Poniższy przewodnik proponuje konkretne działania, które możesz wdrożyć w swojej organizacji. Jeżeli potrzebujesz konsultacji lub pomocy prawnej w tym temacie lub innym z prawa nowych technologii i sztucznej inteligencji, skontaktuj się z nami: dpnt@sobotajachira.pl.

RODO jako fundament

Każdy proces, w którym algorytm analizuje, ocenia lub kategoryzuje CV, jest operacją na danych osobowych. Oznacza to, że podlega on reżimowi RODO (Ogólne rozporządzenie o ochronie danych), w tym zasadom: legalności, przejrzystości, minimalizacji, ograniczenia celu oraz zapewniania praw kandydatów.

1. Obowiązek informacyjny: jak napisać klauzulę, którą ktoś zrozumie?

RODO wymaga transparentności. Kandydat musi wiedzieć, że jego aplikacja będzie przetwarzana automatycznie i rozumieć, co to dla niego oznacza, tj.:

• że jego aplikacja będzie przetwarzana przez system wykorzystujący AI;
• w jakim celu i na jakich zasadach;
• oraz jakie prawa mu przysługują.

Dlatego należy unikać wklejania skomplikowanych, prawniczych formułek na końcu ogłoszenia. Sformułowania typu: „algorytm profilujący”, „procesor danych” czy „automatyczna kwalifikacja” niewiele wyjaśniają. Zamiast tego warto:

• umieścić informację w widocznym miejscu: najlepiej tuż przy przycisku “Aplikuj”;
• używać prostego języka, by wyjaśnić proces rekrutacji w 1-2 zdaniach, po szczegóły odsyłając do polityki prywatności.

Można skorzystać z przykładowej klauzuli:

“W naszym procesie rekrutacyjnym korzystamy z systemu [Nazwa Systemu], który pomaga nam dokonać wstępnej selekcji aplikacji. System analizuje Twoje CV pod kątem dopasowania kwalifikacji i doświadczenia do wymagań opisanych w ogłoszeniu. Ta zautomatyzowana ocena pomaga nam szybciej rozpatrywać zgłoszenia. Pamiętaj, że kluczowe decyzje w procesie rekrutacji zawsze podejmuje człowiek. Więcej informacji o tym, jak przetwarzamy Twoje dane, znajdziesz w naszej Polityce Prywatności [link do Polityki Prywatności]”.

Jeśli AI analizuje dane także spoza CV (np. uwzględnia informacje z profilu na LinkedIn) uwzględnij to w klauzuli informacyjnej.

2. Prawo do interwencji ludzkiej: jak wdrożyć procedurę odwoławczą?

Art. 22 RODO chroni kandydatów przed decyzjami opartymi wyłącznie na automatycznym przetwarzaniu. Dlatego jeśli wykorzystywany system samodzielnie odrzuca kandydatów, musisz zapewnić kandydatom realną możliwość odwołania.

Deklaracja, że to rekruter zawsze na końcu klika ‘OK’, podczas gdy w rzeczywistości jest to masowe zatwierdzanie decyzji AI, jest tylko pozorną interwencją człowieka, która nie zwalnia z obowiązków wynikających z art. 22 RODO. Dlatego:

• stwórz dedykowany kanał komunikacji: może to być prosty adres e-mail (np. rekrutacja.odwolania@twojafirma.pl) podany w wiadomości z decyzją odmowną;
• zdefiniuj proces: ustal kto w zespole jest odpowiedzialny za rozpatrywanie odwołań oraz jaki jest na to czas (np. 5 dni roboczych);
• zapewnij rzetelną weryfikację: ponowna ocena musi być przeprowadzona przez człowieka, który świadomie analizuje CV w kontekście kluczowych wymagań stanowiska, a nie tylko powtarza ocenę automatu.

