Waarom is AI in werving en selectie hoog risico?
De AI-verordening (Verordening (EU) 2024/1689) deelt AI-systemen in naar risico. Bijlage III noemt gebieden waar AI grote invloed kan hebben op iemands leven, en werk is daar een van. Punt 4(a) gaat over AI-systemen die bedoeld zijn voor de werving of selectie van natuurlijke personen, met name voor gerichte vacatureadvertenties, het analyseren en filteren van sollicitaties en het beoordelen van kandidaten.
Die omschrijving is ruim. Een tool die gesourcete kandidaten rankt op een vacature beoordeelt kandidaten, ook als niemand solliciteerde. Een systeem dat cv's screent filtert sollicitaties. Beide vallen waarschijnlijk onder Bijlage III. De Autoriteit Persoonsgegevens noemt AI voor werving en selectie ook expliciet als voorbeeld van hoog risico.
Is elke AI-functie in recruitmentsoftware hoog risico?
Niet automatisch. Artikel 6 lid 3 maakt het mogelijk dat een systeem uit Bijlage III niet als hoog risico geldt als het geen significant risico oplevert, bijvoorbeeld omdat het alleen een beperkte procedurele of voorbereidende taak uitvoert. Er is wel een belangrijke uitzondering op die uitzondering: een systeem uit Bijlage III dat profielen opstelt van personen (profilering) is altijd hoog risico. Kandidaten ranken op ervaring en vaardigheden is profilering, dus de meeste sourcing- en matchingtools komen daar niet onderuit.
Functies die geen mensen beoordelen, zoals een tool die de spelling van een vacaturetekst verbetert, zijn een ander verhaal. De beoordeling gebeurt per systeem en per beoogd doel, en moet worden vastgelegd.
Wat is nu al verboden?
Sinds 2 februari 2025 zijn sommige AI-toepassingen verboden. Voor HR is het belangrijkste verbod AI die emoties van mensen op de werkplek herkent, behalve om medische of veiligheidsredenen. Ook biometrische categorisering die gevoelige kenmerken zoals etniciteit of politieke voorkeur afleidt, is verboden. Een interviewtool die emoties van kandidaten uit video scoort, is dus geen complianceproject maar iets om mee te stoppen.
Wanneer gelden de regels van de AI Act voor werving en selectie?
De AI-verordening gaat gefaseerd in. In juli 2026 heeft de Digital Omnibus on AI (Verordening (EU) 2026/1744) de verplichtingen voor hoog risico uitgesteld.
Bronnen: Verordening (EU) 2024/1689, Verordening (EU) 2026/1744 en het bericht van de Europese Commissie dat de AI Omnibus op 27 juli 2026 in werking is getreden. Let op: niet elke pagina van toezichthouders is al bijgewerkt met de nieuwe data.
Wat moeten aanbieders van recruitment-AI doen?
De aanbieder is de organisatie die het AI-systeem ontwikkelt en onder eigen naam op de markt brengt. Voor hoog-risicosystemen draagt de aanbieder de zwaarste plichten:
- Een systeem voor risicobeheer gedurende de hele levensduur van het systeem (artikel 9).
- Datagovernance: trainings- en testdata die relevant en representatief zijn en zo goed mogelijk op vooroordelen zijn gecontroleerd (artikel 10).
- Technische documentatie en automatische logging van gebeurtenissen (artikelen 11 en 12).
- Een duidelijke gebruiksaanwijzing, zodat gebruikers weten wat het systeem kan en waar de grenzen liggen (artikel 13).
- Een ontwerp dat effectief menselijk toezicht mogelijk maakt (artikel 14), en passende nauwkeurigheid, robuustheid en cyberbeveiliging (artikel 15).
- Een kwaliteitsmanagementsysteem, een conformiteitsbeoordeling, CE-markering en registratie in de EU-databank voordat het systeem op de markt komt.
Wanneer word je als gebruiker zelf aanbieder?
Artikel 25 beschrijft wanneer een gebruiker de plichten van een aanbieder krijgt: bijvoorbeeld als je je eigen naam op een hoog-risicosysteem zet, het systeem wezenlijk wijzigt, of het beoogde doel zo verandert dat het hoog risico wordt. Een bureau dat zelf een rankingmodel bouwt bovenop een algemeen AI-model, doet er goed aan dit uit te zoeken.
Wat moeten werkgevers en bureaus doen die recruitment-AI gebruiken?
De AI-verordening noemt de organisatie die het systeem onder eigen verantwoordelijkheid gebruikt de gebruiksverantwoordelijke. Dat is het corporate recruitmentteam, het recruitmentbureau of het uitzendbureau. Artikel 26 zet op een rij wat gebruiksverantwoordelijken van hoog-risicosystemen moeten doen:
- Het systeem gebruiken volgens de gebruiksaanwijzing van de aanbieder.
