HR ja rekrytointi — EU AI Act -vaatimustenmukaisuus

EU AI Act -velvoitteet rekrytoinnissa, henkilöstön seurannassa ja suoritusarvioinnissa käytettävälle tekoälylle. Liite III:n kategoria 4 kattaa kaikki työsuhteisiin liittyvät tekoälyjärjestelmät.

Miksi EU AI Act on keskeinen HR-teknologiassa

Tekoäly on sulautunut syvälle EU:n työsuhteisiin liittyviin käytäntöihin — automaattisesta ansioluetteloiden jäsentämisestä hakijanseurantajärjestelmissä aina reaaliaikaisiin suorituksen seurantanäkymiin ja yhteyskeskusten käyttäytymisanalytiikkaan. EU AI Act, joka tuli voimaan 1. elokuuta 2024 korkean riskin tekoälyjärjestelmiä koskevien velvoitteiden soveltuessa 2. elokuuta 2026 alkaen, käsittelee työsuhteisiin liittyvää tekoälyä perusoikeusherkkänä alana, joka edellyttää tiukinta sääntelyvalvontaa.

Asetuksen Liite III, kategoria 4 yksilöi työllistämisessä, henkilöstöhallinnassa ja itsensätyöllistämiseen pääsyssä käytettävät tekoälyjärjestelmät korkean riskin järjestelmiksi kolmessa erillisessä alakategoriassa: rekrytointi ja valinta (kat. 4(a)), ylennettyä asemaa, tehtävänjakoa ja sopimusvelvoitteiden seurantaa koskevat päätökset (kat. 4(b)) sekä työntekijöiden emotionaalisten tai käyttäytymiseen liittyvien tilojen reaaliaikainen seuranta (kat. 4(c)). Tämä luokittelu on ehdoton — olennaisuuskynnystä ei ole, pieniä käyttöönottoja ei ole vapautettu eikä eroa tehdä sen perusteella, onko työkalu oma vai hankittu kolmannelta osapuolelta.

Ala sijaitsee kolmen sääntelykehyksen leikkauspisteessä: AI Act, GDPR (erityisesti Art. 22 automaattisesta päätöksenteosta) ja kansallinen työlainsäädäntö — mukaan lukien yhteismääräämisoikeudet työtilan teknologiasta. Vaatimustenmukaisuus edellyttää koordinoitua lähestymistapaa, joka kattaa oikeudelliset, HR-, IT- ja henkilöstöedustajatoiminnot.

Korkean riskin käyttötapaukset — kaikki Liite III:n kategoria 4 -järjestelmät

Rekrytointi ja valinta (kat. 4(a))

Rekrytointiprosessissa käytettävät tekoälyjärjestelmät ovat poikkeuksetta korkean riskin järjestelmiä. Tämä kattaa:

• ATS-alustoihin integroidut ansioluettelo- ja hakemuksen seulontatyökalut (Workday, SAP SuccessFactors, Greenhouse, Lever, SmartRecruiters). Tekoälyn ohjaama pisteytys, esikarsinta ja hylkäyslogiikka kuuluvat selvästi kategoriaan 4(a).
• Videohaastattelujen analyysityökalut, jotka arvioivat ilmeitä, äänensävyä, puhetapoja tai mikroilmauksia hakijan soveltuvuuden tai persoonallisuuspiirteiden päättelemiseksi (esim. HireVue-tyyppiset työkalut). Nämä voivat myös laukaista Art. 50(2) mukaisia läpinäkyvyysvelvoitteita, jos niihin sisältyy tunneentunnistus.
• Kohdennetun työpaikkamainonnan algoritmit, jotka määrittävät, kenelle työpaikkailmoituksia näytetään pääteltyjen ominaisuuksien perusteella — mukaan lukien ikä, sukupuoli tai maantieteelliset indikaattorit — on nimenomaisesti lueteltu kategoriassa 4(a) ja ne sisältävät erityisen syrjivän kohdentamisen riskin.

