Firma technologiczna z Warszawy wdraża nowy system do selekcji CV. Algorytm ocenia kandydatów automatycznie – bez udziału człowieka w pierwszym etapie. Od 2 sierpnia 2026 r. taki system jest objęty rygorystycznymi wymogami AI Act jako system wysokiego ryzyka. Brak zgodności oznacza kary do 30 milionów EUR lub 6% globalnego obrotu – i to nie jest jedyne ryzyko.

AI Act (Rozporządzenie UE 2024/1689) klasyfikuje systemy AI stosowane w rekrutacji i selekcji pracowników jako systemy wysokiego ryzyka. Obowiązek stosowania przepisów dotyczących systemów wysokiego ryzyka wchodzi w życie 2 sierpnia 2026 roku. Dotyczy to każdego pracodawcy korzystającego z narzędzi AI do oceny kandydatów – niezależnie od wielkości firmy.

Ten alert wyjaśnia trzy rzeczy: co się zmieniło, kogo dotyczą nowe przepisy i jakie działania należy podjąć natychmiast. Czas na przygotowanie jest krótszy, niż większość działów HR zakłada.

Co zmienił AI Act dla narzędzi rekrutacyjnych?

AI Act wszedł w życie 1 sierpnia 2024 r. Przepisy dotyczące systemów wysokiego ryzyka stosuje się od 2 sierpnia 2026 r. To oznacza, że pracodawcy mają mniej niż sześć miesięcy na pełne wdrożenie compliance.

Systemy AI używane w rekrutacji znalazły się w Załączniku III do rozporządzenia jako systemy wysokiego ryzyka. Obejmuje to narzędzia do: automatycznego przeglądania CV, rankingowania kandydatów, oceny kompetencji na podstawie testów algorytmicznych, analizy nagrań wideo z rozmów kwalifikacyjnych. Każde z tych zastosowań podlega pełnemu reżimowi compliance.

Kluczowa zmiana polega na tym, że odpowiedzialność spoczywa zarówno na dostawcy systemu, jak i na jego użytkowniku – czyli pracodawcy. Nawet jeśli Państwa firma korzysta z gotowego oprogramowania HR innej firmy, to Państwo jako „deployer" odpowiadają za przestrzeganie przepisów w praktyce. W praktyce – wiele firm o tym zapomina – zakup licencji SaaS nie zwalnia z obowiązków compliance.

RODO (Rozporządzenie UE 2016/679) już wcześniej nakładało ograniczenia na automatyczne podejmowanie decyzji dotyczących osób fizycznych. AI Act idzie dalej: wymaga dokumentacji technicznej, oceny zgodności i nadzoru ludzkiego przed wdrożeniem systemu. PUODO jako organ nadzorczy może prowadzić kontrole równolegle z organami AI Act.

Kogo dotyczą nowe wymogi i jakie są progi odpowiedzialności?

AI Act stosuje się do każdego podmiotu, który wdraża system AI wysokiego ryzyka na terytorium UE – niezależnie od siedziby firmy. Polskie przedsiębiorstwo zatrudniające 50 pracowników, które korzysta z algorytmicznego systemu selekcji CV, podlega tym samym przepisom co korporacja z tysiącami pracowników.

Progi odpowiedzialności są trójstopniowe. Po pierwsze, dostawcy systemów AI (providers) mają obowiązek przeprowadzenia oceny zgodności, stworzenia dokumentacji technicznej i rejestracji systemu w unijnej bazie danych przed wprowadzeniem go na rynek. Po drugie, użytkownicy systemów (deployers) muszą zapewnić nadzór ludzki, prowadzić logi aktywności systemu przez co najmniej sześć miesięcy oraz informować kandydatów o stosowaniu AI. Po trzecie, importerzy i dystrybutorzy odpowiadają za weryfikację, czy dostawca spełnił swoje obowiązki.

Szczególna sytuacja dotyczy firm z sektora finansowego. Jeśli instytucja finansowa używa AI w rekrutacji, musi pogodzić wymogi AI Act z obowiązkami wynikającymi z DORA (Rozporządzenie UE 2022/2554), który od 17 stycznia 2025 r. nakłada dodatkowe wymogi zarządzania ryzykiem ICT. KNF może prowadzić kontrole niezależnie od organów AI Act. To podwójny reżim compliance, który wymaga skoordynowanego podejścia.

Kary za naruszenia sięgają 30 milionów EUR lub 6% globalnego rocznego obrotu – stosuje się wyższą kwotę. Dla małych i średnich przedsiębiorstw przewidziano niższe progi: 15 milionów EUR lub 3% obrotu. Ale nawet te kwoty mogą być dla wielu firm egzystencjalnym zagrożeniem.

Firmy technologiczne oferujące rozwiązania IP lub wdrażające systemy AI na rynkach zagranicznych powinny zapoznać się z strategią ochrony IP dla firm technologicznych w Polsce – kwestie własności intelektualnej i compliance AI są coraz częściej powiązane.

Konkretna sytuacja Państwa firmy wymaga indywidualnej oceny. Brak wdrożenia nadzoru ludzkiego przed 2 sierpnia 2026 r. może nieodwracalnie narazić pracodawcę na kary administracyjne i roszczenia kandydatów.

