HR & Recrutare — Conformitate cu Regulamentul UE privind IA

Obligații prevăzute de Regulamentul UE privind IA pentru sistemele de inteligență artificială utilizate în recrutare, monitorizarea angajaților și evaluarea performanței. Categoria 4 din Anexa III acoperă toate sistemele de IA din domeniul ocupării forței de muncă.

De ce Regulamentul UE privind IA este esențial pentru tehnologiile HR

Inteligența artificială a devenit profund integrată în practicile de ocupare a forței de muncă din întreaga UE — de la analiza automată a CV-urilor în sistemele de urmărire a candidaților până la tablourile de bord în timp real pentru performanță și analiza comportamentală în centrele de contact. Regulamentul UE privind IA, în vigoare din 1 august 2024, cu obligații aplicabile sistemelor de IA cu risc ridicat începând cu 2 august 2026, tratează utilizarea IA în domeniul ocupării forței de muncă ca un domeniu sensibil din perspectiva drepturilor fundamentale, care necesită cel mai înalt nivel de control de reglementare.

Anexa III, categoria 4 din Regulament identifică sistemele de IA utilizate în domeniul ocupării forței de muncă, al gestionării lucrătorilor și al accesului la activități independente ca sisteme cu risc ridicat, în trei subcategorii distincte: recrutare și selecție (cat. 4(a)), decizii privind promovarea, alocarea sarcinilor și monitorizarea obligațiilor contractuale (cat. 4(b)) și monitorizarea în timp real a stărilor emoționale sau comportamentale ale lucrătorilor (cat. 4(c)). Această clasificare este categorică — nu există niciun prag de materialitate, nicio excepție pentru implementări de mică anvergură și nicio distincție în funcție de caracterul proprietar al instrumentului sau de proveniența acestuia de la un furnizor terț.

Sectorul se află la intersecția a trei cadre de reglementare: Regulamentul privind IA, GDPR (în special Art. 22 privind luarea automată a deciziilor) și legislația națională a muncii — inclusiv drepturile de codecizie cu privire la tehnologia la locul de muncă. Conformitatea necesită o abordare coordonată care implică funcțiile juridică, HR, IT și dialogul cu consiliul de întreprindere.

Cazuri de utilizare cu risc ridicat — Toate sistemele din Anexa III, categoria 4

Recrutare și selecție (Cat. 4(a))

Sistemele de IA utilizate în ciclul de recrutare sunt cu risc ridicat fără excepție. Aceasta include:

• Instrumente de filtrare a CV-urilor integrate în platforme ATS (Workday, SAP SuccessFactors, Greenhouse, Lever, SmartRecruiters). Logica de clasificare, preselecție și respingere condusă de IA se încadrează în mod clar în cat. 4(a).
• Instrumente de analiză a interviurilor video care evaluează expresiile faciale, tonul vocii, tiparele de vorbire sau micro-expresiile pentru a deduce aptitudinile sau trăsăturile de personalitate ale candidaților (de exemplu, instrumente de tip HireVue). Acestea pot declanșa și obligațiile de transparență prevăzute de Art. 50(2) dacă încorporează recunoașterea emoțiilor.
• Algoritmii de publicitate direcționată a locurilor de muncă care determină ce persoane primesc anunțuri de angajare pe baza unor caracteristici deduse — inclusiv vârstă, gen sau indicatori geografici — sunt enumerate explicit în cat. 4(a) și prezintă un risc particular de targetare discriminatorie.

Gestionarea și monitorizarea forței de muncă (Cat. 4(b))

Sistemele de IA utilizate pentru gestionarea raportului de muncă după angajare sunt în mod egal cu risc ridicat:

• Sistemele de IA pentru evaluarea performanței care generează scoruri, calificative sau rezultate de clasificare utilizate pentru decizii privind promovarea, bonusurile sau concedierea.
• Algoritmii de alocare a sarcinilor în platformele din economia platformelor (Uber, Deliveroo, Amazon Flex) care atribuie muncă, stabilesc nivelurile de remunerare și decid dezactivarea. Acestea sunt cu risc ridicat în temeiul cat. 4(b), indiferent de clasificarea contractuală a lucrătorului.
• Programele de monitorizare a productivității care agregă activitatea la tastatură, utilizarea aplicațiilor, metadatele comunicațiilor sau datele de localizare pentru a genera indicatori de performanță. Acolo unde rezultatele alimentează decizii contractuale, se aplică cat. 4(b).

