HR-toborzás AI-val: a jogi keretektől a gyakorlatig

Az AI Act – az (EU) 2024/1689 rendelet – az Európai Unió mesterséges intelligenciára vonatkozó horizontális szabályozása, amely kockázatalapú megközelítést alkalmaz. A rendelet Annex III 4. Az uniós jogalkotó ezzel a munkavállalók védelmét és a diszkriminációmentes foglalkoztatást kívánta biztosítani.

A HR-toborzási AI-rendszerekre a high-risk státusz miatt több konkrét kötelezettség vonatkozik. A fejlesztőnek és az üzemeltetőnek egyaránt gondoskodnia kell a kockázatkezelési rendszer kiépítéséről, a felhasznált tanítóadatok dokumentálásáról és minőségéről, valamint a technikai dokumentáció napraszakos karbantartásáról. Kötelező az átláthatóság: a munkavállalót vagy jelöltet egyértelműen tájékoztatni kell arról, hogy AI-rendszerrel van dolga, és hogy milyen logika szerint születik az ajánlás. Az (EU) 2016/679 rendelet – a GDPR – ehhez kapcsolódóan további réteget jelent, hiszen a munkavállalói személyes adatok kezelése fokozott védelmet igényel, és az adatkezelés jogalapját, célját, valamint a tiltakozási jogot is közérthetően kell ismertetni.

A magyarországi gyakorlatban a megfelelés négy lépése különösen fontos. Első a torzításvizsgálat, vagyis a bias-vizsgálat, amelyet rendszeres időközönként, dokumentált módszertannal kell elvégezni, figyelembe véve a nem, az életkor, a családi állapot és a nemzetiség szerinti hatásokat. Második a munkavállalói tájékoztatás, amelyet a GDPR szerinti átlátható módon, írásban kell megtenni, és amely ki kell terjedjen az automatizált döntéshozatal tényére, valamint annak következményeire. Harmadik az emberi felülvizsgálat biztosítása, vagyis hogy a jelölt kérésére vagy vitás esetben emberi döntéshozó vizsgálja felül az AI javaslatát. Negyedik a naplózás és nyomonkövethetőség, amely technikai és szervezeti intézkedésekkel biztosítja, hogy minden döntés utólag rekonstruálható legyen.

[41] A HR-toborzás területén nem elegendő a technikai megfelelés, hanem a szervezeti kultúra és a munkavállalói tudatos tájékoztatás is szükséges. A hazai gyakorlatban a leggyakoribb hiányosság, hogy a cégek a szűrőeszközt bevezetik, de a dolgozót nem vagy csak felszínesen tájékoztatják az adatkezelés céljáról és a felülvizsgálat jogáról. Az AI Act ezt a magas kockázatú kategóriában kifejezetten előírja, így a tájékoztatás elmaradása egyben a megfelelés hiányát is jelenti. A helyes megközelítés a jogi, technológiai és HR-oldal közös munkája.

Az (EU) 2024/1689 rendelet Annex III 4. pontja a foglalkoztatás és munkaerő-menedzsment területét nevesíti, így az önéletrajz-szűrés, az interjúelemzés és a teljesítményértékelés is ide tartozik. A magas kockázatú rendszerekre a megfelelési határidő későbbi döntés szerint. A gyakorlatban ez azt jelenti, hogy minden toborzási döntéstámogató MI-rendszert a bevezetés előtt és után is értékelni kell, nem csupán a kiválasztás pillanatában.

A HR-MI és a GDPR összekapcsolódik, mert a toborzás személyes adatok – így különösen a munkavállalói önéletrajzok, értékelések és hanganyagok – kezelésével jár. Az (EU) 2016/679 rendelet munkavállalói adatkezelésre vonatkozó szabályai ezért párhuzamosan érvényesülnek az MI-rendelet előírásaival. A munkáltatónak egyértelműen tájékoztatnia kell a jelölteket az MI használatáról, az adatkezelés céljáról és jogalapjáról.

