Osoba na zdalnej rozmowie może świetnie wykonać zadanie, a sprzęt wysłany po zatrudnieniu może ostatecznie odebrać ktoś inny. Przed aktywacją konta dział kadr i rekrutacji (HR) powinien połączyć rozmowę na żywo, dane zatrudnienia i potwierdzone przekazanie sprzętu w jednej, takiej samej dla wszystkich procedurze; każdą rozbieżność trzeba wyjaśnić albo wstrzymać dostęp. Ten poradnik pokazuje, co sprawdzić bez zamieniania rekrutacji w prywatne śledztwo.

Generatywna sztuczna inteligencja (AI) może przygotować przekonujące CV, zdjęcie i odpowiedzi podczas rozmowy. Deepfake (sztucznie zmieniony lub wygenerowany obraz albo głos naśladujący inną osobę) osłabia wartość samego połączenia wideo, ale nie oznacza, że każdy problem z kamerą dowodzi oszustwa. Automatyczne narzędzie wykrywające takie zmiany też nie powinno decydować o zatrudnieniu ani wydaniu dostępu; człowiek porównuje kilka niezależnych punktów procesu i zapisuje wynik.

W polskiej placówce zakres sprawdzanych danych zależy od etapu oraz podstawy prawnej. HR i inspektor ochrony danych (IOD) powinni zaprojektować procedurę zgodną z Kodeksem pracy i zasadą zbierania tylko niezbędnych danych, zamiast kopiować amerykańską procedurę sprawdzania kandydata. Celem jest potwierdzenie, kto otrzyma konto i sprzęt, a nie gromadzenie zapasowych skanów, ocenianie akcentu czy zgadywanie narodowości.

Dobre zadanie nie potwierdza, kto naprawdę zacznie pracę

Raport Huntress z sierpnia 2026 roku opisuje pięć osób uznanych w dochodzeniach firmy za prawdopodobnych zdalnych pracowników powiązanych z Koreą Północną. Role obejmowały IT, sprzedaż i marketing oraz profesję medyczną. W lutym partner z Australii zgłosił trzy podejrzane konta w branży ochrony zdrowia. To zagraniczne przypadki i oceny firmy bezpieczeństwa, nie dowód skali problemu w polskich placówkach. Pokazują jednak ważny mechanizm: osoba może przejść zwykłą rekrutację, dostać prawidłowe konto i wykonywać część obowiązków, choć posługuje się cudzą lub zmienioną tożsamością.

Microsoft Threat Intelligence opisał w marcu 2026 roku, jak grupy oszustów używały AI do budowania wiarygodnych fałszywych profili, dopasowywania aplikacji do ofert, tworzenia profesjonalnych zdjęć i zmieniania wizerunku w dokumentach. Obserwowano też oprogramowanie zmieniające głos podczas rozmów. Płynność wypowiedzi, dobre portfolio i poprawne zadanie mówią o wykonaniu czynności, nie o tożsamości wykonawcy. Jeżeli placówka chce osobno ustalić zasady dopuszczonego użycia AI w zadaniu, pomaga w tym poradnik o kandydacie korzystającym z AI.

Nie należy przez to oceniać ludzi po akcencie, pochodzeniu lub innych cechach niezwiązanych z pracą. Huntress wprost zaznacza, że sama usługa VPN (czyli połączenie, które może zmieniać widoczny adres internetowy) nie jest wiarygodnym wskaźnikiem i daje fałszywe alarmy. Akcent, pochodzenie, trudność techniczna podczas połączenia czy prośba o zmianę terminu również nie potwierdzają podszywania się. Ta sama procedura dla wszystkich zdalnych kandydatów chroni placówkę i uczciwą osobę, która nie musi zgadywać, dlaczego właśnie ją objęto dodatkową kontrolą.

HR łączy trzy potwierdzenia przed wydaniem dostępu

Trzy punkty nie mają tworzyć trzech nowych baz danych. Każdy odpowiada na inne pytanie, a konto pozostaje nieaktywne, dopóki HR nie widzi spójnego wyniku. osoba zarządzająca ustala właściciela decyzji, HR prowadzi kontakt z kandydatem, a osoba odpowiedzialna za bezpieczeństwo lub administrację systemów uruchamia dostęp dopiero po zatwierdzeniu.

