HR a nábor — Soulad s EU AI Act

Povinnosti EU AI Act pro AI používanou při náboru zaměstnanců, monitorování pracovníků a hodnocení výkonu. Kategorie 4 přílohy III zahrnuje všechny AI systémy v oblasti zaměstnanosti.

Proč je EU AI Act klíčový pro HR technologie

Umělá inteligence se hluboce zakořenila v pracovních postupech napříč EU — od automatizovaného zpracování životopisů v systémech pro sledování uchazečů až po dashboardy výkonu v reálném čase a behaviorální analytiku v kontaktních centrech. EU AI Act, který je v platnosti od 1. srpna 2024 s povinnostmi pro vysoce rizikové AI systémy použitelnými od 2. srpna 2026, považuje AI v oblasti zaměstnanosti za oblast citlivou z hlediska základních práv, která si zaslouží nejvyšší úroveň regulatorního dohledu.

Příloha III, kategorie 4 nařízení identifikuje AI systémy používané v oblasti zaměstnanosti, řízení pracovníků a přístupu k samostatné výdělečné činnosti jako vysoce rizikové ve třech odlišných podkategoriích: nábor a výběr zaměstnanců (kat. 4(a)), rozhodnutí o povýšení, přidělování úkolů a monitorování smluvních povinností (kat. 4(b)) a monitorování emočních nebo behaviorálních stavů pracovníků v reálném čase (kat. 4(c)). Tato klasifikace je kategorická — neexistuje žádný práh materiality, žádná výjimka pro malá nasazení a žádné rozlišení podle toho, zda je nástroj proprietární nebo získaný od dodavatele třetí strany.

Sektor se nachází na průsečíku tří regulatorních rámců: AI Act, GDPR (zejména čl. 22 o automatizovaném rozhodování) a národního pracovního práva — včetně práv spolurozhodování ohledně technologií na pracovišti. Dosažení souladu vyžaduje koordinovaný přístup zahrnující právní, HR, IT a spolupráci s podnikovými radami.

Vysoce rizikové případy použití — Všechny systémy přílohy III kategorie 4

Nábor a výběr zaměstnanců (kat. 4(a))

AI systémy používané v průběhu náboru jsou bez výjimky vysoce rizikové. To zahrnuje:

• Nástroje pro screening životopisů integrované do ATS platforem (Workday, SAP SuccessFactors, Greenhouse, Lever, SmartRecruiters). Logika řazení, předvýběru a odmítání řízená AI spadá přímo do kat. 4(a).
• Nástroje pro analýzu videopohovorů, které hodnotí výrazy obličeje, tón hlasu, řečové vzorce nebo mikrovýrazy s cílem odvodit vhodnost kandidáta nebo jeho osobnostní rysy (např. nástroje typu HireVue). Tyto mohou rovněž vyvolat povinnosti transparentnosti podle čl. 50(2), pokud zahrnují rozpoznávání emocí.
• Algoritmy pro cílenou pracovní inzerci, které určují, kterým osobám jsou zobrazovány pracovní nabídky na základě odvozených charakteristik — včetně věku, pohlaví nebo geografických ukazatelů — jsou výslovně vyjmenovány v kat. 4(a) a představují zvláštní riziko diskriminačního cílení.

Řízení pracovní síly a monitorování (kat. 4(b))

AI používaná k řízení pracovního poměru po přijetí zaměstnance je rovněž vysoce riziková:

• AI pro hodnocení výkonu, která generuje skóre, hodnocení nebo výstupy řazení používané k informování rozhodnutí o povýšení, odměnách nebo ukončení pracovního poměru.
• Algoritmy pro přidělování úkolů v platformách gig ekonomiky (Uber, Deliveroo, Amazon Flex), které přidělují práci, stanovují mzdové sazby a rozhodují o deaktivaci. Tyto jsou vysoce rizikové podle kat. 4(b) bez ohledu na pracovněprávní klasifikaci pracovníka.
• Software pro monitorování produktivity, který agreguje aktivitu klávesnice, používání aplikací, metadata komunikace nebo lokační data za účelem vytváření metrik výkonu. Pokud výstupy vstupují do smluvních rozhodnutí, použije se kat. 4(b).

