HR és toborzás — EU AI Act megfelelés

Az EU AI Act kötelezettségei a toborzásban, a munkavállalói megfigyelésben és a teljesítményértékelésben alkalmazott mesterséges intelligenciára. Az III. melléklet 4. kategóriája lefedi az összes foglalkoztatási AI-rendszert.

Miért központi szerepű az EU AI Act a HR-technológiában?

A mesterséges intelligencia mélyen beágyazódott az EU-n belüli foglalkoztatási gyakorlatokba — az automatizált önéletrajz-elemzéstől a pályázónyilvántartó rendszerekben egészen a valós idejű teljesítmény-irányítópultokig és a call centerekben alkalmazott viselkedéselemzésig. Az EU AI Act, amely 2024. augusztus 1-je óta hatályos, és amelynek a magas kockázatú MI-rendszerekre vonatkozó kötelezettségei 2026. augusztus 2-tól alkalmazandók, a foglalkoztatási MI-t az alapvető jogok szempontjából érzékeny területként kezeli, és a legmagasabb szintű szabályozói felügyeletet irányozza elő.

A rendelet III. mellékletének 4. kategóriája a foglalkoztatásban, a munkavállalók irányításában és az önfoglalkoztatáshoz való hozzáférésben alkalmazott MI-rendszereket magas kockázatúnak minősíti három elkülönült alkategóriában: toborzás és kiválasztás (4(a) kat.), előléptetésről, feladatelosztásról és szerződéses kötelezettségek nyomon követéséről szóló döntések (4(b) kat.), valamint a munkavállalók érzelmi vagy viselkedési állapotának valós idejű megfigyelése (4(c) kat.). Ez a besorolás kategorikus jellegű — nincsen materialitási küszöb, nincsen kivétel a kis léptékű alkalmazásokra, és nem számít, hogy az eszköz saját fejlesztésű vagy harmadik féltől beszerzett.

Az ágazat három szabályozói keret metszéspontján helyezkedik el: az AI Act, a GDPR (különösen az automatizált döntéshozatalról szóló 22. cikk) és a nemzeti munkajog — beleértve a munkahelyi technológiára vonatkozó együttdöntési jogokat. A megfelelés jogi, HR-, informatikai és üzemi tanácsi részvételt koordináló megközelítést igényel.

Magas kockázatú alkalmazási esetek — az összes III. melléklet 4. kategóriájú rendszer

Toborzás és kiválasztás (4(a) kat.)

A toborzási folyamatban alkalmazott MI-rendszerek kivétel nélkül magas kockázatúak. Ebbe a körbe tartozik:

• ATS-platformokba (Workday, SAP SuccessFactors, Greenhouse, Lever, SmartRecruiters) integrált önéletrajz-szűrő eszközök. Az MI által vezérelt rangsorolási, szűkítési és elutasítási logika egyértelműen a 4(a) kategóriába esik.
• Videós interjúelemző eszközök, amelyek arckifejezéseket, hangtónust, beszédmintákat vagy mikroarckifejezéseket értékelnek a jelölt alkalmasságára vagy személyiségvonásaira való következtetés céljából (pl. HireVue-típusú eszközök). Ezek az 50. cikk (2) bekezdése szerinti átláthatósági kötelezettséget is kiválthatják, amennyiben érzelemfelismerést tartalmaznak.
• Célzott álláshirdetési algoritmusok, amelyek meghatározzák, hogy kinek jelenjenek meg az állásajánlatok kikövetkeztetett jellemzők — köztük életkor, nem vagy földrajzi mutatók — alapján, kifejezetten szerepelnek a 4(a) kategóriában, és különös diszkriminatív célzás kockázatát hordozzák.

Munkaerő-gazdálkodás és megfigyelés (4(b) kat.)

A felvétel utáni munkaviszony kezeléséhez alkalmazott MI szintén magas kockázatú:

• Teljesítményértékelő MI, amely pontszámokat, minősítéseket vagy rangsorokat állít elő az előléptetési, bónusz- vagy elbocsátási döntések alátámasztásához.
• Feladatelosztó algoritmusok az alkalmi gazdaságban (Uber, Deliveroo, Amazon Flex), amelyek munkát osztanak ki, díjszabást állapítanak meg és deaktiválásról döntenek. Ezek a 4(b) kategória értelmében magas kockázatúak, függetlenül a munkavállaló foglalkoztatási besorolásától.
• Termelékenységmérő szoftverek, amelyek billentyűzet-aktivitást, alkalmazáshasználatot, kommunikációs metaadatokat vagy helyadatokat aggregálnak teljesítménymutatók előállításához. Ahol a kimenet szerződéses döntéseket táplál, a 4(b) kategória alkalmazandó.

