Olet löytänyt tekoälytunnistimen API:n, joka väittää 99 %:n tarkkuutta. Integraatio näyttää yksinkertaiselta. Ennen kuin lähetät ensimmäisen ansioluettelon siihen päätepisteeseen, on kuitenkin yksi kysymys, jota toimittajan etusivulla ei kukaan esitä: mitä hakijatiedoille tapahtuu, kun lähetät ne?
Jos käsittelet hakijoiden ansioluetteloita kolmannen osapuolen tekoälytunnistus-API:n kautta, luot tietojenkäsittelysuhteen, josta GDPR ja muut tietosuojalait asettavat tarkat vaatimukset.
Mitä oikeasti lähetät
Kun ATS kutsuu tekoälytunnistimen API:a, se lähettää hakijan ansioluettelon tekstisisällön — tai merkittävän osan siitä — kolmannen osapuolen palvelimelle. Teksti sisältää henkilötietoja: nimiä, yhteystietoja, työhistoriaa, koulutusta ja joskus demografisia tietoja.
Useimpia tekoälytunnistimien API-rajapintoja ei ole rakennettu HR-tietoja varten. Ne suunniteltiin alun perin akateemiseen plagiaatintunnistukseen ja sisältömarkkinointiin. Niiden tietosuojakäytännöt, tietojen säilytystavat ja turvallisuusstandardit on kirjoitettu esseiden tarkistamiseen, ei hakijoiden esikarsintaan.
Ennen integrointia lue toimittajan tietosuojakäytäntö niin kuin olisit tietosuojavastaava. Sillä juuri hän kysyy kysymyksiä, jos jotain menee pieleen.
GDPR: perusasiat, joita et voi ohittaa
Jos rekrytoit EU:ssa tai ETA-alueella tai käsittelet EU-alueen asukkaiden tietoja, GDPR koskee jokaista järjestelmää, joka koskettaa hakijatietoja. Tässä on, mitä se tarkoittaa tekoälytunnistimen integroinnissa:
Oikeusperuste: Tarvitset lainmukaisen syyn hakijatietojen käsittelyyn tunnistimen kautta. Kaksi yleistä vaihtoehtoa ovat oikeutettu etu (GDPR:n 6 artiklan 1 kohdan f alakohta) ja nimenomainen suostumus. Oikeutettu etu edellyttää, että dokumentoit, miksi tunnistus on tarpeellinen ja oikeasuhtainen. Suostumus edellyttää, että hakija suostuu ennen kuin hänen ansioluettelonsa skannataan — ja suostumuksen tulee olla täsmällinen, tietoon perustuva ja peruutettavissa (GDPR Advisor, 2026).
Läpinäkyvyys: Hakijoille on kerrottava, että heidän tietonsa lähetetään kolmannen osapuolen tekoälytunnistuspalveluun, mitä tietoja jaetaan, miksi ja kuinka kauan niitä säilytetään. Tietosuojaselosteessa on nimettävä käyttötarkoitus suoraan. ”Saatamme käyttää kolmannen osapuolen työkaluja” ei ole riittävän täsmällinen.
Tietojenkäsittelysopimus: GDPR:n 28 artikla edellyttää kirjallista sopimusta sinun (rekisterinpitäjä) ja API-toimittajan (henkilötietojen käsittelijä) välillä. Sopimuksessa on määriteltävä, mitä tietoja käsitellään, mihin tarkoitukseen, kuinka kauan niitä säilytetään ja mitkä turvatoimet ovat käytössä. Jos toimittaja ei tarjoa tietojenkäsittelysopimusta (DPA), se on varoitusmerkki.
Yhdysvaltain tietosuojalait: ei vain eurooppalainen ongelma
GDPR saa otsikot, mutta Yhdysvaltain tietosuojavaatimukset laajenevat. Useat osavaltiot ovat hyväksyneet tai ehdottaneet kattavia tietosuojalakeja:
- Kalifornia (CCPA/CPRA): Edellyttää tietojen jakamisen julkistamista kolmansille osapuolille ja antaa kuluttajille oikeuden kieltäytyä henkilötietojen myynnistä tai jakamisesta.
- New York City Local Law 144: Edellyttää automatisoitujen työllistämispäätöstyökalujen vinoumatarkastuksia. Jos tekoälytunnistimesi vaikuttaa rekrytointipäätökseen, se voi kuulua tämän lain piiriin.
