Privasi Data Pekerja dan AI: Apa yang Perlu Dilindungi oleh HR

Oleh Kevin Kim · Dikemas kini 11 Oktober 2026

Privasi data pekerja dalam AI ialah set kewajipan undang-undang dan praktikal yang terpakai apabila HR memasukkan maklumat kakitangan ke dalam alat AI: mengetahui data mana yang sensitif, mempunyai sebab yang sah untuk menggunakannya, memberitahu orang, menilai risiko terlebih dahulu, mengekalkan manusia dalam keputusan penting, mengikat pembekal melalui kontrak, menghadkan tempoh data disimpan, dan mengawal ke mana data berpindah. Data yang dipegang oleh HR (butiran kesihatan, gaji, nota prestasi, sejarah disiplin, kadangkala cap jari atau wajah) antara yang paling sensitif dalam syarikat. Mengarahkan alat AI kepadanya mengubah risiko, dan selalunya mengubah siapa yang bertanggungjawab di sisi undang-undang untuk apa.

Halaman ini ditujukan kepada pengarah sumber manusia, ketua operasi pekerja dan pengurus yang meluluskan alat HR. Ia membincangkan kewajipan utama di bawah undang-undang EU dan UK serta undang-undang negeri AS yang paling berkesan, kemudian memberikan jadual kes penggunaan dan proses langkah demi langkah. Untuk gambaran yang lebih luas, mulakan dengan asas data HR untuk AI. Ini maklumat umum, bukan nasihat undang-undang.

Fakta Utama

• Pelanggaran prinsip pemprosesan asas GDPR, syarat persetujuan, peraturan kategori khas, hak subjek data dan peraturan pemindahan antarabangsa boleh dikenakan denda sehingga EUR 20 juta atau 4% daripada perolehan tahunan sedunia, mengikut mana yang lebih tinggi; pelanggaran kewajipan pengawal dan pemproses (termasuk kontrak pemproses dan penilaian impak) boleh dikenakan sehingga EUR 10 juta atau 2% (GDPR Article 83).
• European Data Protection Board menyatakan adalah "bermasalah" bagi majikan memproses data pekerja semasa atau bakal pekerja berdasarkan persetujuan, kerana ia tidak mungkin diberikan secara bebas (EDPB Guidelines 05/2020).
• Pengecualian California bagi maklumat peribadi berkaitan pekerjaan tamat pada 31 Disember 2022, jadi pekerja dan pemohon kerja yang merupakan penduduk California kini tertakluk kepada CCPA (California Attorney General).
• Pada Disember 2023 Mahkamah Keadilan EU memutuskan bahawa "penskoran" kredit dikira sebagai keputusan individu automatik yang dilarang apabila pelanggan memberikan peranan penentu kepada skor itu (siaran akhbar Court of Justice).
• EU-US Data Privacy Framework bertunjangkan keputusan kecukupan Suruhanjaya bertarikh 10 Julai 2023; General Court menolak cabaran terhadapnya pada 3 September 2025 (siaran akhbar General Court), dan rayuan difailkan pada 31 Oktober 2025 (Digital Policy Alert).

Mengapa AI Mengubah Gambaran Privasi

HR sentiasa memegang rekod yang sensitif. AI menambah tiga perkara. Jangkauan: alat yang membaca setiap penilaian, tiket dan mesej sembang menyentuh jauh lebih banyak daripada pengurus yang menyelak sebuah fail. Inferens: AI menerbitkan fakta baharu, seperti skor risiko keluar atau andaian tentang kesihatan daripada corak ketidakhadiran, dan inferens tentang seseorang masih data peribadi tentang orang itu. Pihak ketiga: kebanyakan AI untuk HR dibeli, jadi pembekal dengan sub-pemproses dan pelayan di negara lain berada di antara anda dengan data. Anda boleh menyumber luar pemprosesan. Anda tidak boleh menyumber luar akauntabiliti.

Untuk bahagian kawalan akses, pengelasan data untuk akses AI menunjukkan cara menentukan peringkat data mana yang boleh dilihat oleh alat AI.