Monitorizarea emoțională și comportamentală în timp real (Cat. 4(c))

Anexa III cat. 4(c) vizează în mod specific sistemele care monitorizează starea emoțională sau comportamentală a lucrătorilor în timp real. Implementări frecvente care intră în domeniul de aplicare:

• Sisteme de analiză emoțională în centrele de contact care evaluează sentimentele apelantului și ale agentului în timpul apelurilor active și generează semnale de performanță.
• Platforme biometrice de bunăstare care deduc nivelurile de stres, oboseală sau implicare din semnale fiziologice sau comportamentale.
• Monitorizarea atenției și implicării în munca la distanță prin inferență bazată pe camera web.

Aceste sisteme declanșează în plus Art. 50(2): orice operator care utilizează recunoașterea emoțiilor pentru lucrători trebuie să notifice acei lucrători că fac obiectul sistemului. Această obligație de notificare se aplică indiferent dacă termenul mai amplu de conformitate pentru sistemele cu risc ridicat a fost respectat sau nu.

Obligațiile furnizorului față de cele ale operatorului — Poziția angajatorului

În temeiul Regulamentului privind IA, cei mai mulți angajatori ocupă rolul de operator — aceștia achiziționează sisteme de IA cu risc ridicat de la furnizori (vânzători de software) și le implementează în procesele lor de HR. Distincția furnizor/operator este semnificativă din punct de vedere juridic, deoarece obligațiile diferă.

Obligațiile furnizorului (Responsabilitățile vânzătorului)

Furnizorii — vânzătorii de software HR — trebuie, înainte de a introduce sisteme cu risc ridicat pe piața UE:

• Să instituie și să mențină un sistem de management al calității (Art. 9) care să cuprindă gestionarea riscurilor, guvernanța datelor, documentația tehnică și monitorizarea post-comercializare.
• Să elaboreze documentația tehnică conform Anexei IV, demonstrând designul sistemului, destinația prevăzută, indicatorii de performanță, datele de antrenament și limitările cunoscute.
• Să efectueze o evaluare a conformității în temeiul Art. 43 și să înregistreze sistemul în baza de date a UE (Art. 49).
• Să aplice marcajul CE și să emită o declarație UE de conformitate.
• Să furnizeze operatorilor instrucțiuni de utilizare (Art. 13), inclusiv informații privind limitările, profilurile de utilizatori prevăzuți și cerințele de supraveghere.

Obligațiile operatorului (Responsabilitățile angajatorului)

Angajatorii trebuie să:

• Verifice conformitatea furnizorului înainte de implementare: să verifice marcajul CE, declarația de conformitate și instrucțiunile de utilizare adecvate.
• Implementeze în conformitate cu instrucțiunile: operatorii nu pot utiliza sistemul în scopuri care depășesc utilizarea prevăzută declarată (Art. 25(1)).
• Asigure o supraveghere umană semnificativă (Art. 25(2)): angajații desemnați să supravegheze rezultatele sistemelor de IA trebuie să aibă autoritatea, competența tehnică și timpul necesar pentru a înțelege rezultatele sistemului și a le contesta atunci când este cazul. O verificare umană nominală — o aprobare formală fără o evaluare reală — nu satisface această cerință.
• Efectueze o evaluare a impactului asupra drepturilor fundamentale (FRIA) (Art. 27): obligatorie pentru operatorii din sectorul public; puternic recomandată pentru angajatorii din sectorul privat care implementează sisteme din cat. 4, în special acolo unde rezultatele afectează caracteristici protejate.
• Monitorizeze riscurile post-implementare: dacă un operator identifică riscuri pe care furnizorul nu le-a prevăzut, acesta trebuie să notifice furnizorul și, după caz, autoritatea de supraveghere a pieței.
• Suspende utilizarea dacă survin incidente grave sau dacă sistemul se dovedește a fi neconform în exploatare.