Valós idejű érzelmi és viselkedési megfigyelés (4(c) kat.)

A III. melléklet 4(c) kategóriája kifejezetten azokat a rendszereket célozza, amelyek valós időben figyelik a munkavállalók érzelmi vagy viselkedési állapotát. Az érintett jellemző alkalmazások:

• Call center érzelemanalitikai rendszerek, amelyek az élő hívások során értékelik a hívó és az ügynök hangulatát, és teljesítményjelzőket generálnak.
• Biometrikus jólléti platformok, amelyek fiziológiai vagy viselkedési jelzésekből következtetnek a stresszre, fáradtságra vagy elkötelezettségre.
• Figyelemfigyelő és elkötelezettséget mérő rendszerek távmunka során, webkamerás következtetés alkalmazásával.

Ezek a rendszerek ezenfelül kiváltják az 50. cikk (2) bekezdését: az érzelemfelismerést munkavállalókon alkalmazó bármely alkalmazónak értesítenie kell az érintetteket, hogy a rendszer hatálya alá kerülnek. Ez az értesítési kötelezettség attól függetlenül alkalmazandó, hogy a tágabb értelemben vett magas kockázatú megfelelési határidőt teljesítették-e.

Szolgáltatói versus alkalmazói kötelezettségek — a munkáltató helyzete

Az AI Act értelmében a legtöbb munkáltató az alkalmazó szerepét tölti be — magas kockázatú MI-rendszereket szerez be szolgáltatóktól (szoftverszállítóktól), és alkalmazza azokat HR-folyamataiban. A szolgáltató/alkalmazó megkülönböztetés jogilag jelentős, mivel a kötelezettségek eltérnek.

Szolgáltatói kötelezettségek (szállítói felelősségek)

A szolgáltatóknak — HR-szoftverszállítóknak — a magas kockázatú rendszerek EU-piacra kerülése előtt:

• Létre kell hozniuk és fenn kell tartaniuk egy minőségirányítási rendszert (9. cikk), amely lefedi a kockázatkezelést, az adatirányítást, a műszaki dokumentációt és a forgalomba hozatal utáni felügyeletet.
• Elő kell készíteniük a IV. melléklet szerinti műszaki dokumentációt, amely bemutatja a rendszer tervezését, rendeltetési célját, teljesítménymutatóit, tanítási adatait és ismert korlátait.
• Megfelelőség-értékelést kell végezniük a 43. cikk alapján, és regisztrálniuk kell a rendszert az EU adatbázisában (49. cikk).
• El kell helyezniük a CE-jelölést, és ki kell adniuk az EU megfelelőségi nyilatkozatot.
• Felhasználási útmutatóval kell ellátniuk az alkalmazókat (13. cikk), amely tartalmaz tájékoztatást a korlátokról, a célzott felhasználói profilokról és a felügyeleti követelményekről.

Alkalmazói kötelezettségek (munkáltatói felelősségek)

A munkáltatóknak:

• Ellenőrizniük kell a szolgáltató megfelelőségét a bevezetés előtt: meg kell vizsgálni a CE-jelölést, a megfelelőségi nyilatkozatot és a megfelelő felhasználási útmutatót.
• Az útmutatóval összhangban kell alkalmazniuk: az alkalmazók nem használhatják a rendszert a megjelölt rendeltetési körén túlmutató célokra (25. cikk (1) bekezdés).
• Érdemi emberi felügyeletet kell biztosítaniuk (25. cikk (2) bekezdés): az MI-kimenetek felügyeletére kijelölt munkavállalóknak rendelkezniük kell a rendszerkimenetek megértéséhez és szükség esetén felülbírálásához szükséges felhatalmazással, műszaki szakértelemmel és idővel. A névleges emberi felülvizsgálat — valódi értékelés nélküli jelölőnégyzetes jóváhagyás — nem elégíti ki ezt a követelményt.
• Alapjogi hatásvizsgálatot (FRIA) kell végezniük (27. cikk): kötelező a közszféra alkalmazói számára; erősen ajánlott a 4. kategóriájú rendszereket bevezető magánszektorbeli munkáltatók számára, különösen ahol a kimenetek védett jellemzőket érintenek.
• Nyomon kell követniük a bevezetés utáni kockázatokat: ha az alkalmazó olyan kockázatokat azonosít, amelyeket a szolgáltató nem látott előre, értesítenie kell a szolgáltatót, és adott esetben a piacfelügyeleti hatóságot.
• Fel kell függeszteniük a használatot, ha súlyos incidensek fordulnak elő, vagy ha a rendszer a működés során nem megfelelőnek bizonyul.