Tujuh Kewajipan yang Mesti Dipenuhi dengan Betul oleh HR

1. Ketahui data mana yang sensitif

Di bawah GDPR, pemprosesan kategori tertentu dilarang melainkan syarat khusus terpakai. Article 9 menyenaraikan data yang mendedahkan asal usul kaum atau etnik, pendapat politik, kepercayaan agama atau falsafah atau keahlian kesatuan sekerja, serta data genetik, data biometrik yang diproses untuk mengenal pasti seseorang secara unik, data kesihatan, dan data tentang kehidupan seks atau orientasi seksual (GDPR Article 9). Pengawal selia UK menerangkan bahawa data biometrik menjadi data kategori khas apabila ia diproses untuk mengenal pasti seseorang secara unik, dan bahawa gambar biasa tidak layak melainkan ia melalui pemprosesan teknikal tertentu, seperti mencipta templat untuk pemadanan automatik (ICO).

Dalam HR, nota cuti sakit, permintaan penyesuaian, yuran kesatuan, tinjauan kepelbagaian dan templat cap jari atau wajah yang digunakan untuk daftar masuk semuanya data kategori khas. Malah data yang tidak berlabel boleh mendedahkannya: corak ketidakhadiran, atau perbualan chatbot di mana seorang pekerja menyebut diagnosis.

2. Miliki asas undang-undang, dan jangan bergantung pada persetujuan

Setiap penggunaan data peribadi memerlukan asas undang-undang. Majikan sering memilih persetujuan kerana ia terasa menghormati. Ia biasanya pilihan yang paling lemah. Garis panduan EDPB menerangkan bahawa kebergantungan dalam hubungan majikan-pekerja menjadikan pekerja tidak mungkin dapat menolak tanpa takut akan risiko kerugian sebenar, jadi bagi kebanyakan pemprosesan di tempat kerja asasnya "tidak boleh dan tidak patut" persetujuan. Persetujuan kekal mungkin hanya dalam keadaan luar biasa di mana penolakan tidak membawa akibat buruk (EDPB Guidelines 05/2020). ICO UK mengatakan perkara yang sama dalam panduannya: persetujuan yang diberikan secara bebas lebih sukar diperoleh apabila terdapat ketidakseimbangan kuasa, terutamanya bagi pihak berkuasa awam dan majikan (ICO).

Jadi apa yang digunakan sebagai ganti? Lazimnya kontrak pekerjaan, kewajipan undang-undang (penggajian, cukai, kesihatan dan keselamatan), atau kepentingan sah, yang memerlukan ujian pengimbangan yang didokumenkan. Bagi data kategori khas anda juga memerlukan syarat daripada Article 9(2), dan salah satunya meliputi pemprosesan yang perlu untuk kewajipan undang-undang pekerjaan di mana undang-undang negara membenarkannya. Kotak tanda "Saya bersetuju dengan analisis AI" jarang menjadi jawapannya.

3. Beritahu orang dengan jelas

Ketelusan ialah kewajipan, bukan budi bicara. Apabila anda mengumpul data secara langsung, GDPR mewajibkan anda memberitahu orang, antara lain, sama ada terdapat pembuatan keputusan automatik termasuk pemprofilan dan, sekurang-kurangnya dalam kes Article 22, maklumat bermakna tentang logik yang terlibat dan akibat yang dijangkakan (GDPR Article 13). "Kami menggunakan AI untuk memperbaik proses HR" tidak memenuhi tahap itu. Namakan tujuan alat itu, data yang digunakannya, dan keputusan yang dimaklumkannya.

Article 88 juga membenarkan setiap Negara Anggota EU menambah peraturan data pekerjaan yang lebih khusus, dengan perhatian khas pada ketelusan dan sistem pemantauan di tempat kerja (GDPR Article 88). Dalam praktik, ini bermakna perundingan majlis pekerja di sesetengah negara sebelum anda boleh menghidupkan alat. Lihat pemantauan pekerja AI untuk sudut itu.

