← Wszystkie artykuły

Monitoring pracowników a AI: co wolno wg Kodeksu pracy

Monitoring pracowników a AI: co wolno wg Kodeksu pracy

Monitoring pracowników a AI: co wolno wg Kodeksu pracy

W dużej firmie produkcyjnej, z którą pracowałem, pojawił się pomysł, żeby AI analizowała nagrania rozmów handlowców. Technicznie rzecz była prosta. Pomysł stanął na wymogach Kodeksu pracy dotyczących monitoringu, których wcześniej nikt nie sprawdził.

Okazało się, że zanim narzędzie w ogóle zostanie włączone, trzeba mieć odpowiedzi na kilka pytań z ustawy, która o sztucznej inteligencji nie wspomina ani razu. Ten tekst porządkuje te pytania i obowiązki wymagające sprawdzenia przed pilotażem, żeby dało się je zebrać przed uruchomieniem, a nie po nim.

To autorska analiza praktyka wdrożeń AI, który nie jest prawnikiem. Materiał ogólny, nie rozstrzyga zgodności konkretnego wdrożenia. Stan przepisów na 15 września 2026 r. Przed wdrożeniem skonsultuj proces z prawnikiem lub inspektorem ochrony danych.

Spis treści

  1. 1. Kiedy narzędzie AI staje się monitoringiem pracownika
  2. 2. Monitoring wizyjny obejmuje obraz, nie dźwięk
  3. 3. Poczta służbowa i „inne formy monitoringu”: art. 22³
  4. 4. Cztery obszary do zweryfikowania przed uruchomieniem
  5. 5. Analiza rozmów handlowych: czego nie załatwia zgoda pracownika
  6. 6. Dane, równe traktowanie i godność: trzy rzeczy poza samym monitoringiem
  7. 7. Gdzie kończy się Kodeks pracy, a zaczyna RODO
  8. 8. Związki zawodowe i przedstawiciele pracowników
  9. 9. Ocena wydajności przez algorytm: co zmienia się w grudniu 2027
  10. 10. Druga strona rozmowy: klient
  11. 11. Kroki przed uruchomieniem pilotażu
  12. 12. Sześć błędów, które widzę najczęściej
  13. 13. Co mówi który paragraf
  14. 14. Najczęstsze pytania
  15. 15. Źródła

Kiedy narzędzie AI staje się monitoringiem pracownika

Monitoring regulują w Kodeksie pracy dwa przepisy: art. 22² (monitoring wizyjny) i art. 22³ (kontrola służbowej poczty elektronicznej oraz inne formy monitoringu). Obok nich stoją przepisy o danych pracowników, które tę regulację uzupełniają: art. 22¹ z katalogiem danych oraz art. 22¹ᵃ i 22¹ᵇ o zgodzie i danych szczególnych kategorii. Warto rozdzielać te dwie grupy, bo dotyczą różnych rzeczy i weszły w życie w różnym czasie: przepisy o monitoringu 25 maja 2018 r., przepisy o danych w obecnym kształcie 4 maja 2019 r. Aktualny tekst jednolity Kodeksu to Dz.U. 2025 poz. 277.

Powstały w czasach, gdy „monitoring” oznaczał kamerę i log serwera pocztowego, i właśnie dlatego są dziś tak niewygodne: nie mówią o narzędziach, tylko o celach i o ingerencji w pracownika. Narzędzie się zmieniło, ingerencja została.

Najkrótsza odpowiedź na pytanie z tytułu tej sekcji brzmi tak: jeżeli narzędzie służy pracodawcy do obserwowania, mierzenia albo oceniania tego, jak pracownik wykonuje pracę, takie zastosowanie może stanowić monitoring. Może, a nie musi, bo kwalifikacja zależy od rzeczywistej funkcji narzędzia i od tego, jak zorganizowany jest proces wokół niego. Jednego przesądzić się nie da: nazwa produktu nic tu nie znaczy.

Z tego wynika rzecz, którą najczęściej trzeba w firmach prostować. Monitoring nie zaczyna się w momencie, w którym wynik trafia do przełożonego. Zbieranie i analizowanie danych o pracy konkretnych osób samo w sobie może już nim być, a ranking czy ocena tylko ujawniają funkcję, której potem trudno zaprzeczyć. Zdanie „my tego nikomu nie pokazujemy, to tylko do wglądu handlowca” opisuje sposób wykorzystania wyniku, nie charakter przetwarzania.

Druga rzecz do rozdzielenia: jedno narzędzie to zwykle kilka funkcji, a każda z nich ma inny ciężar. Weźmy to, od czego zaczyna się ten tekst, czyli system do rozmów handlowych. W środku siedzi zwykle pięć różnych rzeczy:

  • – transkrypcja rozmowy, czyli zamiana dźwięku na tekst;
  • – streszczenie i wyciągnięcie z niego ustaleń, terminów, zadań;
  • – podpowiedź w trakcie rozmowy, na przykład przypomnienie o pytaniu, którego handlowiec nie zadał;
  • – ocena rozmowy albo handlowca według jakiejś skali;
  • – ranking zespołu, zwłaszcza taki, od którego zależy premia, przydział leadów albo rozmowa roczna.

Pierwsze dwie funkcje są zwykle tym, po co firma w ogóle sięga po narzędzie. Nie znaczy to, że są prawnie obojętne: samo nagranie rozmowy, zakres zbieranych danych, krąg osób z dostępem i miejsce przechowywania wymagają oceny niezależnie od tego, czy ktokolwiek jest oceniany. Ocena i ranking do tych obowiązków dokładają kolejne ryzyka, i to one zwykle przesądzają, co trzeba napisać w dokumencie wewnętrznym i czy da się utrzymać cel wymagany przez przepis.

Jedno zastrzeżenie od razu, żeby dalsza lektura nie poszła w złą stronę. Kwalifikacja konkretnego wdrożenia zależy od celu, zakresu danych, tego, kto ogląda wynik, i tego, jaka decyzja od niego zależy. Poniżej opisuję warunki, o które trzeba zapytać, i miejsca, w których projekty się zatrzymują. Role są przy tym rozdzielone i warto ich nie mylić: za spełnienie obowiązków pracodawcy i administratora danych odpowiada firma, inspektor ochrony danych doradza i monitoruje przestrzeganie przepisów, prawnik ocenia konkretny proces, a dostawca narzędzia ma własny zestaw obowiązków, których firma za niego nie wykona ani on za firmę.

Monitoring wizyjny obejmuje obraz, nie dźwięk

Zacznijmy od przepisu, który zaskakuje najczęściej, bo w firmach funkcjonuje przekonanie, że „mamy zgodę na monitoring, więc możemy nagrywać”.

