AI Act wchodzi w życie. Co nowe unijne prawo oznacza dla branży IT i procesów rekrutacyjnych?

Sztuczna inteligencja (AI) już dawno przestała być jedynie intrygującą nowinką technologiczną, stając się ważnym elementem procesów biznesowych. Narzędzia oparte na AI wspierają tworzenie kodu, optymalizują zarządzanie projektami, transformują rekrutację. Jednak dynamiczny rozwój tej technologii wyprzedził regulacje prawne, co wywołało pytania o bezpieczeństwo, przejrzystość i etykę jej stosowania.

Odpowiedzią Unii Europejskiej jest AI Act:  pierwsze na świecie kompleksowe prawo regulujące rozwój i wykorzystanie sztucznej inteligencji. Rozporządzenie obowiązuje bezpośrednio we wszystkich krajach UE od 1 sierpnia 2024 roku, a jego przepisy wchodzą w życie etapami. Przyjrzyjmy się, co AI Act oznacza dziś dla branży IT, CTO oraz zespołów HR i Procurementu.

AI Act w pigułce: podejście oparte na ryzyku

Kluczowym założeniem AI Act jest klasyfikacja systemów sztucznej inteligencji na podstawie poziomu ryzyka, jakie stwarzają dla praw podstawowych, bezpieczeństwa i zdrowia obywateli. Im wyższe ryzyko, tym bardziej rygorystyczne obowiązki.

Dokument wprowadza cztery kategorie:

1. Systemy niedopuszczalnego ryzyka: całkowicie zakazane na terenie UE. Obowiązują od 2 lutego 2025 r. i obejmują m.in. systemy oceny społecznej (social scoring) czy biometryczną kategoryzację na podstawie cech wrażliwych, a w kontekście pracy, rozpoznawanie emocji pracowników i kandydatów.
2. Systemy wysokiego ryzyka: podlegają najbardziej rozbudowanym wymogom. Zalicza się do nich m.in. systemy wykorzystywane w edukacji, infrastrukturze krytycznej, a co najważniejsze, w rekrutacji i zarządzaniu pracownikami.
3. Systemy ograniczonego ryzyka: wymagają przede wszystkim przejrzystości (np. chatboty muszą informować użytkownika, że rozmawia z maszyną).
4. Systemy minimalnego ryzyka (np. filtry antyspamowe) pozostają w dużej mierze poza regulacją.

Ważna zmiana harmonogramu: Digital Omnibus przesuwa terminy dla HR

To najistotniejsza aktualizacja, o której trzeba dziś wiedzieć. W ramach pakietu Digital Omnibus Unia Europejska przesunęła termin wejścia w życie najbardziej rygorystycznych obowiązków dla samodzielnych systemów wysokiego ryzyka (w tym narzędzi rekrutacyjnych) z 2 sierpnia 2026 r. na 2 grudnia 2027 r. 

Co to oznacza w praktyce dla działów HR?

• Firmy zyskały dodatkowe ok. 16 miesięcy na dostosowanie narzędzi ATS i systemów oceny kandydatów do pełnych wymogów systemów wysokiego ryzyka (ocena zgodności, rejestracja w unijnej bazie, pełna dokumentacja techniczna).
• Nie oznacza to jednak, że temat można odłożyć. Od 2 sierpnia 2026 r. nadal obowiązują wymogi przejrzystości z art. 50 AI Act, a zakaz stosowania systemów rozpoznawania emocji w miejscu pracy działa już od lutego 2025 r. Niezależnie od AI Act, art. 22 RODO, dotyczący zautomatyzowanego podejmowania decyzji, obowiązuje już dziś i nie podlega żadnemu przesunięciu.
• Wysokość kar pozostaje bez zmian. Zmienia się wyłącznie moment, od którego zaczną być egzekwowane w odniesieniu do systemów wysokiego ryzyka w rekrutacji.

