Shadow AI v HR: AI bez porušení GDPR (2026)

Pokud v roce 2026 vedete HR nebo tým pro získávání talentů, největším rizikem AI není dodavatel, kterého vaše nákupní oddělení půl roku prověřovalo. Je to zkušený náborář, manažer L&D a analytik odměňování, kteří ve 23:00 vkládají životopisy kandidátů, hodnocení výkonu a platové tabulky do bezplatného účtu ChatGPT na soukromém notebooku, protože oficiální nástroj je pomalejší. To je shadow AI v HR a leží na průsečíku dvou předpisů s nejvyšší rychlostí prosazování v EU: GDPR a nařízení o AI.

Toto je druhý článek naší série o maskování dokumentů. Hlavní průvodce pokrývá maskování údajů ve všech scénářích použití; tento se zaměřuje na HR: nábor, řízení výkonu, vztahy se zaměstnanci, odměňování a L&D. Tam je problém shadow AI nejostřejší, regulatorní expozice nejvyšší a provozní náprava přináší největší užitek jednomu týmu. Poznámka k rozsahu: shadow AI v HR zahrnuje v tomto článku i nábor a stejná architektura musí pokrýt několik provozně odlišných pracovních postupů, od AI třídění životopisů a získávání talentů po generativní asistenty AI pro pracovníky HR a chatboty HR pro zaměstnance. Řízení výkonu a psaní individuálních hodnocení se s tím částečně překrývají, ale jsou to samostatné postupy a obou se týká stejně.

Pokud vaše firma už vedla rozhovor „co budeme dělat s ChatGPT“ a prohrála ho, je to článek, který můžete předat lidem, kteří AI používají každý den. Popisuje, kde se shadow AI v HR objevuje (sedm konkrétních případů použití), proč tato použití porušují GDPR a nařízení o AI konkrétním způsobem, skutečný záznam o prosazování z let 2023-2026 (Workday, EEOC, NYC AEDT, italský Garante ve věci Foodinho/Glovo, Evropský soud pro lidská práva), jak musí vypadat schválená alternativa, aby ji lidé skutečně přijali, a desetikrokové zavedení, které rozhovor během 90 dní promění v rozhodnutí o schváleném nástroji.

1. Proč je HR nulový bod shadow AI

Shadow AI je používání spotřebitelských nástrojů AI (ChatGPT, Claude, Gemini, Perplexity, Mistral Le Chat, desítky obálek GPT v App Store) s důvěrnými údaji, mimo dohled IT, obvykle přes soukromé účty. Každá funkce ve firmě je tomu nějak vystavena; HR nejvíce. Existují čtyři strukturální důvody.

Za prvé, údaje, se kterými HR pracuje, jsou převážně volný text. Životopisy, motivační dopisy, komentáře v hodnoceních výkonu, stížnosti zaměstnanců, výstupní rozhovory, poznámky manažerů z rozhovorů 1:1, kalibrační diskuse: nic z toho nejsou tabulkové záznamy, jako bývají údaje o zákaznících. Volný text je přesně to, kde se generativní AI zdá nejužitečnější, takže pokušení vložit ho do chatovacího okna je největší. Hlavní průvodce se maskováním osobních údajů zabýval jako technickým problémem; v HR je to i problém chování.

Za druhé, práce v HR je nárazová a náročná na úsudek. Náborář, který týden před termínem obsazení třídí 200 životopisů, nemá čas ptát se právního oddělení, zda je nový sourcingový nástroj v souladu s GDPR. Manažer, který v 21:00 píše obtížné hodnocení, chce partnera k přemýšlení, ne nákupní proces. Oficiální nástroje, pokud existují, byly pořízeny pro případy HRIS nebo ATS, ne pro tohle. Pracovníci HR proto sahají po ChatGPT na vlastní pěst.

Za třetí, údaje HR jsou jako kategorie silně regulované. Čl. 88 GDPR výslovně opravňuje členské státy stanovit konkrétnější pravidla pro zpracování údajů zaměstnanců a většina z nich to udělala. Nařízení o AI klasifikuje použití v HR jako vysoce rizikové v příloze III bodě 4. Několik jurisdikcí mimo EU napsalo konkrétní zákony o AI v zaměstnání: New York City Local Law 144 (Automated Employment Decision Tools, AEDT, v platnosti od července 2023), Illinois AI Video Interview Act (2020), Colorado AI Act (účinný od 2026). Plocha souladu je v HR skutečně větší než v jiných funkcích a používání shadow AI vytváří nezdokumentované zpracování napříč celou jeho šíří.

Za čtvrté, HR stojí mezi právní a compliance laťkou a provozním tlakem na rychlost. Tentýž ředitel HR, kterému se říká, aby dosahoval zvýšení produktivity pomocí AI, odpovídá také za záznamy o činnostech zpracování podle GDPR (čl. 30), posouzení vlivu na ochranu údajů u nových technologií podle čl. 35, právo nepodléhat automatizovanému rozhodování podle čl. 22 a v mnoha zemích EU za konzultaci se zaměstnaneckou radou o nových monitorovacích nástrojích. Bez schválené alternativy, která řeší oba problémy najednou, se systém ohýbá směrem ke stínu.