Monitorování emocí a chování v reálném čase (kat. 4(c))

Příloha III kat. 4(c) je zaměřena konkrétně na systémy, které monitorují emoční nebo behaviorální stav pracovníků v reálném čase. Běžná nasazení v rozsahu působnosti:

• Analytika emocí v call centrech, která hodnotí náladu volajícího a agenta při živých hovorech a generuje výkonnostní upozornění.
• Biometrické platformy pro sledování pohody, které odvozují stres, únavu nebo míru zapojení z fyziologických nebo behaviorálních signálů.
• Monitorování pozornosti a zapojení při práci na dálku prostřednictvím inference ze webové kamery.

Tyto systémy navíc vyvolávají čl. 50(2): každý provozovatel používající rozpoznávání emocí u pracovníků musí tyto pracovníky informovat, že jsou předmětem daného systému. Tato povinnost oznámení platí bez ohledu na to, zda byl splněn širší harmonogram souladu pro vysoce rizikové systémy.

Povinnosti poskytovatele vs. provozovatele — Pozice zaměstnavatele

Podle AI Act zaujímá většina zaměstnavatelů roli provozovatele — pořizují vysoce rizikové AI systémy od poskytovatelů (dodavatelů softwaru) a nasazují je ve svých HR procesech. Rozlišení poskytovatel/provozovatel je právně významné, protože povinnosti se liší.

Povinnosti poskytovatele (odpovědnosti dodavatele)

Poskytovatelé — dodavatelé HR softwaru — musí před uvedením vysoce rizikových systémů na trh EU:

• Zavést a udržovat systém řízení kvality (čl. 9) zahrnující řízení rizik, správu dat, technickou dokumentaci a post-tržní monitorování.
• Připravit technickou dokumentaci podle přílohy IV prokazující design systému, zamýšlený účel, metriky výkonu, trénovací data a známá omezení.
• Provést posouzení shody podle čl. 43 a zaregistrovat systém v databázi EU (čl. 49).
• Připojit označení CE a vydat EU prohlášení o shodě.
• Poskytnout provozovatelům pokyny k použití (čl. 13) včetně informací o omezeních, zamýšlených uživatelských profilech a požadavcích na dohled.

Povinnosti provozovatele (odpovědnosti zaměstnavatele)

Zaměstnavatelé musí:

• Ověřit soulad poskytovatele před nasazením: zkontrolovat označení CE, prohlášení o shodě a přiměřené pokyny k použití.
• Zavádět v souladu s pokyny: provozovatelé nesmí používat systém k účelům přesahujícím jeho uvedený zamýšlený účel (čl. 25(1)).
• Zajistit smysluplný lidský dohled (čl. 25(2)): zaměstnanci pověření dohledem nad výstupy AI musí mít oprávnění, technickou způsobilost a čas potřebný k pochopení výstupů systému a jejich přepsání v případě potřeby. Nominální lidský přezkum — formální schválení bez skutečného posouzení — tento požadavek nesplňuje.
• Provést posouzení dopadu na základní práva (FRIA) (čl. 27): povinné pro provozovatele z veřejného sektoru; důrazně doporučované pro zaměstnavatele ze soukromého sektoru nasazující systémy kat. 4, zejména pokud výstupy ovlivňují chráněné charakteristiky.
• Monitorovat post-nasazení rizika: pokud provozovatel identifikuje rizika, která poskytovatel nepředvídal, musí poskytovatele a v příslušných případech orgán dohledu nad trhem informovat.
• Pozastavit používání v případě vzniku závažných incidentů nebo zjištění, že systém není při provozu v souladu s předpisy.

