EU AI Act w HR: Kompletny przewodnik po audycie systemów agentycznych 2026

Sztuczna inteligencja coraz częściej wspiera rekrutację, onboarding, obsługę dokumentów, komunikację z pracownikami oraz analizę danych kadrowych. Wraz z rozwojem agentów AI automatyzacja HR może obejmować nie tylko pojedyncze czynności, lecz także całe, wieloetapowe procesy kadrowe. Większa autonomia systemów oznacza jednak większą odpowiedzialność. Jeżeli AI analizuje kandydatów, ocenia pracowników lub wpływa na decyzje dotyczące zatrudnienia, może zostać uznana za system wysokiego ryzyka w rozumieniu unijnego Aktu o Sztucznej Inteligencji.

Dlatego audyt AI w HR nie powinien ograniczać się do sprawdzenia samego modelu. Musi obejmować cały proces: dane, integracje, uprawnienia, działania agenta, punkty akceptacji człowieka, logi oraz sposób reagowania na błędy.

Czy każda automatyzacja HR podlega pod AI Act?

Nie każda automatyzacja jest systemem AI i nie każdy system AI wykorzystywany w HR jest systemem wysokiego ryzyka.

Przykładowo workflow, który:

• przekazuje dokument do odpowiedniej osoby,
• wysyła przypomnienie o kończącym się szkoleniu,
• sprawdza kompletność formularza,
• zakłada zadania onboardingowe,
• umawia rozmowę rekrutacyjną,
• odpowiada na standardowe pytania pracownika, zwykle wykonuje zadania administracyjne lub proceduralne. Jeżeli nie ocenia człowieka i nie wpływa na decyzję personalną, może pozostawać poza kategorią high-risk.

Inaczej należy ocenić rozwiązanie, które:

• analizuje i filtruje CV,
• przyznaje kandydatom punkty,
• tworzy ranking kandydatów,
• rekomenduje odrzucenie aplikacji,
• ocenia wydajność pracownika,
• przydziela zadania na podstawie zachowania lub cech osoby,
• wskazuje kandydatów do awansu,
• wpływa na wynagrodzenie lub rozwiązanie umowy.

Załącznik III AI Act wymienia systemy wykorzystywane w zatrudnieniu i zarządzaniu pracownikami jako potencjalne systemy wysokiego ryzyka. Dotyczy to w szczególności rozwiązań wpływających na dostęp do pracy, warunki zatrudnienia, awanse, zwolnienia, przydzielanie zadań oraz ocenę wyników lub zachowania pracowników.

Kiedy system HR może zostać uznany za high-risk?

Sama obecność AI w procesie nie przesądza jeszcze o klasyfikacji. Należy przeanalizować przeznaczenie systemu, jego faktyczną funkcję oraz wpływ wyniku na konkretną osobę.

Podczas oceny warto odpowiedzieć na kilka podstawowych pytań:

1. Czy rozwiązanie spełnia definicję systemu AI?
2. Do czego system został przeznaczony?
3. Czy zastosowanie znajduje się w Załączniku III?
4. Czy wynik AI materialnie wpływa na decyzję dotyczącą człowieka?
5. Czy system profiluje kandydatów lub pracowników?
6. Czy końcowa decyzja człowieka jest rzeczywista, czy jedynie formalna?

Art. 6 ust. 3 AI Act przewiduje wyjątki dla niektórych systemów wykonujących wąskie zadania proceduralne, przygotowawcze lub pomocnicze. Wyjątek może znaleźć zastosowanie, jeśli system nie stwarza istotnego ryzyka dla praw podstawowych i nie wpływa materialnie na wynik decyzji.

Nie oznacza to jednak, że dodanie przycisku „zatwierdź” automatycznie wyłącza system z kategorii wysokiego ryzyka. Jeżeli AI tworzy scoring, ranking lub rekomendację, która faktycznie kształtuje decyzję rekrutera albo menedżera, rozwiązanie nadal może zostać uznane za high-risk.

Czy agent AI jest osobną kategorią ryzyka?

Systemy agentyczne nie stanowią odrębnej kategorii w AI Act. O ich klasyfikacji nie decyduje nazwa „agent AI”, lecz zakres działania oraz wpływ na osoby.

Agent wspierający onboarding może na przykład:

• odczytać dane z dokumentów,
• sprawdzić kompletność formularzy,
• założyć zadania dla HR i IT,
• przygotować wiadomość powitalną,
• przypomnieć o brakujących dokumentach,
• przekazać sprawę do odpowiedniego pracownika.