4. Lakukan penilaian impak sebelum pelancaran

Penilaian impak perlindungan data (DPIA) ialah semakan risiko berstruktur yang anda jalankan sebelum pemprosesan bermula. Article 35 memerlukannya apabila pemprosesan, terutamanya menggunakan teknologi baharu, berkemungkinan menyebabkan risiko tinggi kepada hak orang. Ia secara khusus memerlukannya untuk penilaian sistematik dan meluas terhadap aspek peribadi berdasarkan pemprosesan automatik yang menjadi asas keputusan dengan kesan penting, dan untuk pemprosesan berskala besar data kategori khas (GDPR Article 35). Banyak penggunaan AI untuk HR, seperti menilai, menyusun atau memantau kakitangan, termasuk tepat dalam kategori itu.

DPIA meliputi pemprosesan dan tujuannya, keperluan dan kesepadanannya, risiko kepada individu, dan langkah yang menangani risiko tersebut. Jika sesuai, dapatkan pandangan orang yang terkesan atau wakil mereka. Anggapnya sebagai alat reka bentuk: jika tiada perlindungan yang dapat menurunkan risiko, kecilkan projek itu.

California kini mempunyai keperluan selari. Agensi privasi negeri itu memuktamadkan peraturan yang meliputi penilaian risiko dan teknologi pembuatan keputusan automatik (ADMT), dengan pematuhan penilaian risiko bermula pada 1 Januari 2026 dan kewajipan ADMT untuk "keputusan penting" bermula pada 1 Januari 2027 (CPPA). Ringkasan firma guaman bagi peraturan itu menyatakan keputusan penting termasuk pekerjaan (Skadden). Jika anda menggaji penduduk California, letakkan ini dalam kalendar.

5. Kawal keputusan automatik

Article 22 GDPR memberi orang hak untuk tidak tertakluk kepada keputusan yang berasaskan semata-mata pemprosesan automatik, termasuk pemprofilan, yang menghasilkan kesan undang-undang atau menjejaskan mereka dengan ketara dengan cara yang serupa. Terdapat pengecualian (keperluan untuk kontrak, kebenaran oleh undang-undang, atau persetujuan nyata), tetapi walaupun begitu pengawal mesti menyediakan sekurang-kurangnya hak untuk mendapatkan campur tangan manusia, menyatakan pandangan dan mencabar keputusan itu. Keputusan di bawah pengecualian tersebut tidak boleh bergantung pada data kategori khas melainkan persetujuan nyata atau syarat kepentingan awam yang besar terpakai dan perlindungan disediakan (GDPR Article 22).

Mahkamah Keadilan telah mentafsirkannya secara luas. Dalam kes SCHUFA ia memutuskan bahawa penskoran mesti dianggap sebagai "keputusan individu automatik" apabila pelanggan bank memberikan peranan penentu kepadanya dalam pemberian kredit (Court of Justice). Terjemahkan itu kepada HR: jika perekrut atau pengurus meluluskan tanpa menyemak apa sahaja yang dikatakan oleh skor, skor itulah keputusannya. Orang yang sekadar mengklik "lulus" tidak dikira sebagai penglibatan manusia. Pengawasan manusia dalam AI untuk HR membincangkan cara menjadikan langkah manusia itu benar-benar bermakna.

UK telah mengubah pendekatannya. Data (Use and Access) Act 2025 membuka keseluruhan julat asas undang-undang bagi keputusan automatik yang penting, dengan syarat perlindungan kekal ada, walaupun itu tidak terpakai kepada data kategori khas, dan ICO menyatakan peruntukan perlindungan data dalam Akta itu kini berkuat kuasa (ICO). Peraturan EU tidak bergerak ke arah yang sama, jadi syarikat multinasional tidak boleh menganggap kedudukan UK sebagai piawaian kumpulan.

6. Ikat pembekal dan hadkan pengekalan

Apabila pembekal memproses data pekerja bagi pihak anda, Article 28 memerlukan kontrak yang mengikat. Ia mesti menetapkan perkara subjek, tempoh, sifat dan tujuan pemprosesan, jenis data dan kategori orang, serta hak dan kewajipan anda. Ia juga mesti mewajibkan pemproses bertindak hanya atas arahan bertulis anda, memastikan kerahsiaan, menerapkan langkah keselamatan, mendapatkan kebenaran anda sebelum melantik pemproses lain, membantu permintaan subjek data, memadam atau memulangkan data di akhir perkhidmatan, dan menyediakan maklumat untuk audit (GDPR Article 28).

