AI in HR

• Geldt de AI-verordening ook als wij een HR-tool van een Amerikaanse of andere niet-Europese leverancier gebruiken?

  Ja. De verordening geldt voor gebruiksverantwoordelijken die in de EU gevestigd zijn, dus voor u als Nederlandse werkgever, waar de leverancier ook zit. De leverancier valt er zelf ook onder als hij het systeem in de EU in de handel brengt of in gebruik stelt; voor hoog-risicosystemen wijst een niet-Europese aanbieder een gemachtigde in de EU aan. Voor de persoonsgegevens gelden daarnaast de AVG-regels voor doorgifte buiten de EU.

• Heeft onze ondernemingsraad instemmingsrecht als wij een AI-tool voor HR invoeren?

  Vaak wel. De ondernemer heeft instemming van de OR nodig voor een regeling over het verwerken en beschermen van personeelsgegevens en voor voorzieningen die geschikt zijn om aanwezigheid, gedrag of prestaties van personeel waar te nemen of te controleren. Een besluit zonder instemming is nietig als de OR daar binnen een maand schriftelijk een beroep op doet.

• Hoe lang moeten wij de logs van een hoog-risico-AI-systeem voor HR bewaren?

  Vanaf 2 december 2027 bewaart u als gebruiksverantwoordelijke de automatisch gegenereerde logs die onder uw controle vallen gedurende een periode die past bij het beoogde doel, en ten minste zes maanden, tenzij ander recht iets anders bepaalt, met name de AVG. Bevatten de logs persoonsgegevens van kandidaten of medewerkers, dan bewaart u ze niet langer dan nodig is voor het doel.

• Is onze AI-tool voor werving, selectie of personeelsbeheer een hoog-risicosysteem?

  Waarschijnlijk wel. De AI-verordening noemt AI voor werving en selectie en voor besluiten over arbeidsvoorwaarden, promotie, ontslag, taaktoewijzing en het volgen van prestaties en gedrag uitdrukkelijk als hoog risico. Alleen een systeem zonder significant risico, zoals een beperkte procedurele taak, valt erbuiten, maar nooit als het personen profileert. De plichten gelden vanaf 2 december 2027.

• Is onze recruitmentsoftware met filters of matching een AI-systeem volgens de AI-verordening?

  Dat hangt af van hoe de software werkt. Een AI-systeem leidt uit de input zelf af hoe het output genereert, zoals een ranglijst, een score of een voorspelling. Software die alleen regels uitvoert die mensen volledig hebben vastgelegd, bijvoorbeeld een filter op rijbewijs C of op postcode, valt daar volgens de overwegingen niet onder. Matching of scoring op basis van machinaal leren valt er in de regel wel onder.

• Is software die taken of ritten toewijst aan magazijnmedewerkers of chauffeurs een hoog-risico-AI-systeem?

  Als het een AI-systeem is dat taken toewijst op basis van individueel gedrag of persoonlijke eigenschappen of kenmerken, dan wel: zo'n systeem staat vanaf 2 december 2027 op de hoog-risicolijst. Een planning die werk alleen verdeelt op basis van orders, locaties en vaste regels, valt daar niet zonder meer onder. Weegt het systeem prestaties of gedrag van medewerkers, dan is dat profilering en geldt de uitzondering voor systemen zonder significant risico niet. De ondernemingsraad heeft bij zo'n systeem nu al instemmingsrecht.

• Kan een sollicitant of werknemer uitleg eisen over een besluit dat met AI is genomen?

  Ja, bij een hoog-risicosysteem uit bijlage III, en in de praktijk vanaf 2 december 2027. Wie getroffen wordt door een besluit op basis van de output van zo'n systeem, met rechtsgevolgen of een vergelijkbaar aanzienlijke nadelige invloed, kan van u duidelijke, inhoudelijke uitleg vragen over de rol van het systeem en de voornaamste elementen van het besluit.

• Mag een AI-selectietool onderscheid maken tussen kandidaten op grond van geslacht, afkomst of andere kenmerken?

  Nee. De Algemene wet gelijke behandeling verbiedt direct en indirect onderscheid bij het aanbieden en vervullen van een vacature, bij het aangaan en beëindigen van een arbeidsverhouding en bij promotie. Ook een ogenschijnlijk neutrale maatstaf die mensen met een beschermd kenmerk bijzonder treft, is verboden, tenzij die objectief gerechtvaardigd is. Voor leeftijd en voor handicap of chronische ziekte gelden aparte wetten met een vergelijkbaar verbod bij werving en selectie.