Henkilöstöhallinta ja seuranta (kat. 4(b))

Tekoäly, jota käytetään työsuhteen hallintaan palkkaamisen jälkeen, on yhtä lailla korkean riskin järjestelmä:

• Suorituksen arviointitekoäly, joka tuottaa pisteitä, arvosanoja tai sijoituksia ylennettyä asemaa, bonuksia tai työsuhteen päättämistä koskevien päätösten pohjaksi.
• Alustatalouden tehtävänjako-algoritmit (Uber, Deliveroo, Amazon Flex), jotka jakavat työtä, asettavat palkkatasot ja päättävät tilien sulkemisesta. Nämä ovat korkean riskin järjestelmiä kategorian 4(b) nojalla riippumatta työntekijän työsuhteen luokittelusta.
• Tuottavuuden seurantaohjelmistot, jotka kokoavat näppäimistötoiminnan, sovellusten käytön, viestintämetatiedot tai sijaintitiedot suoritusarviointimittarien tuottamiseksi. Kun tulokset vaikuttavat sopimusperustaisiin päätöksiin, kategoria 4(b) soveltuu.

Reaaliaikainen emotionaalinen ja käyttäytymisen seuranta (kat. 4(c))

Liite III:n kat. 4(c) kohdistuu erityisesti järjestelmiin, jotka seuraavat reaaliajassa työntekijöiden emotionaalisia tai käyttäytymiseen liittyviä tiloja. Yleisiä soveltamisalaan kuuluvia käyttöönottoja:

• Yhteyskeskusten tunneanalytiikka, joka arvioi soittajan ja asiakaspalvelijan tunnelmaa suorien puheluiden aikana ja tuottaa suoritukseen liittyviä merkintöjä.
• Biometriset hyvinvointialustat, jotka päättelevät stressiä, väsymystä tai sitoutuneisuustasoa fysiologisista tai käyttäytymiseen liittyvistä signaaleista.
• Huomion ja sitoutuneisuuden seuranta etätyön aikana verkkokameran kuvaan perustuvaa päättelyä hyödyntäen.

Nämä järjestelmät laukaisevat lisäksi Art. 50(2): jokaisen käyttöönottajan, joka soveltaa tunneentunnistusta työntekijöihin, on ilmoitettava niille työntekijöille, että he ovat kyseisen järjestelmän kohteena. Tämä ilmoitusvelvoite soveltuu riippumatta siitä, onko laajempi korkean riskin vaatimustenmukaisuuden aikataulu täytetty.

Toimittajan ja käyttöönottajan velvoitteet — työnantajan asema

AI Actin nojalla useimmat työnantajat toimivat käyttöönottajan roolissa — he hankkivat korkean riskin tekoälyjärjestelmiä toimittajilta (ohjelmistotoimittajilta) ja ottavat ne käyttöön HR-prosesseissaan. Toimittajan ja käyttöönottajan välinen erottelu on oikeudellisesti merkittävä, koska velvoitteet eroavat toisistaan.

Toimittajan velvoitteet (myyjän vastuut)

Toimittajien — HR-ohjelmistotoimittajien — on ennen korkean riskin järjestelmien asettamista EU:n markkinoille:

• Perustettava ja ylläpidettävä laadunhallintajärjestelmä (Art. 9), joka kattaa riskienhallinnan, tiedon hallinnoinnin, teknisen dokumentaation ja markkinoille saattamisen jälkeisen seurannan.
• Laadittava tekninen dokumentaatio Liite IV:n mukaisesti, joka osoittaa järjestelmän suunnittelun, suunnitellun käyttötarkoituksen, suoritusarviointimittarit, koulutustiedot ja tunnetut rajoitukset.
• Suoritettava vaatimustenmukaisuuden arviointi Art. 43:n nojalla ja rekisteröitävä järjestelmä EU:n tietokantaan (Art. 49).
• Kiinnitettävä CE-merkintä ja annettava EU:n vaatimustenmukaisuusvakuutus.
• Toimitettava käyttöönottajille käyttöohjeet (Art. 13), mukaan lukien tiedot rajoituksista, suunnitelluista käyttäjäprofiileista ja valvontavaatimuksista.