Interakce s článkem 22 GDPR a pracovním právem

Článek 22 GDPR — Automatizované rozhodování

Čl. 22 GDPR zůstává plně v platnosti souběžně s AI Act a přímo se vztahuje na HR AI. Zakazuje rozhodnutí založená výhradně na automatizovaném zpracování, pokud tato rozhodnutí mají právní účinky nebo obdobně závažné účinky na subjekt údajů. V kontextu zaměstnání jsou následující rozhodnutí jednoznačně v působnosti: přijímání a odmítání, ukončení pracovního poměru, povýšení a degradace, stanovení odměny a disciplinární opatření.

Soulad vyžaduje:

• Smysluplný lidský zásah před každým závažným rozhodnutím — přezkoumávající osoba musí mít přístup k podkladovým datům a logice, nikoli pouze k souhrnné doporučení.
• Právo na lidský přezkum každého automatizovaného rozhodnutí na žádost, se skutečnou kapacitou přehodnocení.
• Právní základ pro zpracování podle čl. 6 a, pokud jsou zapojeny zvláštní kategorie údajů (zdravotní, etnické, biometrické údaje odvozené z analýzy obličeje), podle čl. 9.

AI Act a GDPR jsou komplementární, nikoli vzájemně se vylučující. Čl. 2(7) AI Act potvrzuje, že se uplatňuje, aniž jsou dotčena ustanovení GDPR. Zaměstnavatelé musí splňovat oba režimy současně.

Národní pracovní právo — Podnikové rady a spolurozhodování

V několika členských státech EU přiznává národní pracovní právo práva spolurozhodování ohledně technologií na pracovišti, která se na AI systémy vztahují nezávisle na AI Act:

• Německo — Betriebsverfassungsgesetz §87(1) č. 6: podniková rada má závazné právo spolurozhodování ohledně zavádění technických zařízení určených k monitorování chování nebo výkonu zaměstnanců. Nasazení AI monitorovacích nebo hodnoticích nástrojů bez předchozího souhlasu podnikové rady může být napadeno před pracovním soudem (Arbeitsgericht) a zakázáno.
• Nizozemsko — Wet op de ondernemingsraden (WOR) čl. 27: ondernemingsraad má právo souhlasu ohledně personálních systémů a monitorovacích opatření.
• Rakousko — Arbeitsverfassungsgesetz §96: závazné spolurozhodování ohledně monitorovacích opatření ovlivňujících osobní důstojnost.
• Francie — Code du Travail L. 2312-38: Comité Social et Économique musí být informován a konzultován před nasazením automatizovaných nástrojů ovlivňujících pracovní podmínky.

Práva podnikových rad obvykle vyžadují předchozí oznámení, dokumentaci fungování systému a v mnoha případech formální souhlas nebo podnikovou dohodu (Betriebsvereinbarung) před nasazením. Tyto povinnosti jsou vyvolány před harmonogramem souladu s AI Act a nelze je odložit.

Směrnice 2002/14/ES o informování zaměstnanců a projednání se zaměstnanci rovněž poskytuje rámec pro Evropské podnikové rady nadnárodních skupin nasazujících AI nástroje napříč členskými státy.

Vymáhání — Úřady pro ochranu údajů, orgány pro rovné zacházení a inspekce práce

Vymáhání povinností AI Act v HR sektoru bude zahrnovat více příslušných orgánů:

• Úřady pro ochranu osobních údajů (DPA): označení primárního orgánu dohledu nad trhem v mnoha členských státech bude příslušet nebo bude přiřazeno k DPA. DPA mají souběžnou příslušnost podle čl. 22 GDPR pro porušení v oblasti automatizovaného rozhodování. Pokyny EDPB k AI a zaměstnanosti zůstávají autoritativním výkladem na úrovni EU.
• Národní orgány pro rovné zacházení: pokud AI systémy produkují diskriminační výsledky při náboru nebo povýšení — například rozdílný dopad na ženy, etnické menšiny nebo starší pracovníky — mají orgány pro rovné zacházení (např. ECRI, Défenseur des droits, členové Equinet) vyšetřovací a vymáhací pravomoci podle směrnic o rovném zacházení (2000/43/ES, 2000/78/ES, 2006/54/ES).
• Inspekce práce: v členských státech se silnými režimy pracovní inspekce mohou inspektoři prošetřovat porušení pracovních podmínek, omezení monitorování a práv podnikových rad v souvislosti s AI. Francie (DREETS), Německo (Gewerbeaufsicht) a Španělsko (Inspección de Trabajo) jsou příklady aktivních vymáhacích orgánů.