Warto zadać sobie pytanie: czy w przyjętej procedurze rekruter jest w stanie merytorycznie uzasadnić, dlaczego kandydat X, odrzucony przez AI, faktycznie nie spełniał kryteriów? Jeśli odpowiedź brzmi “nie”, Twój proces może zostać zakwalifikowany jako oparty wyłącznie na automatyzacji, nawet jeśli teoretycznie na końcu jest zatwierdzany przez człowieka.

AI Act – co to oznacza dla użytkownika systemu?

AI Act kwalifikuje systemy rekrutacyjne jako systemy wysokiego ryzyka. Zgodnie z aktem o sztucznej inteligencji, odpowiedzialność nie spoczywa tylko na twórcach takich systemów, ale także na Tobie jako ich użytkowniku (deployer). Twoją odpowiedzialnością jest świadomy wybór dostawcy i odpowiedzialne korzystanie z narzędzia. Warto stosować się do następujących rad:

1. Wybór dostawcy: nie ufaj marketingowi, zadawaj trudne pytania

Zanim podpiszesz umowę na system AI lub wykupisz subskrypcję na gotowe rozwiązanie chmurowe, przeprowadź własny due diligence. Potraktuj poniższą listę jako obowiązkowy element rozmów z handlowcem.

Przed wdrożeniem systemu AI do swojego procesu rekrutacji sprawdź:

1. zgodność z AI Act: czy system jest (lub będzie) w pełni zgodny z wymogami dla systemów AI wysokiego ryzyka?
2. dane treningowe i bias (stronniczość): czy dostawca podaje informacje, na jakich zbiorach danych trenowany był algorytm? Jakie kroki podjęte zostaną w Twojej firmie, aby zminimalizować ryzyko dyskryminacyjnego bias-u (np. ze względu na płeć, wiek, pochodzenie, ukończoną uczelnię)?
3. dokumentacja i transparentność: czy dostawca udostępnia dokumentację techniczną, wymaganą przez AI Act? Czy logikę działania algorytmu da się w zrozumiały sposób wyjaśnić?
4. nadzór ludzki: w jaki sposób narzędzie wspiera i ułatwia sprawowanie skutecznego nadzoru ludzkiego nad jego działaniem? Czy są przewidziane mechanizmy łatwej interwencji człowieka?
5. rejestrowanie zdarzeń (logi): czy system rejestruje swoje działania w sposób, który pozwoli na odtworzenie procesu decyzyjnego na potrzeby ewentualnego audytu lub kontroli?
6. czy system pozwala anonimizować lub pseudonimizować dane kandydatów?

Jeśli dostawca nie podaje tych informacji lub unika odpowiedzi na te pytania, rozważ skorzystanie z innego, bardziej transparentnego systemu.

2. Wewnętrzne zarządzanie i monitoring.

Wybór i zakup zgodnego z prawem narzędzia to tylko połowa sukcesu. Druga połowa to jego prawidłowe używanie.

W tym zakresie dobrymi praktykami będzie:

• prowadzenie wewnętrznego rejestru: stwórz prosty dokument (np. w Excelu lub systemie wewnętrznym), w którym będziesz odnotowywać, w jakich procesach rekrutacyjnych i w jakim celu korzystasz z systemu AI. Taka dokumentacja będzie bezcenna podczas kontroli.
• regularnie monitoruj wyniki: samodzielnie analizuj decyzje podjęte przez system. Zaplanuj regularną weryfikację i sprawdzaj, czy odrzucane kandydatury są faktycznie nieadekwatne? Czy system nie faworyzuje określonego profilu kandydata w sposób, który może być dyskryminujący? Przykładowo, jeśli na stanowisko techniczne aplikuje 40% kobiet, a system przepuszcza do kolejnego etapu tylko 5% z nich, należy to zbadać i w dokumentacji opisać, dlaczego tak się dzieje.
• szkól zespół: rekruterzy muszą rozumieć zasady działania stosowanego systemu, jakie ma on ograniczenia i jakie ryzyka prawne się z nim wiążą.
• wyznacz osoby odpowiedzialne za monitoring systemu i szkolenia. To nie jest zadanie wyłącznie dla HR – warto włączyć do procesu także dział prawny oraz IT.

