- Regulation (EU) 2016/679 — GDPR, Article 27
- Regulation (EU) 2024/1689 — AI Act, Annex III employment
- Directive 2019/1152 on transparent working conditions
誰が選任するか
EU外に設立された提供者が、EU内の雇用主に採用または人事システムを提供する場合。雇用主は通常コントローラーであり、ベンダーはプロセッサーですが、候補者データをモデルのトレーニングやベンチマーキングに使用する場合、ベンダーはその目的のためのコントローラーとなり、自らの義務が発生します。
しきい値と適用除外
GDPRの閾値はありません。AI法の下では、採用、応募のフィルタリング、候補者の評価、タスクの割り当て、またはパフォーマンスの監視に使用されるシステムは、附属書IIIに基づき高リスクと見なされ、2026年8月2日から義務が適用されます。
ラベルに必要な記載
物理的ではありません。プライバシー通知および雇用主顧客に提供される契約文書における代表者の身元。AIが使用される場合、候補者には通知され、雇用主は関与する論理を説明できる必要があります。
マーケットプレイスの項目
EUの雇用主はAI法の分類、移転分析、および調達における代表者を求めており、ドイツ、オーストリア、オランダの労働協議会は、回答が不十分な場合に展開を頻繁に阻止します。
保管すべき文書
第30条の記録、第28条の処理条件、第27条の指定、候補者プロファイリングをカバーするデータ保護影響評価、採用者と不採用者を区別する保持ルール、および移転メカニズム。高リスクAIの場合：技術文書、リスク管理、バイアスに対処するデータガバナンス、ログ記録、および適合性評価。
規格と試験
バイアスと精度の評価が実質的に要求されます：AI法は提供者にトレーニングデータのバイアスを検査し、精度レベルを宣言することを義務付けており、差別法は独立して適用されます。
言語要件
候補者向け情報は応募者の言語で、雇用主の文書は市場の言語で。
いつから適用されるか
処理が始まる前に代表者が必要です。AI法の高リスク義務は2026年8月2日から適用され、雇用主は展開者として労働者への通知を含む義務を負います。
文書の保管期間
不採用候補者データは必要な限りのみ保持され、いくつかの当局は特定の請求期間がない場合、6か月から12か月と解釈しています。根拠のない無期限のタレントプールは繰り返し発見されています。
違反した場合
GDPRの下で最大€2000万または売上の4%、AI法の高リスク義務の下で最大€1500万または売上の3%。差別請求は国家の雇用裁判所で並行して進行します。
執行機関
データ保護当局、AI法市場監視当局、平等機関、実際には労働協議会。
境界線
人間の関与なしに自動的に拒否することは、法的または同様に重要な影響を持つ完全自動化された決定を制限するGDPR第22条に関与します。AI法第5条の下で、職場の文脈における面接での感情推測は禁止されているため、今日販売されている一部の製品はEU内で合法的に販売できません。
よくある質問
- 私たちは雇用主のためのプロセッサーに過ぎません — 代表者が必要ですか？
- EUに設立がなく、EU内の人々の候補者データを処理する場合、はい。そのデータを自分の目的で使用することは、あなたをコントローラーにします。
- CVスクリーニングは高リスクですか？
- 応募のフィルタリングまたはランク付けは附属書IIIに記載されているため、はい、2026年8月から義務があります。