AI in HR en recrutering

Het juridisch kader

Werk is een van de domeinen waar de AI-verordening het strengst is, want AI-beslissingen kunnen iemands inkomen bepalen. Twee regels tellen.

Verboden: emotieherkenning op het werk

Artikel 5, lid 1, f) van Verordening (EU) 2024/1689 verbiedt AI-systemen die de emoties van een persoon op de werkplek of in het onderwijs afleiden, behalve om medische of veiligheidsredenen. Het verbod geldt sinds 2 februari 2025. Een tool voor videosollicitaties die gelaatsuitdrukkingen of stemtoon scoort om stemming of enthousiasme af te leiden, valt eronder.

Hoog risico: Bijlage III, punt 4

Bijlage III noemt deze AI-systemen hoog risico:

• systemen voor werving of selectie, met name om gerichte vacatures te plaatsen, sollicitaties te analyseren en te filteren en kandidaten te beoordelen;
• systemen voor beslissingen over de voorwaarden van arbeidsverhoudingen, bevordering of beëindiging;
• systemen die taken toewijzen op basis van individueel gedrag of persoonlijke kenmerken; en
• systemen die de prestaties en het gedrag van personen in die verhoudingen monitoren en beoordelen.

Volgens artikel 6, lid 3 is een systeem uit die lijst geen hoog risico als het geen significant risico voor gezondheid, veiligheid of grondrechten inhoudt, bijvoorbeeld omdat het alleen een beperkte procedurele of voorbereidende taak doet. De aanbieder moet die beoordeling documenteren, en een systeem dat natuurlijke personen profileert is altijd hoog risico. Reken er dus niet op dat de uitzondering geldt voor een tool die mensen rangschikt.

De Digital Omnibus on AI (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026) heeft de toepassingsdatum voor hoogrisicosystemen onder Bijlage III verschoven van 2 augustus 2026 naar 2 december 2027. De verboden en de plicht tot AI-geletterdheid gelden al. Check de tijdlijn voordat je op een datum rekent.

Plichten van de werkgever als deployer

Gebruikt een werkgever een hoogrisico-HR-systeem, dan is hij deployer. Artikel 26 zegt dat hij:

• het systeem moet gebruiken volgens de gebruiksaanwijzing;
• menselijk toezicht moet toewijzen aan mensen met de nodige bekwaamheid, opleiding en bevoegdheid;
• ervoor moet zorgen dat invoerdata onder zijn controle relevant en representatief zijn;
• het systeem moet opvolgen en de automatisch gegenereerde logs minstens zes maanden moet bewaren;
• werknemersvertegenwoordigers en de getroffen werknemers moet informeren voordat het systeem op het werk in gebruik gaat; en
• mensen over wie beslissingen worden genomen, moet laten weten dat het systeem wordt gebruikt (artikel 26, lid 11).

Wie getroffen wordt door een beslissing op basis van de output van een hoogrisicosysteem, met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen, heeft recht op een duidelijke uitleg over de rol van het systeem (artikel 86). Een werkgever die een systeem substantieel wijzigt of er zijn eigen naam op zet, kan aanbieder worden (artikel 25).

Nationaal arbeidsrecht en de GDPR

De AI-verordening vervangt het arbeidsrecht niet, en lidstaten mogen regels behouden of invoeren die gunstiger zijn voor werknemers. Informatie- en overlegplichten tegenover ondernemingsraden en regels over controle van werknemers verschillen per land. In België brengt de invoering van nieuwe technologie met collectieve gevolgen bijvoorbeeld informatie- en overlegplichten mee op grond van CAO nr. 39, en ook de controleregels van CAO nr. 68 en 81 kunnen gelden. De GDPR loopt parallel: een rechtsgrond voor de verwerking van kandidatengegevens, transparantie, een DPIA voor systematische evaluatie (artikel 35) en het verbod op beslissingen die uitsluitend op geautomatiseerde verwerking berusten en aanzienlijke gevolgen hebben (artikel 22). Het Hof van Justitie oordeelde in SCHUFA (C-634/21) dat zelfs het opstellen van een score waar een derde sterk op steunt een geautomatiseerde beslissing kan zijn. De beoordeling van de gevolgen voor de grondrechten van artikel 27 geldt voor overheidsinstanties, private entiteiten die openbare diensten verlenen en sommige krediet- en verzekeringstoepassingen, niet voor private werkgevers in het algemeen. Een DPIA heb je wel vaak nodig. Zie de AI Act en de GDPR.

In de praktijk

Een retailer koopt een wervingsplatform dat sollicitanten rangschikt op functieprofiel en voorstelt wie je best uitnodigt. Omdat het kandidaten rangschikt en filtert, is het hoog risico. De retailer vraagt de leverancier om de gebruiksaanwijzing en een bevestiging van diens eigen verplichtingen, wijst twee recruiters aan die elke afwijzing nakijken, zet in de vacature dat AI de screening ondersteunt, informeert de ondernemingsraad en doet een DPIA. Een add-on die videosollicitaties op enthousiasme scoort, laat ze vallen, want die leidt emoties af.

Veelgestelde vragen

Is een cv-parser altijd hoog risico?

Niet per se, maar filtert of rangschikt hij kandidaten, dan valt hij onder Bijlage III. Een tool die alleen tekst in velden zet, kan onder de uitzondering van artikel 6, lid 3 vallen, als je dat gedocumenteerd motiveert.

Geldt de AI Act ook voor kleine werkgevers?

Ja. Voor de hoogrisicoregels is er geen groottedrempel.

Mag de tool automatisch beslissen wie wordt afgewezen?

Dat is riskant, zowel onder de GDPR (artikel 22) als onder de regel over menselijk toezicht in de AI Act. Houd een mens met echt gezag in de lus.

Wie is aansprakelijk als het systeem van de leverancier bevooroordeeld is?

Allebei mogelijk. De aanbieder moet ontwerpen en testen op bias, en de werkgever moet het systeem goed gebruiken en toezicht houden. In het contract spreek je af wie wat kan verhalen op de ander.

Hoe dit samenhangt

Onze dienst naleving van de AI-verordening neemt HR-tools mee, samen met de rest van jouw AI-landschap. Ons AI Act-register classificeert elk systeem en legt de verplichtingen per rol vast, en onze DPIA-tool helpt bij de effectbeoordeling die wervingstools meestal nodig hebben. Zie ook een AI-governancekader opbouwen.