Statistiky o shadow AI v HR se často opakují v jiném rozsahu, než jaký použil zdroj, a odkud se bere každé číslo o shadow AI uvádí populaci, metodu a datum za nejcitovanějšími z nich.

2. Kde se shadow AI v týmech HR objevuje

Sedm níže uvedených případů použití pokrývá zhruba 95 % shadow AI, které vidíme při auditech HR. Každý vytváří jinou kategorii rizika a jinou příležitost pro schválenou alternativu.

1. Třídění životopisů a sestavení užšího seznamu. Náborář vloží do chatu 50-200 životopisů a požádá: „seřaď je podle kulturního souladu a technické hloubky v Kubernetes, dej mi top 10“. Model vidí celá jména, fotografie, adresy, data narození, předchozí zaměstnavatele a všechny další osobní údaje, které kandidát uvedl. Podle čl. 22 GDPR vyžaduje plně automatizované rozhodnutí s právními účinky nebo podobně významným dopadem výslovný právní základ; nařízení o AI řadí třídění životopisů mezi vysoké riziko; a zaujatost nástrojů AI pro nábor, v literatuře nazývaná též zaujatost AI při najímání, nese vlastní riziko diskriminace podle vnitrostátního pracovního práva. Stínová verze vytváří nezdokumentované zpracování zvláštních kategorií údajů (některé životopisy uvádějí zdravotní údaje, členství v odborech, náboženské vyznání) na americkém koncovém bodě LLM bez DPA. To je učebnicový stínový postup při získávání talentů.

2. Psaní hodnocení výkonu a řízení výkonu. Manažer vloží 12 měsíců poznámek z rozhovorů 1:1 a požádá model o návrh ročního hodnocení. Poznámky obvykle obsahují přímé citace zaměstnance, pozorované zdravotní informace („byla ve třetím čtvrtletí tři týdny nemocná“), rozhovory o odměně a někdy stížnosti na kolegy. Psaní hodnocení výkonu s AI na spotřebitelském koncovém bodě vytváří problém s bodem odůvodnění 71 (rozhodnutí s právními účinky nebo podobně významnými), problém s čl. 88 (zpracování v kontextu zaměstnání) a často problém s čl. 9 (zveřejnění zvláštní kategorie). Zaujatost v hodnoceních výkonu napsaných s AI je dobře zdokumentovaný způsob selhání: model zesiluje nejsilnější signál v podkladových poznámkách a tím je často dosavadní dojem manažera o zaměstnanci, ne skutečné chování zaměstnance.

3. Shrnování výstupních rozhovorů. Obchodní partner HR vede výstupní rozhovory a pak vloží přepisy do chatbota, aby shrnul témata pro vedení. Přepisy obsahují konkrétní platy, obvinění z obtěžování, jmenovité stížnosti na manažery a někdy oznámení protiprávního jednání chráněná unijní směrnicí o oznamovatelích (2019/1937). Stínová verze vystavuje na veřejném LLM jak odcházejícího, tak jmenované třetí osoby. Výstupní rozhovory jsou také jedním z míst, kde zaměstnanci nejvíce očekávají důvěrnost, takže únik přes nástroj AI je pro pověst závažný.

4. Psaní popisů pozic a inzerátů. Marketér talentů dá chatbotovi předchozí inzerát, zadání náborového manažera a inzeráty konkurence, aby napsal nový popis pozice. Riziko pro osobní údaje je zde nízké, ale riziko diskriminace významné: LLM natrénované na historických náborových datech nesou historické genderové a věkové kódování, které může vést k inzerátům systematicky odrazujícím chráněné skupiny (učebnicovým případem je nástroj Amazonu na životopisy z roku 2018, který snižoval hodnocení za „women's chess club“). Dokument technické pomoci EEOC z roku 2023 potvrzuje, že inzeráty mohou porušovat Title VII i bez úmyslu.

5. Benchmarking odměňování. Analytik odměňování vloží tabulku platových pásem firmy a požádá model o srovnání s publikovanými tržními údaji, návrh nové struktury nebo označení odlehlých hodnot. Samotná pásma jsou důvěrná, řádky spojené se zaměstnanci jsou osobní údaje a výstup modelu je nyní v americkém LLM s možným využitím k trénování. Benchmarking odměňování přes shadow AI kromě rizika pro soukromí uniká i konkurenční informace.