Jeśli Państwa firma stosuje narzędzia AI w rekrutacji i nie przeprowadziła jeszcze oceny zgodności z AI Act – przeprowadzimy audyt systemu, przygotujemy dokumentację techniczną i wdrożymy procedury nadzoru: info@kordeckipartners.com.

Jakie działania należy podjąć natychmiast?

Termin 2 sierpnia 2026 r. zbliża się szybko. Pełne wdrożenie compliance dla systemu wysokiego ryzyka zajmuje przeciętnie od trzech do pięciu miesięcy. Firmy, które zaczną przygotowania w maju, mogą nie zdążyć.

Pierwszym krokiem jest inwentaryzacja narzędzi AI używanych w procesach HR. Wiele firm nie ma pełnej wiedzy o tym, które z ich systemów zawierają komponenty AI. Dotyczy to nie tylko dedykowanych platform rekrutacyjnych, ale też modułów AI wbudowanych w popularne systemy ATS (Applicant Tracking Systems).

Szczegółowa analiza klasyfikacji systemów AI wysokiego ryzyka jest dostępna w naszym opracowaniu: AI Act – klasyfikacja systemów wysokiego ryzyka.

Lista działań do natychmiastowego wdrożenia:

  • Inwentaryzacja wszystkich systemów AI używanych w rekrutacji – w ciągu 14 dni
  • Weryfikacja umów z dostawcami pod kątem podziału obowiązków compliance (provider vs. deployer)
  • Wdrożenie procedury nadzoru ludzkiego nad decyzjami algorytmicznymi
  • Przygotowanie informacji dla kandydatów o stosowaniu AI – wymóg przejrzystości z RODO i AI Act
  • Uruchomienie logowania aktywności systemu AI z retencją minimum sześciu miesięcy

Firmy z sektora finansowego muszą dodatkowo uwzględnić wymogi DORA w zakresie zarządzania ryzykiem dostawców ICT. Jeśli system rekrutacyjny jest hostowany przez zewnętrznego dostawcę, umowa z nim musi spełniać standardy DORA dotyczące outsourcingu krytycznych funkcji. Kwestie podatkowe związane z wdrożeniem systemów compliance warto omówić z praktyką podatkową KORDECKI & Partners.

Startup z Krakowa, który wiosną 2025 r. wdrożył algorytmiczny system oceny kandydatów bez oceny zgodności, stanął przed koniecznością kosztownej przebudowy całego procesu rekrutacyjnego. Koszt opóźnionego compliance okazał się wielokrotnie wyższy niż koszt wcześniejszego audytu.

Konkretna sytuacja Państwa firmy wymaga oceny przed upływem terminu. Brak dokumentacji technicznej systemu AI w dniu kontroli nieodwracalnie zamyka drogę do obrony przed sankcją administracyjną.

Jeśli Państwa spółka stosuje narzędzia AI w selekcji kandydatów i zbliża się termin 2 sierpnia 2026 r. – przeprowadzimy klasyfikację systemu, przygotujemy dokumentację wymaganą przez AI Act i wdrożymy procedury nadzoru ludzkiego: info@kordeckipartners.com.

Często zadawane pytania

P: Czy AI Act dotyczy małych firm, które korzystają z gotowego oprogramowania HR z funkcją AI?

O: Tak. AI Act stosuje się do każdego użytkownika systemu AI wysokiego ryzyka – niezależnie od wielkości firmy i niezależnie od tego, czy system jest własny czy kupiony. Pracodawca jako „deployer" odpowiada za zapewnienie nadzoru ludzkiego, prowadzenie logów i informowanie kandydatów. Zakup licencji od zewnętrznego dostawcy nie przenosi tych obowiązków na dostawcę. Umowa z dostawcą powinna jednak jasno określać podział odpowiedzialności – brak takiego uregulowania to częsty błąd.

P: Kiedy dokładnie wchodzą w życie kary za naruszenia AI Act w obszarze rekrutacji?

O: Przepisy dotyczące systemów wysokiego ryzyka, w tym systemów rekrutacyjnych, stosuje się od 2 sierpnia 2026 roku. Organy nadzorcze mogą prowadzić kontrole i nakładać kary od tego dnia. Nie ma okresu przejściowego po tej dacie. Maksymalna kara wynosi 30 milionów EUR lub 6% globalnego rocznego obrotu. Dla małych i średnich przedsiębiorstw przewidziano niższy próg: 15 milionów EUR lub 3% obrotu.

P: Czy system AI w rekrutacji musi być zarejestrowany w unijnej bazie danych?

O: Obowiązek rejestracji w unijnej bazie danych systemów AI wysokiego ryzyka spoczywa przede wszystkim na dostawcy systemu, nie na pracodawcy-użytkowniku. Pracodawca powinien jednak zweryfikować, czy dostawca dopełnił tego obowiązku przed wdrożeniem systemu. Brak rejestracji po stronie dostawcy nie zwalnia pracodawcy z odpowiedzialności za stosowanie niezgodnego systemu. Weryfikacja statusu rejestracji powinna być elementem due diligence przy wyborze narzędzia HR.

KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do compliance AI Act, RODO i regulacji technologicznych. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.

Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.