Art. 22² § 1 pozwala pracodawcy wprowadzić „szczególny nadzór nad terenem zakładu pracy lub terenem wokół zakładu pracy w postaci środków technicznych umożliwiających rejestrację obrazu (monitoring)”. Warunek: musi to być niezbędne do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji albo zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Cztery cele, zamknięta lista, rejestracja obrazu.

Obrazu, nie dźwięku. Kamera z mikrofonem nie rozszerza tego przepisu, bo przepis mówi o środkach umożliwiających rejestrację obrazu i o niczym innym. Wniosek jest węższy, niż bywa wyciągany: art. 22² nie uprawnia do rejestracji dźwięku, ale sam przez się nie przesądza też, że nagranie dźwięku jest zawsze niedopuszczalne. Dopuszczalność konkretnego nagrywania wymaga osobnej oceny, a art. 22³ § 4, o którym za chwilę, nie jest w niej ogólnym zezwoleniem, tylko jednym z elementów analizy obok podstawy z RODO.

Reszta artykułu 22² to obowiązki, o których pamięta się znacznie rzadziej niż o samej decyzji o kamerach.

Są pomieszczenia, których monitoring nie obejmuje: udostępniane zakładowej organizacji związkowej (§ 1¹) oraz sanitarne, szatnie, stołówki i palarnie (§ 2). Od tego drugiego wyłączenia ustawa przewiduje wyjątek obwarowany trzema warunkami naraz. Musi być niezbędny do celu z § 1, nie może naruszać godności ani innych dóbr osobistych pracownika (przepis wskazuje tu wprost techniki uniemożliwiające rozpoznanie osób), a przy pomieszczeniach sanitarnych wymaga dodatkowo uprzedniej zgody zakładowej organizacji związkowej albo, gdy takiej nie ma, przedstawicieli pracowników wybranych w trybie przyjętym u danego pracodawcy.

Nagrania obrazu pracodawca przetwarza wyłącznie do celów, dla których zostały zebrane, i przechowuje nie dłużej niż 3 miesiące od dnia nagrania (§ 3). Termin przedłuża się, gdy nagranie stanowi dowód w postępowaniu albo pracodawca powziął wiadomość, że może nim być, do prawomocnego zakończenia sprawy (§ 4). Potem nagrania zawierające dane osobowe podlegają zniszczeniu, o ile przepisy odrębne nie stanowią inaczej (§ 5).

Do tego dochodzą cztery obowiązki formalne. Cele, zakres oraz sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy lub w regulaminie pracy, albo w obwieszczeniu, jeżeli pracodawca nie jest objęty układem i nie musi ustalać regulaminu (§ 6). Pracowników trzeba poinformować o wprowadzeniu monitoringu w sposób u siebie przyjęty, nie później niż 2 tygodnie przed jego uruchomieniem (§ 7), a przed dopuszczeniem pracownika do pracy przekazać mu te informacje na piśmie (§ 8). Monitorowane pomieszczenia i teren oznacza się widocznie i czytelnie, znakami lub ogłoszeniami dźwiękowymi, nie później niż jeden dzień przed uruchomieniem (§ 9); paragraf 10 dodaje, że samo oznaczenie nie zwalnia z obowiązków informacyjnych z art. 12 i 13 RODO.

Wyliczam to w tekście o AI, bo paragrafy 6–10 wracają za chwilę: art. 22³ każe je stosować odpowiednio do wszystkich innych form monitoringu, łącznie z tymi, które dopiero powstaną. Jest jeszcze powód praktyczny. Wiele firm ma wdrożony monitoring wizyjny razem z kompletem dokumentów i zakłada, że nowe narzędzie „wejdzie pod ten sam regulamin”. Tego nie należy zakładać: opis kamer na hali i analiza rozmów sprzedażowych to różne zakresy i różne sposoby przetwarzania, a przepis wymienia oba te elementy osobno. Dokumentację trzeba porównać z rzeczywistą funkcją narzędzia.

Poczta służbowa i „inne formy monitoringu”: art. 22³

To jest przepis, który przy AI pracuje najciężej, choć powstał z myślą o czymś zupełnie innym.

Art. 22³ § 1 pozwala wprowadzić kontrolę służbowej poczty elektronicznej pracownika, „jeżeli jest to niezbędne do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy”. Paragraf 2 zastrzega, że taka kontrola nie może naruszać tajemnicy korespondencji ani innych dóbr osobistych pracownika. Paragraf 3 każe stosować odpowiednio art. 22² § 6–10, czyli dokument wewnętrzny, dwa tygodnie uprzedzenia, informację na piśmie i oznaczenie.

I paragraf 4, jedno zdanie, najistotniejsze dla wdrożeń służących monitorowaniu pracy:

Przepisy § 1–3 stosuje się odpowiednio do innych form monitoringu niż określone w § 1, jeśli ich zastosowanie jest konieczne do realizacji celów określonych w § 1.

Pod „inne formy monitoringu” podpadają w praktyce rzeczy, które w ogóle nie istniały w 2018 roku: analiza aktywności w systemach firmowych, zrzuty ekranu, liczniki produktywności, historia w CRM przeliczana na wskaźniki, streszczenia spotkań z oceną zaangażowania, scoring rozmów handlowych, automatyczny przydział zadań na podstawie wcześniejszych wyników.

Tu zaczyna się najczęstsze nieporozumienie, więc powiem je wprost, bo sam przez jakiś czas czytałem ten przepis zbyt wygodnie. Paragraf 4 nie jest zbiorczym zezwoleniem na wszystko, co mierzy pracę. To odesłanie, które przenosi na nowe narzędzia cały zestaw warunków z § 1–3, razem z wymogiem konieczności i z celem, który musi się mieścić w tym, co przepis dopuszcza. Każdą funkcję trzeba ocenić osobno: czy jest konieczna do tego celu, jak głęboko ingeruje w prawa pracownika i czy tego samego efektu nie da się osiągnąć łagodniej.

Prosty test, który stosuję na etapie rozmowy o zakupie. Licznik czasu spędzonego w systemie CRM i model oceniający ton wypowiedzi handlowca mieszczą się w tym samym zdaniu przepisu, a są zupełnie różnymi ingerencjami. Pierwsze mierzy, czy narzędzie pracy jest używane. Drugie ocenia sposób, w jaki człowiek mówi do innego człowieka. Jeżeli w dokumencie wewnętrznym obie rzeczy schowamy pod hasłem „monitoring systemów informatycznych”, to opis nie odpowiada rzeczywistości, a pracownik dowie się o drugiej funkcji wtedy, gdy zobaczy swój wynik.

