HR-AI-bewijspakket: vier templates voor AI in werving, selectie en personeelsbeheer

Systemen die bedoeld zijn om personen te werven of te selecteren, staan in bijlage III punt 4 onder a en zijn in beginsel hoog risico (artikel 6 lid 2). De uitzondering van artikel 6 lid 3 geldt alleen als het systeem aan een van de vier smalle voorwaarden voldoet, geen significant risico op schade inhoudt én geen profilering uitvoert. Een systeem dat kandidaten scoort of rangschikt, profileert en blijft dus hoog risico.

Nee. Sinds 2 februari 2025 is het verboden om emoties van personen op de werkplek af te leiden uit biometrische gegevens, zoals gezicht of stem (artikel 5 lid 1 onder f), behalve om medische of veiligheidsredenen. Volgens de richtsnoeren van de Commissie van 4 februari 2025 vallen sollicitanten daar ook onder. Het verbod geldt voor de aanbieder en voor u als gebruiksverantwoordelijke.

Voor systemen uit bijlage III vanaf 2 december 2027, sinds Verordening (EU) 2026/1744 die datum heeft vastgelegd. Systemen die daarvoor al in gebruik waren, vallen pas onder de regels als hun ontwerp daarna aanzienlijk wijzigt; systemen voor overheidsinstanties moeten uiterlijk 2 augustus 2030 voldoen (artikel 111 lid 2). De verboden en de AVG gelden nu al.

Dat kan. Zet uw organisatie een systeem dat niet voor werving bedoeld is, toch in om kandidaten te selecteren of te rangschikken, dan wordt zij aanbieder van een hoog-risicosysteem (artikel 25 lid 1 onder c). De plichten van artikel 16 gelden vanaf 2 december 2027; de AVG, waaronder artikel 22 over geautomatiseerde besluiten, geldt nu.

Een FRIA (artikel 27) is in HR alleen verplicht voor publiekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen, vanaf 2 december 2027. Een DPIA onder artikel 35 AVG is vaak nu al nodig, omdat profilering met aanzienlijke gevolgen en het stelselmatig volgen van werknemers typische voorbeelden van een hoog risico zijn.

Ja. Bij een hoog-risicosysteem informeert u vanaf 2 december 2027 vóór ingebruikname de werknemersvertegenwoordigers en de betrokken werknemers (artikel 26 lid 7). Daarnaast heeft de ondernemingsraad nu al een instemmingsrecht bij onder meer personeelsbeoordeling en voorzieningen om gedrag of prestaties te controleren (artikel 27 lid 1 WOR).

De gebruiksverantwoordelijke draagt het menselijk toezicht op aan natuurlijke personen met de nodige bekwaamheid, opleiding en autoriteit, die de nodige ondersteuning krijgen. In HR betekent dat: zij kennen de functie-eisen en de beperkingen van het systeem, mogen de uitkomst zonder toestemming negeren of terugdraaien, en hebben er tijd voor. Voor systemen uit bijlage III geldt dit vanaf 2 december 2027.

Als u reden hebt om aan te nemen dat gebruik volgens de gebruiksaanwijzing ertoe kan leiden dat het systeem een risico vormt voor grondrechten, zoals gelijke behandeling, dan schrijft artikel 26 lid 5 voor dat u het gebruik onderbreekt en zonder onnodige vertraging de aanbieder of distributeur en de markttoezichtautoriteit informeert. Zekerheid is niet nodig. Lopende procedures gaan handmatig verder.

De plichten van artikel 26 gelden voor hoog-risicosystemen uit bijlage III vanaf 2 december 2027 (artikel 113, zoals gewijzigd bij Verordening (EU) 2026/1744). Systemen die daarvoor in de handel of in gebruik zijn, vallen er pas onder als hun ontwerp daarna aanzienlijk wijzigt; systemen voor overheidsinstanties uiterlijk 2 augustus 2030 (artikel 111 lid 2). Het verbod op emotieherkenning en de AVG gelden nu al.

Degene die het systeem onder eigen verantwoordelijkheid gebruikt (artikel 3 punt 4). Zet het bureau het systeem onder eigen verantwoordelijkheid in, dan is het bureau gebruiksverantwoordelijke; gebruikt u het systeem zelf en levert het bureau alleen mensen, dan bent u het. Leg in het contract vast wie de plichten van artikel 26 uitvoert. Onder de AVG bent u als werkgever meestal verwerkingsverantwoordelijke.