- Illinois AI Video Interview Act ja BIPA: Asettavat erityisvaatimuksia biometriselle tiedolle ja rekrytoinnissa käytettäville tekoälytyökaluille.
Sääntely kehittyy kohti enemmän julkistamista, enemmän tarkastuksia ja vahvempia hakijoiden oikeuksia. Tarkastamattoman kolmannen osapuolen API:n lisääminen putkeesi kasvattaa riskialtistustasi vaatimustenmukaisuusongelmille.
Viisi kysymystä API-toimittajalle
Ennen sopimuksen allekirjoittamista pyydä näihin kirjalliset vastaukset:
-
Missä palvelimet sijaitsevat? Jos toimittajan infrastruktuuri on lainkäyttöalueesi ulkopuolella, rajat ylittävän tietojensiirron säännöt koskevat sinua. EU:n tietojen siirtäminen Yhdysvaltain palvelimille edellyttää vakiosopimuslausekkeita (SCC) tai riittävyyspäätöstä.
-
Kuinka kauan hakijatietoja säilytetään? Jotkin API:t tallentavat syötetyn tekstin mallin kehittämistä varten. Jos hakijoiden ansioluettelot säilytetään toimittajan palvelimilla määräämättömän ajan, se on ristiriidassa tietojen minimoinnin periaatteen kanssa.
-
Käytetäänkö hakijatietoja mallin koulutukseen? Monet tekoälyyritykset käyttävät syötettyä dataa malliensa parantamiseen. Jos ansioluetteloiden tekstiä käytetään koulutukseen, jaat hakijatietoja tarkoitukseen, jolla ei ole mitään tekemistä rekrytoinnin kanssa — ja melkein varmasti sen ilmoitetun oikeusperusteen ulkopuolella.
-
Mitä tietoturvasertifikaatteja toimittajalla on? SOC 2 Type II, ISO 27001 tai vastaava. Jos toimittaja ei pysty osoittamaan tietoturvastandardeja, lähetät henkilötietoja järjestelmään, jota et voi tarkastaa.
-
Allekirjoittaako toimittaja GDPR:n mukaisen DPA-sopimuksen? Jos vastaus on ei tai ”emme yleensä tee sitä tälle tuotetasolle”, luovu yhteistyöstä.
Tietojen minimoinnin vaihtoehto
GDPR:n tietojen minimoinnin periaatteen mukaan käsittelet vain tiettyyn tarkoitukseen tarvittavia tietoja. Tekoälytunnistuksen skannaus käsittelee koko ansioluettelon tekstin vastatakseen yhteen kysymykseen: ”Onko tämä kirjoitettu tekoälyllä?” Se on paljon henkilötietoja vähäarvoisen signaalin vuoksi.
Kriteereihin perustuva lähestymistapa käsittelee vähemmän tietoa ja tuottaa hyödyllisemmän tuloksen. CriteriaMatch arvioi tiettyjä pätevyyksiä — sertifikaatteja, työnteko-oikeutta, kielitaitoa ja kokemuksen vähimmäisvaatimuksia — määriteltyjä vaatimuksia vastaan. Esikarsinta on kohdennettu, tulos on toimintakelpoinen ja tietojenkäsittely on suhteessa tarkoitukseen.
Et tarvitse lähettää koko ansioluetteloita kolmannen osapuolen palvelimelle päättääksesi, täyttääkö hakija vaatimuksesi.
Lisätietoja rekrytointityönkulkujen rakentamisesta niin, että ne kunnioittavat sekä hakijoiden oikeuksia että tiimin tehokkuutta, löydät oppaastamme: vastuullinen tekoäly rekrytoinnissa.
Selvitä vaatimustenmukaisuus ennen allekirjoittamista
Tekoälytunnistimien API-markkina kehittyy nopeasti. Toimittajat myyvät kiirettä — ”tekoälyllä tehdyt ansioluettelot tulvivat putkeesi” — mutta eivät käsittele tietosuojajärjestelyjä, joita tuotteiden vastuullinen käyttö edellyttää.
Arvioi ennen tarkkuutta vaatimustenmukaisuus. Tekninen integrointi on helppo osa. Tiedonhallinnan kohdalla useimmat tiimit huomaavat, ettei hinta ole sen signaalin arvoinen.