A megfelelés négy lépése a kockázatkezelési rendszer kialakítása, az adatkezelés minőségének biztosítása, a torzításvizsgálat és az átláthatóság. A torzításvizsgálat során rendszeresen ellenőrizni kell, hogy a rendszer nem hoz-e hátrányos megkülönböztetést. Az átláthatóság pedig azt jelenti, hogy a jelölt számára érthető módon kell közölni a rendszer működését.

Pénzügyi oldalról a magyar munkáltatónak az (EU) 2024/1689 rendelet szerinti high-risk kötelezettség-rendszer teljesítéséhez önrészt nem kell vállalnia, ám a GDPR szerinti munkavállalói adatkezelés költségeit önállóan kell viselnie.

Az AI Act és a HR-toborzás metszéspontját az (EU) 2024/1689 rendelet Annex III 4. pontja jelöli ki, amely a foglalkoztatás és munkaerő-menedzsment területén használt rendszereket magas kockázatúnak minősíti. Ebbe a körbe tartozik az önéletrajz-szűrés, az interjúelemzés és a teljesítményértékelés is, tehát a toborzási folyamat több pontján bevezetett mesterséges intelligencia ugyanazon szabályrendszer hatálya alá esik. A magyar munkáltatóknak ez azért lényeges, mert a kockázati besorolás nem választható opció, hanem jogszabályi tény.

A magas kockázatú besorolás négy kötelező megfelelési lépést von maga után, amelyeket egymásra épülve kell végrehajtani. Az első lépés a kockázatkezelési rendszer kialakítása, amely a teljes toborzási életciklust lefedi a pozíció meghatározásától a kiválasztás lezárásáig. A második lépés az adatkezelés és adatminőség biztosítása, ideértve a betanító és tesztadatok torzításvizsgálatát is, ami a munkavállalói alapjogok védelmének egyik legfontosabb eszköze. A harmadik lépés a megfelelő műszaki dokumentáció és naplózás, a negyedik pedig az emberi felügyelet intézményesítése a döntéshozatalban.

A hat legális eszköz a megfelelés operatív oldalát testesíti meg, és gyakorlati támaszt nyújt a belső szabályozás kialakításához. Ezek sorában kiemelt szerepet kap a GDPR szerinti munkavállalói adatkezelés, amely az (EU) 2016/679 rendelet alapján önálló jogalapot és tájékoztatási kötelezettséget ír elő. A torzításvizsgálat, a munkavállalói tájékoztató, az emberi felülvizsgálati mechanizmus, a naplózási és dokumentációs rendszer, valamint az érintetti jogok érvényesítésének belső eljárásrendje együttesen alkotják azt a hatelemes eszköztárat, amelyre a magyar szervezetek támaszkodhatnak a felkészülés során.

A HR-toborzásban használt mesterséges intelligencia az AI Act magas kockázatú rendszerei közé tartozik, mert az Annex III 4. pontja kifejezetten a foglalkoztatás és a munkaerő-menedzsment területére vonatkozik. Az önéletrajz-szűréstől az interjúelemzésen át a teljesítményértékelésig minden olyan alkalmazás ide sorolandó, amely érdemben befolyásolja a munkavállalói jogviszonyt.

Hogyan érdemes ütemezni a felkészülést későbbi döntés szerint-ig? A kiindulópont az AI Act kockázati besorolásának belső visszaigazolása, amelyet az érintett toborzási folyamatok tételes feltárása követ. Ezt követi a torzításvizsgálat, a tájékoztatók elkészítése, a dokumentáció felépítése, végül az emberi felügyelet bevezetése. A négy lépést és a hat eszközt párhuzamosan, projektcsomagban célszerű kezelni, nem egymás utáni, elszigetelt feladatként.

A legjobb tanulságot a konkrét példák adják, ezért érdemes megvizsgálni, hogy egy tipikus magyar középvállalat miként építhet fel AI-alapú toborzási folyamatot a jogi keretek mentén. Az önéletrajz-szűréstől az interjúelemzésen át a teljesítményértékelésig minden lépés magas kockázatú rendszernek minősül, ezért a tervezésnél a megfelelőség az első szempont. A gyakorlatban ez azt jelenti, hogy a cég már a beszerzés előtt kijelöli a felelőst, és a bevezetés párhuzamosan halad a belső szabályzatok frissítésével.

