AI in werving en selectie: wat mag onder de AI Act?

AI in werving en selectie is een van de gevoeligste toepassingen die er zijn. Er worden beslissingen genomen over mensen, de gevolgen zijn concreet, en zowel de AI Act als de AVG stellen eisen.

Kort samengevat

• Het mag, maar niet vrijblijvend. Werving staat in bijlage III van de AI Act als gevoelig gebied.
• Emotieherkenning is verboden. Op de werkvloer en in het onderwijs, en dat geldt al sinds februari 2025.
• De AVG geldt nu al volledig. Het uitstel van de hoogrisico-eisen verandert daar niets aan.
• Menselijk toezicht moet echt zijn. Een recruiter die de bovenste vijf uitnodigt en de rest ongezien laat, is geen toezicht.
• Informeer de sollicitant. Over de verwerking, over de logica en over het feit dat er AI in het spel is.

Wervingssoftware met AI-functies is de afgelopen jaren gewoon geworden. Vaak zit de functionaliteit ingebouwd in een pakket dat om heel andere redenen is aangeschaft, en heeft niemand een expliciete keuze gemaakt om AI in te zetten. Dat maakt dit een van de weinige onderwerpen waarbij de inventarisatie zelf al de meeste verrassingen oplevert.

Wat mag u met AI in werving en selectie?

Het uitgangspunt is dat het is toegestaan. Er is geen algemeen verbod op het gebruik van AI bij het beoordelen van kandidaten. Wat er wel is, is een stapeling van eisen die samen bepalen hoe u het mag inrichten.

Toegestaan zijn in beginsel: het doorzoeken en ordenen van sollicitaties, het herkennen van vaardigheden in een cv, het plannen van gesprekken en het opstellen van vacatureteksten. Dat zijn ondersteunende taken waarbij de beslissing bij een mens blijft.

Kritischer wordt het bij het scoren en rangschikken van kandidaten, bij het voorspellen van geschiktheid of van uitval, en bij het automatisch afwijzen. Dat mag niet zonder meer, en bij automatisch afwijzen zonder menselijke tussenkomst loopt u tegen artikel 22 van de AVG aan.

Wat is ronduit verboden?

Twee dingen springen eruit, en ze gelden allebei al.

Het eerste is emotieherkenning. De AI Act verbiedt systemen die emoties van mensen afleiden in de context van werk en onderwijs. Software die tijdens een videogesprek meet of iemand enthousiast, gestrest of oprecht overkomt, valt daaronder. Dat verbod geldt sinds 2 februari 2025 en kent geen overgangstermijn.

Het tweede is het afleiden van gevoelige kenmerken via biometrische categorisering, zoals etniciteit, politieke overtuiging of seksuele gerichtheid. Ook dat is een verboden praktijk.

Daarnaast is er een categorie die niet verboden maar wel juridisch zwaar is: het gebruik van gezichtsanalyse of stemanalyse om persoonlijkheidskenmerken te bepalen. Zelfs waar dat niet expliciet onder een verbod valt, is de wetenschappelijke onderbouwing zo zwak dat u de proportionaliteit ervan nauwelijks kunt verdedigen.

Welke eisen stelt de AVG?

Dit is het deel dat nu al volledig telt, en dat organisaties het vaakst onderschatten omdat de aandacht naar de AI Act is gegaan.

1. Grondslag. U heeft een grondslag nodig. Toestemming van een sollicitant is doorgaans niet vrijelijk gegeven, dus die is hier zelden bruikbaar.
2. Informatieplicht. De sollicitant moet weten welke gegevens u verwerkt en waarvoor. Bij geautomatiseerde besluitvorming ook: welke logica erachter zit en wat de verwachte gevolgen zijn.
3. Artikel 22. Een uitsluitend geautomatiseerd besluit met rechtsgevolgen of vergelijkbare gevolgen mag in beginsel niet. Afwijzing zonder dat er een mens aan te pas komt, valt daaronder.
4. Dataminimalisatie. Alleen gegevens die u werkelijk nodig heeft voor de beoordeling.
5. Bewaartermijnen. Sollicitatiegegevens bewaart u niet langer dan nodig, en voor een wervingsreserve heeft u aparte toestemming nodig.

Een DPIA is in vrijwel alle gevallen verplicht, omdat er sprake is van een systematische beoordeling van persoonlijke aspecten. In ons artikel over wanneer u een DPIA uitvoert staat wanneer die plicht precies ontstaat.

Wat betekent menselijk toezicht in de praktijk?

Dit is waar de meeste inrichtingen sneuvelen. Op papier kijkt er altijd een mens naar. In de praktijk krijgt die mens een gerangschikte lijst, nodigt de bovenste kandidaten uit en komt aan de rest niet toe.

Dat is geen menselijk toezicht, want de rangschikking is dan feitelijk de beslissing. Wilt u het wel goed inrichten, dan heeft de beoordelaar drie dingen nodig: inzicht in waarom het systeem tot een score komt, de tijd en de bevoegdheid om ervan af te wijken, en zicht op de kandidaten die het systeem laag heeft gezet.

Een praktische toets: kunt u aanwijzen wanneer een recruiter de laatste keer tegen de suggestie van het systeem in is gegaan? Als dat nooit gebeurt, is de kans groot dat het toezicht symbolisch is.

Wat regelt u met uw leverancier?

Bijna niemand bouwt dit zelf. U koopt in, en dat betekent dat een deel van uw naleving afhangt van wat uw leverancier levert en vastlegt.

Vraag om drie dingen. Ten eerste een heldere beschrijving van wat het systeem doet en waarop het is getraind. Ten tweede de classificatie onder de AI Act en de onderbouwing daarvan. Ten derde de afspraken over documentatie en logging, want die heeft u nodig zodra het hoogrisicoregime in december 2027 ingaat.

Leg die afspraken vast. Verwerkt de leverancier persoonsgegevens namens u, dan hoort dat in de verwerkersovereenkomst thuis, samen met de gebruikelijke bepalingen over beveiliging en subverwerkers.

Waar begint u als u dit nu oppakt?

Begin bij uw eigen wervingssysteem en vraag de leverancier expliciet welke AI-functies erin zitten en of ze aan staan. Dat gesprek levert vaker verrassingen op dan verwacht, omdat functies soms standaard zijn ingeschakeld.

Loop daarna het proces langs vanuit de sollicitant: wat merkt hij, wat wordt hem verteld, en waar valt een beslissing. Die route legt de gaten bloot. Wilt u het in een keer goed neerzetten, dan is een AVG audit en nulmeting de meest volledige vorm, en voor losse vragen over grondslag of informatieplicht is juridisch privacy advies sneller.