Sankce podle AI Act dosahují 30 milionů EUR nebo 6 % celosvětového ročního obratu za zakázané praktiky a 15 milionů EUR nebo 3 % obratu za ostatní porušení v oblasti vysoce rizikových systémů. Pokuty podle GDPR podle čl. 83 se uplatňují kumulativně. Reputační riziko a soudní spory zaměstnanců podle národního pracovního práva představují další expozici.

Plán dosažení souladu pro HR profesionály

Strukturovaný program dosažení souladu pro zaměstnavatele nasazující AI v HR by měl v pořadí řešit následující:

1. Inventář AI systémů: katalogizovat všechny AI nástroje používané v průběhu celého pracovního cyklu — nábor, onboarding, řízení výkonu, plánování pracovní síly a ukončení pracovního poměru. Pro každý nástroj identifikovat kategorii přílohy III a potvrdit klasifikaci jako vysoce rizikový.

2. Hloubková prověrka poskytovatele: před 2. srpnem 2026 (nebo při nejbližší obnově smlouvy) vyžadovat od každého dodavatele: označení CE, EU prohlášení o shodě, souhrn technické dokumentace a pokyny k použití. Dodavatelé, kteří tyto dokumenty nedokáží poskytnout, by měli být považováni za nevyhovující.

3. Konzultace s podnikovými radami: zahájit postupy spolurozhodování nebo konzultace podle příslušného národního práva pro všechny AI systémy, které dosud nepodléhají formální dohodě. Výsledky zdokumentovat v podnikové dohodě nebo rovnocenném nástroji.

4. Audit čl. 22 GDPR: zmapovat všechna HR rozhodnutí s právními nebo závažnými účinky a ověřit, že žádné rozhodnutí nespočívá výhradně na automatizovaném výstupu. Zavést protokoly lidského dohledu s dokumentovanou způsobilostí přezkoumávajících osob a záznamy o zásazích.

5. Posouzení dopadu na základní práva: provést FRIA podle čl. 27 pro všechna nasazení přílohy III kat. 4. Pro zaměstnavatele z veřejného sektoru je toto povinné; pro zaměstnavatele ze soukromého sektoru představuje očekávaný standard náležité péče a obranu proti vymáhacím opatřením.

6. Povinnosti transparentnosti: zavést oznámení zaměstnanců podle čl. 50(2) pro jakýkoli systém rozpoznávání emocí. Zajistit informování uchazečů o zaměstnání o AI asistovaném screeningu v souladu s požadavky transparentnosti GDPR (čl. 13–14).

7. Kapacita lidského dohledu: ověřit, že personál pověřený přezkumem výstupů AI v HR má skutečné oprávnění přepsat doporučení, dostatek času k provedení smysluplného přezkumu a dokumentované školení přiměřené složitosti systému.

8. Postupy reakce na incidenty: zavést postupy pro zaznamenávání, vyšetřování a hlášení závažných incidentů zahrnujících HR AI systémy, v souladu s povinnostmi poskytovatele podle čl. 73 přenášenými na provozovatele prostřednictvím smluvních ujednání.

Dosažení souladu v tomto sektoru není jednorázovým projektem. Kombinace povinností AI Act, vyvíjejícího se výkladu DPA k čl. 22 GDPR a aktivní spolupráce s podnikovými radami vyžaduje průběžnou strukturu správy s dedikovanou odpovědností v rámci HR, právní a funkce ochrany osobních údajů.