Španělský dozor varoval firmu ještě před nasazením nástroje pro hodnocení uchazečů a interní kariérní postup. Požaduje posouzení rizik, transparentnost a skutečně účinný lidský zásah do rozhodování.

Španělská AEPD vydala ve věci EXP202600427 preventivní varování AI-00009-2026-advertencia k připravovanému využití umělé inteligence v náboru a vnitřní mobilitě zaměstnanců. Podle oficiální evidence bylo podepsáno 16. září 2026 a zveřejněno 23. září. Nejde o pokutu ani o konečný závěr, že dosud nenasazený nástroj již porušil GDPR. Úřad využil pravomoc upozornit na možné porušení při plánovaném zpracování podle článku 58 odst. 2 písm. a).

Podnět dorazil úřadu v lednu 2026. Firma podle podkladů informovala zástupce zaměstnanců již v prosinci 2025, že hodlá používat nástroj pro analýzu životopisů, přidělování skóre a prioritizaci kandidátů. Uváděla, že půjde o podporu a konečné rozhodnutí zůstane člověku. Při šetření vysvětlila, že řešení centrálně vyvíjí a hodnotí její podniková skupina. Ve Španělsku ještě nasazeno nebylo; místní společnost měla skupinové podklady následně posoudit před vlastním zavedením.

Právě tato přípravná fáze je pro případ podstatná. AEPD nevycházela z nutnosti nejprve počkat na konkrétního poškozeného uchazeče. Preventivní pravomoc může použít, jestliže plánované činnosti mohou zasáhnout do práv lidí. Firma současně nemůže uzavřít vlastní odpovědnost tím, že analýzu ochrany údajů zajišťuje centrála. Posouzení musí odpovídat tomu, jak bude nástroj skutečně používán v daném procesu.

Úřad připomněl ochranu údajů již při návrhu a ve výchozím nastavení podle článku 25 GDPR i odpovědnost správce podle článku 24. Rizika mají být řízena po celý životní cyklus. Pokud zpracování pravděpodobně povede k vysokému riziku pro práva a svobody, je nutné ještě před jeho zahájením provést posouzení vlivu na ochranu osobních údajů podle článku 35. Varování tedy nepřikazuje automaticky stejný dokument pro jakýkoli software s označením AI; vyžaduje skutečné posouzení konkrétního použití.