غربالگری رزومه با هوش مصنوعی؛ هشدار AEPD و فرمان ۷۲۳

این مقاله در حال بازبینی حقوقی است.

تعریف: غربالگری رزومه با هوش مصنوعی به استفاده از سامانه‌ای گفته می‌شود که رزومه داوطلبان را تحلیل می‌کند، به آن‌ها امتیاز می‌دهد و فهرست داوطلبان را اولویت‌بندی می‌کند. مرجع حفاظت از داده اسپانیا (AEPD) در ۲۳ سپتامبر ۲۰۲۶ به شرکتی که قصد داشت چنین ابزاری را در استخدام و جابه‌جایی داخلی به کار گیرد، یک هشدار پیشگیرانه (advertencia) طبق ماده ۵۸(۲)(الف) GDPR صادر کرد و یادآوری کرد که دخالت انسانی باید واقعی و انتقادی باشد، نه تأیید خودکار امتیاز ماشین.

دو هفته بعد، در ۷ اکتبر ۲۰۲۶، AEPD یادداشتی منتشر کرد که این هشدار را کنار فرمان سلطنتی ۷۲۳/۲۰۲۶ قرار می‌دهد؛ مقرره‌ای که از ۵ اکتبر ۲۰۲۶ کارفرمایان را به اطلاع‌رسانی مکتوب درباره سامانه‌های الگوریتمی محل کار ملزم کرده است.

بیان قابل نقل: AEPD گفت تصمیم «انسانی» وقتی انسانی است که تصمیم‌گیرنده بتواند با امتیاز ماشین مخالفت کند، نه اینکه فقط امضایش کند.

پرونده چه بود؟

طبق متن هشدار (شماره پرونده EXP202600427):

• در ۶ ژانویه ۲۰۲۶ گزارشی به AEPD رسید درباره ابزار هوش مصنوعی یک شرکت برای غربالگری و ارزیابی داوطلبان در استخدام و جابه‌جایی داخلی.
• شرکت در ۱ دسامبر ۲۰۲۵ به نمایندگان قانونی کارکنان اطلاع داده بود که ابزار «کمکی» است و تصمیم نهایی همیشه انسانی است.
• در ۱۶ ژانویه ۲۰۲۶ ریاست AEPD تحقیقات مقدماتی را آغاز کرد.
• ابزار را گروه شرکتی مادر به‌صورت متمرکز توسعه می‌داد و هنوز در اسپانیا به کار نرفته بود.
• به گفته شرکت، ابزار ویژگی‌های حساس را تحلیل نمی‌کند و ممیزی دوره‌ای می‌شود.

نام شرکت و ابزار در متن منتشرشده حذف شده است.

هشدار پیشگیرانه یعنی چه؟

AEPD تأکید می‌کند که هشدار ماده ۵۸(۲)(الف) جریمه نیست و به معنای اعلام وقوع تخلف هم نیست. این ابزار زمانی به کار می‌رود که «عملیات پردازش پیش‌بینی‌شده» ممکن است GDPR را نقض کند. AEPD در متن هشدار به نظر دادستان کل دیوان دادگستری اروپا در پرونده C-474/24 استناد کرده که این اختیار را «احتیاطی» توصیف می‌کند.

اما هشدار بی‌اثر هم نیست. در پایان متن آمده است که اگر شرکت اقدامات لازم را انجام ندهد، ممکن است مرتکب تخلف شود و این می‌تواند به تحقیقات و اقدامات اصلاحی، از جمله اقدامات تنبیهی منجر شود.

بیان قابل نقل: هشدار پیشگیرانه AEPD جریمه نیست، اما نقشه راهی است که اگر شرکت از آن عبور کند، جریمه در انتظارش است.

چهار تکلیف اصلی از نگاه AEPD

۱. حفاظت از داده از مرحله طراحی

طبق مواد ۲۴ و ۲۵ GDPR، شرکت باید اقدامات فنی و سازمانی مناسب را از مرحله طراحی، انتخاب، پیکربندی و آزمایش ابزار اتخاذ کند و بتواند انطباق را اثبات کند. به تعبیر یادداشت ۷ اکتبر، این اقدامات باید از ابتدا لحاظ شوند، «نه اینکه در پایان اضافه شوند».

۲. ارزیابی ریسک و ارزیابی اثر

شرکت باید ریسک‌های پردازش برای داوطلبان و کارکنان را بسنجد و اگر پردازش احتمالاً ریسک بالا دارد، پیش از آغاز، ارزیابی اثر حفاظت از داده (DPIA) طبق ماده ۳۵ GDPR انجام دهد.

۳. شفافیت

داوطلبان و کارکنان باید اطلاعات روشن، در دسترس و قابل فهم درباره پردازش داده و نقش ابزار در ارزیابی دریافت کنند (مواد ۱۲ تا ۱۴ GDPR). اگر تصمیم خودکار موضوع ماده ۲۲ در کار باشد، تکالیف ویژه اطلاع‌رسانی مواد ۱۳(۲)(و) و ۱۴(۲)(ز) نیز اعمال می‌شود.

۴. دخالت انسانی مؤثر

این مهم‌ترین بخش هشدار است. AEPD می‌گوید ادعای شرکت که «تصمیم نهایی با انسان است» عنصر مهمی است، اما کافی نیست. دخالت انسانی باید به تصمیم‌گیرنده اجازه دهد امتیاز یا اطلاعات سامانه را به‌طور انتقادی ارزیابی کند و تصمیم خود را بگیرد، بدون اینکه در عمل تابع نتیجه خودکار باشد. اینکه ماده ۲۲ GDPR اعمال شود یا نه، به عملکرد واقعی فرایند تصمیم بستگی دارد، نه به توصیف شرکت.

بیان قابل نقل: از نگاه AEPD، اعمال ماده ۲۲ GDPR را عملکرد واقعی فرایند تعیین می‌کند، نه برچسبی که شرکت روی آن می‌گذارد.

فرمان سلطنتی ۷۲۳/۲۰۲۶: تکلیف تازه کارفرمایان

یادداشت AEPD در ۷ اکتبر ۲۰۲۶ توضیح می‌دهد که فرمان سلطنتی ۷۲۳/۲۰۲۶ مورخ ۹ سپتامبر:

• ماده ۸.۵ قانون کارگران (Estatuto de los Trabajadores) را اجرایی می‌کند و بخشی از دستورالعمل (EU) 2019/1152 درباره شرایط کاری شفاف و قابل پیش‌بینی را به حقوق داخلی منتقل می‌کند؛
• از ۵ اکتبر ۲۰۲۶ لازم‌الاجراست؛
• طبق بند ۳.۲.k، کارفرما باید به‌صورت مکتوب هر کارگر را از وجود سامانه‌های الگوریتمی یا تصمیم‌گیری خودکار مطلع کند و اگر این سامانه‌ها درباره ساعات کار، تخصیص وظایف، دستمزد، ارتقا، محل کار، خاتمه کار یا سایر شرایط کار تصمیم می‌گیرند، الگوها، معیارها و قواعد عملکرد آن‌ها را نیز توضیح دهد؛
• برای قراردادهای جدید، اطلاعات باید پیش از آغاز رابطه کار داده شود؛ برای روابط موجود، کارگر می‌تواند درخواست کند و کارفرما ۳۰ روز کاری فرصت پاسخ دارد؛
• اطلاعات الگوریتمی را نمی‌توان با ارجاع کلی به قانون یا پیمان جمعی داد؛ باید مشخص باشد.

AEPD تأکید می‌کند که این تکلیف کاری، جایگزین GDPR نیست؛ هر دو هم‌زمان اعمال می‌شوند.

ارتباط با قانون هوش مصنوعی اروپا

در قانون هوش مصنوعی اتحادیه اروپا، سامانه‌های مورد استفاده در استخدام و انتخاب، از جمله تحلیل و فیلتر درخواست‌ها و ارزیابی داوطلبان، در پیوست سوم جزو سامانه‌های پرریسک قرار گرفته‌اند. زمان اجرای تکالیف این دسته در حال بازنگری بوده است؛ جزئیات را در مهلت سامانه‌های پرریسک قانون AI اروپا ببینید. هشدار AEPD نشان می‌دهد که حتی پیش از اجرای کامل آن تکالیف، GDPR از امروز اعمال می‌شود.

نگاه تطبیقی: آمریکا، هلند و ایران

• در آمریکا، بحث ابزارهای استخدامی هوش مصنوعی بیشتر از مسیر حقوق ضدتبعیض پیش رفته است؛ نگاه کنید به ابزار استخدامی AI و Title VII.
• در هلند، ناظر حفاظت از داده اوبر را به دلیل تعلیق خودکار رانندگان جریمه کرد؛ نگاه کنید به جریمه اوبر برای تصمیم خودکار.
• در ایران، تحلیل نگارنده این است که قانون کار حکم خاصی درباره ابزارهای الگوریتمی استخدام ندارد و قانون جامع حفاظت از داده هنوز تصویب نشده است. بنابراین کارفرمای ایرانی که از ابزار غربالگری رزومه استفاده می‌کند، با تکلیف قانونی صریحی مشابه هشدار AEPD روبه‌رو نیست. با این حال، اصول کلی مانند منع تبعیض و حفظ اسرار اشخاص می‌تواند مبنای اعتراض باشد. برای ریسک‌های تبعیض، تبعیض الگوریتمی را ببینید.

چک‌لیست برای کارفرمایان

• پیش از استفاده، ارزیابی ریسک و در صورت لزوم ارزیابی اثر انجام دهید.
• به داوطلب بگویید ابزار چه نقشی دارد و چه داده‌ای را تحلیل می‌کند.
• به ارزیاب انسانی آموزش، زمان و اختیار رد امتیاز ماشین را بدهید.
• نرخ هم‌خوانی تصمیم انسانی با امتیاز ماشین را پایش کنید؛ هم‌خوانی تقریباً صددرصد نشانه هشدار است (تحلیل نگارنده).
• اسناد ممیزی و آزمون سوگیری را نگه دارید.

پرسش‌های متداول

آیا AEPD شرکت را جریمه کرد؟

خیر. AEPD هشدار پیشگیرانه طبق ماده ۵۸(۲)(الف) GDPR صادر کرد که به معنای اعلام تخلف نیست، اما اعلام کرد عدم رعایت می‌تواند به اقدامات اصلاحی و تنبیهی منجر شود.

آیا استفاده از هوش مصنوعی در غربالگری رزومه ممنوع است؟

خیر. AEPD صریحاً می‌گوید GDPR مانع استفاده از این فناوری‌ها نیست، اما تضمین‌های متناسب با ریسک، شفافیت و دخالت انسانی مؤثر را لازم می‌داند.

دخالت انسانی مؤثر یعنی چه؟

یعنی تصمیم‌گیرنده بتواند امتیاز سامانه را به‌طور انتقادی ارزیابی کند و تصمیم مستقل بگیرد، بدون اینکه در عمل تابع خروجی خودکار باشد.

فرمان سلطنتی ۷۲۳/۲۰۲۶ از چه زمانی اجرا می‌شود؟

طبق یادداشت AEPD، از ۵ اکتبر ۲۰۲۶. این فرمان کارفرما را به اطلاع‌رسانی مکتوب درباره وجود و قواعد عملکرد سامانه‌های الگوریتمی محل کار ملزم می‌کند.

آیا کارفرمای ایرانی تکلیف مشابهی دارد؟

در قوانین موضوعه ایران حکم خاصی مشابه این تکالیف دیده نمی‌شود. برای طراحی فرایند استخدام منطبق با اصول کلی، با کارشناسان آرتیلا مشورت کنید.

جمع‌بندی

هشدار AEPD درباره غربالگری رزومه با هوش مصنوعی پیام روشنی دارد: پیش از استفاده از ابزار، ریسک را بسنجید، در صورت لزوم ارزیابی اثر انجام دهید، شفاف باشید و دخالت انسانی را واقعی کنید. فرمان سلطنتی ۷۲۳/۲۰۲۶ نیز از ۵ اکتبر ۲۰۲۶ تکلیف اطلاع‌رسانی مکتوب درباره الگوریتم‌های محل کار را افزوده است. برای کارفرمایان ایرانی، این تحولات الگویی برای استخدام مسئولانه است، حتی پیش از آنکه قانون داخلی آن را الزامی کند. این مقاله اطلاع‌رسانی است و جایگزین مشاوره حقوقی نیست.

منابع

• AEPD, La Agencia recuerda las garantías para utilizar IA en el análisis de currículums (23 Sep 2026): https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/agencia-recuerda-garantias-para-utilizar-ia-en-analisis-curriculums
• AEPD, Advertencia AI-00009-2026 (Ref. EXP202600427), PDF: https://www.aepd.es/documento/ai-00009-2026-advertencia.pdf
• AEPD, Sistemas algorítmicos en el ámbito laboral. Transparencia y garantías de protección de datos (nota sobre el Real Decreto 723/2026 y la advertencia AI-00009-2026, 7 Oct 2026), PDF: https://www.aepd.es/guias/Nota-RD-723-2026-AI-00009-2026.pdf