Takie zastosowanie może mieć charakter proceduralny.

Znacznie większe ryzyko pojawia się wtedy, gdy agent samodzielnie:

• analizuje i porównuje kandydatów,
• tworzy oceny kompetencji,
• rekomenduje odrzucenie aplikacji,
• ocenia pracowników,
• inicjuje działania dotyczące awansu lub zwolnienia,
• podejmuje działania bez obowiązkowej kontroli człowieka.

Im większa autonomia agenta, tym ważniejsze stają się ograniczenia uprawnień, nadzór człowieka, rejestrowanie działań oraz możliwość bezpiecznego zatrzymania procesu.

Harmonogram AI Act – najważniejsze daty dla HR

AI Act jest stosowany etapami.

Od 2 lutego 2025 roku obowiązują między innymi zakazy wybranych praktyk AI oraz wymagania dotyczące zapewniania kompetencji w zakresie sztucznej inteligencji, czyli AI literacy.

Dotyczy to również zakazu stosowania systemów służących do rozpoznawania emocji w miejscu pracy, poza określonymi wyjątkami związanymi między innymi z bezpieczeństwem lub ochroną zdrowia.

Od 2 sierpnia 2025 roku stosowana jest część przepisów dotyczących zarządzania AI oraz modeli ogólnego przeznaczenia.

Zgodnie z harmonogramem uzgodnionym na poziomie UE w 2026 roku wymagania dotyczące systemów wysokiego ryzyka z Załącznika III, w tym zastosowań związanych z zatrudnieniem, mają być stosowane od 2 grudnia 2027 roku. Dla systemów wysokiego ryzyka wbudowanych w określone regulowane produkty przewidziano termin 2 sierpnia 2028 roku.

Przesunięcie terminu nie oznacza, że organizacje powinny odłożyć przygotowania. Inwentaryzacja narzędzi, klasyfikacja zastosowań, uporządkowanie danych i dostosowanie procesów mogą wymagać wielu miesięcy.

Dostawca czy podmiot stosujący – kto odpowiada za AI?

AI Act rozróżnia między innymi dostawcę systemu oraz podmiot stosujący.

Dostawca systemu AI

Dostawcą jest podmiot, który rozwija system lub zleca jego rozwój, a następnie udostępnia go pod własną nazwą.

W przypadku systemów wysokiego ryzyka dostawca odpowiada między innymi za:

• zarządzanie ryzykiem,
• jakość danych treningowych i testowych,
• dokumentację techniczną,
• mechanizmy logowania,
• projektowanie nadzoru człowieka,
• dokładność i odporność systemu,
• cyberbezpieczeństwo,
• ocenę zgodności.

Podmiot stosujący system

Podmiotem stosującym jest najczęściej pracodawca wykorzystujący gotowe rozwiązanie w swoim procesie HR.

Do jego obowiązków może należeć między innymi:

• używanie systemu zgodnie z instrukcją,
• wyznaczenie osób odpowiedzialnych za nadzór,
• zapewnienie odpowiednich kompetencji użytkownikom,
• kontrolowanie danych wejściowych,
• monitorowanie działania systemu,
• przechowywanie dostępnych logów,
• reagowanie na incydenty,
• informowanie pracowników i kandydatów.

Organizacja może również stać się dostawcą, jeśli istotnie zmieni system, zmodyfikuje jego przeznaczenie albo udostępni rozwiązanie pod własną nazwą. Dlatego przed wdrożeniem należy jasno określić odpowiedzialność pracodawcy, dostawcy technologii i integratora.

Jak przeprowadzić audyt systemu agentycznego w HR?

Audyt powinien obejmować nie tylko algorytm, ale cały proces, w którym AI wykonuje zadania lub wspiera podejmowanie decyzji.

1. Inwentaryzacja zastosowań AI

Pierwszym krokiem jest przygotowanie rejestru narzędzi i agentów AI wykorzystywanych przez HR. Jeżeli organizacja dopiero rozpoczyna pracę z agentami, warto wcześniej sprawdzić, jak wdrożyć pierwszych agentów AI w organizacji i wybrać proces o jasno określonym celu, zakresie odpowiedzialności oraz sposobie nadzoru.

Dla każdego rozwiązania należy opisać:

• cel wykorzystania,
• właściciela procesu,
• dostawcę technologii,
• wykorzystywane dane,
• poziom autonomii,
• wykonywane działania,
• osoby, których dotyczy system,
• wpływ wyniku na decyzję,
• sposób nadzoru.

Rejestr powinien uwzględniać również narzędzia używane nieformalnie, takie jak publiczne chatboty, generatory tekstu czy aplikacje do analizy CV.