Jest jeszcze granica, o której warto wiedzieć, zanim ktoś wpadnie na pomysł czytania korespondencji przez model. Paragraf 2 chroni tajemnicę korespondencji. Kontrola służbowej poczty ma dotyczyć organizacji pracy i właściwego użytkowania narzędzi, a nie treści prywatnych wiadomości, które w praktyce w każdej skrzynce są. Przekazanie modelowi całej skrzynki „żeby miał kontekst” wyraźnie zwiększa zakres przetwarzania, więc przed takim rozwiązaniem trzeba ocenić niezbędność, zakres dostępu i retencję, a ten paragraf przeczytać razem z prawnikiem.

Cztery obszary do zweryfikowania przed uruchomieniem

Gdy narzędzie mieści się w kategorii monitoringu, Kodeks pracy wyznacza cztery obszary do sprawdzenia. Wszystkie przed uruchomieniem, nie po pilotażu.

Zacznijmy od celu, bo on przesądza o reszcie. Monitoring w innej formie musi być konieczny do realizacji celów z art. 22³ § 1, czyli zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych narzędzi pracy. „Chcemy wiedzieć, jak pracują ludzie” i „chcemy podnieść skuteczność sprzedaży” to cele biznesowe, i same przez się konieczności monitoringu dla celów ustawowych nie wykazują. Chodzi o coś trudniejszego niż dobór słownictwa: trzeba uzasadnić rzeczywisty związek między tym, co narzędzie robi, a celem z przepisu, a nie przepisać ustawowe sformułowanie do dokumentu, który i tak powstał po decyzji zakupowej.

Drugi obszar to dokument wewnętrzny: cele, zakres i sposób zastosowania monitoringu ustala się w układzie zbiorowym pracy albo w regulaminie pracy, a w obwieszczeniu wtedy, gdy spełnione są oba warunki naraz, czyli pracodawca nie jest objęty układem zbiorowym i nie jest obowiązany ustalić regulaminu. Przepis wymienia trzy elementy osobno i każdy odpowiada na inne pytanie. Zakres mówi, kogo i jakie dane obejmuje. Sposób mówi, jak to działa: co jest zbierane, jak długo trzymane i kto ogląda wynik.

Trzeci obszar to uprzedzenie. Pracowników informuje się o wprowadzeniu monitoringu w sposób przyjęty u danego pracodawcy, nie później niż dwa tygodnie przed uruchomieniem. Przy regulaminie pracy biegnie jeszcze drugi zegar, o którym łatwo zapomnieć: zgodnie z art. 104³ § 1 regulamin wchodzi w życie po upływie dwóch tygodni od podania go do wiadomości pracowników. Kiedy te terminy biegną równolegle, a kiedy jeden po drugim, jest pytaniem do prawnika przy konkretnym harmonogramie. Planując pilotaż, zakładam, że od decyzji do włączenia narzędzia mijają tygodnie, nie dni, i jeszcze ani razu nie okazało się to nadmiarem ostrożności.

Zostaje informacja na piśmie. Literalnie przepis wiąże ją z momentem dopuszczenia pracownika do pracy (§ 8), a obecnych pracowników dotyczy odrębny obowiązek uprzedzenia z § 7. Przy narzędziu wdrażanym w działającym zespole te dwa przepisy trzeba czytać razem, a od siebie dodaję zalecenie praktyczne, nie wykładnię: informację o celach, zakresie i sposobie warto przekazać i udokumentować wobec wszystkich objętych monitoringiem, bo to jedyny sposób, żeby później wykazać, kto i co wiedział.

Czego w tych czterech obszarach nie ma? Indywidualnej zgody monitorowanego pracownika.

Analiza rozmów handlowych: czego nie załatwia zgoda pracownika

Najczęstszy skrót, jaki widzę przy nagrywaniu i analizie rozmów, wygląda tak: dział HR przygotowuje oświadczenie „wyrażam zgodę na nagrywanie i analizę moich rozmów służbowych”, zbiera podpisy i sprawa jest uznana za zamkniętą. Papier jest, więc jest podstawa.

Indywidualna zgoda monitorowanego pracownika nie zastępuje ustawowych warunków monitoringu. Kodeks pracy wymienia cel, dokument wewnętrzny, uprzedzenie i informację, a to są obowiązki pracodawcy wobec organizacji pracy, nie uprawnienia, które pracownik mógłby pracodawcy przyznać. O zgodzie w tych przepisach mowa jest w innym kontekście: art. 22² § 2 wymaga uprzedniej zgody zakładowej organizacji związkowej albo przedstawicieli pracowników przy monitoringu pomieszczeń sanitarnych. To zgoda przedstawicielstwa co do miejsca, nie zgoda osoby na bycie obserwowaną.

Osobna sprawa to wartość samej zgody jako podstawy przetwarzania danych. W relacji pracodawca–pracownik trudno uznać ją za dobrowolną, skoro jedna strona decyduje o zatrudnieniu, premii i grafiku drugiej. Kodeks pracy pokazuje zresztą, jak wąsko widzi tę konstrukcję: art. 22¹ᵃ § 1 dopuszcza zgodę jako podstawę przetwarzania danych innych niż wymienione w katalogu, ale § 2 dodaje, że brak zgody albo jej wycofanie nie może być podstawą niekorzystnego traktowania ani powodować jakichkolwiek negatywnych konsekwencji, w szczególności nie może uzasadniać odmowy zatrudnienia, wypowiedzenia ani rozwiązania umowy. Innymi słowy: zgoda, z której nie da się skorzystać przeciwko pracownikowi, i którą można wycofać bez konsekwencji.

Praktyczny wniosek jest dla firmy niewygodny, ale porządkujący. Jeżeli budujesz proces na zgodzie i połowa zespołu jej nie podpisze albo wycofa ją po miesiącu, zostajesz z narzędziem, które obejmuje część ludzi, i z rankingiem liczonym na niepełnej próbie. Oparcie procesu na celu z przepisu i dokumencie wewnętrznym może ograniczać to ryzyko organizacyjne i jest uczciwsze wobec zespołu, bo nikt nie udaje, że podpis był dobrowolny. Nie zastępuje to jednak oceny dopuszczalności samego monitoringu ani ustalenia podstawy przetwarzania danych.

Nie znaczy to, że zgoda jest bezużyteczna i że nie ma o czym rozmawiać z ludźmi. Znaczy, że jest czym innym, niż się ją zwykle stosuje: bywa potrzebna przy danych spoza katalogu z art. 22¹, a rozmowa z zespołem o tym, po co to robimy i co z wynikami się dzieje, decyduje o tym, czy narzędzie zostanie zaakceptowane. Tylko że akceptacja zespołu i podstawa prawna to dwa różne problemy i trzeba je rozwiązać osobno.