• Mag een AI-tool uit foto's of video's van sollicitanten afleiden welke afkomst, religie of geaardheid zij hebben?

  Nee. Sinds 2 februari 2025 is het verboden een systeem te gebruiken dat mensen op basis van biometrische gegevens individueel indeelt om hun ras, politieke opvattingen, vakbondslidmaatschap, religieuze of levensbeschouwelijke overtuigingen, seksleven of seksuele gerichtheid af te leiden. Los daarvan zijn zulke gegevens bijzondere persoonsgegevens en is onderscheid op die gronden bij werving verboden.

• Mag een sollicitant zijn AI-score of beoordeling opvragen?

  Ja. Een sollicitant heeft recht op inzage in de persoonsgegevens die u over hem verwerkt, en een score of beoordeling over hem is een persoonsgegeven. U verstrekt een kopie. Neemt u besluiten volledig geautomatiseerd, dan geeft u ook nuttige informatie over de onderliggende logica en de verwachte gevolgen. De inzage mag de rechten van anderen niet schaden.

• Mag software sollicitanten automatisch afwijzen zonder dat er een mens naar kijkt?

  In beginsel niet. Een sollicitant heeft het recht niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en hem in aanmerkelijke mate treft; de AVG noemt sollicitaties zonder menselijke tussenkomst zelf als voorbeeld. Het mag alleen bij een van drie uitzonderingen, en dan met ten minste menselijke tussenkomst, de mogelijkheid een standpunt te geven en het recht het besluit aan te vechten.

• Moet onze sollicitatiechatbot melden dat kandidaten met AI praten?

  Ja, sinds 2 augustus 2026 moet een chatbot zo zijn ontworpen dat mensen weten dat zij met AI communiceren, tenzij dat al duidelijk is. Die plicht ligt bij de aanbieder van de chatbot. Heeft u de chatbot zelf gebouwd, ook op een model van een derde, en zet u hem onder uw eigen naam in, dan bent u de aanbieder.

• Moeten onze medewerkers een AI-geletterdheidscertificaat of een verplichte cursus hebben?

  Nee. De AI-verordening schrijft geen certificaat, examen of vaste cursus voor. U neemt maatregelen die de ontwikkeling van AI-geletterdheid van uw personeel ondersteunen, afgestemd op wie welke AI-systemen gebruikt; een bepaald niveau hoeft u niet te waarborgen. Een training kan zo'n maatregel zijn, maar de vorm kiest u zelf.

• Moeten wij als private werkgever een beoordeling van de gevolgen voor de grondrechten (FRIA) maken voor onze HR-AI?

  Als u geen publiekrechtelijk orgaan bent en geen openbare dienst verleent: nee. De FRIA geldt vanaf 2 december 2027 voor publiekrechtelijke organen, voor particuliere organisaties die openbare diensten verlenen, en voor gebruiksverantwoordelijken van AI voor kredietwaardigheid of levens- en ziektekostenverzekeringen. Een DPIA kan wel verplicht zijn.

• Moeten wij een DPIA doen voordat wij AI inzetten bij werving of personeelsbeheer?

  Als de AI sollicitanten of medewerkers beoordeelt, profileert of stelselmatig monitort: ja. De AVG eist een DPIA bij verwerking die waarschijnlijk een hoog risico inhoudt, en de Autoriteit Persoonsgegevens heeft profilering, zoals beoordeling van beroepsprestaties, en stelselmatige monitoring van werknemers op haar lijst van verplichte DPIA's gezet. De DPIA doet u vóór de verwerking.

• Moeten wij ons HR-team AI-geletterd maken als wij AI-tools gebruiken?

  Ja. Sinds 2 februari 2025 moet elke organisatie die AI-systemen beroepsmatig gebruikt maatregelen nemen die de AI-geletterdheid van haar personeel ondersteunen. Sinds 27 juli 2026 geldt een vereenvoudigde tekst: u moet de ontwikkeling van AI-geletterdheid ondersteunen, maar u hoeft geen bepaald niveau te garanderen.

• Moeten wij onze HR-AI registreren in de EU-databank?

