Din data de 2 august 2026, sistemele de inteligență artificială din recrutare intră sub incidența Regulamentului (UE) 2024/1689. Acestea sunt clasificate drept sisteme cu risc ridicat. În ipoteza în care angajatorul nu a finalizat conformarea până la această dată, el se află deja în neconformitate. Consecințele nu se limitează la o sancțiune contravențională. Poate fi afectată însăși legalitatea deciziilor de angajare, promovare sau concediere adoptate cu sprijinul unor asemenea sisteme.
Regulamentul încadrează în categoria de risc ridicat mai multe tipuri de aplicații utilizate în raporturile de muncă: sistemele destinate plasării direcționate a anunțurilor de angajare, analizei și filtrării candidaturilor, precum și evaluării sau ierarhizării candidaților. Sunt incluse și sistemele care fundamentează decizii privind promovarea, încetarea contractului individual de muncă, alocarea sarcinilor sau monitorizarea performanței angajaților. Calificarea juridică nu depinde de percepția angajatorului asupra tehnologiei, ci de funcția pe care aceasta o îndeplinește efectiv. Se încadrează astfel un sistem de urmărire a candidaturilor care punctează automat CV-uri, un test de personalitate interpretat automatizat sau un modul de analiză a interviurilor video, indiferent dacă a fost achiziționat separat sau este integrat într-o platformă mai amplă de resurse umane.
Nu toate obligațiile decurg din termenul de 2 august 2026. Unele practici sunt interzise deja, din februarie 2025. Regulamentul le clasifică drept riscuri inacceptabile. Aici intră deducerea automată a emoțiilor angajaților la locul de muncă, din expresia facială sau din voce. Aici intră și orice formă de scoring social aplicat personalului. Pentru aceste fapte, sancțiunea este cea mai mare din tot Regulamentul. Poate ajunge la 35 de milioane de euro sau la 7% din cifra de afaceri globală anuală. Acest plafon depășește chiar și pe cel din GDPR. Pentru neconformarea sistemelor de risc ridicat din recrutare, plafonul este diferit. Este de 15 milioane de euro, sau 3% din cifra de afaceri. Cele două praguri sunt adesea confundate în spațiul public. Distincția merită reținută.
O altă problemă practică privește statutul angajatorului. Un simplu utilizator al unui sistem cumpărat rămâne implementator. Obligațiile lui sunt cele specifice implementatorilor. Situația se schimbă dacă angajatorul modifică substanțial sistemul. De exemplu, dacă ajustează algoritmul de punctaj al candidaților sau dacă adaugă module suplimentare de evaluare, dezvoltate intern sau de un alt furnizor. În acest caz, potrivit articolului 25 din Regulament, angajatorul poate fi recalificat drept furnizor. Această calitate atrage obligații mult mai extinse. Presupune marcaj de conformitate, înregistrarea sistemului și monitorizare post-comercializare. Comisia Europeană nu a publicat încă un ghid clar despre ce înseamnă modificare substanțială. Angajatorii care au intervenit asupra sistemelor lor rămân, deocamdată, într-o zonă de incertitudine reală.
Conformarea la AI Act nu înlocuiește obligațiile din GDPR. Cele două regimuri se aplică simultan, nu alternativ. Dacă un sistem realizează profilare automată a candidaților, este nevoie de consimțământ separat. Acest consimțământ trebuie să fie explicit și informat. Nu poate fi ascuns în clauzele generale ale contractului de muncă sau în formularul de candidatură. Persoana vizată are dreptul la o explicație inteligibilă a deciziei automatizate. În anumite condiții, are și dreptul de a refuza o decizie luată exclusiv automatizat. Un audit GDPR anterior nu garantează conformitatea cu AI Act. Cele două acte normative sunt complementare, dar nu identice.
Dacă angajatorul constată acum că nu s-a conformat, situația nu este ireparabilă. Primul pas este identificarea tuturor sistemelor AI folosite efectiv în recrutare și HR. Aici intră și funcțiile automate ascunse în platforme mai mari de resurse umane. Al doilea pas este clarificarea statutului juridic față de furnizor. Trebuie verificat dacă au fost făcute modificări care schimbă acest statut. Al treilea pas este informarea clară a candidaților și angajaților. Aceștia trebuie să știe când o decizie îi privește pe baza unui sistem automatizat. Este nevoie și de documentarea supravegherii umane asupra deciziilor automate. În fine, trebuie verificat dacă responsabilul cu protecția datelor acoperă și componenta AI Act. Dacă nu, rolul trebuie completat.
Riscul nu se oprește la sancțiunea administrativă. O respingere de candidatură întemeiată pe un sistem neconform poate fi contestată în instanță pe temeiuri juridice cumulative: discriminare, în temeiul Codului muncii, prelucrare ilegală a datelor, în temeiul GDPR, și utilizare neconformă a unui sistem de inteligență artificială cu risc ridicat, în temeiul Regulamentului 2024/1689. O singură decizie emisa de resurse umane poate genera, astfel, trei fronturi distincte de răspundere juridică.
Angajatorii aflați în această ipoteză ar trebui să trateze subiectul cu prioritate, nu ca pe o formalitate administrativă. O evaluare juridică a sistemelor folosite în recrutare arată exact expunerea reală la risc și măsurile necesare pentru intrarea în legalitate. Intervalul dintre o neconformitate nesemnalată și un control al autorității sau o plângere formulată de un candidat ori angajat este, în practică, adesea mai scurt decât pare. O verificare făcută din timp rămâne, în acest context, cea mai sigură formă de protecție juridică a angajatorului.
Avocat Maria Cristina Leţu, doctor în Drept
0 Comentarii