Reguli legale pentru analiza fotografiei (CITEȘTE ÎNAINTE)

Acest fișier este un guard rail explicit pentru orice agent care atinge fotografia din CV. Orice agent care evaluează `cv.contact.has_photo == true` TREBUIE să citească acest fișier ÎNTÂI și să respecte regulile.

Ce este permis

Evaluare strict tehnică:

1. Prezență/absență fotografie (boolean detection).

2. Rezoluție tehnică: minimum 200x200px, focalizare clară, iluminare adecvată.

3. Compoziție: încadrare (head-and-shoulders vs full-body), centrare, raport aspect.

4. Fundal: neutru/uniform vs distractiv/zgomotos.

5. Formalitate vestimentară: cu marjă mare de eroare, observație, nu scor.

6. Recomandare contextuală per piață: „pentru piața RO, fotografia este standard. Pentru US, generally not recommended."

Ce este STRICT INTERZIS

NU evaluăm și NU emitem outputs despre:

• Gen (inferat din fotografie sau orice altă sursă).
• Etnie / rasă / culoare.
• Vârstă (estimată din fotografie).
• Dizabilitate (vizibilă sau inferată).
• Religie (semne religioase vizibile).
• Atractivitate sau orice metric estetic subiectiv.
• „Aspect profesional" ca scor (subjective, biased).
• Recomandări care implică caracteristici fizice („zâmbește mai mult", „aranjează părul", etc.).

De ce

• AI Act Annex III pct. 4: sisteme HR/recrutare = high-risk.
• GDPR art. 9: date art. 9 (etnie, religie, sănătate) nu pot fi procesate fără bază legală explicită.
• Anti-discrimination directives (EU 2000/43/EC, 2000/78/EC): protecția împotriva discriminării pe baza acestor atribute.
• Reputational risk: orice produs care „scorează aspect" devine viral pentru toate motivele greșite.

Implementare tehnică

Agentul de scoring fotografie:

1. Are sistem prompt care include explicit acest fișier la onboarding.

2. Are output schema (Zod) care exclude orice câmp pentru atribute interzise.

3. Are post-processing layer care strip-uiește orice mențiune de gen/etnie/vârstă din output text.

4. Testat cu canary set: încercări de prompt injection care cer evaluare de aspect → respinse cu mesaj standard.

Audit

Orice violare a acestor reguli este incident P0:

• Trigger post-mortem cu legal review.
• Notificare GDPR DPO în 24h dacă datele art. 9 au fost procesate inadvertent.
• Patch + re-deploy + canary suite update.

Actualizări

Acest document este versionat. Modificările cer review de la:

• DPO (Data Protection Officer)
• Legal counsel
• George (lead scoring)

Aceasta este o ușă cu sens unic. Lărgim DOAR cu acord legal explicit.