Wpływ na rekrutację i HR (systemy wysokiego ryzyka)

Z perspektywy zespołów Talent Acquisition (TA) najistotniejsza pozostaje kategoryzacja narzędzi AI wspierających rekrutację jako systemów wysokiego ryzyka. Dotyczy to oprogramowania używanego do:

• sortowania i filtrowania CV,
• oceny kandydatów podczas rozmów kwalifikacyjnych,
• podejmowania decyzji o zatrudnieniu lub awansie.

Co to oznacza w praktyce?

(docelowo od grudnia 2027 r., ale warto przygotować się już teraz):

Jeśli organizacja wdraża (jako użytkownik) lub tworzy (jako dostawca) takie systemy, będzie musiała spełnić szereg wymogów, m.in.:

• zapewnienie wysokiej jakości danych treningowych, aby uniknąć błędów poznawczych i dyskryminacji (np. odrzucania kandydatów ze względu na płeć lub wiek na podstawie historycznych danych);
• prowadzenie szczegółowej dokumentacji technicznej;
• wdrożenie mechanizmów ludzkiego nadzoru (human in the loop). Ostateczna decyzja, np. o odrzuceniu kandydata, powinna podlegać weryfikacji przez człowieka. Kandydaci mogą też domagać się wyjaśnienia, w jaki sposób system AI wpłynął na decyzję rekrutacyjną.

Dla zespołów TA praktyczną i pilną rekomendacją pozostaje audyt obecnie używanych narzędzi HR-owych. Nie tyle ze względu na sam AI Act, ile ze względu na wymogi RODO dotyczące zautomatyzowanego podejmowania decyzji, które obowiązują bez żadnego vacatio legis.

Wyzwania dla CTO i zespołów Procurementu

Dyrektorzy techniczni (CTO) oraz zespoły Procurementu stoją przed wyzwaniem nie tylko zrozumienia nowych przepisów, ale również wdrożenia ich w codziennej pracy i relacjach z dostawcami.

Na co należy zwrócić uwagę:

• Audyt i klasyfikacja: organizacje powinny zidentyfikować wszystkie systemy AI wykorzystywane w firmie i przypisać je do odpowiedniej kategorii ryzyka – niezależnie od przesunięcia terminów, bo to podstawa do dalszych decyzji.
• Zarządzanie dostawcami (Procurement): w przypadku zakupu oprogramowania opartego na AI (np. z obszaru HR, ale też narzędzi analitycznych czy systemów wspierających wytwarzanie oprogramowania) warto już dziś weryfikować, czy dostawca przygotowuje się do wymogów obowiązujących od grudnia 2027 r. Dodatkowy czas dobrze jest wykorzystać na renegocjację umów i wprowadzenie odpowiednich klauzul gwarancyjnych, zamiast traktować go jako powód do zwłoki.
• Rozwój oprogramowania (CTO): jeśli organizacja tworzy własne rozwiązania AI lub buduje je dla klientów (np. w modelu outsourcingu), proces wytwarzania oprogramowania powinien być stopniowo dostosowywany do wymogów zgodności (compliance): większy nacisk na testowanie modeli pod kątem uprzedzeń (bias testing), dokumentację procesów uczenia maszynowego i cyberbezpieczeństwo tych systemów.

AI Act to krok w kierunku odpowiedzialnego i bezpiecznego wykorzystywania sztucznej inteligencji. Rozłożony na etapy, z których część właśnie została przesunięta w czasie (systemy wysokiego ryzyka w rekrutacji: grudzień 2027 r.), a część obowiązuje bez zmian już dziś (zakazane praktyki, przejrzystość z art. 50, RODO). Audyt stosowanych narzędzi, szczególnie w obszarze HR, weryfikacja dostawców oprogramowania oraz ewentualne wzmocnienie zespołów IT pozostają priorytetami, które pozwolą organizacjom wykorzystać dodatkowy czas mądrze, uniknąć kar i budować przewagę konkurencyjną w sposób przejrzysty i zgodny z prawem.

Stan prawny na podstawie harmonogramu AI Act po przyjęciu pakietu Digital Omnibus (zgoda Rady UE z 29 czerwca 2026 r.). Warto śledzić dalsze komunikaty Komisji Europejskiej, ponieważ szczegółowe akty wykonawcze i wytyczne wciąż są dopracowywane.