Folosești AI pentru a scana CV-uri? Nu o mai face! Încalci legea!

Ce riscă o firmă care dezvoltă un AI pentru scanarea și filtrarea CV-urilor în Uniunea Europeană

Tot mai multe companii caută soluții prin care să reducă timpul pierdut în recrutare. Când ai zeci, sute sau chiar mii de CV-uri pentru un singur post, tentația este clară: lași un sistem de inteligență artificială să citească, să sorteze, să puncteze și să decidă cine merge mai departe. Pentru multe firme din România, mai ales cele care dezvoltă software, SaaS, soluții HR sau produse B2B pentru recrutare, ideea pare foarte atractivă. În practică, însă, un astfel de produs nu este doar un instrument tehnic modern, ci și o zonă cu risc juridic real la nivelul întregii Uniuni Europene ^[1].

Important de înțeles de la început: dacă o firmă din România dezvoltă un AI care scanează și filtrează CV-uri pentru angajatori din UE, nu discutăm doar despre programare, product design și vânzări. Discutăm și despre legislație europeană, protecția datelor personale, transparență, nediscriminare și răspundere. Chiar dacă firma nu angajează direct candidații, simplul fapt că pune pe piață un sistem care influențează accesul unei persoane la un loc de muncă o poate duce într-o zonă strict reglementată ^[2].

De ce este acest tip de AI atât de sensibil din punct de vedere legal

În limbaj simplu, un AI de recrutare nu este tratat în UE ca un simplu filtru de documente. Motivul este evident: el poate influența cine primește o șansă și cine este exclus din procesul de selecție. Dacă sistemul respinge automat anumite CV-uri, face ranking între candidați sau produce scoruri pe care recrutorii le urmează aproape mecanic, impactul asupra persoanei este semnificativ. Din acest motiv, legislația UE tratează sistemele AI folosite în ocuparea forței de muncă, recrutare și selecție de personal ca fiind, în mod normal, din categoria high-risk ^[3].

Pentru o firmă din România, acest lucru înseamnă că nu este suficient să spună „noi doar am creat tool-ul, clientul îl folosește cum vrea”. În multe situații, dezvoltatorul produsului este considerat furnizor al sistemului și are obligații proprii. Iar dacă aceeași companie îl folosește și intern, de exemplu pentru propriile recrutări, poate avea și obligații suplimentare ca utilizator al sistemului ^[1].

Primul risc mare: AI Act

AI Act este regulamentul european care stabilește regulile pentru sistemele de inteligență artificială. În cazul AI-ului folosit pentru recrutare, evaluarea candidaților sau luarea deciziilor legate de muncă, riscul legal este ridicat deoarece aceste sisteme sunt încadrate, de regulă, ca high-risk. Asta nu înseamnă că sunt interzise, dar înseamnă că trebuie dezvoltate și puse pe piață cu măsuri serioase de conformitate ^[2].

Mai concret, firma care dezvoltă un astfel de produs trebuie să poată demonstra că există management al riscului, documentație tehnică, trasabilitate, loguri, control uman adecvat, date suficient de bune pentru antrenare și testare, măsuri de securitate și un nivel rezonabil de acuratețe și robustețe. Cu alte cuvinte, nu mai merge abordarea „lansăm repede și corectăm după”. Dacă produsul afectează accesul la un job, legea europeană cere un standard mult mai ridicat ^[3].

Pentru firmele din România care vor să vândă asemenea soluții în UE, pericolul este dublu: pe de o parte există costul real al conformării, iar pe de altă parte există riscul de sancțiuni dacă produsul este lansat fără aceste măsuri. În plus, anumite practici AI sunt interzise complet sau aproape complet. De exemplu, folosirea unor sisteme de recunoaștere a emoțiilor în context de muncă este tratată extrem de restrictiv ^[4].

Al doilea risc mare: GDPR și datele din CV-uri

Un CV conține aproape întotdeauna date personale. Nume, adresă de e-mail, telefon, istoric profesional, studii, competențe, locație, uneori fotografie. Dar de multe ori conține și informații mult mai sensibile decât par la prima vedere. Dintr-un CV sau din documentele anexate se pot deduce date despre sănătate, dizabilități, apartenență sindicală, religie, origine etnică ori alte elemente care intră într-o categorie sensibilă din perspectiva GDPR ^[5].

Aici apare una dintre cele mai mari greșeli pe care le pot face firmele de produs: să creadă că, dacă utilizatorul final încarcă CV-urile, dezvoltatorul scapă de responsabilitate. În realitate, dacă sistemul este construit astfel încât să analizeze, să profileze, să clasifice și să influențeze decizii reale despre persoane, protecția datelor devine o problemă centrală. De aceea, un AI pentru filtrarea CV-urilor nu trebuie privit doar ca software de automatizare, ci ca sistem care procesează date personale cu impact mare asupra individului ^[6].

GDPR devine și mai sensibil atunci când decizia este luată exclusiv sau aproape exclusiv de algoritm. Dacă un candidat este respins automat, fără o verificare umană reală, compania intră într-o zonă cu risc juridic major. Regulile europene limitează deciziile bazate exclusiv pe procesare automată atunci când acestea produc efecte juridice sau efecte similare semnificative asupra persoanei. O decizie privind angajarea sau eliminarea din procesul de selecție poate intra exact în această categorie ^[6].

