AI in werving en selectie: wat zeggen de AVG en de AI-verordening?

Twee wetten, twee rollen

De AVG gaat over persoonsgegevens. Als werkgever ben je verwerkingsverantwoordelijke; je ATS-leverancier is verwerker. De AI-verordening (de Europese AI Act) gaat over het AI-systeem zelf. De partij die het systeem maakt, is aanbieder. Jij bent gebruiksverantwoordelijke zodra je het inzet.

De twee wetten lopen in elkaar over. De AI-verordening zegt zelf dat je de informatie van de leverancier gebruikt voor je DPIA onder de AVG (artikel 26, lid 9). En de grondrechtenbeoordeling die overheden moeten doen, vult die DPIA aan (artikel 27, lid 4).

Wat geldt sinds wanneer?

De datum van 2 december 2027 volgt uit Verordening (EU) 2026/1744, die sinds 27 juli 2026 in werking is. Daarvoor was het 2 augustus 2026.

De termijnen van de AI-verordening staan uitgebreider in de AI Act in recruitment. De algemene AVG-plichten voor je ATS, zoals de verwerkersovereenkomst en beveiliging, lees je in ATS en de AVG.

Waar de twee wetten elkaar raken

Voor hoog-risico-AI in werving vragen beide wetten vaak hetzelfde, in andere woorden. Regel het dus één keer goed.

Zes situaties uit de praktijk

1. Een knock-outvraag die automatisch afwijst

Een vraag als "Heb je een BIG-registratie?" is geen AI, maar een regel die jij instelt. De AI-verordening raakt hem dus niet. De AVG wel: wijst het ATS iemand op dat antwoord automatisch af, dan neemt een systeem het besluit. De AVG noemt dit voorbeeld zelf: het automatisch weigeren van sollicitaties via internet zonder menselijke tussenkomst (overweging 71). Laat een recruiter zo'n afwijzing bevestigen. Wil je toch automatisch afwijzen, laat dan eerst toetsen of een uitzondering van artikel 22 geldt, en geef de kandidaat het recht op een menselijke herbeoordeling.

2. Een matchscore of ranking

Een score die bepaalt wie bovenaan staat, neemt zelf geen besluit. Toch kan hij onder artikel 22 vallen. Het Hof van Justitie oordeelde in 2023 dat een automatisch berekende score al een geautomatiseerd besluit is als het besluit van degene die de score gebruikt daar in hoofdzaak van afhangt (SCHUFA, C-634/21). Bekijkt een recruiter alleen de bovenste tien, dan beslist de score in feite over de rest. Onder de AI-verordening is dit hoog-risico-AI: sollicitaties analyseren en filteren en kandidaten beoordelen (bijlage III, punt 4a).

3. Een chatbot op je werkenbij-site

Sinds 2 augustus 2026 moet een chatbot zo gebouwd zijn dat kandidaten weten dat ze met AI praten (artikel 50, lid 1). Die plicht ligt bij de aanbieder; vraag je leverancier hoe hij het oplost. De AVG geldt voor de gesprekken zelf: zet in je privacyverklaring wat er met chatgesprekken gebeurt en hoe lang je ze bewaart.

4. Een video-interview met analyse van gezicht of stem

AI die emoties afleidt op het werk is sinds 2 februari 2025 verboden (artikel 5, lid 1, onder f). Volgens de richtlijnen van de Europese Commissie hoort het wervingsproces daarbij. Vraag je leverancier schriftelijk of zo'n functie in het product zit, ook als optie, en zet hem uit.

5. Een kandidaat met een eigen AI-assistent

De kandidaat valt als privépersoon niet onder de AI-verordening (artikel 2, lid 10). Onder de AVG verandert er voor jou niets: wat de assistent aanlevert, zijn gewoon persoonsgegevens van de kandidaat. Meer hierover in Meta Muse en ChatGPT dots.

6. Een gemeente of andere publieke organisatie

Zet je als overheid, of als private organisatie die een publieke dienst verleent, hoog-risico-AI in voor werving, dan doe je vanaf 2 december 2027 vóór het eerste gebruik ook een grondrechtenbeoordeling (artikel 27). Je mag daarin verwijzen naar je DPIA.

Wat je nu al regelt

Het uitstel van de AI-verordening is geen reden om te wachten. Deze stappen volgen nu al uit de AVG, en ze bereiden je voor op december 2027.

