Comitetul European pentru Protecția Datelor (EDPB) a anunțat că a stabilit recrutarea automatizată ca temă centrală pentru a șasea sa acțiune coordonată de aplicare a legislației privind protecția datelor. Această inițiativă va fi pusă în aplicare în cursul anului 2027 și va viza respectarea unor drepturi specifice prevăzute de Regulamentul general privind protecția datelor (GDPR). Obiectivul principal este monitorizarea instrumentelor care sortează candidaturile, inclusiv sistemele care utilizează inteligența artificială pentru a tria profilurile de angajare.
Focusul principal al investigațiilor va fi pus pe protecția oferită de articolul 22 din GDPR, care intervine atunci când persoanele sunt sub incidența deciziilor luate exclusiv prin procesare automată. Acest mecanism este activ în situațiile în care algoritmii produc efecte juridice sau afectează semnificativ un candidat, cum ar fi eliminarea automată a unei candidaturi pe baza unui scor. EDPB urmărește ca aceste procese să nu înlocuiască complet evaluarea umană, deoarece o simplă aprobare formală a unui rezultat automat, fără o examinare reală, poate încălca regulamentul.
O altă direcție de control vizează dreptul de acces stabilit prin articolul 15 din GDPR, care permite persoanelor să afle cum le-au fost utilizate datele personale. În contextul deciziilor automatizate, candidații au dreptul de a primi informații despre logica prelucrării, importanța acesteia și consecințele preconizate. Astfel, un candidat respins ar putea înțelege, de exemplu, modul în care sistemul a evaluat experiența sa profesională și cum acest factor a influențat rezultatul final al procesului de selecție.
Participarea autorităților naționale la această acțiune este voluntară, iar EDPB nu a publicat încă o listă completă a organizațiilor care vor fi verificate sau o dată exactă pentru lansare. Danemarca și-a confirmat deja implicarea în acest proces de control, începând pregătirile pentru verificările naționale. În ceea ce privește România, participarea nu a fost confirmată public până în acest moment, deși autoritățile vor putea coordona activitatea prin cadrul european de aplicare a GDPR pentru a permite investigații.
În ceea ce privește modul în care trebuie comunicate informațiile, Curtea de Justiție a UE a stabilit criterii clare în cauza Dun & Bradstreet Austria. Aceasta a precizat că explicațiile oferite trebuie să folosească un limbaj inteligibil pentru a prezenta procedura și principiile utilizate efectiv, evitând simpla comunicare a unui algoritm complex. Chiar dacă o companie invocă secretul comercial, autoritatea de supraveghere sau instanța pot decide ce informații trebuie comunicate persoanei vizate pentru a asigura transparența.
Regulamentul european privind inteligența artificială reglementează separat sistemele de triere a candidaților, clasificându-le, în principiu, în categoria de risc ridicat. Totodată, acțiunea EDPB rămâne relevantă și pentru procesele de selecție care utilizează reguli informatice simple, fără a recurge la inteligență artificială, deoarece GDPR oferă garanții aplicabile în ambele scenarii. Candidații pot începe să își exercite drepturile în condițiile prevăzute de regulament chiar și înainte de începerea oficială a acestor verificări coordonate.