Kölcsönhatás a GDPR 22. cikkével és a munkajogával

GDPR 22. cikk — Automatizált döntéshozatal

A GDPR 22. cikke az AI Act mellett teljes körűen hatályban marad, és közvetlenül alkalmazandó a HR-rel kapcsolatos MI-re. Tiltja az érintett tekintetében jogi hatással vagy hasonlóan jelentős hatással járó, kizárólag automatizált adatkezelésen alapuló döntések meghozatalát. A foglalkoztatás összefüggésében a következő döntések egyértelműen a hatály alá esnek: felvétel és elutasítás, elbocsátás, előléptetés és visszaminősítés, bérmegállapítás és fegyelmi intézkedés.

A megfelelés feltételei:

• Érdemi emberi beavatkozás minden következményes döntés előtt — a felülvizsgáló személynek hozzá kell férnie az alapul fekvő adatokhoz és logikához, nem csupán egy összefoglaló javaslathoz.
• Az automatizált döntés emberi felülvizsgálatához való jog kérésre, valódi újramérlegelési lehetőséggel.
• Az adatkezelés jogalapja a 6. cikk alapján, és ahol különleges kategóriájú adatokat kezelnek (egészségügyi adatok, etnikai hovatartozás, arckifejezés-elemzésből levezetett biometrikus adatok), a 9. cikk alapján is.

Az AI Act és a GDPR egymást kiegészíti, nem zárja ki egymást. Az AI Act 2. cikkének (7) bekezdése megerősíti, hogy a rendelet a GDPR sérelme nélkül alkalmazandó. A munkáltatóknak egyidejűleg kell mindkét szabályozási rendszer követelményeinek megfelelniük.

Nemzeti munkajog — üzemi tanácsok és együttdöntés

Az EU számos tagállamában a nemzeti munkajog az AI Act-tól függetlenül együttdöntési jogot biztosít a munkahelyi technológia felett:

• Németország — Betriebsverfassungsgesetz §87(1) 6. pont: az üzemi tanácsnak kötelező együttdöntési joga van a munkavállalói magatartás vagy teljesítmény megfigyelésére tervezett technikai eszközök bevezetéséről. Az MI-alapú megfigyelési vagy értékelési eszközök előzetes üzemi tanácsi megállapodás nélküli bevezetése a munkaügyi bíróság (Arbeitsgericht) előtt megtámadható és eltiltható.
• Hollandia — Wet op de ondernemingsraden (WOR) 27. cikk: az ondernemingsraad jóváhagyási joggal rendelkezik a személyzeti rendszerek és megfigyelési intézkedések felett.
• Ausztria — Arbeitsverfassungsgesetz §96: kötelező együttdöntés a személyi méltóságot érintő megfigyelési intézkedések felett.
• Franciaország — Code du Travail L. 2312-38: a Comité Social et Économique-ot tájékoztatni kell és konzultálni kell vele a munkakörülményeket érintő automatizált eszközök bevezetése előtt.

Az üzemi tanácsi jogok rendszerint előzetes értesítést, a rendszer működéséről szóló dokumentációt, és sok esetben formális megállapodást vagy üzemi megállapodást (Betriebsvereinbarung) igényelnek a bevezetés előtt. Ezek a kötelezettségek az AI Act megfelelési határidejét megelőzően lépnek érvénybe, és nem halaszthatók el.

A 2002/14/EK irányelv a munkavállalók tájékoztatásáról és a velük folytatott konzultációról keretet biztosít a több tagállamban MI-eszközöket bevezető multinacionális vállalatcsoportok európai üzemi tanácsai számára is.

Végrehajtás — adatvédelmi hatóságok, egyenlőségi szervek és munkajogi felügyeletek

Az AI Act HR-szektorbeli kötelezettségeinek végrehajtásában több illetékes hatóság vesz részt:

• Adatvédelmi hatóságok (DPA-k): sok tagállamban az elsődleges piacfelügyeleti hatóság kijelölése az adatvédelmi hatósághoz kerül vagy azzal párhuzamosan működik. Az adatvédelmi hatóságoknak egyidejű hatáskörük van a GDPR 22. cikke alapján az automatizált döntéshozatali jogsértések esetén. Az EDPB MI-vel és foglalkoztatással kapcsolatos iránymutatásai az EU szintű irányadó értelmezést jelentik.
• Nemzeti egyenlőségi szervek: ahol az MI-rendszerek diszkriminatív kimeneteket produkálnak a toborzásban vagy az előléptetésben — például nőkkel, etnikai kisebbségekkel vagy idősebb munkavállalókkal szemben aránytalanul hátrányos hatásokkal —, az egyenlőségi szerveknek (pl. ECRI, Défenseur des droits, Equinet tagok) vizsgálati és végrehajtási hatáskörük van az egyenlő bánásmódra vonatkozó irányelvek (2000/43/EK, 2000/78/EK, 2006/54/EK) alapján.
• Munkajogi felügyeletek: az erős munkajogi felügyeleti rendszerrel rendelkező tagállamokban a felügyelők vizsgálhatják a munkakörülményekre, a megfigyelési korlátokra és az üzemi tanácsi jogokra vonatkozó MI-vel összefüggő jogsértéseket. Franciaország (DREETS), Németország (Gewerbeaufsicht) és Spanyolország (Inspección de Trabajo) az aktív végrehajtó szervek példái.