  Als private werkgever die een HR-tool van een leverancier gebruikt: nee. Registratie in de EU-databank is een plicht van de aanbieder; gebruiksverantwoordelijken registreren alleen als zij overheidsinstantie of EU-instelling zijn of namens hen optreden. Wordt u zelf aanbieder, bijvoorbeeld omdat u een eigen hoog-risico HR-tool laat bouwen of het beoogde doel van een systeem zo wijzigt dat het hoog risico wordt, dan registreert u wel. U kunt bij uw leverancier nagaan of het systeem geregistreerd is.

• Moeten wij sollicitanten vertellen dat een hoog-risico AI-systeem over hen meebeslist?

  Ja, vanaf 2 december 2027. Gebruikt u een hoog-risicosysteem uit bijlage III dat beslissingen over personen neemt of helpt nemen, dan informeert u die personen dat het systeem op hen wordt toegepast. Dat staat naast de transparantieplichten van artikel 50, en de AVG vraagt nu al informatie over geautomatiseerde besluitvorming.

• Moeten wij vacatureteksten of wervingsbeelden die met AI zijn gemaakt als AI-content labelen?

  Voor tekst geldt de labelplicht alleen als u tekst publiceert om het publiek te informeren over aangelegenheden van algemeen belang, en zij vervalt als een mens de tekst heeft getoetst of geredigeerd en iemand de redactionele verantwoordelijkheid draagt. Maakt u met AI beeld, audio of video dat voor echt kan worden aangezien, een deepfake, dan moet u dat wel bekendmaken. Dit geldt sinds 2 augustus 2026.

• Moeten wij werknemers en hun vertegenwoordigers informeren voordat wij een hoog-risico AI-systeem gebruiken?

  Ja, vanaf 2 december 2027. Een werkgever die een hoog-risico AI-systeem op de werkplek gaat gebruiken, deelt dat vooraf mee aan de werknemersvertegenwoordigers en aan de betrokken werknemers, volgens de regels en de praktijk voor het informeren van werknemers.

• Mogen recruiters cv's of gegevens van kandidaten in ChatGPT of een andere AI-chatbot plakken?

  Alleen binnen de grenzen van de AVG. U gebruikt gegevens van kandidaten alleen voor het doel waarvoor u ze kreeg en niet meer dan nodig. Een externe chatbotdienst die die gegevens voor u verwerkt, is een verwerker; daarvoor heeft u een verwerkersovereenkomst nodig, en bij verwerking buiten de EU gelden de regels voor doorgifte. Een account zonder zulke afspraken is daarvoor niet geschikt. Laat u de chatbot kandidaten beoordelen of filteren, dan kunt u vanaf 2 december 2027 bovendien zelf aanbieder van een hoog-risicosysteem worden.

• Mogen wij AI gebruiken bij functioneringsgesprekken, promotie of ontslag?

  Als hulpmiddel wel, maar met waarborgen. Een besluit over promotie of ontslag dat uitsluitend op geautomatiseerde verwerking berust en de werknemer in aanmerkelijke mate treft, is in beginsel niet toegestaan. Een regeling voor personeelsbeoordeling of voor het bevorderings- en ontslagbeleid vraagt instemming van de ondernemingsraad. Vanaf 2 december 2027 is AI voor zulke besluiten bovendien een hoog-risicosysteem.

• Mogen wij AI gebruiken die emoties van sollicitanten of medewerkers afleidt, bijvoorbeeld in video-interviews?

  Nee. Sinds 2 februari 2025 is het verboden AI te gebruiken om emoties van een persoon op de werkplek af te leiden, behalve als het systeem bedoeld is voor medische of veiligheidsredenen. De verordening richt het verbod op situaties die verband houden met de werkplek; daar hoort een sollicitatieprocedure bij, dus een tool die in een video-interview emoties van kandidaten afleidt, valt onder het verbod. Het verbod geldt ook voor wie zo'n systeem alleen gebruikt, niet alleen voor de maker.

• Mogen wij AI gebruiken om de productiviteit of het gedrag van medewerkers te volgen?

  Niet zonder voorbereiding. Stelselmatige monitoring van werknemers staat op de lijst van verplichte DPIA's, een volgsysteem vraagt instemming van de ondernemingsraad, emoties afleiden is verboden, en vanaf 2 december 2027 is AI voor het monitoren en evalueren van prestaties en gedrag een hoog-risicosysteem.