Jeszcze jedno, o czym warto pamiętać przy nagrywaniu: sam Kodeks pracy nie jest tu ostatnim słowem. Nagranie głosu pracownika to przetwarzanie danych osobowych, więc dochodzi RODO. Dochodzi też AI Act, ale w zakresie węższym, niż sugerują nagłówki. Artykuł 5 ust. 1 lit. f zakazuje systemów AI służących do wyciągania wniosków na temat emocji osoby fizycznej w miejscu pracy, z wyjątkiem przypadków, w których system ma zostać wdrożony ze względów medycznych lub bezpieczeństwa; zakaz obowiązuje od 2 lutego 2025 r. Sama analiza barwy czy tempa głosu nie przesądza jeszcze ani o wnioskowaniu o emocjach, ani o przetwarzaniu danych biometrycznych. Jeżeli jednak narzędzie z takich parametrów wyprowadza nastrój, frustrację czy zaangażowanie pracownika, to jest moment na sprawdzenie tego przepisu, zanim ktokolwiek podpisze umowę.

Warto mieć w tle jeszcze dwa obowiązki z AI Act, które działają już dziś i z monitoringiem wiążą się pośrednio. Artykuł 4 wymaga od firm używających AI działań na rzecz kompetencji AI wśród personelu pracującego z takimi systemami, od 2 lutego 2025 r.; rozporządzenie nie przewiduje za sam ten przepis odrębnej administracyjnej kary pieniężnej. Artykuł 50 dotyczy przejrzystości i rozdziela role: dostawca projektuje system tak, by rozmówca wiedział, że rozmawia z AI, i oznacza treści syntetyczne, a firma używająca narzędzia ma własne, węższe obowiązki ujawnienia; dostawcy systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r. mają czas na dostosowanie oznaczania do 2 grudnia 2026 r. Oba rozbierałem w artykule o AI Act, a różnice między Polską, Niemcami i USA przy samym nagrywaniu opisywałem wcześniej w tekście o narzędziach AI a prawie.

Dane, równe traktowanie i godność: trzy rzeczy poza samym monitoringiem

Kodeks pracy ma w tej sprawie jeszcze trzy przepisy, które przy AI robią więcej różnicy, niż sugeruje ich miejsce w ustawie.

Pierwsza to katalog danych. Art. 22¹ § 1 wylicza dane, których pracodawca żąda od kandydata: imię i nazwisko, datę urodzenia, dane kontaktowe wskazane przez tę osobę, a przy wykształceniu, kwalifikacjach zawodowych i przebiegu zatrudnienia dodaje warunek z § 2, czyli niezbędność do wykonywania pracy określonego rodzaju lub na określonym stanowisku. Od pracownika (§ 3) dochodzą adres zamieszkania, PESEL, dane potrzebne do szczególnych uprawnień i numer rachunku. Tu trzeba rozdzielić dwie rzeczy, które łatwo pomylić. Żądanie od kandydata albo pracownika danych spoza katalogu wymaga podstawy ustawowej: § 4 dopuszcza je, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Osobne zasady rządzą danymi, które człowiek przekazał z własnej inicjatywy albo na wniosek pracodawcy na podstawie zgody, i tym poświęcony jest art. 22¹ᵃ. Katalog ogranicza więc to, czego pracodawca może żądać, a nie rozstrzyga automatycznie o każdym przetwarzaniu.

Narzędzie rekrutacyjne albo oceniające potrafi przetworzyć znacznie więcej. Model, który dostaje nagranie rozmowy albo pełne CV z fotografią, może przetwarzać dane wykraczające poza katalog, niezależnie od tego, czy ktoś świadomie chciał je zbierać, a to wymaga odrębnej oceny podstawy prawnej, niezbędności i obowiązku informacyjnego. Prezes UODO zwrócił na to uwagę w wystąpieniu z 16 lipca 2026 r., o którym za chwilę.

Dwie osobne kategorie są tu warte wyróżnienia. Dane szczególne z art. 9 RODO (zdrowie, przekonania, dane biometryczne przetwarzane w celu identyfikacji) mogą być przetwarzane na podstawie zgody wyłącznie wtedy, gdy przekazanie następuje z inicjatywy kandydata albo pracownika (art. 22¹ᵇ § 1). Osobno art. 22¹ᵇ § 2 dopuszcza przetwarzanie danych biometrycznych pracownika, gdy jest to niezbędne ze względu na kontrolę dostępu do szczególnie ważnych informacji, których ujawnienie może narazić pracodawcę na szkodę, albo dostępu do pomieszczeń wymagających szczególnej ochrony. To przepis o kontroli dostępu, a nie o mierzeniu pracy. Do przetwarzania danych, o których mowa w § 1, ustawa dopuszcza wyłącznie osoby z pisemnym upoważnieniem pracodawcy, zobowiązane do zachowania tych danych w tajemnicy (§ 3).

Druga to równe traktowanie. Art. 18³ᵃ i następne obowiązują tak samo, gdy selekcji albo oceny dokonuje algorytm. Szczególnie wart przeczytania jest art. 18³ᵃ § 4 o dyskryminowaniu pośrednim: występuje ono wtedy, gdy na skutek pozornie neutralnego postanowienia, kryterium albo działania pojawiają się niekorzystne dysproporcje wobec grupy wyróżnionej ze względu na jedną z cech wymienionych w § 1, chyba że jest to obiektywnie uzasadnione zgodnym z prawem celem, a środki są właściwe i konieczne. „Pozornie neutralne kryterium” to dokładnie opis tego, jak działa model wytrenowany na historycznych wynikach: nikt nie wpisał w niego wieku ani płci, a i tak potrafi je odtworzyć z korelacji. Art. 18³ᵈ daje osobie, wobec której naruszono zasadę równego traktowania, prawo do odszkodowania w wysokości nie niższej niż minimalne wynagrodzenie za pracę. Odpowiedzialność za skutek zostaje po stronie pracodawcy i nie przenosi się na dostawcę oprogramowania wraz z fakturą.

Trzecia mieści się w jednym zdaniu. Art. 11¹ mówi: „Pracodawca jest obowiązany szanować godność i inne dobra osobiste pracownika”. To nie jest ozdobnik na początku kodeksu, tylko przepis, który wraca przy ocenie proporcjonalności monitoringu, a przy AI ma konkretne zastosowanie. System, który wystawia człowiekowi ocenę za sposób mówienia i pokazuje ją całemu zespołowi w formie listy rankingowej, dotyka tego przepisu wprost.