AI w rekrutacji a kodeks pracy

Choć o AI Act i RODO mówi się najczęściej, nie można zapominać o polskim prawie pracy, które wprost chroni godność i prywatność pracownika (art. 11¹ k.p.). Stąd system rekrutacyjny nie może:

• analizować cech niezwiązanych ze stanowiskiem (np. wyglądu, wieku, akcentu, miejsca zamieszkania),
• pozyskiwać danych z mediów społecznościowych bez podstawy prawnej,
• oceniać „osobowości” kandydatów, jeśli nie jest to niezbędne i kandydat nie wyraził na to zgody.

Każde zastosowanie sztucznej inteligencji w procesie rekrutacji powinno być proporcjonalne i przemyślane. Jeśli decydujemy się na wdrożenie narzędzia, którego celem jest jedynie sortowanie CV według słów kluczowych, to nie może ono na przykład jednocześnie analizować zdjęć kandydatów.

Podsumowanie

Dbanie o zgodność z RODO i AI Act to nie tylko sposób na uniknięcie kar administracyjnych. To przede wszystkim inwestycja w zaufanie – przejrzyste i odpowiedzialne podejście do wykorzystania technologii w procesach rekrutacyjnych sprawia, że kandydaci chętniej aplikują i czują się traktowani z szacunkiem. Zyskuje na tym również sama organizacja, bo decyzje rekrutacyjne stają się bardziej obiektywne, oparte na danych i mierzalnych kryteriach, a nie uprzedzeniach.

Dobrym pomysłem jest więc otwarte komunikowanie zasad korzystania z narzędzi AI. Warto dodać na podstronie „Kariera” prostą sekcję „Jak wykorzystujemy AI w rekrutacji” z krótkim opisem używanej technologii, roli człowieka w podejmowaniu decyzji oraz zamieścić informacje o sposobie ochrony danych osobowych. Taka przejrzystość nie tylko spełnia wymogi prawne, ale także buduje wizerunek organizacji, która nie ma nic do ukrycia i dba o etyczny wymiar rekrutacji.

Jeżeli potrzebujesz konsultacji lub pomocy prawnej w tym temacie lub innym z prawa nowych technologii i sztucznej inteligencji, skontaktuj się z nami: dpnt@sobotajachira.pl.

Autor: Adrian Ilko, adwokat

The post AI w rekrutacji: Praktyczny przewodnik po RODO i AI Act dla rekruterów first appeared on Dział Prawa Nowych Technologii - Sobota Jachira.

Oferta handlowa jako utwór chroniony prawem autorskim

Polskie prawo autorskie chroni utwory, które zgodnie z art. 1 ustawy – Prawo autorskie i prawa pokrewne, definiowane są jako każdy przejaw działalności twórczej o indywidualnym charakterze, ustalony w jakiejkolwiek postaci, niezależnie od wartości, przeznaczenia i sposobu wyrażenia. Najistotniejszą przesłanką jest indywidualność i oryginalność, zatem aby zakwalifikować ofertę handlową jako dzieło, musi ona być rezultatem twórczości autora i cechować się nowością, która odróżni je od innych, standardowych wzorów. Same pomysły nie podlegają więc ochronie – ta obejmować może natomiast konkretną realizację idei.

W praktyce ochrona dotyczy więc:

treści oferty: autorskie teksty (opisy usług/produktów, hasła, slogany)

szaty graficznej: (oryginalna kompozycja slajdów, układ wizualny, autorskie ilustracje, zdjęcia, wykresy)

materiałów audio i wideo: autorskie filmy, animacje, podkłady muzyczne

struktura i kompozycja: unikalny efekt końcowy w postaci struktury prezentacji, sposobu łączenia obrazu i tekstu

Jak wspomniano, w obecnym stanie prawnym ochroną prawnoautorską objęty jest utwór jako przejaw działalności twórczej człowieka. Generatywna sztuczna inteligencja, choć (jak sama nazwa wskazuje) generuje tekst, obraz a nawet dźwięk, nie jest uznawana za autora. Fakt, że część treści powstała przy wsparciu AI, nie wyklucza ochrony, jeśli tylko to człowiek nadaje ostatecznej wersji utworu jego indywidualne cechy – decyduje o wyborze i modyfikacji wygenerowanych elementów, łączy je w unikalny układ, poprawia i modyfikuje tekst, rozwijając jego istotne fragmenty.Według dominującego obecnie poglądu, bez twórczej, istotnej ingerencji człowieka w efekt pracy programu, nie nabędzie on praw autorskich do wygenerowanej treści.