• Mogen wij AI gebruiken om het online profiel of de sociale media van sollicitanten te screenen?

  Alleen beperkt. Ook openbare gegevens over een sollicitant zijn persoonsgegevens. U heeft een grondslag nodig, meestal het gerechtvaardigd belang; u verzamelt niet meer dan nodig is voor de functie; gevoelige gegevens zoals religie of politieke voorkeur laat u buiten beschouwing; en u vertelt de sollicitant welke bron u gebruikt. Een AI-tool die profielen analyseert of kandidaten beoordeelt, valt vanaf 2 december 2027 bovendien onder de hoog-risicoregels.

• Mogen wij vingerafdruk- of gezichtsherkenning gebruiken voor tijdregistratie of toegang?

  Voor tijdregistratie in de regel niet. Biometrische gegevens om iemand uniek te identificeren zijn bijzondere persoonsgegevens. De Nederlandse uitvoeringswet staat ze alleen toe als dat noodzakelijk is voor authenticatie of beveiliging, en alleen voor zover dat nodig is vanwege een zwaarwegend algemeen belang van rechtmatige toegang tot bepaalde plaatsen, gebouwen of systemen. De Autoriteit Persoonsgegevens beboette een bedrijf dat vingerafdrukken gebruikte voor aanwezigheids- en tijdsregistratie, en toestemming van werknemers is volgens de AP in principe geen uitweg. Een regeling hierover vraagt instemming van de ondernemingsraad.

• Valt het gericht adverteren van vacatures met AI onder de hoog-risicoregels?

  Ja, vanaf 2 december 2027. De AI-verordening noemt AI-systemen voor het plaatsen van gerichte vacatures uitdrukkelijk als hoog-risicotoepassing bij werving. De plichten liggen bij wie het systeem onder eigen verantwoordelijkheid gebruikt; bij advertenties via een platform moet u nagaan of dat het platform is of u zelf. Nu al geldt dat de doelgroepkeuze niet mag leiden tot verboden onderscheid bij de aanbieding van een betrekking.

• Vanaf wanneer gelden de hoog-risicoplichten voor AI in HR?

  Vanaf 2 december 2027. Oorspronkelijk was dat 2 augustus 2026, maar Verordening (EU) 2026/1744 heeft de datum voor bijlage III-systemen, waaronder HR-AI, verschoven. Kwam het systeemtype al vóór die datum op de markt, dan gelden de hoog-risicoplichten, ook die van u als gebruiksverantwoordelijke, pas na een aanzienlijke wijziging in het ontwerp. AI-geletterdheid, het verbod op emotieherkenning op de werkplek en de transparantieplichten van artikel 50 gelden nu al.

• Waar kan een sollicitant of medewerker een klacht indienen over een AI-systeem?

  Sinds 2 augustus 2026 kan iedereen die meent dat de AI-verordening is overtreden, een klacht indienen bij de relevante markttoezichtautoriteit. Gaat het om de verwerking van persoonsgegevens, dan kan de betrokkene ook een klacht indienen bij de toezichthouder voor gegevensbescherming; in Nederland is dat de Autoriteit Persoonsgegevens.

• Wat betekent menselijk toezicht op een hoog-risico-AI-systeem voor HR in de praktijk?

  Vanaf 2 december 2027 legt u het menselijk toezicht bij mensen met de nodige bekwaamheid, opleiding en autoriteit, die daarbij ondersteund worden. Zij moeten de werking kunnen volgen, bedacht zijn op te veel vertrouwen in de uitkomst, de output juist kunnen interpreteren en in elke situatie kunnen besluiten de uitkomst niet te gebruiken of terug te draaien. Een recruiter die alleen op akkoord klikt, voldoet daar niet aan.

• Wat moeten wij als mkb nu al regelen als wij AI gebruiken in HR?

  Vijf dingen gelden nu al: AI-geletterdheid van wie met de tools werkt, geen emotieherkenning op de werkplek, ook niet bij sollicitanten, de transparantieregels van artikel 50, de AVG (informatie, geen uitsluitend geautomatiseerde afwijzingen zonder waarborgen, DPIA) en, als u een ondernemingsraad heeft, instemming van de OR bij personeelsgegevens en volgsystemen. Gebruik de tijd tot 2 december 2027 om de hoog-risicoplichten voor te bereiden.