6. Dotazy zaměstnanců a pomoc s předpisy. Zaměstnanci se ptají chatbota HR na věci jako „jsem na rodičovské dovolené, na co mám nárok?“ a odpověď vyžaduje smlouvu zaměstnance, zemi, roli a odpracovanou dobu. Mnoho firem zřídilo generativního asistenta AI pro HR na spotřebitelském koncovém bodě, aby to vyřizoval, aniž si uvědomily, že vstup ze strany zaměstnance obsahuje zdravotní informace („jsem nemocný, protože…“), odborovou činnost („mám odborářské volno“) nebo rodinné údaje. Údaje zaměstnanců odhalené ChatGPT přes tyto asistenty jsou jedním z hůře odhalitelných problémů, protože údaje odcházejí přes vstup zaměstnance, ne zaměstnavatele. Italský Garante naznačil, že asistenti AI pro zaměstnance podléhají stejným pracovněprávním pravidlům čl. 88 jako zpracování na straně zaměstnavatele.

7. Algoritmické řízení a plánování pracovní síly. Analytik plánování pracovní síly předá LLM organizační schéma se jmény, úrovněmi, daty nástupu a hodnoceními a požádá o scénáře restrukturalizace nebo o „seznam zaměstnanců s nejvyšším rizikem odchodu v příštích 6 měsících“. To je algoritmické řízení ve smyslu případu Foodinho/Glovo a vyvolalo dvě z největších rozhodnutí o prosazování AI v zaměstnání v EU: pokutu 2,6 milionu EUR, kterou italský Garante uložil Foodinho (2021), a následnou práci španělského AEPD o platformních pracovnících.

Sedm případů použití sdílí společný vzorec. Uživatel ví, že údaje jsou citlivé, ale cítí se chráněn tím, že chatovací okno je „jen já, kdo píšu“. Model vidí údaje jako vstup; logy poskytovatele je vidí jako požadavek; trénovací proces je může vidět jako trénovací příklad; a záznamy o zpracování vaší firmy nevidí nic z toho.

3. GDPR, nařízení o AI a vnitrostátní právo pro AI v HR

Na používání AI v HR se vztahují současně čtyři právní vrstvy. Nejsou nadbytečné; každá zachycuje jiný způsob selhání.

Čl. 88 GDPR (zpracování v souvislosti se zaměstnáním). Členské státy mohou stanovit konkrétnější pravidla pro zpracování osobních údajů zaměstnanců, včetně účelů náboru, plnění pracovní smlouvy, plánování a organizace práce, rovnosti a rozmanitosti, ochrany zdraví a bezpečnosti a ukončení pracovního poměru. Itálie (D.Lgs. 196/2003 ve znění pozdějších změn), Francie (Code du travail L1121-1 a L1222-4), Německo (BDSG § 26), Španělsko (organický zákon 3/2018) a Belgie tuto pravomoc využily. Prakticky to znamená, že celounijní shoda neexistuje: musíte dodržet GDPR a místní pravidla o údajích v zaměstnání.

Čl. 5, 9 a 22 GDPR: věcná páteř pro AI v zaměstnání. Čl. 5 stanoví zásady (zákonnost, korektnost, transparentnost, účelové omezení, minimalizace údajů, přesnost, omezení uložení, integrita, odpovědnost). Čl. 9 zakazuje zpracování zvláštních kategorií bez základu podle čl. 9 odst. 2, kterým je v zaměstnání nejčastěji čl. 9 odst. 2 písm. b), „splnění povinností v oblasti pracovního práva“, ale jen „pokud je to povoleno právem Unie nebo členského státu“. Čl. 22 dává právo nepodléhat rozhodnutí založenému výhradně na automatizovaném zpracování, včetně profilování, které má právní účinky nebo se jej obdobně významně dotýká. Pokyny EDPB 04/2024 k čl. 22 objasňují, že „výhradně“ je smysluplný filtr: symbolické lidské posouzení na konci procesu čl. 22 neobejde a předvýběr v HR je kanonickým příkladem. Zpracování údajů zaměstnanců podle kteréhokoli z těchto článků vyžaduje právní základ, transparentnost a zdokumentované posouzení.

Nařízení o AI, příloha III bod 4: vysoce rizikové případy použití v HR. Nařízení o AI výslovně uvádí použití v HR jako vysoce rizikové: a) systémy AI určené k náboru nebo výběru fyzických osob, zejména k umísťování cílených inzerátů na volná místa, k analýze a filtrování žádostí o zaměstnání a k hodnocení uchazečů; b) systémy AI určené k rozhodování ovlivňujícímu podmínky pracovněprávních vztahů, povýšení nebo ukončení pracovněprávních smluvních vztahů, k přidělování úkolů na základě individuálního chování nebo osobnostních rysů či vlastností nebo k monitorování a hodnocení výkonu a chování osob v těchto vztazích. Klasifikace vysokého rizika spouští plné povinnosti hlavy III: systém řízení rizik (čl. 9), správu údajů (čl. 10), technickou dokumentaci (čl. 11), vedení záznamů (čl. 12), transparentnost (čl. 13), lidský dohled (čl. 14), přesnost a spolehlivost (čl. 15), posuzování shody, registraci v databázi EU, sledování po uvedení na trh a posouzení dopadu na základní práva (čl. 27 pro veřejné orgány a některé soukromé zavádějící subjekty). Povinnosti z nařízení o AI pro HR jsou nejnáročnějším režimem shody, ve kterém kdy HR musel fungovat. Klasifikace použití v HR jako vysoce rizikových podle přílohy III vše spouští a posouzení dopadu, která týmy HR nyní musí vypracovat (DPIA podle GDPR a FRIA podle nařízení o AI), jsou novou provozní dokumentační zátěží.

Vnitrostátní zákony o AI v zaměstnání. Kromě provedení čl. 88 GDPR napsalo několik jurisdikcí zákony specifické pro AI v zaměstnání. NYC Local Law 144 (AEDT) vyžaduje od července 2023 audity zaujatosti a oznámení kandidátům u každého „automatizovaného nástroje pro rozhodování v zaměstnání“, který „podstatně pomáhá“ při najímání nebo povyšování v NYC. Illinois AI Video Interview Act (2020) vyžaduje souhlas, oznámení o použití AI a omezuje sdílení údajů u AI pro video pohovory. Colorado AI Act (účinný od 1. února 2026) odráží velkou část struktury nařízení o AI pro vysoce rizikové použití, včetně zaměstnání. Španělsko kodifikovalo algoritmickou transparentnost pro platformní práci (Real Decreto-Ley 9/2021). Italský Garante vydal konkrétní pokyny k biometrické evidenci docházky, geolokaci a algoritmickému řízení. Francouzský CNIL vydal doporučení specificky k AI v HR (2024).

Praktický závěr: každé zavedení AI v HR v roce 2026 musí současně projít GDPR, nařízením o AI, vnitrostátním právem o údajích v zaměstnání a tam, kde je to relevantní, zákonem specifickým pro AI v zaměstnání. Shadow AI obchází každé z nich.

4. Sedm konkrétních způsobů, jak shadow AI v HR porušuje shodu

Pokud to předkládáte představenstvu nebo zaměstnanecké radě a potřebujete konkrétní seznam toho, co shadow AI skutečně porušuje, zde je provozní verze.

1. Čl. 28: zpracovatel bez DPA. Spotřebitelský účet ChatGPT není smlouva o zpracování údajů. Zkušený náborář, který vkládá životopisy, vytváří zpracování jménem firmy bez ustanovení čl. 28 odst. 3, bez zveřejnění dalších zpracovatelů a bez smluvního základu jednat jménem firmy.
2. Čl. 30: neviditelná činnost zpracování. Záznamy o činnostech zpracování pro HR obvykle pokrývají ATS, HRIS, dodavatele mezd a platformu L&D. Nepokrývají soukromé používání ChatGPT náborářem. Záznam firmy podle čl. 30 je tedy podstatně neúplný, což je samo o sobě porušení nezávislé na jakémkoli úniku údajů.
3. Čl. 9: nezdokumentované zpracování zvláštních kategorií. Životopisy a diskuse o výkonu běžně obsahují údaje podle čl. 9 (zdraví, členství v odborech, náboženství, sexuální orientace). Jejich zpracování na spotřebitelském LLM vytváří zpracování podle čl. 9 bez základu podle čl. 9 odst. 2 a bez dodatečných záruk.
4. Čl. 22: výhradně automatizované rozhodnutí. Pokud se shadow AI používá k řazení kandidátů a náborář pořadí uplatní, je lidské posouzení razítko; rozhodnutí je „založeno výhradně na automatizovaném zpracování“ ve smyslu čl. 22 a bodu odůvodnění 71. Rozsudek Soudního dvora SCHUFA (C-634/21, prosinec 2023) potvrdil široký výklad pojmu „výhradně“.
5. Čl. 5 a 35: žádné posouzení dopadu. Vysoce rizikové zpracování vyžaduje DPIA podle čl. 35 a nařízení o AI přidává u mnoha zavedení v HR posouzení dopadu na základní práva. U shadow AI neexistuje nikdy.
6. Čl. 88 a vnitrostátní pracovní právo. Většina jurisdikcí EU vyžaduje nějakou formu konzultace se zaměstnaneckou radou (Itálie čl. 4 Statuto dei Lavoratori; Německo Betriebsverfassungsgesetz § 87; Francie Code du travail L2312-38) před zavedením monitorovací nebo hodnoticí technologie. Shadow AI je monitorovací technologie zavedená bez konzultace.
7. Přeshraniční předávání a Schrems II. Spotřebitelské účty ChatGPT, Claude a Gemini směrují údaje ve výchozím nastavení do výpočetní kapacity v USA. Neexistuje posouzení dopadu předání, žádné standardní smluvní doložky a firma neví, že k předávání dochází. To je nejsnáze doložitelné porušení GDPR při auditu, protože samotné síťové logy jsou dostatečným důkazem.