Käyttöönottajan velvoitteet (työnantajan vastuut)

Työnantajien on:

• Varmistettava toimittajan vaatimustenmukaisuus ennen käyttöönottoa: tarkistettava CE-merkintä, vaatimustenmukaisuusvakuutus ja riittävät käyttöohjeet.
• Toteutettava käyttöönotto ohjeiden mukaisesti: käyttöönottajat eivät saa käyttää järjestelmää tarkoituksiin, jotka ylittävät sen ilmoitetun suunnitellun käyttötarkoituksen (Art. 25(1)).
• Varmistettava aito ihmisten valvonta (Art. 25(2)): tekoälyn tulosten valvontaan nimettyjen työntekijöiden on omattava tarvittava toimivalta, tekninen pätevyys ja aika ymmärtää järjestelmän tulokset ja tarvittaessa ohittaa ne. Nimellinen ihmisten arviointi — pelkkä valintaruudun ruksaaminen ilman aitoa arviointia — ei täytä tätä vaatimusta.
• Laadittava perusoikeusvaikutusten arviointi (FRIA) (Art. 27): pakollinen julkisen sektorin käyttöönottajille; erittäin suositeltava yksityisen sektorin työnantajille, jotka ottavat käyttöön kat. 4 -järjestelmiä, erityisesti kun tulokset vaikuttavat suojattuihin ominaisuuksiin.
• Seurattava käyttöönottamisen jälkeisiä riskejä: jos käyttöönottaja havaitsee riskejä, joita toimittaja ei ole ennakoinut, käyttöönottajan on ilmoitettava asiasta toimittajalle ja tarvittaessa markkinavalvontaviranomaiselle.
• Keskeytettävä käyttö, jos vakavia vaaratilanteita ilmenee tai jos järjestelmä todetaan vaatimustenvastaiseksi käytännössä.

Vuorovaikutus GDPR:n 22 artiklan ja työlainsäädännön kanssa

GDPR:n 22 artikla — automaattinen päätöksenteko

GDPR Art. 22 on edelleen täysimääräisesti voimassa AI Actin rinnalla ja soveltuu suoraan HR:ssä käytettävään tekoälyyn. Se kieltää päätökset, jotka perustuvat yksinomaan automaattiseen käsittelyyn ja joilla on oikeudellisia vaikutuksia tai vastaavalla tavalla merkittäviä vaikutuksia rekisteröityyn. Työsuhteen kontekstissa seuraavat päätökset ovat kiistatta soveltamisalassa: palkkaaminen ja hylkääminen, työsuhteen päättäminen, ylennetty asema ja alentaminen, palkkamääritys sekä kurinpidolliset toimet.

Vaatimustenmukaisuus edellyttää:

• Aitoa inhimillistä väliintuloa ennen jokaista merkittävää päätöstä — arvioivan henkilön on pystyttävä tutustumaan taustalla oleviin tietoihin ja logiikkaan, ei vain yhteenvetoon.
• Oikeutta saada ihmisen suorittama uudelleenarviointi automaattisesta päätöksestä pyynnöstä, aidoin uudelleenharkintamahdollisuuksin.
• Oikeusperusta käsittelylle Art. 6:n nojalla ja, kun kyseessä on erityisten kategorioiden tieto (terveys, etninen alkuperä, kasvoanalyysistä johdettu biometrinen tieto), Art. 9:n nojalla.

AI Act ja GDPR ovat toisiaan täydentäviä, eivät toisiaan poissulkevia. AI Actin Art. 2(7) vahvistaa, että se soveltuu rajoittamatta GDPR:n soveltamista. Työnantajien on noudatettava molempia sääntelyjärjestelmiä samanaikaisesti.