1. Maak een lijst per functie in je ATS. Is het een regel die jij instelt, of een oordeel van het systeem? Welke stap beslist mee over wie doorgaat? Zie ook AI-functies in je ATS testen.
2. Pas je privacyverklaring voor sollicitanten aan: welke AI, voor welke stap, welke gegevens, wat de gevolgen zijn en hoe de kandidaat om een menselijke beoordeling vraagt.
3. Leg de menselijke beoordeling vast: wie kijkt, wat die persoon ziet, of die kan afwijken en of dat wordt vastgelegd. Geen afwijzing zonder mens, tenzij je een uitzondering van artikel 22 hebt laten toetsen.
4. Doe of actualiseer je DPIA met de documentatie van de leverancier.
5. Regel bewaartermijnen apart voor sollicitatiegegevens en voor de logs van het AI-systeem, en stel ze in het ATS in.
6. Maak afspraken met je leverancier in de verwerkersovereenkomst en het contract: documentatie, logs, uitleg per kandidaat, en een melding als een AI-functie verandert.
7. Zorg voor AI-geletterdheid. Wie met de AI werkt, weet wat het systeem doet, waar het fout kan gaan en wanneer je afwijkt.
8. Informeer de werknemersvertegenwoordiging voordat je hoog-risico-AI op de werkplek in gebruik neemt. Vanaf 2 december 2027 is dat een plicht (artikel 26, lid 7).

Vragen voor je ATS-leverancier

• ☐ Welke functies in jullie product gebruiken AI, en welke zijn vaste regels die wij zelf instellen?
• ☐ Kan het systeem een kandidaat afwijzen zonder dat een medewerker dat bevestigt? Kunnen wij dat uitzetten?
• ☐ Hoe leggen wij per kandidaat uit waarom die hoog of laag scoorde?
• ☐ Welke documentatie leveren jullie voor onze DPIA? Welke logs bewaren jullie, hoe lang en waar?
• ☐ Zit er analyse van gezicht, stem of emotie in het product, ook als optie?

Meer vragen voor een selectietraject vind je in de RFP-check.

Veelgestelde vragen

Mag een ATS sollicitanten automatisch afwijzen?

Alleen bij uitzondering. Artikel 22 van de AVG geeft kandidaten het recht niet te worden onderworpen aan een besluit dat uitsluitend door een systeem is genomen en hen in aanmerkelijke mate treft. De AVG noemt het automatisch weigeren van sollicitaties via internet zonder menselijke tussenkomst zelf als voorbeeld. Geldt er toch een uitzondering, bijvoorbeeld omdat het besluit noodzakelijk is voor het sluiten van een overeenkomst, dan heeft de kandidaat recht op menselijke tussenkomst, mag hij zijn standpunt geven en het besluit aanvechten. Dat geldt ook voor een knock-outvraag zonder AI.

Is een DPIA verplicht als je AI gebruikt bij werving?

In de regel wel. De AVG vraagt een DPIA bij een systematische en uitgebreide beoordeling van personen op basis van geautomatiseerde verwerking, waarop besluiten worden gebaseerd (artikel 35, lid 3, onder a). Ook de lijst van de Autoriteit Persoonsgegevens noemt profilering. Een matchscore of ranking van kandidaten past daarin. De AI-verordening zegt dat je voor die DPIA de informatie van de leverancier gebruikt.

Moet je sollicitanten vertellen dat je AI gebruikt?

Ja. De AVG vraagt informatie over geautomatiseerde besluitvorming en de logica erachter (artikel 13). De NVP Sollicitatiecode zegt dat het voor de sollicitant duidelijk moet zijn wanneer je AI inzet. Vanaf 2 december 2027 vraagt ook de AI-verordening dat je mensen informeert als hoog-risico-AI over hen meebeslist (artikel 26, lid 11).

Geldt de AI-verordening al voor recruitment?

Deels. Het verbod op emotieherkenning op het werk geldt sinds 2 februari 2025 en de transparantieregels, onder meer voor chatbots, sinds 2 augustus 2026. De plichten voor hoog-risico-AI in werving en selectie gelden door Verordening (EU) 2026/1744 vanaf 2 december 2027. De AVG gold al en blijft gelden.

Wat is het verschil tussen een DPIA en een FRIA?

Een DPIA (AVG) kijkt naar de risico's van het verwerken van persoonsgegevens en is voor elke organisatie verplicht bij een hoog risico. Een FRIA, de grondrechtenbeoordeling uit artikel 27 van de AI-verordening, kijkt breder naar grondrechten. Die is vanaf 2 december 2027 verplicht voor overheden en private organisaties die een publieke dienst verlenen en hoog-risico-AI inzetten. De FRIA vult de DPIA aan en mag ernaar verwijzen.

Hoe lang mag je sollicitatiegegevens bewaren als je AI gebruikt?

Voor de sollicitatiegegevens verandert er niets: de NVP Sollicitatiecode gaat uit van vernietigen binnen vier weken na afwijzing, tenzij anders afgesproken, en na een jaar opnieuw toestemming. Voor hoog-risico-AI vraagt de AI-verordening vanaf 2 december 2027 daarnaast dat je de logs van het systeem minimaal zes maanden bewaart, tenzij ander recht iets anders bepaalt. Spreek met je leverancier af wat er in die logs staat.

Dit artikel is een redactionele uitleg op basis van de wetteksten en uitspraken hieronder, geen juridisch advies. Laat je DPIA en je keuzes over geautomatiseerde besluiten toetsen door je privacyfunctionaris of een jurist.