Kluczową rolę odgrywa więc wkład użytkownika programu w proces generowania elementów oferty i jej końcowy kształt. Im bardziej nieszablonowe i rozbudowane były prompty (polecenia tekstowe kierowane do programu), tym więcej przemawiać będzie za uznaniem autorstwa użytkownika. GenAI jest wówczas tylko narzędziem, a nie autorem.

Wygenerowana treść może nie mieć charakteru utworu, nadal jednak należy rozstrzygnąć, kto ma prawo z niej korzystać – użytkownik, dostawca programu czy też rezultat trafia do domeny publicznej. Ważne jest również ustalenie, czy podawane w prompcie informacje mogą być użyte przez dostawcę przy dalszym szkoleniu systemu. Zagadnienia te rozstrzyga regulamin, polityka lub licencja dostawcy narzędzia, z którymi należy się zapoznać przed rozpoczęciem korzystania, zwłaszcza że często ulegają one zmianie.  Na ten moment, większość najpopularniejszych programów zezwala na komercyjne wykorzystanie, pod warunkiem przestrzegania wytycznych dla użytkowników (każdorazowo do sprawdzenia na stronie dostawcy).

Roszczenia przysługujące autorowi

Jeśli oferta (także ta, powstała przy pomocy GenAI) posiada cechy utworu, będzie ona objęta ochroną przed bezprawnym wykorzystaniem jej przez innych, w tym kontrahenta który ją otrzymał. Katalog roszczeń zwiera art. 79 ustawy – Prawo autorskie i prawa pokrewne.

Uprawniony, którego autorskie prawa majątkowe zostały naruszone, może żądać od osoby, która naruszyła te prawa:

1. zaniechania naruszania,
2. usunięcia skutków naruszenia,
3. naprawienia wyrządzonej szkody:
   • na zasadach ogólnych albo
   • poprzez zapłatę sumy pieniężnej w wysokości odpowiadającej dwukrotności, a w przypadku gdy naruszenie jest zawinione – trzykrotności stosownego wynagrodzenia, które w chwili jego dochodzenia byłoby należne tytułem udzielenia przez uprawnionego zgody na korzystanie z utworu,
4. wydania uzyskanych korzyści.

Niezależnie od wymienionych roszczeń, uprawniony może się domagać jednokrotnego albo wielokrotnego ogłoszenia w prasie oświadczenia lub podania do publicznej wiadomości treści orzeczenia sądu rozstrzygającego sprawę. Konieczność zamieszczenia takiego komunikatu może mieć szczególnie negatywne konsekwencje dla wizerunku podmiotu, który wykorzystał utwór bez zgody twórcy, zwłaszcza w obrocie profesjonalnym.

Tajemnica przedsiębiorstwa i informacje poufne

Oferta handlowa bardzo często zawiera także dane o istotnym znaczeniu gospodarczym dla oferenta. Może się więc zdarzyć, że zamieszczone w niej treści objęte są tajemnicą przedsiębiorstwa i chronione również na gruncie ustawy o zwalczaniu nieuczciwej konkurencji. Zgodnie z art. 11 ust. 4 ustawy o zwalczaniu nieuczciwej konkurencji, wykorzystanie informacji stanowiących tajemnicę przedsiębiorstwa stanowi czyn nieuczciwej konkurencji w szczególności, gdy następuje bez zgody uprawnionego do korzystania z informacji lub rozporządzania nimi i narusza obowiązek ograniczenia ich wykorzystywania. Warto zatem wyraźnie oznaczać już w treści prezentacji, które informacje mają charakter poufny.