Gdzie kończy się Kodeks pracy, a zaczyna RODO

Kodeks pracy odpowiada na pytanie, czy pracodawcy wolno wprowadzić monitoring i co musi przy tym zrobić, a część kwestii szczegółowych reguluje wprost: retencję nagrań obrazu, obowiązek informacyjny wobec pracowników, oznaczenie terenu. Nie wyczerpuje jednak obowiązków administratora danych, bo nie rozstrzyga podstawy przetwarzania, retencji przy innych formach monitoringu ani zakresu informacji o działaniu systemu. Uzupełnia go RODO i te dwa reżimy stosuje się równolegle, nie zamiennie.

Samo RODO zresztą tego dopuszcza: art. 88 pozwala państwom członkowskim przyjąć szczegółowe przepisy o przetwarzaniu danych w zatrudnieniu, wymieniając wprost systemy monitorujące w miejscu pracy. Art. 22² i 22³ Kodeksu pracy są właśnie takimi przepisami. Spełnienie ich warunków nie zwalnia z reszty obowiązków administratora.

Trzy przepisy RODO wracają przy tych projektach najczęściej.

Art. 22 dotyczy decyzji podejmowanych wyłącznie automatycznie. Człowiek ma prawo nie podlegać decyzji opierającej się wyłącznie na zautomatyzowanym przetwarzaniu, jeżeli wywołuje ona skutki prawne lub w podobny sposób istotnie na niego wpływa. Wysokość premii, przydział zadań, ocena okresowa czy rozwiązanie umowy mogą wywoływać takie skutki, a przesądza o tym realny wpływ konkretnej decyzji. Całe pytanie sprowadza się do słowa „wyłącznie” i tu jest pułapka, w którą sam wpadłem na dobre półtora roku. Kierownik klikający „zatwierdź” pod gotowym rankingiem nie czyni decyzji nieautomatyczną, jeżeli nie ma dostępu do danych źródłowych, czasu na weryfikację ani realnej możliwości zmiany wyniku. Projektowałem to na skróty: człowiek zatwierdza, czyli formalnie jest w pętli, więc temat zamknięty. Nie był zamknięty. Nadzór człowieka jest funkcją procesu, a nie przyciskiem w panelu.

Sam zakaz nie jest przy tym bezwzględny. Ustęp 2 wymienia trzy sytuacje, w których taka decyzja jest dopuszczalna: niezbędność do zawarcia lub wykonania umowy, zezwolenie prawa państwa członkowskiego lub Unii przewidujące właściwe środki ochrony, oraz wyraźna zgoda osoby. Przy pierwszej i trzeciej z nich ustęp 3 nakazuje administratorowi wdrożyć właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów, co najmniej prawo do uzyskania interwencji człowieka, do wyrażenia własnego stanowiska i do zakwestionowania decyzji.

Art. 35 wprowadza ocenę skutków, i to przed rozpoczęciem przetwarzania. Jeżeli przetwarzanie z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw i wolności osób, administrator przeprowadza ocenę skutków dla ochrony danych, w skrócie DPIA. Ust. 3 lit. a wymienia wprost systematyczną, kompleksową ocenę czynników osobowych opartą na przetwarzaniu automatycznym, będącą podstawą decyzji istotnie wpływających na człowieka. Wykaz rodzajów operacji wymagających DPIA prowadzi Prezes UODO w komunikacie z 17 czerwca 2019 r. (M.P. 2019 poz. 666). Wbrew temu, co się czasem pisze, nie ma w nim osobnego kryterium „monitorowanie w kontekście zatrudnienia”: ten zwrot pochodzi z opinii 17/2018 Europejskiej Rady Ochrony Danych. W samym wykazie praca pojawia się inaczej: przy kryterium 3 (systematyczne monitorowanie na dużą skalę) jako przykład podano zakłady pracy monitorujące pocztę elektroniczną, używane oprogramowanie i karty dostępowe oraz „systemy monitorowania czasu pracy pracowników oraz przepływu informacji w wykorzystywanych przez nich narzędziach”, a dane pracowników wracają przy kryterium 9 (ocena osób zależna od podmiotów z uprawnieniami nadzorczymi lub ocennymi) i przy kryterium 12 (dane lokalizacyjne pracowników). Wykaz jest niewyczerpujący, a co do zasady ocena jest wymagana, gdy przetwarzanie spełnia co najmniej dwa kryteria. Przy analizie rozmów handlowych zwykle spełnione są przynajmniej dwa, więc ocena skutków jest wymagana.

Słowo „przed” bywa ignorowane, a decyduje o kolejności całego projektu. Pilotaż na realnych danych pracowników, nawet miesięczny i na jednym zespole, jest już przetwarzaniem. Jeżeli planowane przetwarzanie wymaga DPIA, ocenę robi się przed testem, a nie przy decyzji zakupowej po udanym teście. W praktyce wygląda to tak, że pilotaż rusza, bo „to tylko test”, a dokumentację i tak trzeba potem przygotować, tyle że przy działającym już procesie.

Art. 36 domyka tę ścieżkę. Gdy po ocenie zostaje wysokie ryzyko, którego nie da się ograniczyć dostępnymi środkami, administrator konsultuje się z organem nadzorczym przed rozpoczęciem przetwarzania.

Reszta RODO nie znika dlatego, że w projekcie pojawiła się AI: podstawa prawna, minimalizacja danych, obowiązek informacyjny wobec pracowników, sprawdzenie transferów poza Europejski Obszar Gospodarczy, retencja i usuwanie danych po teście. Osobne pytanie dotyczy dostawcy narzędzia. Umowa powierzenia z art. 28 RODO jest potrzebna wtedy, gdy dostawca rzeczywiście przetwarza dane w imieniu firmy jako podmiot przetwarzający; jego rolę trzeba więc najpierw ustalić, a przy okazji sprawdzić, czy umowa i regulamin usługi nie pozwalają mu wykorzystywać nagrań do własnych celów, na przykład do rozwijania modelu. Praktyczne minimum opisywałem w tekście o wdrażaniu AI zgodnie z RODO.

Co mówią instytucje. 16 lipca 2026 r. Prezes UODO wystąpił do ministerstwa pracy o przepisy chroniące kandydatów i pracowników przed dyskryminacyjnymi skutkami systemów AI. W wystąpieniu są cztery wątki warte przeczytania przed wdrożeniem w HR: systemy utrwalają uprzedzenia obecne w danych treningowych; narzędzia rekrutacyjne analizują więcej informacji, niż pracodawca ma prawo żądać na podstawie art. 22¹ Kodeksu pracy; dopuszczenie AI w zatrudnieniu powinno być poprzedzone oceną skutków dla ochrony danych; potrzebna jest przejrzystość co do działania modelu i ról administratora. To jest wystąpienie o zmianę prawa, nie nowy obowiązek. Pokazuje jednak, na co organ patrzy dziś przy ocenie takich wdrożeń.