Op 6 oktober 2026 had Nederland de markttoezichtautoriteit voor de AI-verordening nog niet aangewezen en de uitvoeringswet nog niet vastgesteld. Informeer de aanbieder of distributeur, leg vast wanneer u dat deed, en controleer bij elke herziening van het playbook of de autoriteit inmiddels bekend is. Een inbreuk in verband met persoonsgegevens meldt u nu al binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij die waarschijnlijk geen risico voor betrokkenen oplevert (artikel 33 AVG).

Ja. U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Ja. De AVG vraagt nu al dat u uitlegt welke gegevens u verwerkt, waarvoor en bij geautomatiseerde besluiten ook de logica (artikel 13 en 14 AVG). Vanaf 2 december 2027 moet de gebruiksverantwoordelijke van een hoog-risicosysteem uit bijlage III mensen ook melden dat het systeem op hen wordt toegepast (artikel 26 lid 11).

Sinds 2 augustus 2026 (artikel 50 lid 1). Het is een plicht van de aanbieder: neemt u de chatbot af, dan bouwt de leverancier de melding in. Bouwt u hem zelf of zet u hem onder eigen naam, ook op een taalmodel van een ander, dan bent u aanbieder.

Artikel 26 lid 7 geldt vanaf 2 december 2027 voor hoog-risicosystemen uit bijlage III; die datum volgt uit Verordening (EU) 2026/1744, in werking sinds 27 juli 2026. De rechten van de ondernemingsraad onder artikel 25 en 27 WOR gelden nu al en worden door informeren niet vervangen.

Nee. AI die emoties van sollicitanten of medewerkers afleidt, is sinds 2 februari 2025 verboden, behalve om medische of veiligheidsredenen (artikel 5 lid 1 punt f). Een automatische score op de inhoud van de antwoorden mag wel, maar valt onder bijlage III punt 4 onder a.

Ja. Onder artikel 15 lid 1 onder h AVG geeft u bij geautomatiseerde besluitvorming begrijpelijke informatie over de logica, binnen een maand (HvJ EU 27 februari 2025, C-203/22). Artikel 86 voegt voor hoog-risicosystemen uit bijlage III een recht op uitleg over de rol van het systeem toe. Tekst 3.6 is een antwoord dat aan beide regels tegemoetkomt.

Nee. Hoog risico zijn systemen die bedoeld zijn voor werving en selectie (bijlage III punt 4 onder a) of voor besluiten over arbeidsvoorwaarden, promotie, ontslag, taaktoewijzing of monitoring (onder b). Een chatbot voor algemene HR-vragen valt daar niet onder. Een systeem uit punt 4 dat personen profileert, is altijd hoog risico (artikel 6 lid 3, slotalinea).

Alleen als u een publiekrechtelijk orgaan bent of een particuliere organisatie die openbare diensten verleent, zoals zorg, onderwijs of sociale diensten (artikel 27 en overweging 96), en het systeem hoog risico is. Dan doet u de FRIA vóór het eerste gebruik, vanaf 2 december 2027. Een DPIA onder artikel 35 AVG is vaak nu al nodig.

Sinds 27 juli 2026 biedt artikel 4 bis daarvoor een grondslag, maar alleen als het strikt noodzakelijk is en alle zes voorwaarden zijn vervuld, zoals dat andere of geanonimiseerde gegevens niet volstaan en dat de gegevens daarna worden gewist. De AVG blijft gelden. Een biastoets met deze gegevens is niet verplicht.

Het werkboek geeft dan het signaal 'Onderzoeken': een groep krijgt duidelijk minder vaak een positieve uitkomst dan de referentiegroep. De grens komt uit de Amerikaanse vier-vijfde-regel en is geen Europese of Nederlandse norm. Het is een reden om uit te zoeken, geen bewijs van discriminatie, en bij minder dan 30 personen per groep zegt de verhouding weinig.

Vaak wel. Artikel 27 lid 1 WOR geeft de ondernemingsraad instemmingsrecht bij onder meer regelingen over aanstelling en bevordering, personeelsbeoordeling, personeelsgegevens en controle op aanwezigheid, gedrag of prestaties. Zonder instemming kan de OR binnen een maand de nietigheid inroepen. Bij hoog risico informeert u vanaf 2 december 2027 ook vooraf werknemers en hun vertegenwoordigers (artikel 26 lid 7).