Podsumowanie

Przygotowując ofertę handlową należy świadomie podchodzić zarówno do zamieszczanej w nich treści, jak i doboru narzędzi, wykorzystywanych do jej stworzenia. Prezentacja handlowa może sama w sobie stanowić przedmiot ochrony na gruncie prawa autorskiego, a jej bezprawne powielanie może spotkać się z odpowiednią reakcją twórcy – nawet jeśli oferent posłużył się GenAI. Popularność AI i nowych technologii w codziennych zastosowaniach biznesowych stale rośnie i można się spodziewać, że ten trend się utrzyma. Warto więc poznać zasady ich legalnego i bezpiecznego użytkowania.

Autorem artykułu jest kierownik działu nowych technologii i AI w naszej kancelarii – adw. Przemysław Sobiesiak.

The post Oferta handlowa przygotowana z użyciem AI jako przedmiot ochrony na gruncie prawa autorskiego first appeared on Dział Prawa Nowych Technologii - Sobota Jachira.

Akt w sprawie sztucznej inteligencji ma rangę rozporządzenia Parlamentu Europejskiego i Rady, co oznacza, że obowiązuje bezpośrednio i jednakowo w każdym państwie członkowskim UE. Jego założeniem jest wprowadzenie jednolitych, przejrzystych i bezpiecznych ram prawnych dla systemów sztucznej inteligencji w całej Unii Europejskiej. Podobnie jak RODO określiło standardy w zakresie ochrony danych osobowych, tak nowa regulacja dąży do ustalenia klarownych zasad, standardów i odpowiedzialności dla dostawców, użytkowników i innych podmiotów uczestniczących w tworzeniu oraz wdrażaniu AI.

Kogo dotyczy AI Act?

Regulacja skierowana jest do szerokiego grona podmiotów, w tym:

• dostawców systemów AI, podmiotów tworzących, rozwijających lub wprowadzających do obrotu systemy AI – niezależnie od miejsca ich siedziby w Unii Europejskiej lub w państwie trzecim;
• dystrybutorów i importerów, wprowadzających na rynek UE rozwiązania AI opracowane poza jej granicami;
• użytkowników systemów AI mających siedzibę w UE – przedsiębiorstw i instytucji wykorzystujących sztuczną inteligencję w procesach biznesowych, w produktach lub usługach;
• podmiotów, na które AI ma wpływ i które znajdują się w Unii;
• organizacji nadzorujących i certyfikujących – instytucji odpowiedzialnych za certyfikację, nadzór i egzekwowanie przestrzegania przepisów.

Nowe przepisy dotyczą zarówno systemów wykorzystywanych komercyjnie, jak i bezpłatnych, z wyłączeniem rozwiązań stosowanych w obronności, bezpieczeństwie narodowym oraz badaniach naukowych.

Kategorie ryzyka w AI

Jednym z kluczowych elementów AI Act jest podział systemów sztucznej inteligencji na cztery poziomy ryzyka:

systemy o niedopuszczalnym ryzyku, których rezultaty mogą być nieetyczne lub niebezpieczne. Ze względu na przyjęty w Unii Europejskiej system wartości są one całkowicie zakazane

systemy o wysokim ryzyku – rozwiązania AI stosowane w obszarach o szczególnym znaczeniu, np. w medycynie, transporcie, edukacji czy zatrudnieniu. Te systemy podlegać będą surowym wymogom dotyczącym jakości danych, zarządzania ryzykiem, posiadanej dokumentacji, nadzoru oraz rejestracji

systemy o ograniczonym ryzyku – ich stosowanie będzie wymagało spełnienia określonych standardów informacyjnych i etycznych, np. ujawnienia faktu korzystania z AI

systemy o minimalnym ryzyku – standardowe rozwiązania AI, takie jak filtry antyspamowe czy chat-boty, które nie będą wymagały szczególnych środków kontrolnych