Interacțiunea cu GDPR Articolul 22 și legislația muncii

GDPR Articolul 22 — Luarea automată a deciziilor

GDPR Art. 22 rămâne pe deplin operațional alături de Regulamentul privind IA și se aplică direct sistemelor de IA din domeniul HR. Acesta interzice deciziile bazate exclusiv pe prelucrarea automată atunci când aceste decizii produc efecte juridice sau efecte semnificativ similare asupra persoanei vizate. În contextul ocupării forței de muncă, următoarele decizii intră în mod neechivoc în sfera de aplicare: angajarea și respingerea candidaților, concedierea, promovarea și retrogradarea, stabilirea remunerației și acțiunile disciplinare.

Conformitatea necesită:

• Intervenția umană semnificativă înainte de orice decizie cu consecințe importante — persoana care efectuează verificarea trebuie să aibă acces la datele și logica de bază, nu doar la o recomandare sintetizată.
• Dreptul de a obține o examinare umană a oricărei decizii automate la cerere, cu capacitate reală de reconsiderare.
• O bază juridică pentru prelucrare în temeiul Art. 6 și, acolo unde sunt implicate date din categorii speciale (date privind sănătatea, etnia, date biometrice deduse din analiza facială), în temeiul Art. 9.

Regulamentul privind IA și GDPR sunt complementare, nu mutual exclusive. Art. 2(7) din Regulamentul privind IA confirmă că acesta se aplică fără a aduce atingere GDPR. Angajatorii trebuie să respecte ambele regimuri simultan.

Legislația națională a muncii — Consiliile de întreprindere și codecizia

În mai multe state membre ale UE, legislația națională a muncii conferă drepturi de codecizie cu privire la tehnologia la locul de muncă, care se aplică sistemelor de IA independent de Regulamentul privind IA:

• Germania — Betriebsverfassungsgesetz §87(1) nr. 6: consiliul de întreprindere dispune de un drept obligatoriu de codecizie cu privire la introducerea dispozitivelor tehnice destinate monitorizării comportamentului sau performanței angajaților. Implementarea instrumentelor de monitorizare sau evaluare bazate pe IA fără acordul prealabil al consiliului de întreprindere poate fi contestată în fața instanței de muncă (Arbeitsgericht) și blocată prin ordin judecătoresc.
• Țările de Jos — Wet op de ondernemingsraden (WOR) Art. 27: ondernemingsraad dispune de drepturi de consimțământ cu privire la sistemele de personal și la dispozitivele de monitorizare.
• Austria — Arbeitsverfassungsgesetz §96: codecizie obligatorie cu privire la măsurile de monitorizare care afectează demnitatea personală.
• Franța — Code du Travail L. 2312-38: Comité Social et Économique trebuie să fie informat și consultat înainte de implementarea instrumentelor automate care afectează condițiile de muncă.

Drepturile consiliilor de întreprindere necesită în general notificare prealabilă, documentarea funcționării sistemului și, în multe cazuri, un acord formal sau un acord de întreprindere (Betriebsvereinbarung) înainte de implementare. Aceste obligații sunt declanșate anterior termenului de conformitate cu Regulamentul privind IA și nu pot fi amânate.

Directiva 2002/14/CE privind informarea și consultarea lucrătorilor oferă, de asemenea, un cadru pentru Comitetele Europene de Întreprindere ale grupurilor multinaționale care implementează instrumente de IA în toate statele membre.

Aplicare — Autorități de protecție a datelor, organisme de egalitate și inspecții ale muncii

Aplicarea obligațiilor din Regulamentul privind IA în sectorul HR va implica mai multe autorități competente:

• Autorități de protecție a datelor (APD): în multe state membre, desemnarea ca autoritate principală de supraveghere a pieței va reveni sau va fi corelată cu APD. APD-urile au competență concurentă în temeiul GDPR Art. 22 pentru încălcările privind luarea automată a deciziilor. Orientările CEPD privind IA și ocuparea forței de muncă rămân interpretarea autorizată la nivelul UE.
• Organisme naționale de egalitate: acolo unde sistemele de IA produc rezultate discriminatorii în recrutare sau promovare — de exemplu, impact disproporționat asupra femeilor, minorităților etnice sau lucrătorilor în vârstă — organismele de egalitate (de exemplu, ECRI, Défenseur des droits, membrii Equinet) dispun de competențe de investigare și aplicare în temeiul Directivelor privind egalitatea de tratament (2000/43/CE, 2000/78/CE, 2006/54/CE).
• Inspecții ale muncii: în statele membre cu regimuri puternice de inspecție a muncii, inspectorii pot investiga încălcările legate de IA privind condițiile de muncă, limitele de monitorizare și drepturile consiliilor de întreprindere. Franța (DREETS), Germania (Gewerbeaufsicht) și Spania (Inspección de Trabajo) sunt exemple de organe de aplicare active.

