De toepassing bepaalt het risico
Een tekstassistent die een vacaturetekst helpt formuleren wordt niet uitsluitend door het HR-label hoogrisico. Software die sollicitanten filtert, rangschikt of beoordeelt vraagt een andere analyse. Bijlage III van de AI Act omvat verschillende toepassingen voor werving, arbeidsrelaties, beoordeling en monitoring.
Lees de toelichting
Ook daar moet de concrete classificatie worden onderzocht, inclusief de voorwaarden en uitzonderingen van artikel 6. Een leverancier die zegt ‘alleen advies’ te geven, neemt die beoordeling niet weg. Kijk welke invloed de uitkomst in de praktijk heeft op de uiteindelijke keuze.
Welke regels gelden al, en wat volgt later?
De bestaande AVG geldt bij de verwerking van persoonsgegevens. Denk aan rechtmatigheid, doelbinding, noodzakelijke gegevens, informatie aan kandidaten en werknemers, beveiliging en een DPIA wanneer een hoog privacyrisico waarschijnlijk is. Ook het mogelijke instemmingsrecht van de ondernemingsraad verdient een afzonderlijke beoordeling.
Lees de toelichting
De relevante hoogrisicoregels voor toepassingen volgens bijlage III worden in beginsel van toepassing op 2 december 2027. De daarin opgenomen informatieplicht van artikel 26 voor werkgevers die hoogrisico-AI inzetten moet in dat regime worden geplaatst. Het is onjuist om die toekomstige bepaling zonder onderscheid als huidige algemene werkgeversplicht te presenteren.
Emoties meten is een andere categorie
De AI Act verbiedt in beginsel systemen die op basis van biometrische gegevens emoties afleiden op de werkplek, met een uitzondering voor medische of veiligheidsredenen. Die uitzondering moet zorgvuldig worden uitgelegd; een wens om productiviteit of sollicitatiegedrag te meten is niet vanzelf een veiligheidsreden.
Lees de toelichting
Stop een pilot wanneer onduidelijk is of een verboden praktijk wordt ingezet en laat de toepassing beoordelen. Een vriendelijk dashboard of toestemming in een arbeidsrelatie maakt een verboden toepassing niet automatisch rechtmatig.
Menselijke controle moet iets betekenen
Bij uitsluitend geautomatiseerde beslissingen met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen is artikel 22 AVG relevant. Een medewerker die zonder inhoudelijke beoordeling een score bevestigt, is geen overtuigende vorm van menselijke tussenkomst.
Lees de toelichting
Praktische aanpak: geef de beoordelaar voldoende tijd, informatie en bevoegdheid om een score te betwisten. Bespreek welke bronnen worden gebruikt, test op fouten en leg vast hoe kandidaten of werknemers vragen kunnen stellen. Laat een beslissing niet afhangen van een onbegrepen uitkomst.
Maak één beoordeling met HR, privacy en security
Laat HR het beoogde proces beschrijven. De leverancier moet duidelijk maken wat de toepassing doet en welke gegevens nodig zijn. Privacy en security beoordelen hun onderdelen; de FG wordt tijdig betrokken vanuit de onafhankelijke advies- en toezichtsrol.
Lees de toelichting
Maak vóór ingebruikname een besluit over toegestane doelen, controles en grenzen. Koppel dat aan leveranciersafspraken, begeleiding van medewerkers en een herbeoordeling bij belangrijke wijzigingen. Een AI Compliance Officer kan helpen dit overzicht en de opvolging te organiseren.
Wat moet in ieder geval zijn geregeld?
Beschrijf de werkelijke invloed op HR-besluiten
Onderzoek classificatie en verboden praktijken
Beoordeel AVG, DPIA en medezeggenschap
Organiseer inhoudelijke menselijke controle
Leg een meldroute, eigenaar en herbeoordeling vast
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.