Bagi pembekal AI, tambah apa yang tidak ditanya oleh templat. Adakah pembekal melatih modelnya menggunakan data pekerja anda? Di mana prompt dan output disimpan, dan untuk berapa lama? Siapakah sub-pemproses? Rangka kerja penilaian pembekal untuk alat AI membincangkan sisi komersial.

Pengekalan ialah yang paling senyap. Prinsip pengehadan penyimpanan GDPR menyatakan data patut disimpan dalam bentuk yang boleh dikenal pasti tidak lebih lama daripada yang perlu bagi tujuan ia diproses (GDPR Article 5). AI menjadikannya lebih sukar, kerana salinan bertimbun dalam log, sejarah prompt dan sandaran pembekal. Tetapkan tempoh bagi setiap satu dan sahkan pembekal boleh memadam atas permintaan.

7. Perhatikan ke mana data pergi

Menghantar data pekerja ke luar EU atau UK memerlukan mekanisme pemindahan. Satu laluan ialah keputusan kecukupan Suruhanjaya, di mana pemindahan tidak memerlukan kebenaran khusus (GDPR Article 45). Satu lagi ialah perlindungan yang sesuai, seperti peraturan korporat yang mengikat (GDPR Article 46). Bagi Amerika Syarikat, Suruhanjaya menerima pakai keputusan kecukupan untuk EU-US Data Privacy Framework pada 10 Julai 2023 (Suruhanjaya Eropah). General Court menolak cabaran yang dibawa oleh Philippe Latombe pada 3 September 2025, mengesahkan bahawa AS memastikan tahap perlindungan yang mencukupi pada tarikh keputusan itu diterima pakai (General Court), dan rayuan difailkan pada 31 Oktober 2025, jadi rangka kerja itu kekal berkuat kuasa sementara rayuan itu belum diputuskan. Semak sama ada pembekal anda diperakui di bawah rangka kerja itu dan mempunyai mekanisme sandaran.

Sudut AS: California dan Illinois

Tiada satu undang-undang privasi AS untuk data pekerja, jadi gambarannya datang berlapis-lapis. Dua yang paling penting untuk AI bagi HR.

California (CCPA/CPRA). Pengecualian negeri itu bagi maklumat peribadi berkaitan pekerjaan tamat pada 31 Disember 2022 (California Attorney General). Sejak 1 Januari 2023, perniagaan yang dilindungi berhutang kepada pekerja dan pemohon California hak yang diberikan oleh CCPA kepada mana-mana pengguna: untuk mengetahui apa yang dikumpul, memadam, membetulkan, menarik diri daripada penjualan atau perkongsian, dan menghadkan penggunaan maklumat peribadi yang sensitif. Undang-undang itu terpakai kepada perniagaan berorientasikan keuntungan yang memenuhi ambangnya, jadi semak sama ada perniagaan anda memenuhinya. Peraturan ADMT dalam bahagian 4 di atas menambah kewajipan notis dan penarikan diri bagi keputusan automatik yang penting.

Illinois (BIPA). Biometric Information Privacy Act mengawal selia pengumpulan cap jari, geometri wajah dan pengecam serupa, dan memerlukan persetujuan sebelum pengumpulan. Pindaan 2024, Public Act 103-0769, yang ditandatangani pada 2 Ogos 2024, memperuntukkan bahawa pelanggaran berulang dengan kaedah yang sama dikira sebagai satu pelanggaran, dengan paling banyak satu pemulihan bagi setiap orang (Faegre Drinker). Itu mengurangkan pendedahan bagi setiap orang tetapi tidak menghapuskannya: orang yang terjejas masih boleh membawa tuntutan individu dan tuntutan berkumpulan. Jika jam cop masa, akses bangunan atau semakan identiti anda menggunakan cap jari atau imbasan wajah, ini undang-undang yang perlu disemak dahulu.

Negeri lain terus menambah peraturan untuk AI dalam pekerjaan, jadi lihat undang-undang pengambilan pekerja AI untuk gambaran khusus pengambilan pekerja.

Apa yang Diperlukan oleh Setiap Kes Penggunaan AI untuk HR

Enam kawalan yang sama terus berulang: DPIA, asas undang-undang yang sah, penglibatan manusia yang sebenar, kontrak pemproses yang ketat, had pengekalan dan semakan pemindahan.