Państwowa Inspekcja Pracy publicznie sygnalizuje, że rozpoznawanie twarzy, analiza głosu, monitoring aktywności online i analiza postawy rodzą pytania o prywatność, oraz że sztuczna inteligencja wymaga kontroli człowieka. Powiem uczciwie, jaki to ma status: to komunikat i materiał informacyjny, a nie stanowisko interpretacyjne, którym można by się w firmie posłużyć jak wykładnią. Formalnego stanowiska PIP o monitoringu z użyciem AI ani o nagrywaniu rozmów nie znalazłem.

Egzekwowanie w tym obszarze istnieje, choć nie dotyczy jeszcze systemów AI. 22 maja 2026 r. Prezes UODO nałożył karę 26 711 zł w sprawie monitoringu (decyzja DKE.561.4.2026), dotyczącej kamer rejestrujących obraz i dźwięk poza własną nieruchomością oraz niewykonania wcześniejszego nakazu organu. To sprawa o monitoring, nie o AI, i tak ją traktuję: jako informację, że przepisy z tego obszaru bywają stosowane, a nie jako zapowiedź czegokolwiek.

Od sierpnia doszedł do tego nowy adres. Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) weszła w życie 11 sierpnia 2026 r. i powołała Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jako organ nadzoru rynku systemów AI. Przepisy o kontroli, postępowaniu i karach zaczynają się stosować 28 października 2026 r., a od decyzji Komisji o karze przysługuje odwołanie do Sądu Okręgowego w Warszawie. Dla tematu tego tekstu ważne jest rozgraniczenie: Komisja nadzoruje stosowanie AI Act, a Kodeks pracy i RODO zostają tam, gdzie były, czyli u Państwowej Inspekcji Pracy i Prezesa UODO. Ustawie i temu, jak wygląda kontrola, poświęcam osobny tekst serii. Osobno warto wiedzieć, że dyrektywa (UE) 2024/2853 o odpowiedzialności za produkty wadliwe obejmuje oprogramowanie, w tym systemy AI, a termin jej wdrożenia upływa 9 grudnia 2026 r.; opisałem ją w mapie aktów prawnych dla firm używających AI.

Związki zawodowe i przedstawiciele pracowników

Jeżeli u pracodawcy działa zakładowa organizacja związkowa, dochodzi warstwa, o której przy narzędziach AI zwykle nikt nie myśli, bo temat ma opinię „kadrowej”. Regulamin pracy ustala pracodawca w uzgodnieniu z zakładową organizacją związkową (art. 104² § 1); dopiero gdy w uzgodnionym terminie nie dojdzie do porozumienia albo gdy organizacji nie ma, regulamin ustala pracodawca samodzielnie (§ 2). Skoro cele, zakres i sposób monitoringu idą do regulaminu, to tą samą drogą idzie opis narzędzia AI. Osobno art. 22² § 2 wymaga uprzedniej zgody organizacji związkowej albo przedstawicieli pracowników przy monitoringu pomieszczeń sanitarnych.

Druga ścieżka to ustawa z 7 kwietnia 2006 r. o informowaniu pracowników i przeprowadzaniu z nimi konsultacji (Dz.U. 2006 nr 79 poz. 550), wdrażająca dyrektywę 2002/14/WE. Stosuje się ją do pracodawców wykonujących działalność gospodarczą i zatrudniających co najmniej 50 pracowników. Art. 13 ust. 1 pkt 3 nakazuje przekazywać radzie pracowników informacje o działaniach, które mogą powodować istotne zmiany w organizacji pracy lub podstawach zatrudnienia. Czy wprowadzenie systemu oceniającego pracę jest takim działaniem, zależy od skali i skutków, i jest to pytanie do prawnika przy konkretnym wdrożeniu. Sygnalizuję je, bo w firmach powyżej pięćdziesięciu osób ta ścieżka istnieje niezależnie od Kodeksu pracy, a bywa odkrywana na etapie, na którym narzędzie jest już kupione.

Warto też wiedzieć, co przyjdzie z prawa unijnego. AI Act w art. 26 ust. 7 nakłada na pracodawcę obowiązek poinformowania przedstawicieli pracowników i samych pracowników, zanim system wysokiego ryzyka zostanie wobec nich użyty. Ten obowiązek zaczyna być stosowany 2 grudnia 2027 r. razem z całym pakietem wymagań dla systemów z załącznika III; publikacje podające przy nim sierpień 2026 r. powielają kalendarz sprzed lipcowej zmiany rozporządzenia. Szczegóły są w artykule o AI Act.

Ocena wydajności przez algorytm: co zmienia się w grudniu 2027

Kodeks pracy działa dziś. AI Act też już częściowo działa, o czym wyżej: zakazane praktyki i obowiązek kompetencji AI obowiązują od lutego 2025 r., a przejrzystość od sierpnia 2026 r. Osobną warstwą są obowiązki dla systemów wysokiego ryzyka i to one dla zastosowań w zatrudnieniu zaczną być stosowane 2 grudnia 2027 r. Warto rozumieć, jak te dwa kalendarze mają się do siebie.

Załącznik III pkt 4 AI Act zalicza do systemów wysokiego ryzyka sztuczną inteligencję używaną do rekrutacji i selekcji kandydatów, do decyzji o warunkach pracy, awansie i rozwiązaniu umowy, do przydzielania zadań na podstawie zachowania lub cech osobowości, a także do monitorowania lub oceny wydajności i zachowania pracowników. Ostatnia pozycja to dokładnie to, o czym jest cały ten tekst.

Sama obecność w załączniku nie przesądza jeszcze kwalifikacji konkretnego systemu, bo art. 6 ust. 3 pozwala uznać, że system z tego załącznika nie jest systemem wysokiego ryzyka, gdy nie stwarza znaczącego ryzyka szkody i spełnia jeden z czterech wymienionych tam warunków, na przykład wykonuje wąsko określone zadanie proceduralne. System objęty załącznikiem III, który profiluje osoby fizyczne, pozostaje jednak systemem wysokiego ryzyka. Ocenę tę dokumentuje dostawca przed wprowadzeniem systemu do obrotu i przedstawia ją na żądanie organu, więc firma kupująca narzędzie może o tę dokumentację poprosić.