2. Ocena danych i ryzyka dyskryminacji

W HR szczególne znaczenie ma jakość danych. System uczący się na historycznych decyzjach może powielać występujące w nich uprzedzenia i nierówności.

Podczas audytu należy sprawdzić:

• skąd pochodzą dane,
• czy są adekwatne do celu,
• czy są aktualne i kompletne,
• czy nie zawierają systematycznych błędów,
• czy poszczególne grupy są odpowiednio reprezentowane,
• czy wynik może prowadzić do dyskryminacji,
• jak mierzona jest dokładność systemu.

Nie wystarczy przetestować ogólnej skuteczności modelu. Trzeba również analizować błędne rekomendacje, odchylenia pomiędzy grupami oraz sytuacje, w których człowiek odrzuca wynik AI.

3. Rzeczywisty nadzór człowieka

Human-in-the-loop powinien oznaczać realną możliwość ingerencji w działanie systemu.

Osoba nadzorująca musi móc:

• zrozumieć rolę i ograniczenia systemu,
• zweryfikować źródła wyniku,
• rozpoznać nieprawidłowość,
• odrzucić rekomendację,
• zmienić decyzję,
• skierować sprawę do ponownej oceny,
• zatrzymać proces.

Należy także ograniczać automation bias, czyli skłonność do bezkrytycznego przyjmowania wyniku tylko dlatego, że został wygenerowany przez system.

Akceptacja człowieka nie może być symbolicznym kliknięciem. Użytkownik musi mieć informacje, kompetencje i czas potrzebny do przeprowadzenia rzeczywistej oceny.

4. Kontrola dostępu i uprawnień agenta

Agent AI powinien mieć dostęp wyłącznie do danych i funkcji niezbędnych do wykonania konkretnego zadania.

Audyt powinien ustalić:

• jakie dane agent może odczytać,
• jakie informacje może zmieniać,
• z jakimi systemami może się łączyć,
• jakie działania może wykonywać samodzielnie,
• które operacje wymagają akceptacji,
• kto może zmienić jego konfigurację,
• w jaki sposób wycofywane są uprawnienia.

Im bardziej wrażliwy proces, tym węższy powinien być zakres autonomii systemu.

5. Dokumentacja i logowanie działań

Organizacja powinna móc odtworzyć przebieg procesu i ustalić:

• jakie dane przekazano do AI,
• jaka wersja systemu została użyta,
• jaki wynik został wygenerowany,
• jakie działania wykonał agent,
• kto sprawdził wynik,
• czy rekomendacja została zaakceptowana, zmieniona lub odrzucona,
• jaka decyzja została ostatecznie podjęta.

Systemy wysokiego ryzyka powinny umożliwiać automatyczne rejestrowanie zdarzeń. Dokumentacja techniczna dostawcy nie zastępuje jednak dokumentacji wykorzystania systemu po stronie pracodawcy.

W organizacji warto prowadzić między innymi:

• rejestr zastosowań AI,
• historię zmian konfiguracji,
• rejestr incydentów,
• logi akceptacji,
• potwierdzenia szkoleń,
• procedury zgłaszania zastrzeżeń.

6. Transparentność wobec pracowników i kandydatów

Osoby, których dotyczy działanie systemu, powinny wiedzieć, że AI jest wykorzystywana w procesie.

Komunikacja powinna wyjaśniać:

• cel zastosowania AI,
• zakres analizowanych danych,
• rolę systemu w procesie,
• możliwy wpływ wyniku,
• osobę odpowiedzialną za końcową decyzję,
• sposób zgłoszenia zastrzeżeń,
• możliwość uzyskania dodatkowych informacji.

AI Act działa równolegle z RODO i prawem pracy. Wdrożenie systemu może zatem wymagać aktualizacji obowiązków informacyjnych oraz przeprowadzenia oceny skutków dla ochrony danych.

7. Monitoring i obsługa incydentów

Audyt nie powinien kończyć się wraz z uruchomieniem systemu.

Organizacja powinna regularnie sprawdzać:

• dokładność wyników,
• liczbę błędnych rekomendacji,
• przypadki odrzucenia wyniku przez człowieka,
• różnice w wynikach dla poszczególnych grup,
• nieuprawnione próby dostępu,
• zmiany po aktualizacji modelu,
• skargi pracowników i kandydatów.

Procedura awaryjna powinna określać, kiedy należy zatrzymać agenta, przejść na obsługę ręczną, zabezpieczyć logi, powiadomić dostawcę oraz ponownie ocenić decyzje podjęte z udziałem systemu.