Punkt 1: rozmowa przez kanał kontrolowany przez placówkę

HR zaprasza kandydata na krótką rozmowę przez adres i numer używany w całym procesie, bez linku dostarczonego przez nową osobę trzecią. Rozmowa nie ma być egzaminem z wyglądu. Jej celem jest ciągłość kontaktu: ta sama osoba potwierdza stanowisko, uzgodniony sposób pracy, dalszy etap i kanał odbioru informacji. Jeśli obraz lub dźwięk zawodzi, HR wyznacza nowy termin albo bezpieczną alternatywę przewidzianą w procedurze; nie wydaje werdyktu na podstawie jakości łącza.

Punkt 2: dane potrzebne na danym etapie zatrudnienia

Przed zatrudnieniem Kodeks pracy wskazuje między innymi imię, nazwisko, datę urodzenia i dane kontaktowe podane przez kandydata; część danych o kwalifikacjach i historii pracy można żądać, gdy wymaga tego stanowisko. Po zatrudnieniu zakres obejmuje dodatkowe dane pracownika. Placówka może żądać udokumentowania tych danych tylko w zakresie niezbędnym do ich potwierdzenia. Dokładny sposób okazania dokumentu, zapisania wyniku i czasu przechowywania powinny zatwierdzić HR oraz IOD. Dokumentu tożsamości nie należy wgrywać do publicznego modelu AI ani automatycznie kopiować do teczki rekrutacyjnej.

Punkt 3: odbiorca sprzętu i moment aktywacji

Przed wysyłką HR potwierdza ustalony adres i odbiorcę przez znany kanał kontaktu. Zmiana nie jest automatycznie podejrzana — kandydat może korzystać z recepcji budynku lub pomocy bliskiej osoby — ale musi zostać wyjaśniona przed aktywacją konta. Administrator systemów nie przekazuje hasła osobie odbierającej paczkę. Potwierdza z pracownikiem odbiór urządzenia i uruchamia dostęp zgodnie z lokalną procedurą dopiero po zamknięciu wyniku HR.

Jedna rozbieżność nie przesądza o oszustwie

Wyobraźmy sobie kandydatkę do zdalnej obsługi procesów administracyjnych w prywatnej sieci przychodni. Dwie rozmowy przebiegły sprawnie, zadanie zostało wykonane, a dane przygotowane do umowy są spójne. Tuż przed wysyłką laptopa kandydatka prosi jednak, by paczkę wysłać do wspólnego biura coworkingowego i wpisać jako odbiorcę inną osobę. To jest sygnał do wyjaśnienia, nie gotowy wyrok.

HR wraca do kandydatki przez numer używany od początku procesu i spokojnie tłumaczy, że placówka potwierdza odbiorcę każdego urządzenia przed nadaniem dostępu. Kandydatka wyjaśnia, że w godzinach dostawy będzie poza domem, a wskazana osoba pracuje w recepcji tego biura. Podczas krótkiej rozmowy na żywo potwierdza adres, rolę odbiorcy oraz ustalony dzień startu. Zwykła sytuacja logistyczna może więc zamknąć się wynikiem „wyjaśniono”, bez żądania kolejnego skanu dokumentu.

Problem zaczyna się dopiero wtedy, gdy kolejne elementy nie dają się połączyć. Wiadomość o nowym adresie przychodzi z innego konta, osoba na rozmowie odmawia bezpośredniego potwierdzenia, a odbiorca sprzętu prosi o dane logowania. HR wstrzymuje wtedy aktywację konta i przekazuje sprawę osobie odpowiedzialnej za bezpieczeństwo. Nie odrzuca kandydata na podstawie akcentu, pochodzenia ani oceny automatycznego narzędzia; zatrzymuje dostęp, bo nie udało się potwierdzić ciągłości między osobą, danymi zatrudnienia i sprzętem.

Najważniejszy wybór dotyczy tu szybkości startu i ryzyka dostępu. Opóźnienie aktywacji może być dla uczciwej osoby frustrujące, dlatego procedura musi przewidywać szybkie wyjaśnienie, konkretną osobę kontaktową i jasny termin odpowiedzi. Jednocześnie wcześniejsze uruchomienie konta tworzy dostęp, którego nie da się cofnąć wstecz. Lepiej przesunąć start o czas potrzebny na rozmowę niż otworzyć systemy placówki osobie, której zespół nie potrafi jeszcze połączyć z zatrudnieniem.

Karta decyzji zapisuje wynik, nie nadmiar danych

Karta ma zakończyć decyzję, a nie tworzyć archiwum fotografii twarzy i dokumentów. Zapisuj czynność, osobę wykonującą, datę, wynik oraz nierozstrzygniętą rozbieżność. Zakres czasu przechowywania i dostęp do karty trzeba powiązać z polityką danych pracowniczych placówki.