Dla firmy używającej narzędzia najważniejszy jest art. 26, który opisuje obowiązki podmiotu stosującego: używanie systemu zgodnie z instrukcją, powierzenie nadzoru osobom o odpowiednich kompetencjach i zasobach, monitorowanie działania, przechowywanie rejestrów zdarzeń oraz wspomniany już obowiązek informowania pracowników z ust. 7.

Praktyczny wniosek jest taki, że grudzień 2027 nie jest datą, do której nic nie trzeba robić, i to z dwóch powodów naraz. Po stronie polskiej Kodeks pracy i RODO obowiązują od lat i z kalendarzem AI Act nie mają nic wspólnego. Po stronie unijnej decyzje projektowe zapadają dziś: narzędzie kupowane teraz będzie działało w 2027 roku, a dołożenie dokumentacji i nadzoru do działającego procesu bywa trudniejsze niż zaprojektowanie ich od razu. Pełny kalendarz z obiema warstwami zebrałem w mapie aktów prawnych dla firm używających AI.

Druga strona rozmowy: klient

Wszystko powyżej dotyczy pracownika. W rozmowie handlowej są dwie strony i o drugiej trzeba pomyśleć osobno, bo Kodeks pracy jej nie chroni.

Klienta, którego rozmowa jest nagrywana i analizowana, trzeba ocenić osobno pod kątem podstawy przetwarzania i obowiązku informacyjnego z RODO, a zakres i sposób realizacji tego obowiązku zależą od konkretnego procesu. Jeżeli po drugiej stronie stoi bot rozmawiający z człowiekiem, dochodzi art. 50 AI Act. Nie rozwijam tu tego wątku, bo należy do innego aktu i opisałem go w artykule o AI Act. Zaznaczam go, bo w projektach, które widzę, strona pracownicza i strona klientowska bywają załatwiane jednym dokumentem, a to są dwie grupy osób wymagające odrębnej oceny podstaw i zakresu informacji.

Kroki przed uruchomieniem pilotażu

Poniżej porządek pracy, który można wykorzystać jako punkt wyjścia do rozmowy z prawnikiem albo inspektorem ochrony danych. Kolejność ma znaczenie, bo pierwsze kroki decydują o sensowności następnych.

Zaczynam zawsze od rozpisania funkcji narzędzia pojedynczo. Nie „system do rozmów”, tylko transkrypcja, streszczenie, podpowiedź w trakcie, ocena, ranking, a przy każdej z nich trzy pytania: jakie dane zbiera, kto zobaczy wynik, jaka decyzja od niego zależy. To zajmuje godzinę i zwykle skraca resztę pracy o tydzień, bo połowa funkcji okazuje się niepotrzebna. Dopiero mając tę listę, da się sensownie sprawdzić, czy cel mieści się w art. 22³ § 1 i czy narzędzie faktycznie mu służy, a potem ustalić, czy potrzebna jest ocena skutków dla ochrony danych, i przeprowadzić ją przed pilotażem, jeżeli jest wymagana.

Następna warstwa to dokumenty i informowanie, i te trzy rzeczy wygodnie planować razem:

  • – dokument wewnętrzny (regulamin pracy, układ zbiorowy albo obwieszczenie) z trzema elementami, których wymaga przepis: cele, zakres, sposób; przy regulaminie dochodzi uzgodnienie z zakładową organizacją związkową, jeśli u Ciebie działa;
  • – uprzedzenie pracowników w sposób u Ciebie przyjęty, co najmniej dwa tygodnie przed uruchomieniem;
  • – pisemna informacja o celach, zakresie i sposobie, przekazana i udokumentowana wobec osób objętych monitoringiem.

Sam pilotaż warto zawęzić: jeden zespół, jedna funkcja, ustalony czas i z góry zdefiniowane kryterium „to działa albo wyłączamy”. Pilotaż też jest przetwarzaniem, więc obejmują go te same warunki, tylko na mniejszą skalę.

Zostają dwie rzeczy, o których łatwo zapomnieć, bo nie mają terminu. Nadzór człowieka zaprojektuj jako proces, a nie jako przycisk: osoba weryfikująca wynik ma mieć dostęp do danych źródłowych, czas na sprawdzenie i realną możliwość zmiany oceny. Pozorny nadzór może zostać zakwestionowany przez pracownika, organ nadzorczy albo sąd, zwłaszcza gdy od wyniku zależy premia. Druga to retencja i dostęp: jak długo trzymamy nagrania, transkrypcje i wyniki, kto ma do nich wgląd, co się dzieje po zakończeniu pilotażu i kiedy wracamy do całości na przegląd.

Jak to wygląda na przykładzie, od którego zacząłem. Pomysł brzmiał: AI analizuje nagrania rozmów handlowców. Po rozpisaniu na funkcje okazuje się, że firma realnie potrzebuje transkrypcji i streszczenia z ustaleniami, bo problem, który chce rozwiązać, to gubienie uzgodnień z klientem. Podpowiedź w trakcie rozmowy jest przydatna, ocena i ranking wchodzą do pomysłu z prezentacji dostawcy, nie z potrzeby.

Przy takim zawężeniu można rozważyć, czy cel mieści się w art. 22³ § 1, a zakres staje się opisywalny w regulaminie (nagranie i transkrypcja rozmów służbowych prowadzonych z numeru firmowego, bez treści prywatnych) i da się go wytłumaczyć zespołowi jednym akapitem. Samo zawężenie niczego nie przesądza i nadal wymaga oceny konkretnego procesu, ale ułatwia rozmowę o konieczności i proporcjonalności. Do tego dochodzi dwutygodniowe uprzedzenie, pisemna informacja i sprawdzenie z inspektorem ochrony danych, czy zachodzi obowiązek oceny skutków. Gdyby w zakresie zostały ocena i ranking wpływający na premię, rozmowa wygląda zupełnie inaczej: trzeba zbadać zastosowanie art. 22 RODO, w szczególności rzeczywisty udział człowieka w decyzji, zaprojektować nadzór i postawić pytanie o dyskryminujący skutek. To nie znaczy, że takiego wdrożenia nie da się zrobić. Znaczy, że to inna klasa projektu i trzeba ją zaplanować jako inną.

Jeżeli chcesz przy tym pomocy, prowadzę bezpłatne szkolenie online „AI w firmie zgodnie z prawem”. Dotyczy organizacji wdrożenia i rozpoznawania kwestii wymagających konsultacji, a nie rozstrzygania zgodności konkretnego procesu; przechodzimy przez ten porządek pracy na przykładach z Twojej branży, razem z mapą pozostałych aktów. Zapisy przez formularz kontaktowy; wystarczy napisać „szkolenie AI” w wiadomości.

