De meeste AI-tools die organisaties inzetten voor recruitment, cv-screening of performance monitoring vallen onder het zwaarste regime van de AI Act en veel organisaties hebben dat nog niet scherp. Voor de functionaris gegevensbescherming (FG) is dat een aandachtspunt, want juist in HR raken AI-systemen direct aan fundamentele rechten, zoals gelijke behandeling, toegang tot arbeid en de bescherming van werknemers en sollicitanten. In dit blog bespreken we daarom hoe AI-tools binnen de HR moeten worden gekwalificeerd onder de AI Act, welke verplichtingen daarbij op hoofdlijnen horen en hoe een FG daar in de praktijk mee aan de slag kan.

De voorvraag: is het überhaupt een AI-systeem?

Voordat de AI Act-kwalificatie aan de orde komt, moet de FG vaststellen of de tool een AI-systeem is in de zin van artikel 3 lid 1 AI Act. De Commissie-richtsnoeren van februari 2025 verduidelijken die afbakening.[1] Niet elke geautomatiseerde HR-tool valt eronder. 

Een regelgebaseerd ‘applicant tracking system’ dat filtert op harde criteria (diploma, rijbewijs, minimale werkervaring) is waarschijnlijk geen AI-systeem, omdat het essentiele onderdelen van de definitie van AI onder de AI Act mist. Namelijk dat het een bepaalde autonomie heeft, na de uitrol aanpassingsvermogen kan vertonen en voor expliciete of impliciete doelstellingen bijvoorbeeld voorspellingen, aanbevelingen of beslissingen kan genereren die van invloed kunnen zijn op fysieke of virtuele omgevingen. Regelgebaseerde software heeft die eigenschappen niet.

Een tool die kandidaten scoort op basis van patroonherkenning, afgeleide competenties of gedragsanalyse en die zichzelf kan verbeteren en leert van de interactie met haar gebruikers, wel.

Annex III maakt de meeste HR AI-tools hoog-risico

De AI Act werkt met een risico-gebaseerde systematiek. In de praktijk zijn vier categorieën van belang. Er zijn allereerst verboden AI-praktijken, vervolgens high-risk AI-systemen, daarnaast AI-systemen waarvoor specifieke transparantieverplichtingen gelden, en ten slotte systemen met beperkt of minimaal risico waarvoor de AI Act geen zwaar inhoudelijk regime bevat. 

In de context van HR-werkzaamheden is Annex III punt 4 het juridische startpunt. Daar worden AI-systemen voor recruitment, selectie, beoordeling, promotie, beëindiging of monitoring van werknemers als hoog-risico aangemerkt.[2] Dat geldt niet alleen voor systemen die zelfstandig beslissen, maar ook voor tools die de uitkomst van een selectieprocedure wezenlijk sturen. Een tool die de aanbieder presenteert als “ondersteunend” kan dus alsnog hoog-risico zijn zodra zij in de praktijk kandidaten filtert, scoort of rangschikt.

Artikel 6 lid 3 bevat een uitzondering voor Annex III-systemen die geen significant risico opleveren, doordat het de uitkomst van de besluitvorming niet wezenlijk beïnvloedt. Dit is bijvoorbeeld het geval wanneer het AI-systeem is bedoeld om een beperkte procedurele taak uit te voeren of om het resultaat van een eerder voltooide menselijke activiteit te verbeteren. Deze uitzondering is echter strikter dan zij lijkt: zij geldt uitdrukkelijk niet wanneer het systeem natuurlijke personen profileert.[3] Bij HR-tools bestaat het risico dat profilering al snel aan de orde kan komen, juist omdat kandidaten worden geanalyseerd, vergeleken en gerangschikt op basis van persoonskenmerken, gedragsdata of afgeleide waarschijnlijkheden.

‘Emotion recognition’ op de werkplek is in beginsel verboden

Artikel 5 lid 1 sub f AI Act verbiedt het afleiden van emoties van werknemers en sollicitanten op basis van biometrische signalen, tenzij het systeem wordt ingezet voor medische of veiligheidsdoeleinden.[4] Software die motivatie, stress of betrokkenheid meet op basis van gezichtsexpressie of stemanalyse begeeft zich dus niet in hoog-risico terrein, maar in verboden gebied.

Hoog-risico: verplichtingen voor aanbieder én werkgever

Bij de hoog-risico kwalificatie volgt een dubbelspoor. De aanbieder (‘provider’) moet voldoen aan de productgerichte eisen van Afdeling 2 van Hoofdstuk 3 van de AI Act, resulterend in een conformiteitsbeoordeling, CE-markering en registratie in de EU-database.[6]

Voor de FG is vooral het spoor van de gebruiksverantwoordelijke (‘deployer’) relevant. Artikel 26 verplicht de werkgever als gebruiksverantwoordelijke om het systeem te gebruiken conform de gebruiksinstructies door middel van technische en organisatorische maatregelen, te zorgen voor adequate menselijke controle, de werking te monitoren en logs te bewaren. Daarnaast zorgt de werkgever ervoor dat de inputdata relevant en voldoende representatief zijn voor het beoogde doel, voor zover zij controle heeft over de inputdata. Specifiek voor de werkplek geldt een informatieplicht richting werknemers en werknemersvertegenwoordigers.[7]

Wat vraag je concreet aan de aanbieder?

Kwalificeert de tool als hoog-risico, dan moet de FG de aanbieder van de AI-tool nagaan of de tool al is ingericht op de AI Act-verplichtingen: is er technische documentatie, zijn er gebruiksinstructies, is een conformiteitsbeoordeling en -verklaring aanwezig, heeft de AI-tool een CE-markering en, zodra relevant, is of wordt het systeem zoals bedoeld in artikel 49 geregistreerd in de EU-database van artikel 71? Die database is grotendeels publiek toegankelijk en is dus ook een praktisch controlepunt.