Karta decyzji przed aktywacją konta

  • Identyfikator rekrutacji: numer sprawy, bez opisywania pochodzenia lub cech wyglądu.
  • Rozmowa na żywo: data, użyty kanał placówki i wynik: potwierdzono / do wyjaśnienia.
  • Dane zatrudnienia: które dane potwierdzono w dozwolonym zakresie i kto wykonał czynność; bez domyślnego zapisu kopii dokumentu.
  • Sprzęt: potwierdzony adres, rola ewentualnego innego odbiorcy i wynik odbioru.
  • Rozbieżność: fakt oraz wyjaśnienie kandydata, bez ocen dotyczących akcentu, narodowości czy wyglądu.
  • Decyzja: kontynuuj / wyjaśnij / wstrzymaj aktywację; imię osoby zatwierdzającej i termin kolejnego działania.
  • Przechowywanie: odwołanie do zatwierdzonej przez IOD zasady przechowywania i usuwania zapisu.

Taki zapis pomaga później odtworzyć, dlaczego konto uruchomiono lub wstrzymano, a kandydatowi daje przewidywalny proces. Urząd Ochrony Danych Osobowych (UODO) przypomina, że pracodawca nie może zbierać danych nadmiarowych ani na zapas. Dlatego wynik „okazano i potwierdzono” bywa potrzebny częściej niż kolejna kopia pliku. To nie jest automatyczna reguła prawna dla każdego przypadku — HR i IOD dobierają zakres do konkretnej podstawy, stanowiska i etapu zatrudnienia.

Kiedy kontynuować rekrutację, a kiedy wstrzymać konto?

Warto zacząć aktywację, gdy osoba, dane potrzebne na danym etapie i odbiór sprzętu są spójne albo rozbieżność została wiarygodnie wyjaśniona przez ustalony kanał. Wtedy kandydat dostaje jasną informacje o zamknięciu kontroli i dalszym terminie. Brak idealnego obrazu z kamery nie powinien blokować zatrudnienia, jeżeli inne uzgodnione sposoby potwierdzenia działają.

Wyjaśnij przed decyzją, gdy zmienił się adres, numer kontaktowy lub odbiorca urządzenia, ale kandydat pozostaje dostępny i przedstawia możliwe do sprawdzenia wyjaśnienie. HR, powinien opisać fakt i wynik rozmowy, a nie własne podejrzenia o człowieku. Jeśli potrzebne są nowe dane lub inny dokument, najpierw należy potwierdzić z IOD podstawę i niezbędny zakres.

Nie zaczynaj aktywacji, gdy nie da się nawiązać bezpośredniego kontaktu z osobą zatrudnianą, ktoś trzeci próbuje przejąć sprzęt lub dane logowania, dokumenty i rozmowa wskazują nierozstrzygnięte sprzeczności albo kandydat odmawia każdego ustalonego sposobu potwierdzenia. Wstrzymanie konta nie musi od razu oznaczać oskarżenia ani zakończenia rekrutacji. Oznacza tylko, że ryzyko dostępu przejmuje wskazana osoba od bezpieczeństwa, a HR komunikuje następny krok i termin.

Pierwszy krok: ustal właściciela aktywacji konta

Jeszcze przed kolejną zdalną rekrutacją osoba zarządzająca powinna wskazać jedną rolę, która może powiedzieć administratorowi: „potwierdzenie zakończone — uruchom konto”. Nie może to być kurier, automatyczny status w systemie rekrutacyjnym ani sam fakt podpisania dokumentu. Decyzja ma należeć do człowieka, który widzi wyniki trzech punktów i potrafi zatrzymać proces.

Na krótkim spotkaniu HR, IOD i osoba odpowiedzialna za bezpieczeństwo ustalają dozwolony zakres danych, kanał rozmowy, sposób potwierdzenia odbiorcy sprzętu, trzy wyniki karty oraz czas na wyjaśnienie. Pierwszy test wykonajcie na fikcyjnym scenariuszu bez danych prawdziwego kandydata. Sprawdźcie, czy administrator rzeczywiście czeka na zatwierdzenie i czy uczciwa osoba z normalną zmianą adresu dostaje prostą drogę wyjaśnienia.

Potem mierzcie jeden wskaźnik: odsetek kont aktywowanych dopiero po zakończeniu potwierdzenia tożsamości. Celem nie jest liczba wykrytych oszustów, bo rzadkie zdarzenie nie daje dobrej podstawy do oceny procesu. Celem jest pewność, że żaden pośpiech, automatyczny werdykt ani niejasny podział ról nie ominął kontroli przed dostępem do systemów placówki.

Źródła