• Wat moeten wij doen als een hoog-risico-AI-systeem voor HR niet goed werkt of een ernstig incident veroorzaakt?

  Vanaf 2 december 2027 monitort u de werking aan de hand van de gebruiksaanwijzing. Heeft u reden om aan te nemen dat het gebruik een risico oplevert, dan informeert u zonder onnodige vertraging de aanbieder of distributeur en de markttoezichtautoriteit en onderbreekt u het gebruik. Een ernstig incident meldt u onmiddellijk, eerst aan de aanbieder en daarna aan de importeur of distributeur en de markttoezichtautoriteit; de aanbieder meldt het ook zelf bij de markttoezichtautoriteit.

• Wat moeten wij sollicitanten vertellen als wij AI gebruiken om hun gegevens te verwerken?

  Volgens de AVG vertelt u sollicitanten onder meer waarvoor u hun gegevens gebruikt en op welke rechtsgrond, en of er geautomatiseerde besluitvorming plaatsvindt, met nuttige informatie over de onderliggende logica en de verwachte gevolgen. Haalt u gegevens elders vandaan, dan noemt u ook de bron, uiterlijk binnen een maand of bij het eerste contact.

• Welke afspraken maken wij met de leverancier van een AI-tool voor HR?

  Verwerkt de leverancier persoonsgegevens van sollicitanten of medewerkers voor u, dan sluit u een verwerkersovereenkomst met de onderwerpen die de AVG voorschrijft, en u kiest alleen een leverancier die afdoende garanties biedt. Is de tool vanaf 2 december 2027 een hoog-risicosysteem, dan moet de leverancier gebruiksinstructies meeleveren met onder meer het beoogde doel, de nauwkeurigheid, de maatregelen voor menselijk toezicht en de logs. Vraag die informatie nu al: u heeft haar nodig voor uw DPIA en voor correct gebruik.

• Welke plichten hebben wij vanaf december 2027 als gebruiker van een hoog-risico HR-systeem?

  U gebruikt het systeem volgens de gebruiksaanwijzing en monitort het, legt het menselijk toezicht bij bekwame en bevoegde mensen, zorgt dat de inputdata die u beheert relevant en representatief zijn, bewaart de logs ten minste zes maanden en informeert werknemers en de mensen over wie het systeem beslist. Deze plichten gelden vanaf 2 december 2027.

• Wie is verantwoordelijk als een uitzend- of wervingsbureau AI gebruikt om kandidaten voor ons te selecteren?

  Voor de AI-verordening is dat wie het systeem onder eigen verantwoordelijkheid gebruikt; meestal is dat het bureau. Voor de persoonsgegevens beslist de AVG-rol: bepaalt het bureau zelf doel en middelen, dan is het zelf verwerkingsverantwoordelijke; verwerkt het alleen namens u, dan is het uw verwerker; bepaalt u samen doel en middelen, dan legt u de verdeling van verantwoordelijkheden vast. Leg in het contract vast wie welke tool gebruikt.

• Wij hebben minder dan 50 medewerkers en geen OR. Moeten wij medezeggenschap regelen voor een AI-tool?

  Een OR is verplicht vanaf in de regel 50 werkzame personen. Bij 10 tot 50 personen zonder OR of personeelsvertegenwoordiging houdt u ten minste tweemaal per jaar een personeelsvergadering en laat u het personeel advies geven over besluiten die voor ten minste een kwart van hen tot een belangrijke verandering leiden. Een personeelsvertegenwoordiging heeft van rechtswege geen instemmingsrecht over personeelsgegevens of volgsystemen.

• Wij kopen een AI-tool voor HR in. Zijn wij dan aanbieder of gebruiksverantwoordelijke?

  Gebruikt u de tool van een leverancier onder eigen verantwoordelijkheid, dan bent u gebruiksverantwoordelijke. U bent aanbieder als u een AI-systeem ontwikkelt of laat ontwikkelen en onder eigen naam in gebruik stelt, ook voor eigen gebruik. Vanaf 2 december 2027 wordt u bovendien aanbieder van een hoog-risicosysteem als u uw naam op zo'n systeem zet, het substantieel wijzigt, of het beoogde doel van een systeem zo wijzigt dat het hoog risico wordt; dat kan het geval zijn als u een algemene chatbot inzet om sollicitaties te filteren of kandidaten te beoordelen.

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.