Daarnaast verdient de contractuele dimensie aandacht. De meeste HR AI-tools worden ingekocht via een SaaS-overeenkomst. De AI Act legt verplichtingen op aan onder andere aanbieders en gebruiksverantwoordelijken, maar de verdeling van verantwoordelijkheden wordt contractueel vormgegeven. De FG doet er goed aan te toetsen of het contract AI Act-specifieke clausules bevat: informatieverstrekking door de aanbieder, medewerking aan de DPIA, incident-notificatieplichten en afspraken over wat er gebeurt als de aanbieder de conformiteitsbeoordeling niet tijdig afrondt.

De brug naar de AVG: DPIA en recht op uitleg

Artikel 26 lid 9 AI Act maakt expliciet dat gebruiksverantwoordelijken de informatie uit artikel 13 AI Act kunnen gebruiken bij het uitvoeren van een DPIA onder artikel 35 AVG. In HR-context is dat essentieel: persoonsgegevens, profilering, machtsongelijkheid en mogelijk geautomatiseerde besluitvorming vragen bijna altijd om een DPIA.

De FG moet daarbij scherp onderscheid maken tussen twee uitlegrechten. Artikel 22 AVG geeft betrokkenen recht op menselijke tussenkomst bij volledig geautomatiseerde besluiten met rechtsgevolgen. Artikel 86 AI Act geeft een zelfstandig recht op een duidelijke en betekenisvolle uitleg over de rol van het AI-systeem in de besluitvorming, ook wanneer het besluit niet volledig geautomatiseerd is.[8] Juist bij HR-tools die menselijke besluitvorming ondersteunen zonder die volledig over te nemen, is artikel 86 het relevantere kader. De FG doet er verstandig aan beide rechten parallel te adresseren.

De tijdlijn: nu al handelen, ook vóór augustus 2026

De regels over verboden praktijken en AI-geletterdheid (artikel 4) gelden sinds 2 februari 2025. De volledige verplichtingen voor hoog-risico systemen worden toepasselijk op 2 augustus 2026.[9] Voor bestaande HR AI-tools die al in gebruik zijn geldt een overgangsregime, maar dat ontslaat de gebruiksverantwoordelijke niet van de verplichting om nu al verboden praktijken uit te sluiten en AI-geletterdheid te borgen. De Commissie moet bovendien nog gedelegeerde en uitvoeringshandelingen vaststellen over onder meer conformiteitsbeoordelingsprocedures en de nadere invulling van Bijlage IV. 

Handhaving: wie houdt toezicht?

Een laatste praktisch aandachtspunt is vanuit welke autoriteit de FG toezicht handhaving kan verwachten. De AI Act verplicht lidstaten om nationale markttoezichtautoriteiten aan te wijzen. In Nederland is die invulling voor het HR-domein nog niet definitief. Het ligt voor de hand dat de Autoriteit Persoonsgegevens een rol krijgt waar de AI Act en de AVG samenlopen, maar of de AP ook de bredere AI Act-bevoegdheden krijgt, of dat een ander orgaan toezicht houdt, is op dit moment onduidelijk. 

Conclusie: kwalificatie bepaalt alles

Voor de FG draait het om een reeks opeenvolgende vragen. Is het een AI-systeem in de zin van de AI Act? Zo ja, kwalificeert het als hoog-risico onder Annex III? Welke compliance-documentatie moet de aanbieder leveren? Wat zijn de contractuele afspraken? En sluit de AVG-governance, waaronder de DPIA, aan op de AI Act-verplichtingen? Wie die vragen systematisch doorloopt, heeft de juridische basis op orde. Wie ze overslaat, loopt het risico dat een ogenschijnlijk handige HR-tool een compliance-probleem wordt dat veel groter is dan de efficiëntiewinst die hij oplevert.

_

[1]AI Act, artikel 3 lid 1; Europese Commissie, Guidelines on the definition of an AI system, 6 februari 2025 (C/2025/1077).

[2]AI Act, overweging 57; Annex III, punt 4(a) en 4(b).

[3]AI Act, artikel 6 lid 3, laatste volzin.

[4]Europese Commissie, Guidelines on prohibited artificial intelligence practices, 4 februari 2025 (C/2025/888), onderdeel over artikel 5 lid 1 sub f.

[5]AI Act, artikel 9 lid 4; vgl. Richtlijn 2000/78/EG (Kaderrichtlijn gelijke behandeling) en de Algemene wet gelijke behandeling.

[6]AI Act, artikelen 8-15 (inhoudelijke eisen), artikelen 16-22 (provider-verplichtingen), artikelen 47-49 (conformiteitsbeoordeling en CE-markering), artikel 71 (EU-database). Zie ook Bijlage IV voor de vereiste elementen van technische documentatie.

[7]AI Act, artikel 26 lid 7. In de Nederlandse context activeert deze informatieplicht tevens artikel 27 lid 1 sub k en l WOR (instemmingsrecht OR bij personeelsvolgsystemen en verwerking persoonsgegevens).

[8]AI Act, artikel 86. De verhouding tot artikel 22 AVG (recht op menselijke tussenkomst bij volledig geautomatiseerde besluitvorming) en artikel 5 lid 1 sub a AVG (transparantiebeginsel) is nog niet uitgekristalliseerd in rechtspraak of EDPB-guidance.

[9]AI Act, artikel 113. Zie ook Europese Commissie, ‘AI Act tijdlijn toepasselijkheid’, digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai.