西班牙AEPD就简历筛查AI工具向企业发出警告：招聘与内部流动场景须从设计阶段嵌入数据保护，人工介入必须实质有效

【案件事实】

AEPD已向一家企业发出警告，事由是该企业拟部署一套用于「人员选拔与内部流动流程中候选人筛选与评估」的人工智能工具。该系统将用于分析简历、分配评分，并在此基础上对候选申请进行优先排序，可能对「获得就业与职业晋升」相关决定产生直接影响。

通报明确指出，该工具「尚未投入运行」，但企业已向员工通报了即将实施的情况。这一细节值得注意：监管机关介入的时点是在工具上线之前，而非等到发生损害之后。

【AEPD的总体立场：效率与保护可以兼容】

AEPD表示，在选拔与人员管理流程中引入人工智能工具，有助于提升其效率与质量。为使这类工具在获得保障的前提下被利用，数据保护必须自项目初始配置阶段即被整合进来，使创新与对个人权利和自由的有效保护得以兼容。

【设计与默认的数据保护】

这一思路具体体现为「设计与默认的数据保护」。在技术项目构思的初始阶段即纳入数据保护的原则与保障，可以识别并采取与其特征和风险相适应的措施。

【风险评估与数据保护影响评估】

AEPD就此指出，该企业应采行适当的技术与组织措施，并评估处理活动可能给候选人与员工带来的风险。若处理可能对个人权利与自由构成高风险，则须事前开展相应的数据保护影响评估（DPIA）。

【透明度的具体要求】

AEPD同时强调，当某项工具对候选申请进行评估并就其与岗位的适配度给出评分时，透明度至关重要。候选人与员工应获得关于其个人数据处理情况、以及该工具在评估过程中所起作用之「清晰、可获取且可理解」的信息。

【人工介入必须实质有效】

关于这类流程中的人工介入，企业已表示最终决定将由人作出。AEPD就此提醒：为使人工介入「实质有效」，作出决定者必须能够批判性审视系统提供的信息或评分，并作出自己的决定，而不是局限于自动接受人工智能工具生成的结果。

【纯自动化决策的禁止性规定】

此外，GDPR规定个人有权不受仅基于自动化处理所作决定之约束，当该等决定可能产生法律效力或对其产生重大影响时尤为如此。在本案中，该权利是否适用取决于工具的实际运作方式及其自动化程度。

【对出海企业的实务含义】

①这是西班牙AEPD首次就「招聘与内部流动场景的AI工具」单独作出监管动作，与此前欧盟层面将招聘与人力资源筛选工具列入AI法案首个执法波次的动向形成呼应，招聘类AI已成为欧盟数据保护与AI监管的交叉执法热点；

②本案的关键价值在于「上线前介入」——监管机关接受企业主动通报，并以警告而非处罚方式要求整改，说明事前合规设计是有效的风险缓释路径；

③「人工介入」的形式合规（例如名义上加一道审批）不足以满足要求，须能证明决定者具备批判性审视的能力与留痕；

④中国出海企业若在欧洲使用AI简历筛选、内部人才盘点或晋升评分系统，应同步准备DPIA文件、候选人告知文本与人工复核的操作规程三项材料。