Sedm porušení se sčítá. Jediná stínová relace třídění životopisů může spustit šest ze sedmi současně. Španělský AEPD pokutoval i za méně.

5. Skutečné prosazování a cena nečinnosti

Týmy HR někdy právní expozici odmítají jako teoretickou. Záznam z let 2023-2026 říká opak. Zde jsou případy, které by měl v roce 2026 znát každý vedoucí HR.

Workday (USA, 2024-2025). Federální hromadná žaloba Mobley v. Workday tvrdí, že třídicí algoritmus Workday diskriminuje uchazeče na základě rasy, věku a zdravotního postižení. Soud v červenci 2024 zamítl návrh Workday na zamítnutí žaloby a v květnu 2025 certifikoval hromadnou žalobu, čímž přijal teorii, že nástroj AI pro třídění lze pro účely Title VII považovat za zástupce zaměstnavatele. Je to první případ, který stanovil, že za diskriminační výsledky může být odpovědný sám dodavatel AI, čímž se plocha odpovědnosti rozšiřuje za zaměstnavatele.

Technická pomoc EEOC a záznam o vyrovnáních (USA, 2023-2026). Dokument technické pomoci EEOC z května 2023 o AI při výběru zaměstnanců stanovil rámec pro použití Title VII (nepřímá diskriminace) na nástroje AI. Ve věci EEOC v. iTutorGroup (srpen 2023, vyrovnáno za 365 000 USD) EEOC tvrdila, že náborový software firmy programově odmítal starší uchazečky. EEOC dál přidává případy diskriminace pomocí AI na svůj seznam po celý rok 2026; strategický plán prosazování z května 2023 označil diskriminaci poháněnou AI za prioritu.

Prosazování NYC AEDT Law 144 (USA, 2023-2026). Od 5. července 2023 musí zaměstnavatelé používající „automatizovaný nástroj pro rozhodování v zaměstnání“ při najímání nebo povyšování v NYC každoročně provést nezávislý audit zaujatosti, zveřejnit souhrn výsledků a informovat kandidáty. Prosazování je zdrženlivé, ale skutečné a existence zákona podstatně změnila chování dodavatelů na americkém náborovém trhu. Několik firem stáhlo funkce AI z trhu NYC, místo aby se přizpůsobily.

Italský Garante ve věci Foodinho / Glovo (Itálie, 2021-2024). Garante uložil Foodinho (Glovo Italy) v roce 2021 pokutu 2,6 milionu EUR za to, jak algoritmus hodnocení kurýrů zpracovával osobní údaje bez řádného základu podle čl. 88 a bez dostatečné transparentnosti, a v roce 2024 znovu 5 milionů EUR v souvisejících věcech. Rozhodnutí je zásadní pro soulad algoritmického řízení v Itálii a bylo široce citováno v dalších rozhodnutích v celé EU.

Italský Garante k biometrické evidenci docházky (Itálie, 2022-2025). Postupná rozhodnutí stanovila, že biometrické docházkové systémy a vstupní systémy s rozpoznáváním obličeje na pracovišti vyžadují zvláštní právní základ kromě souhlasu (který je v zaměstnání neplatný kvůli nerovnováze moci), a několik zavedení zrušila. Vzorec se přímo vztahuje na každý nástroj AI, který zpracovává biometrické údaje zaměstnanců.

Pokyny CNIL k AI v HR (Francie, 2024-2025). CNIL v roce 2024 zveřejnil pokyny potvrzující, že každému zavedení AI v HR musí předcházet DPIA, musí fungovat na jiném právním základu než souhlas, musí zahrnovat lidský dohled a respektovat požadavek konzultace se zaměstnaneckou radou. Regulační postup CNIL proti nástrojům algoritmického řízení ve francouzském veřejném sektoru stanovil základní úrovně, které mají plnit i soukromí zaměstnavatelé.

Evropský soud pro lidská práva k monitorování na pracovišti. Rozsudek velkého senátu Bărbulescu proti Rumunsku (2017) a novější López Ribalda proti Španělsku (2019) stanovují evropskou základní úroveň pro monitorování na pracovišti: zaměstnavatel musí předem jasně a transparentně informovat a opatření musí být přiměřená. Monitorování chování pomocí AI tuto základní úroveň dědí a používání údajů o výkonu zaměstnanců v shadow AI mimo ni leží téměř z definice.

OpenAI / italský Garante (2023-2024). Dočasné pozastavení ChatGPT ze strany Garante 30. března 2023, předběžná zjištění pracovní skupiny EDPB pro ChatGPT z května 2024 a pokuta 15 milionů EUR uložená samotné OpenAI v prosinci 2024 společně potvrzují, že zpracování na straně LLM je dnes aktivně prosazovanou oblastí shody. Shadow AI v HR dědí všechna tato rizika zprostředkovaně.