Cara Melaksanakannya dalam Praktik

1. Inventori AI untuk HR anda. Senaraikan setiap alat yang menyentuh data pekerja atau pemohon, termasuk ciri dalam perisian HR sedia ada dan alat yang diterima pakai sendiri oleh pengurus.

2. Petakan data. Bagi setiap alat, rekodkan apa yang masuk, inferens apa yang keluar, dan sama ada mana-mana daripadanya data kategori khas atau biometrik.
3. Pilih dan dokumenkan asas undang-undang. Jangan jadikan persetujuan sebagai lalai. Rekodkan asasnya, dan bagi data kategori khas, syarat Article 9. Jika anda bergantung pada kepentingan sah, tulis ujian pengimbangan itu.
4. Jalankan DPIA untuk apa-apa yang menilai, menyusun, memantau atau menggunakan data sensitif. Libatkan pegawai perlindungan data anda, jika ada, dan wakil pekerja di mana undang-undang atau budaya memerlukannya.
5. Tulis semula notis anda. Nyatakan dalam bahasa mudah apa yang dilakukan oleh alat itu, data apa yang digunakannya dan keputusan apa yang dimaklumkannya, sebelum penggunaan pertama.
6. Semak hak keputusan. Bagi setiap alat yang mempengaruhi pengambilan pekerja, gaji, kenaikan pangkat, disiplin atau pemecatan, namakan orang yang membuat keputusan akhir dan sahkan mereka boleh tidak bersetuju dengan output.
7. Ketatkan kontrak pembekal. Liputi terma Article 28, larangan menggunakan data anda untuk melatih model kongsi melainkan anda bersetuju, kelulusan sub-pemproses, pemberitahuan pelanggaran, pemadaman semasa keluar dan hak audit.
8. Tetapkan pengekalan dan pemadaman. Tentukan berapa lama input, output, log dan sandaran hidup, dan uji bahawa pemadaman berfungsi dalam praktik.
9. Sahkan laluan pemindahan. Ketahui di mana pembekal menyimpan dan mengakses data dan mekanisme mana yang meliputi setiap aliran.
10. Latih pengurus dan semak mengikut jadual. Kebanyakan kebocoran datang daripada orang yang berniat baik menampal penilaian prestasi ke dalam chatbot awam. Jalankan semula inventori dan DPIA apabila alat, data atau undang-undang berubah.

Untuk peraturan yang terikat secara khusus dengan peraturan AI EU, gambaran keseluruhan EU AI Act menerangkan peringkat risiko. Suruhanjaya Eropah menyatakan bahawa peraturan berisiko tinggi bagi sistem yang digunakan dalam bidang seperti pekerjaan terpakai mulai 2 Disember 2027, berikutan AI omnibus yang mula berkuat kuasa pada 27 Julai 2026 (Suruhanjaya Eropah). Itu terletak di atas GDPR, ia tidak menggantikannya.

Kesilapan Lazim

• Menganggap persetujuan sebagai penyelesaian. Pekerja tidak boleh menolak majikannya dengan bermakna, jadi borang persetujuan ialah asas yang lemah dan boleh dicabar.
• Menganggap "tidak sensitif" kerana medan itu tidak berlabel. Corak ketidakhadiran, kandungan sembang dan skor tingkah laku boleh mendedahkan kesihatan, kepercayaan atau aktiviti kesatuan.
• Melangkau DPIA kerana pembekal "mematuhi". Pensijilan pembekal tidak menilai penggunaan anda, data anda atau tenaga kerja anda.
• Manusia pada nama sahaja. Jika penyemak meluluskan 99% output dalam beberapa saat, pengawal selia akan menganggap proses itu automatik.
• Melupakan log. Prompt, output dan jejak audit juga data peribadi.
• Menganggap jawapan satu wilayah sesuai di mana-mana. Peraturan UK, EU dan AS berbeza dan terus berubah, dan UK baru melonggarkan peraturan keputusan automatiknya manakala EU tidak.
• Tiada pelan keluar. Jika pembekal diambil alih atau kehilangan mekanisme pemindahannya, anda perlu tahu cara mendapatkan semula data dan memadamnya.