Kansallinen työlainsäädäntö — henkilöstöedustajat ja yhteismääräämisoikeus

Useissa EU:n jäsenvaltioissa kansallinen työlainsäädäntö myöntää yhteismääräämisoikeuksia työpaikan teknologian suhteen, jotka soveltuvat tekoälyjärjestelmiin riippumatta AI Actista:

• Saksa — Betriebsverfassungsgesetz §87(1) no. 6: henkilöstöneuvostolla on sitova yhteismääräämisoikeus sellaisten teknisten laitteiden käyttöönotossa, jotka on suunniteltu valvomaan työntekijöiden käyttäytymistä tai suoritusta. Tekoälypohjaisten seuranta- tai arviointityökalujen käyttöönotto ilman henkilöstöneuvoston etukäteistä suostumusta voidaan riitauttaa työtuomioistuimessa (Arbeitsgericht) ja keskeyttää tuomioistuimen määräyksellä.
• Alankomaat — Wet op de ondernemingsraden (WOR) Art. 27: ondernemingsraadilla on suostumusoikeudet henkilöstöjärjestelmien ja seurantajärjestelyjen suhteen.
• Itävalta — Arbeitsverfassungsgesetz §96: sitova yhteismääräämisoikeus henkilökohtaista arvovaltaa loukkaavissa valvontatoimenpiteissä.
• Ranska — Code du Travail L. 2312-38: Comité Social et Économiqueta on informoitava ja kuultava ennen sellaisten automaattisten työkalujen käyttöönottoa, jotka vaikuttavat työolosuhteisiin.

Henkilöstöedustajaoikeudet edellyttävät yleensä ennakkoilmoitusta, dokumentaatiota järjestelmän toiminnasta ja monissa tapauksissa muodollista sopimusta tai työsopimusta (Betriebsvereinbarung) ennen käyttöönottoa. Nämä velvoitteet aktivoituvat ennen AI Actin vaatimustenmukaisuuden aikataulua eikä niitä voida siirtää.

Direktiivi 2002/14/EY työntekijöiden tiedottamisesta ja kuulemisesta tarjoaa myös kehyksen sellaisten monikansallisten yritysten eurooppalaisille henkilöstöneuvostoille, jotka ottavat tekoälytyökaluja käyttöön useissa jäsenvaltioissa.

Täytäntöönpano — tietosuojaviranomaiset, tasa-arvoviranomaiset ja työtarkastajat

AI Actin velvoitteiden täytäntöönpano HR-sektorilla koskee useita toimivaltaisia viranomaisia:

• Tietosuojaviranomaiset (DPA:t): markkinavalvontaviranomaisen nimitys useissa jäsenvaltioissa kuuluu tietosuojaviranomaiselle tai sen rinnalle. Tietosuojaviranomaisilla on rinnakkainen toimivalta GDPR:n Art. 22:n nojalla automaattiseen päätöksentekoon liittyvissä rikkomuksissa. EDPB:n tekoälyä ja työsuhteita koskevat ohjeet ovat EU-tason arvovaltainen tulkintaohje.
• Kansalliset tasa-arvoviranomaiset: kun tekoälyjärjestelmät tuottavat syrjiviä tuloksia rekrytoinnissa tai ylennetyssä asemassa — esimerkiksi erilainen vaikutus naisiin, etnisiin vähemmistöihin tai iäkkäämpiin työntekijöihin — tasa-arvoviranomaisilla (esim. ECRI, Défenseur des droits, Equinetin jäsenet) on tutkinta- ja täytäntöönpanovaltuudet tasa-arvodirektiivien (2000/43/EY, 2000/78/EY, 2006/54/EY) nojalla.
• Työtarkastajat: vahvan työtarkastusjärjestelmän omaavissa jäsenvaltioissa tarkastajat voivat tutkia tekoälyyn liittyviä loukkauksia, jotka koskevat työoloja, seurannan rajoituksia ja henkilöstöedustajaoikeuksia. Ranska (DREETS), Saksa (Gewerbeaufsicht) ja Espanja (Inspección de Trabajo) ovat esimerkkejä aktiivisista täytäntöönpanoelimistä.

AI Actin mukainen seuraamusmaksu on enintään 30 miljoonaa euroa tai 6 % maailmanlaajuisesta vuotuisesta liikevaihdosta kielletyistä käytännöistä sekä 15 miljoonaa euroa tai 3 % liikevaihdosta muista korkean riskin rikkomuksista. GDPR:n Art. 83:n mukaiset sakot soveltuvat kumulatiivisesti. Mainevahingot ja kansallisen työlainsäädännön mukainen henkilöstöoikeudenkäynti muodostavat lisäriskin.