Souhrnný účinek je, že ředitel HR už nemůže předpokládat „zatím se nám nic nestalo“. Záznam je dost hustý, aby otázka zněla kdy, ne zda.

6. Jak vypadá schválená AI pro HR, která je rychlejší než stín

Citlivé informace připravte před volitelným úkolem AI, zkontrolujte připravený obsah a posuďte podmínky poskytovatele a zbývající možnost identifikace. U pracovních postupů HR musí minimalizace údajů jít ruku v ruce s vhodnou správou, lidským dohledem a požadavky specifickými pro zaměstnání.

(a) Maskování s ohledem na roli. Postup třídění životopisů musí maskovat jméno kandidáta, fotografii, datum narození, adresu a každé zveřejnění podle čl. 9, ale nesmí maskovat kvalifikaci, zkušenosti, vzdělání a dovednosti. Návrh hodnocení výkonu musí maskovat jméno zaměstnance a každou třetí osobu uvedenou v poznámkách, ale zachovat podkladové chování. Obecný maskovací nástroj, který zakryje všechno, ničí hodnotu postupu. Schválený nástroj musí rozumět kategoriím entit HR v takové podrobnosti, jakou práce skutečně vyžaduje.

(b) Zdokumentovaný řetězec poskytovatelů. Prostudujte DPA Redactic ohledně dalších zpracovatelů služby, jejich rolí a platných podmínek oznamování změn. Potvrďte, který volitelný poskytovatel a postup jsou pro obsah HR zvoleny a jaké kategorie informací lze sdílet.

(c) Soulad s čl. 22 ve výchozím nastavení. Nástroj musí strukturálně bránit výsledkům „založeným výhradně na automatizovaném zpracování“. V praxi to znamená, že výstup je vždy poradní, každé individuální rozhodnutí má zaznamenaného lidského posuzovatele se zdokumentovaným krokem posouzení a log auditu zaujatosti zachycuje míru lidských přepsání. Psaní hodnocení výkonu s AI v tomto režimu vytváří návrh, který manažer věcně upraví; vrstva maskování činí vstup bezpečným; vrstva lidského posouzení činí výstup bezpečným podle čl. 22.

(d) Doklady o správě. Určete, které záznamy o zpracování, posouzení, oznámení a konzultační dokumenty vaše organizace potřebuje. Certifikát maskování může podpořit záznamy o operacích; nenahrazuje DPIA, posouzení zaujatosti, postup se zaměstnaneckou radou ani jiné platné povinnosti.

Detekce a maskování dokumentů v Redactic běží v evropské infrastruktuře, kterou Redactic řídí, bez inference AI nebo strojového učení třetích stran nad nemaskovaným obsahem. Volitelné postupy AI jsou oddělené: zjištěné citlivé hodnoty se odstraní nebo nahradí, než se připravený obsah odešle vybranému poskytovateli. Zkontrolujte text dokumentu, doplňující pokyny a zprávy v chatu; přehlédnuté hodnoty a kontextové podrobnosti mohou stále identifikovat osoby. Poskytovatel, region, uchování a podmínky trénování závisejí na zvoleném postupu a platné smlouvě. Další informace: redactic.eu

Chcete-li používat AI bez předávání jmen a identifikátorů, může Redactic připravit vaše dokumenty pro AI: zjištěné hodnoty se změní na zástupné symboly a skutečná jména se vrátí ve vašem prohlížeči, až dorazí odpověď.

7. 90denní zavedení pro vedoucí HR

Toto je desetikrokový postup, který používáme s vedoucími HR zavádějícími schválenou AI poprvé. Předpokládá, že shadow AI ve vaší organizaci dnes máte (téměř jistě ano) a chcete přejít na schválenou alternativu během čtvrtletí.

