapid: AI Act îl obligă să suspende utilizarea sistemului atunci când consideră că acesta prezintă un risc și să informeze furnizorul și autoritatea competentă. Practic, departamentul HR ar trebui să aibă un protocol intern care răspunde la trei întrebări: cine decide oprirea sistemului, cum sunt reluate candidaturile afectate și cine notifică autoritatea de supraveghere. Fără un astfel de protocol, incidentul nu rămâne doar o eroare tehnică, ci devine o problemă de guvernanță.
Checklist minim pentru operatorul HR
Înainte de utilizarea unui sistem AI în recrutare, operatorul HR ar trebui să poată răspunde, documentat, la cel puțin nouă întrebări:
1. Sistemul intră în definiția AI Act a unui sistem AI? 2. Este destinat recrutării, selecției, filtrării candidaturilor sau evaluării candidaților? 3. Cine este furnizorul, cine este deployer-ul și cine este operatorul de date sub GDPR? 4. Care este scopul intenționat al sistemului și este utilizarea reală limitată la acest scop? 5. Output-ul sistemului influențează material respingerea, ierarhizarea sau selectarea candidaților? 6. Ce date de intrare sunt folosite și sunt ele relevante pentru postul vizat? 7. Ce persoană umană poate interpreta, ignora, modifica sau inversa rezultatul? 8. Cum sunt informați candidații și cum pot cere explicații sau intervenție umană? 9. Ce loguri sunt păstrate și pentru cât timp?
Dacă aceste întrebări par excesive pentru un simplu instrument de recrutare, acesta este tocmai semnalul că instrumentul nu mai este atât de simplu pe cât pare.
Concluzie
AI Act nu cere ca recrutarea să se întoarcă la dosare pe hârtie și intuiții manageriale, cere însă ca organizațiile să nu externalizeze decizia de acces unui sistem opac, neverificat și greu de contestat.
În resurse umane, algoritmul poate ajuta, poate ordona informația, poate reduce sarcini repetitive, poate semnala potriviri posibile, dar nu ar trebui să devină judecătorul tăcut al carierei unei persoane.
Pentru operatorul HR, regula de fond este simplă: dacă algoritmul participă la selecția candidatului, organizația trebuie să poată explica ce face sistemul, de ce este legitim să îl folosească, cine îl supraveghează și cum poate fi corectată o decizie greșită.
În era AI Act, recrutarea automatizată nu mai este doar o chestiune de eficiență. Este o chestiune de guvernanță, documentare probatorie și responsabilitate juridică.
Avocat Victor Buju, Buju Stanciu & Asociații