A megfelelés négy kötelező lépése a kockázatkezelési rendszer kialakítása, az adat- és irányítási gyakorlatok dokumentálása, az átláthatóság biztosítása a munkavállaló felé, valamint az emberi felügyeleti mechanizmus beépítése. Ezeket a lépéseket az AI Act mellett a GDPR munkavállalói adatkezelési szabályaival együtt kell alkalmazni.

Egy másik példa a hazai informatikai szolgáltatónál működő HR-csapat, amely az AI-alapú CV-szűrést a GDPR-megfelelőségi tervvel egy időben vezette be. A bevezetés során külön figyelmet fordítottak a torzításvizsgálatra, és az eredményeket a belső adatvédelmi tisztviselő bevonásával értékelték. A jelölt-tájékoztatási szöveget már az első kapcsolatfelvételkor elküldték, így az érintettek az adatkezelés megkezdése előtt értesültek az automatizált döntéshozatali elemekről.

A HR-toborzási AI-projektek tanulsága a döntéshozók számára világos: a magas kockázatú besorolás miatt a technológia bevezetése nem válhat el a jogi felkészüléstől. Aki a megfelelőségi lépéseket a bevezetéssel párhuzamosan végzi, az üzleti értéket és a jogbiztonságot egyszerre teremti meg. Az AI Act és a GDPR együttes alkalmazása egyszerre ad keretet és védelmet a szervezetnek.

A magas kockázatú HR-toborzási rendszerek üzemeltetői számára a megfelelés nem választható opció, hanem jogi kötelesség: az AI Act alapján a forgalomba hozatalt, illetve a szolgáltatás nyújtását megelőzően kockázatkezelési rendszert kell működtetniük, gondoskodniuk kell az adat- és tanítóadat-gazdálkodás minőségéről, technikai dokumentációt kell vezetniük, naplózási kötelezettségük van, átláthatósági és emberi felügyeleti intézkedéseket kell bevezetniük, továbbá pontossági, robusztussági és kiberbiztonsági szintet kell tartaniuk. Ezek együttesen alkotják a hatlépcsős megfelelési keretet.

Az AI Act magas kockázatú rendszerekre vonatkozó kötelezettségei négy fő lépésben foglalhatók össze. Első a kockázatértékelés és a tervezett felhasználás pontos dokumentálása. Második a megfelelő adatkezelési és torzításvizsgálati eljárás kialakítása, ideértve a GDPR munkavállalói adatkezelésre vonatkozó szabályait. Harmadik a munkavállaló előzetes, világos tájékoztatása az AI-rendszer működéséről és az emberi felülvizsgálat lehetőségéről. Negyedik a folyamatos monitoring, a naplózás és az esetleges incidensek kezelésére szolgáló belső eljárásrend kiépítése.

A magyarországi gyakorlatban különösen fontos a torzításvizsgálat, mivel a munkaerőpiacon alkalmazott modellek könnyen reprodukálhatnak vagy felerősíthetnek meglévő társadalmi egyenlőtlenségeket. A GDPR a munkavállalói adatkezelés során fokozott garanciákat ír elő, ezért az AI-rendszer betanításához felhasznált adatok jogalapját, megőrzési idejét és hozzáférési szabályait külön dokumentumban kell rögzíteni. A munkavállaló tájékoztatása nem formális kötelezettség, hanem a rendszerbe vetett bizalom alapja: a jelöltnek tudnia kell, hogy mely döntéseknél működik közre AI, és milyen emberi felülvizsgálati lehetőségek állnak rendelkezésre.

A gyakorlatban a magyar munkáltatók a GDPR-ből fakadó munkavállalói adatkezelési szabályokkal párhuzamosan kötelesek elvégezni a torzítás-vizsgálatot, biztosítaniuk kell a munkavállaló előzetes tájékoztatását, és az emberi döntéshozatalt a teljes kiválasztási folyamatban fenn kell tartaniuk – a teljes megfeleléshez tehát négy konkrét, dokumentálható lépés vezet el.