OUZP i Akt o UI: obveze za poduzeća

Travanj je, sezona je pred vratima, a Vaš hotel na dalmatinskoj ili istarskoj obali upravo je primio nekoliko stotina prijava za sezonske pozicije — recepciju, kuhinju, održavanje, animaciju. Da biste to uopće mogli obraditi u razumnom roku, agencija za zapošljavanje ili IT partner predložili su Vam alat koji automatski filtrira životopise, raspoređuje smjene prema očekivanoj popunjenosti i, u nekim izvedbama, prati produktivnost zaposlenika tijekom sezone. Zvuči kao praktično rješenje za poznat hrvatski problem — velik broj sezonskih radnika u kratkom razdoblju. No netko iz pravne službe ili vanjski konzultant nedavno je spomenuo da takav alat vjerojatno ne pokreće samo obveze iz Opće uredbe o zaštiti podataka (OUZP), koje već poznajete iz obrade osobnih podataka zaposlenika, nego i obveze iz Akta o umjetnoj inteligenciji (Uredba (EU) 2024/1689). Pitanje koje ostaje jest koliko se te dvije obveze stvarno preklapaju i gdje počinje posao koji tek treba napraviti.

Kako se OUZP i Akt o UI preklapaju kod sezonskog zapošljavanja

Preklapanje nije apstraktno pravno pitanje — proizlazi izravno iz činjenice da isti alat radi dvije stvari odjednom. Kada sustav umjetne inteligencije filtrira prijave sezonskih radnika, raspoređuje smjene prema predviđenoj gužvi ili prati radni učinak tijekom ljeta, on obrađuje osobne podatke fizičkih osoba — imena, kontakte, radnu povijest, ponekad i podatke o zdravstvenoj sposobnosti za rad s hranom ili izvod iz kaznene evidencije za pozicije koje to zahtijevaju. Time automatski ulazi u područje primjene OUZP-a, potpuno neovisno o tome je li riječ o umjetnoj inteligenciji ili jednostavnoj tablici. Istovremeno, Akt o UI ne pita je li riječ o osobnim podacima — pita čemu sustav služi. Prilog III Akta o UI svrstava sustave umjetne inteligencije koji se koriste za zapošljavanje ili odabir fizičkih osoba, uključujući filtriranje prijava, ciljano oglašavanje radnih mjesta i ocjenjivanje kandidata, u visokorizične sustave. Isto vrijedi za sustave koji prate ili ocjenjuju radni učinak i ponašanje zaposlenika tijekom radnog odnosa, uključujući raspodjelu zadataka na temelju pojedinačnog ponašanja. Drugim riječima: isti softver koji koristite za sezonsko zapošljavanje pokreće dva odvojena, paralelna skupa obveza — jedan zato što obrađuje osobne podatke, drugi zato što obavlja funkciju koju Akt o UI smatra visokorizičnom, neovisno o prvome.

Što Vaša postojeća DPIA po OUZP-u već pokriva

Ako ste posljednjih godina ozbiljno pristupili sezonskom zapošljavanju, vjerojatno već imate procjenu učinka na zaštitu podataka (DPIA) prema članku 35. OUZP-a za obradu podataka zaposlenika — pogotovo ako obrađujete posebne kategorije podataka poput zdravstvenih uvjerenja za rad s hranom ili podataka iz kaznene evidencije. Ta DPIA već pokriva velik dio analize rizika: pravnu osnovu obrade, kategorije podataka, rokove čuvanja, mjere sigurnosti. Akt o UI se na to nadograđuje, a ne zamjenjuje ga. Za visokorizični sustav dodaje: formalnu klasifikaciju sustava prema Prilogu III, sustav upravljanja rizikom koji se održava tijekom cijelog životnog vijeka alata (članak 9.), tehničku dokumentaciju u opsegu propisanom Prilogom IV. ako ste dobavljač sustava, te dokumentiran postupak ljudskog nadzora (članak 14.) — ne samo činjenicu da netko od zaposlenika 'pregledava' rezultate, nego opisan postupak kako i kada ta osoba stvarno može izmijeniti ili poništiti odluku alata. Akt o UI uvodi i obvezu koju OUZP nema u tom obliku: prije stavljanja visokorizičnog sustava u uporabu na radnom mjestu, poslodavac mora o tome obavijestiti predstavnike radnika i same zaposlenike na koje se sustav odnosi (članak 26. stavak 7.). To je samostalna obveza informiranja, različita od obveze transparentnosti prema ispitanicima iz OUZP-a, i lako se previdi jer ne postoji u vokabularu tima za zaštitu podataka.