Spus foarte simplu, nu este suficient ca firma să spună: „AI-ul doar recomandă”. Dacă în practică oamenii din HR se uită la scor și urmează rezultatul fără o analiză reală, controlul uman devine doar formal. Iar formal nu este suficient. Din acest motiv, firmele trebuie să construiască sisteme care permit intervenție umană reală, transparență, explicații și auditare ^[2].

Un risc ignorat frecvent: discriminarea

Una dintre cele mai mari probleme ale unui AI de recrutare nu este doar că poate greși, ci că poate greși într-un mod discriminatoriu. Dacă modelul este antrenat pe date istorice dezechilibrate, el poate învăța tipare vechi și le poate amplifica. De exemplu, poate favoriza anumite universități, anumite intervale de vârstă, anumite formule de exprimare din CV sau anumite trasee profesionale. La suprafață pare obiectiv. În realitate, poate exclude sistematic grupuri întregi de oameni ^[7].

În Uniunea Europeană, cadrul juridic privind egalitatea de tratament în muncă interzice discriminarea pe criterii precum religie sau convingeri, handicap, vârstă și orientare sexuală în ocuparea forței de muncă și profesie. La nivel național, fiecare stat membru are propriile legi care transpun aceste principii și pot exista și protecții suplimentare. Pentru o firmă din România care dezvoltă un AI de recrutare utilizabil în toată UE, problema este clară: produsul nu trebuie doar să funcționeze tehnic, ci trebuie să reducă pe cât posibil riscul de discriminare directă sau indirectă ^[7].

Cu alte cuvinte, dacă un client din Franța, Germania, România, Italia sau Olanda folosește produsul și apar indicii că sistemul dezavantajează anumite categorii de candidați, dezvoltatorul nu se mai poate ascunde în spatele ideii că „algoritmul a decis”. Dacă modelul, criteriile, datele sau interfața împing către bias, riscul reputațional și juridic crește foarte mult ^[3].

Ce înseamnă asta concret pentru firmele din România

Pentru o companie românească ce dezvoltă un astfel de produs, riscul nu înseamnă doar o eventuală amendă. Înseamnă și costuri de conformare, audit, consultanță juridică, refacerea produsului, întârzieri la lansare și posibilitatea de a pierde clienți enterprise care cer garanții serioase. Tot mai multe companii mari nu vor cumpăra un AI de recrutare dacă furnizorul nu poate explica clar cum funcționează, ce date folosește, ce măsuri anti-bias are și cum asigură intervenția umană ^[1].

În plus, dacă produsul este folosit în practică pentru respingerea candidaților, pot apărea plângeri din partea persoanelor afectate, investigații ale autorităților de protecție a datelor, cereri de acces la informații, solicitări de explicații, dispute contractuale cu clienții și chiar litigii privind discriminarea. Problema reală nu este doar dacă firma „a vrut” să discrimineze, ci dacă sistemul produce în fapt efecte nedrepte sau netransparente ^[6].

Pe scurt: unde sunt cele mai mari pericole

Pentru o firmă din România care vrea să dezvolte și să vândă în UE un AI care scanează și filtrează CV-uri, cele mai mari riscuri sunt acestea: încadrarea ca sistem high-risk sub AI Act, nerespectarea cerințelor de conformitate, probleme legate de prelucrarea datelor personale și a datelor sensibile, folosirea unor decizii exclusiv automate fără control uman real și apariția discriminării directe sau indirecte în procesul de recrutare ^[2][5][7].

Concluzia, spusă simplu, este aceasta: dacă dezvolți un astfel de AI pentru piața europeană, nu construiești doar un produs HR, ci construiești un produs aflat într-una dintre cele mai sensibile zone juridice din UE. Tocmai de aceea, strategia bună nu este „facem întâi și vedem după”, ci „proiectăm de la început cu legal, privacy, transparență și control uman în minte”. Pentru firmele românești serioase, asta nu este doar o obligație. Este și un avantaj competitiv ^[1][3].

Acest material are rol informativ și nu înlocuiește consultanța juridică specializată.

Referințe

1. Comisia Europeană – Regulatory framework proposal on artificial intelligence: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
2. Comisia Europeană – Navigating the AI Act (FAQ): https://digital-strategy.ec.europa.eu/en/faqs/navigating-ai-act
3. Text orientativ și structură AI Act – categorii high-risk și obligații: https://artificialintelligenceact.eu/
4. AI Act – sancțiuni și practici interzise: https://artificialintelligenceact.eu/article/99/
5. Comisia Europeană – Ce date personale sunt considerate sensibile: https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/legal-grounds-processing-data/sensitive-data/what-personal-data-considered-sensitive_en
6. Comisia Europeană – Restricții privind deciziile automate și profilarea: https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/dealing-citizens/are-there-restrictions-use-automated-decision-making_en
7. EUR-Lex – Directiva 2000/78/CE privind egalitatea de tratament în ocuparea forței de muncă și profesie: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A32000L0078