1. Den 0-7. Interní sčítání stínového používání. Zeptejte se HR, L&D a náboru, jaké nástroje AI skutečně používají, k jakým úkolům a s jakými údaji. Slibte amnestii za upřímné odpovědi: potřebujete pravdu, ne oficiální odpověď. Počítejte s ChatGPT ve více než 70 % odpovědí, s Gemini a Claude ve 30-50 % a s dlouhým ocasem specializovaných nástrojů.
2. Den 7-14. Přiřaďte případy použití k sedmi kategoriím výše. Označte každý jako vysokou, střední nebo nízkou citlivost údajů. Označte každý jako vysoce rizikový podle přílohy III nařízení o AI, nebo ne. To je váš počáteční soupis operací zpracování.
3. Den 14-30. Výchozí stav shody. Proveďte analýzu mezer vůči sedmi porušením z části 4. Pověřenec pro ochranu osobních údajů a právní oddělení analýzu podepíší. Stane se obchodním zdůvodněním schváleného nástroje a důkazní stopou, pokud se mezitím dostaví regulátor.
4. Den 30-45. Výběr dodavatele. Použijte kontrolní seznam o 8 bodech z hlavního průvodce s váhou specifickou pro HR na body (b) a (d) výše (maskování s ohledem na roli a podklady pro zaměstnaneckou radu). Nákup podepíše DPA, seznam dalších zpracovatelů a případně standardní smluvní doložky.
5. Den 45-60. DPIA a FRIA. DPIA pokrývá stranu GDPR a FRIA stranu nařízení o AI; obě jsou požadovány pro vysoce rizikové použití v HR. Certifikát maskování dodavatele, šablona auditu zaujatosti a seznam dalších zpracovatelů přímo napájejí oba dokumenty.
6. Den 60-70. Zaměstnanecká rada a transparentnost vůči zaměstnancům. Informujte zaměstnaneckou radu podle platného vnitrostátního práva, zahajte konzultaci, připravte oznámení pro zaměstnance (čl. 13/14 GDPR plus transparentnost podle čl. 26 nařízení o AI). Oznámení zveřejněte.
7. Den 70-80. Pilot s jedním týmem. Vyberte tým s nejvyšším stínovým používáním, obvykle zkušené náboráře nebo obchodní partnery HR, a převeďte ho na schválený nástroj. Měřte přijetí proti výchozímu stínovému používání. Jediným testem úspěchu je, zda stínové používání klesne do druhého týdne.
8. Den 80-85. Upravte profil tření. Pokud je schválený nástroj pomalejší než stínová cesta, odstraňte tření (SSO, rozšíření prohlížeče, výchozí modely, latence). Architektura vyhraje, jen když je rychlejší, a ne pouze bezpečnější.
9. Den 85-90. Širší zavedení. Rozšiřte na další 2-3 týmy. Zákaz shadow AI se stane důvěryhodným, až když oficiální nástroj uvidí lidé fungovat v pilotním týmu.
10. Den 90+. Průběžná shoda. Měsíční přezkum zprávy o auditu zaujatosti, čtvrtletní přezkum seznamu dalších zpracovatelů, roční aktualizace DPIA/FRIA. Logy schváleného nástroje napájejí podklady pro regulátora; stínové sčítání se opakuje čtvrtletně, aby stínové používání zůstalo nízké.

Dvě věci je třeba očekávat. Za prvé, krok se zaměstnaneckou radou je místo, kde se zavádění nejčastěji zpomaluje: začněte s ním v den 60, i když technický pilot není připraven, a veďte oba souběžně. Za druhé, ladění tření ve dnech 80-85 bývá rozdílem mezi úspěšným zavedením a takovým, které uvízne na 20% přijetí. Stínová cesta nepřestane být přitažlivá jen proto, že je nyní oficiálně zakázaná; přestane být přitažlivá, až bude schválená cesta skutečně rychlejší.

8. Často kladené otázky

Nemohu ChatGPT jednoduše zablokovat ve firemní síti?

Můžete a mnoho firem to udělalo. Problém to nevyřeší. Stínové používání se přesune na soukromé telefony, soukromé notebooky v domácí síti a soukromé účty na firemních počítačích. Blokace sítě bez schválené alternativy je divadlo shody, které přináší menší přehled a ne menší riziko. Dynamiku podrobně popisuje část o shadow AI v hlavním průvodci.

Vztahuje se čl. 22 GDPR opravdu na předvýběr kandidátů pomocí AI?

Rozsudek Soudního dvora ve věci SCHUFA (C-634/21, prosinec 2023) potvrdil široký výklad pojmu „výhradně na základě automatizovaného zpracování“. Pokud lidský rozhodovatel výstup AI v praxi jen odsouhlasí, považuje se rozhodnutí za výhradně automatizované. Pokyny EDPB 04/2024 tento výklad posilují. Bezpečným předpokladem je, že každý nástroj AI pro předvýběr musí mít zabudovaná opatření podle čl. 22: zdokumentované věcné lidské posouzení, vysvětlení a možnost rozhodnutí napadnout.

Vztahuje se nařízení o AI na mé používání ChatGPT v HR, i když jsem ho nevytvořil?

Ano. Nařízení o AI se vztahuje na zavádějící subjekty vysoce rizikových systémů AI, nejen na poskytovatele. Pokud váš tým HR používá systém AI k jakémukoli účelu z přílohy III bodu 4, jste zavádějící subjekt a nesete jeho povinnosti: lidský dohled, monitorování, transparentnost vůči dotčeným osobám, vedení záznamů a v mnoha případech posouzení dopadu na základní práva. Použití spotřebitelského LLM vás nevyvazuje; shodu ztěžuje, protože chybí dokumentace, kterou by vám poskytovatel měl poskytnout podle čl. 13.

Je případ Workday závazný i mimo USA?