Az AI Act alapján kiszabható bírságok tiltott gyakorlatok esetén elérik a 30 millió eurót vagy az éves globális forgalom 6%-át, egyéb magas kockázatú jogsértések esetén a 15 millió eurót vagy a forgalom 3%-át. A GDPR 83. cikke szerinti bírságok halmozottan alkalmazandók. A hírnévkockázat és a munkavállalók által indított perek a nemzeti munkajog alapján további kitettséget jelentenek.

Megfelelési ütemterv HR-szakemberek számára

Az AI-t HR-területen alkalmazó munkáltatók strukturált megfelelési programjának a következőket kell sorrendben kezelnie:

1. MI-rendszer leltár: katalogizálni kell az összes MI-eszközt, amelyet a foglalkoztatási életciklus során alkalmaznak — toborzás, beillesztés, teljesítménymenedzsment, munkaerő-tervezés és kilépés. Minden eszközre vonatkozóan meg kell határozni a III. melléklet kategóriáját, és meg kell erősíteni a magas kockázatú besorolást.

2. Szolgáltatói átvilágítás: 2026. augusztus 2. előtt (vagy a következő szerződésmegújításkor) minden szállítótól igényelni kell: CE-jelölést, EU megfelelőségi nyilatkozatot, műszaki dokumentáció-összefoglalót és felhasználási útmutatót. Azokat a szállítókat, akik ezeket nem tudják biztosítani, nem megfelelőként kell kezelni.

3. Üzemi tanácsi konzultáció: formális megállapodás hatálya alá még nem eső összes MI-rendszerre vonatkozóan meg kell kezdeni az alkalmazandó nemzeti jog szerinti együttdöntési vagy konzultációs eljárást. Az eredményeket üzemi megállapodásban vagy azzal egyenértékű dokumentumban kell rögzíteni.

4. GDPR 22. cikk szerinti audit: fel kell térképezni az összes jogi vagy jelentős hatással járó HR-döntést, és meg kell győződni arról, hogy egyetlen döntés sem alapul kizárólag automatizált kimeneteken. Emberi felügyeleti protokollokat kell bevezetni a felülvizsgáló szakértelmét és beavatkozási nyilvántartásait dokumentálva.

5. Alapjogi hatásvizsgálat: FRIA-t kell végezni a 27. cikk alapján az összes III. melléklet 4. kategóriájú alkalmazásra. A közszféra munkáltatói számára ez kötelező; a magánszektorbeli munkáltatók számára ez a kellő gondosság elvárt mércéje és védelmi eszköz a végrehajtási eljárással szemben.

6. Átláthatósági kötelezettségek: az 50. cikk (2) bekezdése szerinti munkavállalói értesítést kell bevezetni minden érzelemfelismerő rendszer esetén. Biztosítani kell, hogy az álláspályázókat a GDPR átláthatósági követelményei (13–14. cikk) alapján tájékoztassák az MI-alapú szűrésről.

7. Emberi felügyeleti kapacitás: ellenőrizni kell, hogy a HR-területen MI-kimeneteket felülvizsgáló személyek valódi felhatalmazással rendelkeznek-e az ajánlások felülbírálásához, elegendő idejük van-e érdemi felülvizsgálatra, és dokumentált képzésben részesültek-e a rendszer összetettségének megfelelően.

8. Incidenskezelési eljárások: a HR MI-rendszerekkel összefüggő súlyos incidensek naplózására, kivizsgálására és bejelentésére vonatkozó eljárásokat kell kialakítani, összhangban a 73. cikk szerinti, szerződéses megállapodásokon keresztül az alkalmazókra háruló szolgáltatói kötelezettségekkel.

Az ebben az ágazatban való megfelelés nem egyszeri projekt. Az AI Act kötelezettségei, a GDPR 22. cikke kapcsán folyamatosan fejlődő DPA-iránymutatások és az aktív üzemi tanácsi részvétel kombinációja olyan tartós irányítási struktúrát igényel, amelynek dedikált gazdája van a HR, a jogi és az adatvédelmi funkciókon belül.