Zakazane praktyki w systemach AI

Jak wspomniano, od 2 lutego 2025 r. zabronione jest używanie systemów, stosujących zakazane praktyki. Katalog tych praktyk zawiera art. 5 AI Act, który wymienia systemy:

1. stosujące techniki manipulacyjne, podprogowe lub wprowadzające w błąd – skutkujące zniekształceniem podejmowanych decyzji w sposób powodujący u niej lub innych osób istotne szkody;
2. wykorzystujące słabości osoby fizycznej lub grupy osób ze względu na ich wiek, niepełnosprawność lub szczególną sytuację społeczną lub ekonomiczną, jeśli skutkują zniekształceniem podejmowanych decyzji w sposób powodujący u niej lub innych osób istotne szkody;
3. z użyciem scoringu społecznego, tj. klasyfikacji osób fizycznych na podstawie ich zachowań społecznych lub cech osobistych, jeśli prowadzi to do krzywdzącego lub niekorzystnego traktowania;
4. profilujące osoby fizyczne pod kątem prawdopodobieństwa popełnienia przestępstwa,
5. tworzące lub rozbudowujące bazy danych, służących rozpoznawaniu twarzy poprzez nieukierunkowane pozyskiwanie wizerunków twarzy z Internetu lub nagrań telewizji przemysłowej;
6. wyciągające wnioski na temat emocji osoby fizycznej w miejscu pracy lub instytucjach edukacyjnych;
7. wykorzystujące kategoryzację biometryczną, które indywidualnie kategoryzują osoby fizyczne w oparciu o ich dane biometryczne by wywnioskować informacje na temat ich rasy, poglądów politycznych, przynależności do związków zawodowych, przekonań religijnych lub światopoglądowych, seksualności lub orientacji seksualnej
8. zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej do ścigania przestępstw.

Sankcją za stosowanie zakazanych praktyk w zakresie AI jest może być nałożenie administracyjnej kary pieniężnej w wysokości do 35 mln EUR lub w przypadku przedsiębiorstwa – w wysokości do 7% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa.

Jak przygotować się do AI Act?

W związku z wejściem w życie aktu o sztucznej inteligencji, przedsiębiorcy wykorzystujący w swojej działalności AI, od 2 lutego 2025 r. muszą zrezygnować ze stosowania zabronionych systemów. Zgodnie z harmonogramem, już sierpniu 2025 r. zacznie obowiązywać kolejna część przepisów AI Act, zatem już teraz warto wdrożyć dobre praktyki, obejmujące:

1. identyfikację systemów AI już stosowanych w firmie oraz określenie ich poziomu ryzyka, zgodnie z katalogiem aktu o sztucznej inteligencji;
2. przeprowadzenie audytów oraz wdrożenie wewnętrznych procedur, zatem przygotowanie polityki korzystania z AI w organizacji oraz zaktualizowanie polityki bezpieczeństwa danych;
3. szkolenia dla personelu, by zapewnić zespołom IT, działom compliance, kadrze zarządzającej oraz osobom korzystającym z AI w organizacji wiedzę na temat nowych obowiązków i dobrych praktyk, związanych z wykorzystywaniem sztucznej inteligencji.

Podsumowanie

AI Act to pionierska regulacja UE, która wyznacza nowe standardy w zakresie korzystania ze sztucznej inteligencji. Przedsiębiorcy, instytucje oraz podmioty prywatne muszą przystosować się do rygorystycznych przepisów, aby uniknąć wysokich kar finansowych. Kluczowe jest więc podjęcie działań edukacyjnych, przeprowadzenie audytów oraz wdrożenie odpowiednich procedur, które umożliwią bezpieczne, etyczne i zgodne z prawem używanie ze sztucznej inteligencji.

Artykuł autorstwa: adw. Przemysława Sobiesiaka

The post AI Act – nowe obowiązki dla podmiotów korzystających ze sztucznej inteligencji first appeared on Dział Prawa Nowych Technologii - Sobota Jachira.