• OUZP već pokriva: pravnu osnovu za obradu podataka sezonskih radnika, evidenciju aktivnosti obrade, DPIA za rizične obrade, ugovore s izvršiteljima obrade (npr. agencijom za zapošljavanje), rokove čuvanja i prava ispitanika.
• Akt o UI dodaje: formalnu klasifikaciju alata za zapošljavanje/raspoređivanje kao visokorizičnog prema Prilogu III, neovisno o tome tko ga je izradio.
• Akt o UI dodaje: sustav upravljanja rizikom kroz cijeli životni vijek alata i tehničku dokumentaciju, ako ste dobavljač ili ste alat značajno prilagodili.
• Akt o UI dodaje: dokumentiran, a ne samo formalan, postupak ljudskog nadzora nad odlukama o zapošljavanju i rasporedu.
• Akt o UI dodaje: obvezu obavještavanja predstavnika radnika i zaposlenika prije uvođenja sustava (članak 26. stavak 7.) — obveza koje OUZP nema u tom obliku.
• Još otvoreno: koje će nacionalno tijelo u Hrvatskoj preuzeti ulogu tijela za nadzor tržišta za Akt o UI i u kojem opsegu, te konačan status hrvatskog provedbenog zakonodavstva — to na dan objave ovog teksta nije konačno razjašnjeno i treba provjeravati tekuće stanje.

Cijena pogreške: dva odvojena sustava kazni

Kazne po OUZP-u (članak 83.) dosežu do 20 milijuna eura ili 4% godišnjeg svjetskog prometa poduzeća, ovisno o tome što je veće. Akt o UI uvodi vlastiti, odvojeni sustav kazni prema članku 99.: do 35 milijuna eura ili 7% godišnjeg svjetskog prometa za najteže povrede, poput uporabe zabranjenih praksi iz članka 5. (uključujući prepoznavanje emocija na radnom mjestu spomenuto gore); do 15 milijuna eura ili 3% za neusklađenost visokorizičnih sustava s ostalim zahtjevima Akta; te do 7,5 milijuna eura ili 1% za davanje netočnih informacija nadzornim tijelima. Ovo nisu alternativne kazne za isto djelo — mogu se kumulirati ako isti alat za sezonsko zapošljavanje istovremeno krši OUZP (npr. nema valjanu pravnu osnovu za obradu zdravstvenih podataka) i Akt o UI (npr. nema dokumentiran ljudski nadzor). Za hrvatsku tvrtku iz turizma s desecima ili stotinama sezonskih radnika godišnje to znači da 'imamo DPIA' više nije dovoljan odgovor pri inspekciji ili upitu poslovnog partnera — mora biti jasno koji dokument pokriva koji zahtjev.

Što provjeriti prije početka sezone

Konkretan popis prije nego što alat pustite u rad za novu sezonu: prvo, utvrdite ulogu Vaše tvrtke prema Aktu o UI za taj konkretan alat — dobavljač, uvoznik ili implementator (najčešće implementator, ako kupujete gotovo rješenje agencije za zapošljavanje ili HR softverske kuće). Drugo, provjerite obavlja li alat bilo koju funkciju iz Priloga III — filtriranje prijava, raspoređivanje na temelju ponašanja, ocjenjivanje učinka — jer to određuje primjenjuju li se obveze za visokorizične sustave. Treće, provjerite sadrži li alat ikakvu komponentu koja analizira izraze lica, glas ili ponašanje radi zaključivanja o emocionalnom stanju zaposlenika; ako da, riječ je o zabranjenoj praksi, a ne o pitanju usklađenosti. Četvrto, provjerite je li Vaša DPIA ažurna za tekuću sezonu i sadrži li opis postupka ljudskog nadzora, ne samo izjavu da nadzor postoji. Peto, pripremite obavijest za predstavnike radnika i zaposlenike prije stavljanja alata u uporabu, jer se ta obveza lako previdi kad tim za zaštitu podataka fokus stavi isključivo na OUZP. Agencija za zaštitu osobnih podataka (AZOP) ostaje nadležno tijelo za pitanja OUZP-a; njezina buduća uloga u nadzoru Akta o UI za Hrvatsku, kao i mandat drugih tijela koja bi mogla biti određena za nadzor tržišta umjetne inteligencije, nisu konačno objavljeni u trenutku pisanja ovog teksta, pa tu informaciju svakako provjerite prije donošenja konačnih odluka.

Ovaj tekst predstavlja opću informaciju, a ne pravni savjet prilagođen Vašoj konkretnoj situaciji. Točna primjena OUZP-a i Akta o UI ovisi o vrsti podataka koje obrađujete, ulozi Vaše tvrtke u odnosu na svaki konkretan sustav i stvarnim funkcionalnostima koje isporučuje dobavljač alata — detalje koje nijedan opći tekst ne može u potpunosti obuhvatiti. Komplya u svom sadržaju jasno razlikuje ono što je pravno provjereno od onoga što je radni materijal, kako biste znali s kolikom sigurnošću se na pojedini dio teksta možete osloniti.

Najbrži način da od opće slike dođete do konkretnog odgovora za Vašu sezonu jest proći kratki upitnik primjenjivosti tvrtke Komplya — u nekoliko minuta dobivate pregled toga koje obveze Vaš alat za sezonsko zapošljavanje već pokriva kroz postojeću OUZP dokumentaciju, a gdje ostaje praznina koju treba popuniti prije početka sezone.