Přímo ne, ale právní teorie, že dodavatele AI lze pro účely diskriminace považovat za zástupce zaměstnavatele, se šíří. Evropská síť orgánů pro rovné zacházení případ ocitovala ve svém komentáři z roku 2025 a několik jurisdikcí EU zvažuje podobný výklad podle směrnice o rasové rovnosti (2000/43/ES) a směrnice o rovném zacházení v zaměstnání (2000/78/ES). Plánujte tak, jako by se teorie uplatnila.

Může zaměstnanecká rada zavedení AI zablokovat?

V několika jurisdikcích EU, včetně Německa podle BetrVG § 87 odst. 1 č. 6 a Itálie podle čl. 4 Statuto dei Lavoratori, ano: spolurozhodování zaměstnanecké rady o technologiích monitorování a hodnocení je povinné. Nezahájení konzultace může vést ke zpětnému pozastavení nasazení a k dalším správním sankcím. Správná strategie je zahájit konzultaci hned první den výběru dodavatele, ne po zavedení.

Vyřeší maskování životopisu samo problém s nařízením o AI?

Ne. Maskování řeší problém úniku dat podle GDPR při oběhu k LLM. Povinnosti z nařízení o AI (klasifikace vysokého rizika, řízení rizik, lidský dohled, transparentnost, audit zaujatosti, FRIA) platí nezávisle a maskováním se nesplní. Obě vrstvy spolupracují: vrstva maskování udržuje v pořádku zásadu minimalizace údajů; lidské posouzení a auditní vrstva udržují v pořádku povinnosti z nařízení o AI.

Co je „algoritmické řízení“ a čím se liší od AI v HR?

Algoritmické řízení je používání automatizovaných systémů k přidělování úkolů, sledování výkonu a rozhodování o pracovnících. Nejčastěji se spojuje s platformovou prací (Foodinho/Glovo), ale stále častěji se uplatňuje i v tradičním zaměstnání. Rozhodnutí italského Garante ve věci Foodinho jsou základním prosazováním v EU; směrnice EU o platformní práci (2024) rozšiřuje na platformní pracovníky zvláštní práva na transparentnost. Každý „AI plánovač“, „AI optimalizátor směn“ nebo „AI hodnotitel produktivity“ v tradičním zaměstnání nese stejné právní riziko, i když se firma za platformu nepovažuje.

Jsou přepisy výstupních rozhovorů opravdu vysoce rizikové?

Ano. Obvykle obsahují informace podle čl. 9 (zdraví, členství v odborech), jmenují třetí osoby, které se zpracováním nesouhlasily, a mohou obsahovat oznámení protiprávního jednání chráněná směrnicí EU 2019/1937 s oddělenou ochranou důvěrnosti. Patří také mezi kategorie údajů, jejichž únik nejvíce poškozuje pověst. Jejich shrnování přes spotřebitelský LLM je jedno z nejrizikovějších jednotlivých chování shadow AI, která vidíme.

Jak dlouho zavedení za 90 dní skutečně trvá?

Podle našich zkušeností trvá technický pilot 4-6 týdnů a konzultace se zaměstnaneckou radou 6-8 týdnů v jurisdikcích EU, kde se uplatňuje. Lhůta 90 dní předpokládá souběžný postup. Pokud je provedete po sobě, plánujte 4-5 měsíců. Největší proměnnou je rychlost nákupu, ne technická složitost.

Kde jsou u Redactic uložena data HR?

Dokumenty a výsledky používají dočasné úložiště pro zpracování v evropské infrastruktuře, kterou Redactic řídí. Může se jednat o dočasné zpracování obnovovacích údajů na straně serveru. Záznamy o účtu, fakturaci, souhlasech a operacích se vedou odděleně. Podmínky uchování a smazání najdete ve smlouvě o zpracování (DPA) a v poučení o ochraně soukromí Redactic a o potvrzení profilu pro váš pracovní postup nás můžete požádat. Další informace: stránky o důvěře redactic.eu

Pokud vaše firma má v HR shadow AI (a má), cena nečinnosti už není abstraktní regulatorní riziko. Je to diskriminační žaloba ve stylu Workday čekající na podání, priorita prosazování EEOC, vzor postupu CNIL nebo Garante, stížnost zaměstnanecké rady a hromadná žaloba v aktivním portfoliu právníků žalobců v diskriminačních věcech. Náprava není přísnější zákaz; náprava je udělat schválenou cestu rychlejší než stínovou a vložit mezi tým a model vrstvu maskování. Soulad a riziko diskriminace u AI v HR jsou dnes propojená rizika: nezdokumentovaný stínový postup je zároveň porušením GDPR a možným zdrojem nároků z diskriminace. Architektura existuje, regulační hodiny tikají a 90denní zavedení je reálné. Začněte sčítáním už tento týden.

Základní technické podrobnosti vrstvy maskování (režimy, certifikáty, architektura bez stop, vícejazyčná detekce) najdete v hlavním průvodci. Postup v akci ukazuje úvodní stránka Redactic, která představuje čtyři režimy použití s živou ukázkou.