Sancțiunile prevăzute de Regulamentul privind IA ajung la 30 de milioane EUR sau 6% din cifra de afaceri anuală globală pentru practicile interzise și la 15 milioane EUR sau 3% din cifra de afaceri pentru alte încălcări referitoare la sistemele cu risc ridicat. Amenzile GDPR în temeiul Art. 83 se aplică cumulativ. Riscul reputațional și litigiile angajaților în temeiul legislației naționale a muncii reprezintă expuneri suplimentare.

Foaie de parcurs pentru conformitate — Ghid pentru profesioniștii HR

Un program structurat de conformitate pentru angajatorii care implementează IA în HR ar trebui să abordeze, în ordine, următoarele etape:

1. Inventarul sistemelor de IA: catalogarea tuturor instrumentelor de IA utilizate pe parcursul ciclului de viață al raportului de muncă — recrutare, integrare, managementul performanței, planificarea forței de muncă și ieșire. Pentru fiecare instrument, identificați categoria din Anexa III și confirmați clasificarea cu risc ridicat.

2. Diligența față de furnizor: înainte de 2 august 2026 (sau la următoarea reînnoire a contractului), solicitați de la fiecare furnizor: marcajul CE, declarația UE de conformitate, un rezumat al documentației tehnice și instrucțiunile de utilizare. Furnizorii care nu pot furniza aceste documente trebuie tratați ca neconformi.

3. Consultarea consiliului de întreprindere: inițiați proceduri de codecizie sau consultare în temeiul legislației naționale aplicabile pentru toate sistemele de IA care nu fac încă obiectul unui acord formal. Documentați rezultatele într-un acord de întreprindere sau instrument echivalent.

4. Auditul GDPR Art. 22: cartografiați toate deciziile HR cu efecte juridice sau semnificative și verificați că nicio decizie nu se bazează exclusiv pe rezultatele automate. Implementați protocoale de supraveghere umană cu competența documentată a persoanei care efectuează verificarea și înregistrări ale intervențiilor.

5. Evaluarea impactului asupra drepturilor fundamentale: efectuați FRIA în temeiul Art. 27 pentru toate implementările din Anexa III cat. 4. Pentru angajatorii din sectorul public, aceasta este obligatorie; pentru angajatorii din sectorul privat, reprezintă standardul așteptat de diligență și o apărare împotriva acțiunilor de aplicare.

6. Obligațiile de transparență: implementați notificarea angajaților prevăzută de Art. 50(2) pentru orice sistem de recunoaștere a emoțiilor. Asigurați-vă că solicitanții de locuri de muncă sunt informați cu privire la filtrarea asistată de IA în temeiul cerințelor de transparență GDPR (Art. 13–14).

7. Capacitatea de supraveghere umană: verificați că personalul desemnat să examineze rezultatele sistemelor de IA în HR dispune de autoritatea reală de a contesta recomandările, de timp suficient pentru a efectua o verificare semnificativă și de o formare documentată adecvată complexității sistemului.

8. Proceduri de răspuns la incidente: stabiliți proceduri pentru înregistrarea, investigarea și raportarea incidentelor grave care implică sisteme de IA HR, în conformitate cu obligațiile furnizorului prevăzute de Art. 73, transmise operatorilor prin aranjamente contractuale.

Conformitatea în acest sector nu este un proiect punctual. Combinația dintre obligațiile din Regulamentul privind IA, orientările în evoluție ale APD privind GDPR Art. 22 și implicarea activă a consiliilor de întreprindere necesită o structură de guvernanță continuă, cu responsabilitate dedicată în cadrul funcțiilor HR, juridice și de protecție a datelor.