Vaatimustenmukaisuuden tiekartta HR-ammattilaisille

HR-tekoälyä käyttöön ottavien työnantajien jäsennellyn vaatimustenmukaisuusohjelman tulisi käsitellä seuraavat asiat järjestyksessä:

1. Tekoälyjärjestelmien inventointi: luetteloi kaikki tekoälytyökalut, joita käytetään koko työsuhteen elinkaaren aikana — rekrytointi, perehdytys, suorituksen hallinta, henkilöstösuunnittelu ja työsuhteen päättäminen. Tunnista jokaiselle työkalulle Liite III:n kategoria ja vahvista korkean riskin luokitus.

2. Toimittajan asianmukainen huolellisuus: ennen 2. elokuuta 2026 (tai seuraavassa sopimusuusinnan yhteydessä) vaadi jokaiselta toimittajalta: CE-merkintä, EU:n vaatimustenmukaisuusvakuutus, teknisen dokumentaation yhteenveto ja käyttöohjeet. Toimittajia, jotka eivät pysty toimittamaan näitä, on pidettävä vaatimustenvastaisina.

3. Henkilöstöedustajien konsultointi: käynnistä yhteismääräämis- tai konsultointimenettelyt sovellettavan kansallisen lain nojalla kaikkien tekoälyjärjestelmien osalta, joista ei vielä ole muodollista sopimusta. Dokumentoi tulokset työsopimuksessa tai vastaavassa asiakirjassa.

4. GDPR:n Art. 22 -tarkastus: kartoita kaikki HR-päätökset, joilla on oikeudellisia tai merkittäviä vaikutuksia, ja varmista, että mikään päätös ei perustu yksinomaan automaattiseen tuotokseen. Toteuta ihmisten valvontaprotokollat, joissa on dokumentoitu arvioijien pätevyys ja väliintuloa koskevat tiedot.

5. Perusoikeusvaikutusten arviointi: laadi Art. 27:n mukainen FRIA kaikkien Liite III:n kat. 4 -käyttöönottojen osalta. Julkisen sektorin työnantajille tämä on pakollista; yksityisen sektorin työnantajille se on odotettu asianmukaisen huolellisuuden standardi ja puolustusperuste täytäntöönpanotoimia vastaan.

6. Läpinäkyvyysvelvoitteet: toteuta Art. 50(2):n mukainen työntekijöiden ilmoitusmenettely kaikissa tunneentunnistusjärjestelmissä. Varmista, että työnhakijoille ilmoitetaan tekoälyavusteisesta seulonnasta GDPR:n läpinäkyvyysvaatimusten (Art. 13–14) mukaisesti.

7. Ihmisten valvontakapasiteetti: varmista, että HR-tekoälyn tulosten arviointiin nimetyllä henkilöstöllä on aito toimivalta ohittaa suositukset, riittävästi aikaa tehdä merkityksellinen arviointi ja dokumentoitu koulutus, joka vastaa järjestelmän monimutkaisuutta.

8. Vaaratilanteiden hallintamenettelyt: laadi menettelyt vakavien HR-tekoälyjärjestelmiin liittyvien vaaratilanteiden kirjaamiseksi, tutkimiseksi ja ilmoittamiseksi Art. 73:n mukaisten toimittajan velvoitteiden mukaisesti, jotka on siirretty käyttöönottajille sopimusjärjestelyjen kautta.

Vaatimustenmukaisuus tällä sektorilla ei ole kertaluonteinen projekti. AI Actin velvoitteiden, kehittyvien DPA-ohjeiden GDPR:n Art. 22:sta sekä aktiivisen henkilöstöedustajien yhteistyön yhdistelmä edellyttää jatkuvaa hallinnointijärjestelmää, jolla on nimetty omistajuus HR-, oikeus- ja tietosuojatoiminnoissa.