- Menselijk toezicht beleggen bij mensen met de juiste kennis, opleiding en bevoegdheid.
- Als je zelf invloed hebt op de inputdata: zorgen dat die relevant en voldoende representatief is voor het doel.
- Het systeem monitoren en de aanbieder en toezichthouders informeren over risico's of ernstige incidenten.
- De automatisch gegenereerde logs die je beheert minstens zes maanden bewaren, tenzij andere wetgeving iets anders vraagt.
- Als werkgever de ondernemingsraad en betrokken werknemers informeren voordat je een hoog-risicosysteem op de werkvloer in gebruik neemt.
- Mensen over wie het systeem besluiten neemt of helpt nemen, laten weten dat het wordt gebruikt.
Recht op uitleg
Artikel 86 geeft mensen die in aanmerkelijke mate nadelig worden geraakt door een besluit op basis van de uitkomst van een hoog-risicosysteem uit Bijlage III het recht op een duidelijke en zinvolle uitleg over de rol van de AI en de belangrijkste elementen van het besluit. In werving en selectie betekent dat: je moet kunnen uitleggen waarom een kandidaat wel of niet door is gegaan. Uitlegbare ranking is dus geen luxe. De AP wijst bij online assessments ook op het risico dat uitkomsten onnauwkeurig zijn of onbedoeld discrimineren.
Hoe verhoudt de AI Act zich tot de AVG?
De AI-verordening vervangt de AVG niet. Je hebt nog steeds een grondslag nodig om kandidaatgegevens te verwerken, moet kandidaten informeren en moet artikel 22 over geautomatiseerde besluitvorming naleven. Bij een DPIA kun je de informatie van de aanbieder gebruiken. Lees onze AVG-gids voor kandidaten benaderen.
Hoe ziet menselijk toezicht er in de praktijk uit?
Menselijk toezicht is meer dan iemand die op stop kan drukken. De AI-verordening verwacht dat toezichthouders binnen je team de grenzen van het systeem kennen, de uitkomst niet blind volgen, resultaten kunnen duiden en ze kunnen overrulen of terugdraaien. In sourcing vertaalt dat zich naar concrete regels per actie. Daar is AIcruiters op gebouwd: zie menselijke controle.
- Goedkeuringsregels per actie: zoekstrategie, shortlist, outreach en overdracht.
- Elke ranking met onderbouwing, ontbrekende eisen en risico's.
- Recruiters kunnen de ranking beoordelen en corrigeren, en de criteria aanscherpen voordat er berichten uitgaan.
- Twijfelgevallen gaan naar een mens in plaats van automatisch beslist te worden.
- AIcruiters beslist niet wie wordt aangenomen.
Hoe bereid je je recruitmentteam nu voor?
Het uitstel tot december 2027 geeft je tijd, maar geen reden om te wachten. Contracten die je nu tekent, lopen dan nog, en de AVG geldt vandaag al. Een praktische aanpak:
Checklist voor de voorbereiding
Loop deze stappen door met HR, juridische zaken en je functionaris gegevensbescherming:
- Inventariseer. Zet elke tool met AI in je werving op een rij: sourcing, cv-screening, assessments, chatbots, planning.
- Deel in. Noteer per tool of die mensen beoordeelt of filtert. Zo ja, ga uit van hoog risico tenzij de aanbieder onderbouwt dat het anders is.
- Vraag aanbieders. Vraag naar hun AI Act-planning, gebruiksaanwijzing, logmogelijkheden en hoe menselijk toezicht is ontworpen.
- Beleg toezicht. Bepaal wie de uitkomst controleert, wat die persoon mag overrulen en hoe dat wordt vastgelegd.
- Informeer. Werk de privacyverklaring voor kandidaten bij en betrek de ondernemingsraad waar dat nodig is voordat je een nieuw systeem invoert.
- Train. Zorg dat recruiters begrijpen wat het systeem doet, waar het misgaat en wanneer ze moeten ingrijpen.
- Stop met wat verboden is. Haal emotieherkenning uit interviews en assessments.
Wat vraag je een leverancier van AI-sourcing over de AI Act?
Een leverancier kan jou niet compliant maken, maar bepaalt wel een groot deel van wat je kunt aantonen. Vraag hoe de leverancier het systeem indeelt en waarom, welke documentatie en gebruiksaanwijzing je krijgt, welke logs je kunt inzien en hoe lang, hoe de ranking per kandidaat wordt uitgelegd en welke goedkeurings- en overrulemogelijkheden er zijn. Wees voorzichtig met leveranciers die hun product nu al 'AI Act-compliant' noemen: de eisen voor hoog risico en de bijbehorende normen worden nog uitgewerkt. Onze gids voor het kiezen van AI-sourcingtools heeft een bredere checklist, en op onze beveiligingspagina lees je hoe privacy en hosting in de technische review aan bod komen.