Jak workflow wspiera zgodne i bezpieczne wykorzystanie AI?

Bezpieczeństwo wykorzystania AI w procesie biznesowym zależy nie tylko od modelu, lecz także od sposobu, w jaki system został osadzony w całym workflow. Platforma workflow może tworzyć warstwę kontrolną pomiędzy agentem AI, użytkownikami oraz systemami firmowymi. Pozwala określić:

• z jakich danych agent może korzystać,
• jakie działania może wykonywać,
• kiedy wymagana jest zgoda człowieka,
• kto odpowiada za zatwierdzenie,
• jak obsługiwane są wyjątki,
• jakie informacje trafiają do logów,
• kiedy proces powinien zostać zatrzymany.

W e-MSI wykorzystujemy platformę JobRouter® do orkiestracji procesów łączących pracowników, dokumenty, dane, systemy biznesowe oraz agentów AI.

Agent może przykładowo odczytać dokument, sprawdzić jego kompletność, przygotować podsumowanie i przekazać sprawę pracownikowi HR. Ostateczna decyzja oraz działania wpływające na sytuację pracownika mogą pozostać po stronie wyznaczonej osoby.

Workflow nie gwarantuje automatycznie zgodności z AI Act. Może jednak zapewnić mechanizmy wspierające kontrolę dostępu, nadzór człowieka, dokumentowanie działań, obsługę wyjątków i możliwość odtworzenia całego procesu.

AI literacy – obowiązek, o którym nie można zapominać

Od lutego 2025 roku organizacje powinny dbać o odpowiedni poziom wiedzy osób korzystających z systemów AI. Zakres szkolenia powinien odpowiadać funkcji pracownika, rodzajowi systemu oraz ryzyku wynikającemu z jego zastosowania.

Pracownicy HR powinni rozumieć między innymi:

• ograniczenia wykorzystywanego narzędzia,
• ryzyko błędów i halucynacji,
• możliwość wystąpienia stronniczości,
• zasady bezpiecznego przetwarzania danych,
• sposób weryfikowania wyników,
• procedurę zgłaszania nieprawidłowości.

Innego szkolenia potrzebuje osoba wykorzystująca AI do poprawiania treści ogłoszenia, a innego menedżer zatwierdzający rekomendację dotyczącą konkretnego pracownika.

Checklista audytu AI w HR

Przed wdrożeniem systemu warto sprawdzić:

1. Czy rozwiązanie jest systemem AI?
2. Czy może zostać uznane za high-risk?
3. Czy AI ocenia lub profiluje osoby?
4. Kto jest dostawcą, a kto podmiotem stosującym?
5. Jakie dane otrzymuje system?
6. Jakie działania agent wykonuje samodzielnie?
7. Które decyzje wymagają akceptacji człowieka?
8. Czy przebieg procesu jest rejestrowany?
9. Czy pracownicy i kandydaci są odpowiednio informowani?
10. Czy istnieje procedura zatrzymania systemu i obsługi incydentu?
11. Czy osoby nadzorujące mają odpowiednie kompetencje?
12. Czy działanie systemu jest regularnie monitorowane?

Podsumowanie

EU AI Act nie blokuje wykorzystania sztucznej inteligencji w HR. Wymaga jednak, aby systemy wpływające na ludzi były wdrażane w sposób kontrolowany, przejrzysty i możliwy do audytowania.

W przypadku agentów AI szczególnego znaczenia nabierają:

• jasno określony zakres autonomii,
• jakość danych,
• realny nadzór człowieka,
• kontrola uprawnień,
• logowanie działań,
• monitoring rezultatów,
• możliwość bezpiecznego zatrzymania procesu.

Organizacje, które rozpoczną przygotowania odpowiednio wcześnie, mogą nie tylko ograniczyć ryzyko regulacyjne. Zyskają również większą kontrolę nad automatyzacją, lepszą jakość procesów oraz większe zaufanie pracowników i kandydatów.

W e-MSI pomagamy projektować i automatyzować procesy HR, w których AI działa w ramach kontrolowanego workflow. Łączymy agentów AI z etapami akceptacji, systemami firmowymi, obiegiem dokumentów i mechanizmami nadzoru, aby technologia wspierała pracowników, zamiast pozostawać poza kontrolą organizacji.

Planujesz wykorzystanie agentów AI w procesach HR? Porozmawiaj z zespołem e-MSI o architekturze workflow, która pozwala połączyć automatyzację z kontrolą, transparentnością i nadzorem człowieka.