ИИ при найме: российские и европейские правила использования алгоритмов

Искусственный интеллект всё чаще встраивают в системы отслеживания кандидатов (ATS), чтобы анализировать резюме и распределять отклики. Однако, когда алгоритм решает, кого допускать к следующему этапу, возникает вопрос соответствия таким решениям законодательству о персональных данных.

Российская норма запрещает принимать решения, которые влекут юридические последствия или затрагивают права человека, если они основаны исключительно на автоматизированной обработке. Под автоматизированной понимается обработка с помощью вычислительной техники, и формально это может включать в себя любые цифровые операции без бумажных носителей. Но с учётом цели статьи 16, речь идёт прежде всего о решениях, принимаемых без участия человека. Исключения из этого запрета перечислены в части 2 статьи 22 того же закона.

В Европейском союзе действует статья 22 Общего регламента по защите данных (GDPR). Она даёт человеку право не подвергаться решению, которое основано только на автоматической обработке (включая профилирование) и влечёт юридические последствия или существенно влияет на человека. Кроме того, регламент об искусственном интеллекте (EU AI Act) относит системы для фильтрации откликов к категориям высокого риска.

Основания для использования таких систем в России и Европе различаются. В РФ автоматизированное решение допускается либо при наличии письменного согласия субъекта данных, либо в случаях, прямо предусмотренных федеральным законом. В ЕС спектр шире: решение может быть необходимо для заключения или исполнения договора, разрешено законодательством или опираться на согласие. Но договорное основание при найме в Европе применять сложно — работодателю нужно доказать, что без автоматизации обойтись невозможно. Для небольших компаний это затруднительно. Согласие же по GDPR должно быть свободным: если кандидату не дают выбора между оценкой ИИ и человеком, оно может быть признано недействительным.

Соискатели обладают определёнными правами. По GDPR работодатель обязан сообщить о факте использования автоматизированной системы, её общей логике и последствиях решения. Соискатель может потребовать пересмотра решения человеком, изложить свою позицию и оспорить результат. Российский закон также предоставляет право узнать порядок принятия решения, возможные юридические последствия и способы защиты, а также возразить против решения.

Практический пример — сервис HeadHunter, который в 2025 году представил работодателям ИИ-помощник. Он анализирует отклики и распределяет их по папкам «Подходят», «Можно рассмотреть», «Не сейчас». Сервис заявляет, что такая сортировка сама по себе не затрагивает права соискателей. Но если попадание в папку «Не сейчас» означает фактический отказ в рассмотрении, процесс может подпадать под статью 16 российского закона. При этом HeadHunter не упоминает использование ИИ в пользовательском соглашении и политике обработки данных, не запрашивает письменного согласия по статье 16 и не даёт соискателям информации о алгоритмах или возможности возражения.

Ответственность за нарушения отличается. В России по статье 13.11 КоАП за нарушение требований статьи 16 закона о персональных данных предусмотрен штраф от 300 до 700 тысяч рублей. В отношении HeadHunter вопрос о том, на кого ляжет ответственность — на сервис или на работодателя, остаётся открытым.