Naar inhoud

Kennisbank · AI in HR

Hoe lang moeten wij de logs van een hoog-risico-AI-systeem voor HR bewaren?

Vanaf 2 december 2027 bewaart u als gebruiksverantwoordelijke de automatisch gegenereerde logs die onder uw controle vallen gedurende een periode die past bij het beoogde doel, en ten minste zes maanden, tenzij ander recht iets anders bepaalt, met name de AVG. Bevatten de logs persoonsgegevens van kandidaten of medewerkers, dan bewaart u ze niet langer dan nodig is voor het doel.

Voorbereiden; geldt vanaf 2 december 2027Laatst geverifieerd:

De regel

U bewaart de logs die het hoog-risicosysteem automatisch genereert, voor zover ze onder uw controle vallen, gedurende een passende periode of ten minste zes maanden, tenzij Unie- of nationaal recht anders bepaalt [1]. Voor HR-systemen geldt dat vanaf 2 december 2027 [2].

Wat logs zijn

Een hoog-risicosysteem registreert gebeurtenissen gedurende zijn levenscyclus automatisch [3]. De aanbieder bewaart de logs die onder zijn controle vallen ook ten minste zes maanden [4]. Spreek af welke logs bij u liggen en welke bij de leverancier.

Samenloop met de AVG

Logs over sollicitanten of medewerkers zijn vaak persoonsgegevens. Die bewaart u niet langer dan nodig voor het doel [5]. Leg de termijn en de reden vast, bijvoorbeeld in uw DPIA.

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

  • Logging AI Act 12, AI Act 19, AI Act 26

Bronnen

  1. [1] AI Act art. 26, lid 6, eerste alinea (AI-verordening (EU) 2024/1689). Gebruiksverantwoordelijken bewaren de automatisch gegenereerde logs ten minste zes maanden, tenzij ander recht anders bepaalt.
    Gebruiksverantwoordelijken van AI-systemen met een hoog risico bewaren de logs die automatisch worden gegenereerd door dat AI-systeem met een hoog risico voor zover dergelijke logs onder hun controle vallen gedurende een periode die passend is voor het beoogde doel van het AI-systeem met een hoog risico, of ten minste zes maanden, tenzij anders is bepaald in het toepasselijke Unie- of nationaal recht, meer in het bijzonder het Unierecht over de bescherming van persoonsgegevens.
    Bron, opgehaald op 3 oktober 2026.
  2. [2] Verordening (EU) 2026/1744 art. 1, punt 40, onder b) (vervangt AI Act art. 113, derde alinea, punt c) (Verordening (EU) 2026/1744 (Digital Omnibus AI)). De hoog-risicoregels (hoofdstuk III, afdelingen 1 tot en met 3) gelden voor bijlage III-systemen vanaf 2 december 2027.
    hoofdstuk III, de afdelingen 1, 2 en 3, met uitzondering van artikel 6, lid 5, van toepassing met ingang van: i) 2 december 2027 voor wat betreft AI-systemen die op grond van artikel 6, lid 2, en bijlage III als AI-systemen met een hoog risico zijn aangemerkt, en
    Bron, opgehaald op 3 oktober 2026.
  3. [3] AI Act art. 12, lid 1 (AI-verordening (EU) 2024/1689). Hoog-risicosystemen registreren gebeurtenissen automatisch (logs).
    1. AI-systemen met een hoog risico zijn dusdanig technisch vormgegeven dat gebeurtenissen gedurende de levenscyclus van het systeem automatisch worden geregistreerd (“logs”).
    Bron, opgehaald op 3 oktober 2026.
  4. [4] AI Act art. 19, lid 1 (AI-verordening (EU) 2024/1689). Aanbieders bewaren de logs onder hun controle ten minste zes maanden.
    1. Aanbieders van AI-systemen met een hoog risico bewaren de in artikel 12, lid 1, bedoelde logs die automatisch worden gegenereerd door hun AI-systemen met een hoog risico voor zover dergelijke logs onder hun controle vallen. Onverminderd het toepasselijke Unie- of nationale recht worden deze logs bewaard gedurende een periode, die passend is voor het beoogde doel van het AI-systeem met een hoog risico, van ten minste zes maanden,
    Bron, opgehaald op 3 oktober 2026.
  5. [5] AVG art. 5, lid 1, onder e) (Algemene verordening gegevensbescherming (AVG)). Persoonsgegevens worden niet langer bewaard dan noodzakelijk voor het doel.
    e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is;
    Bron, opgehaald op 3 oktober 2026.

Gerelateerde vragen

Welke plichten hebben wij vanaf december 2027 als gebruiker van een hoog-risico HR-systeem?Moeten wij een DPIA doen voordat wij AI inzetten bij werving of personeelsbeheer?Welke afspraken maken wij met de leverancier van een AI-tool voor HR?

Zie in een paar vragen welke regels uw organisatie raken.

Doe de impact- en kansenscan Of vraag een expert

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.