Sześć błędów, które widzę najczęściej

Zgoda w miejscu regulaminu. Dział kadr zbiera podpisy pod oświadczeniem „wyrażam zgodę na nagrywanie” i tym zamyka temat, zamiast opisać cel, zakres i sposób w dokumencie wewnętrznym, uprzedzić zespół i przekazać informację na piśmie. Sam podpis pracownika nie przesądza o spełnieniu pozostałych obowiązków.

Mikrofon w kamerze. Firma ma wdrożony monitoring wizyjny z kompletem dokumentów, kupuje nowe kamery, te mają mikrofon i ktoś go włącza. Artykuł 22² mówi o rejestracji obrazu, więc dźwięku nie obejmuje, a istniejąca dokumentacja monitoringu wizyjnego go nie opisuje.

Narzędzie kupione jako asystent, z funkcją oceniającą w środku. Prezentacja idzie przez dwadzieścia minut o podpowiedziach dla handlowca, a na ostatnim slajdzie pojawia się zakładka z zestawieniem zespołu. Nikt o nią nie pyta, bo nazwa produktu nie brzmi jak monitoring. Po podpisaniu umowy okazuje się, że zakładka jest w standardzie i domyślnie włączona, a to właśnie ona decyduje o tym, jak trzeba opisać zakres w regulaminie.

Pilotaż przed oceną skutków. „To tylko test na jednym zespole” opisuje skalę, nie charakter operacji.

Wynik modelu prosto do premii, z kierownikiem zatwierdzającym listę raz w miesiącu. To moment na sprawdzenie art. 22 RODO i na szczerą odpowiedź, czy zatwierdzający ma czym i kiedy ten wynik zmienić.

Retencja bez końca. Nagrania i transkrypcje leżą w chmurze dostawcy, bo nikt nie ustalił, jak długo mają tam leżeć. Kodeks pracy podaje trzy miesiące wprost tylko dla nagrań obrazu; dla innych form monitoringu terminu nie wyznacza, więc okres trzeba ustalić samodzielnie na zasadach RODO i zapisać. Brak ustalonej retencji utrudnia potem wykazanie, że przechowywanie danych było niezbędne.

Co mówi który paragraf

PrzepisCzego dotyczy
art. 11¹ KPObowiązek szanowania godności i innych dóbr osobistych pracownika
art. 18³ᵃ–18³ᵈ KPRówne traktowanie w zatrudnieniu, dyskryminowanie pośrednie, odszkodowanie
art. 22¹ KPKatalog danych, których pracodawca żąda od kandydata i pracownika
art. 22¹ᵃ KPZgoda jako podstawa przetwarzania innych danych; brak zgody bez negatywnych konsekwencji
art. 22¹ᵇ KPDane szczególnych kategorii i dane biometryczne pracownika (kontrola dostępu)
art. 22² § 1–2 KPMonitoring wizyjny: cztery cele, rejestracja obrazu, pomieszczenia wyłączone
art. 22² § 3–5 KPRetencja nagrań obrazu: 3 miesiące, przedłużenie przy dowodzie, zniszczenie
art. 22² § 6–10 KPDokument wewnętrzny, 2 tygodnie uprzedzenia, informacja na piśmie, oznaczenie
art. 22³ § 1–3 KPKontrola służbowej poczty: cel, tajemnica korespondencji, odesłanie do § 6–10
art. 22³ § 4 KPInne formy monitoringu, w tym narzędzia AI mierzące i oceniające pracę
art. 104² i 104³ KPUzgodnienie regulaminu z organizacją związkową, wejście w życie po 2 tygodniach
art. 22 RODOPrawo do niepodlegania decyzji opartej wyłącznie na przetwarzaniu automatycznym
art. 35 i 36 RODOOcena skutków przed przetwarzaniem, uprzednie konsultacje z organem
art. 88 RODOPodstawa dla krajowych przepisów o danych w zatrudnieniu
art. 26 ust. 7 AI ActInformowanie pracowników przed użyciem systemu wysokiego ryzyka (od 2.12.2027)

Najczęstsze pytania

Czy mogę nagrywać rozmowy handlowców i analizować je przez AI?

Zależy od celu, zakresu i tego, jakie funkcje narzędzia włączysz, i nie da się tego przesądzić bez oceny konkretnego procesu. Gdy narzędzie służy kontroli pracy, wchodzą cztery obszary z Kodeksu pracy opisane wyżej. Osobno trzeba ustalić podstawę przetwarzania danych oraz podstawę i zakres informacji wobec klienta po drugiej stronie rozmowy. Jeżeli narzędzie wyprowadza z głosu wnioski o emocjach pracownika, dochodzi zakaz z art. 5 ust. 1 lit. f AI Act, obowiązujący od 2 lutego 2025 r., z wyjątkami dla zastosowań medycznych i związanych z bezpieczeństwem; sama analiza parametrów głosu jeszcze o tym zakazie nie przesądza.

Czy wystarczy, że pracownicy podpiszą zgodę?

Nie zastąpi to warunków z Kodeksu pracy, bo ustawa w art. 22² i 22³ zgody nie wymaga i jej nie wymienia. W relacji pracodawca–pracownik zgoda jest też słabą podstawą przetwarzania danych, trudno bowiem uznać ją za dobrowolną. Kodeks pracy sam to sygnalizuje: art. 22¹ᵃ § 2 zastrzega, że brak zgody ani jej wycofanie nie mogą pociągać za sobą negatywnych konsekwencji dla pracownika.

Czy monitoring wizyjny pozwala nagrywać dźwięk?

Art. 22² § 1 mówi o środkach technicznych umożliwiających rejestrację obrazu, więc dźwięku nie obejmuje. To, że kamera ma mikrofon, nie rozszerza uprawnienia pracodawcy. Nagrywanie dźwięku wymaga własnej analizy na gruncie art. 22³ § 4 i RODO.

Czy skoro obowiązki AI Act dla HR przesunięto na grudzień 2027, mam spokój do tego czasu?

Nie, i to z powodu, który z AI Act nie ma nic wspólnego. Przepisy Kodeksu pracy o monitoringu obowiązują od 2018 r., a RODO od 2018 r., niezależnie od kalendarza rozporządzenia. System oceniający pracowników uruchamiany dziś podlega im od pierwszego dnia. Grudzień 2027 dokłada warstwę obowiązków, a nie zdejmuje te, które już są.

Źródła

Materiał ma charakter ogólny i nie rozstrzyga zgodności konkretnego wdrożenia; stan przepisów na 15 września 2026 r.