De complete gids voor AI-compliance bij werving (2026)

Wat is AI-compliance bij werving?

AI-compliance bij werving verwijst naar de reeks wettelijke verplichtingen waaraan werkgevers moeten voldoen bij het gebruik van kunstmatige intelligentie, algoritmen of geautomatiseerde hulpmiddelen in het wervingsproces. Dit omvat cv-screeningsoftware, chatbot-interviews, scoringsmodellen en elk hulpmiddel dat kandidaten filtert of rangschikt zonder directe menselijke beoordeling.

Vanaf 2026 worden de nalevingsverplichtingen voor de meeste werkgevers in het VK en de EU bepaald door drie regelgevingskaders: de Algemene Verordening Gegevensbescherming (AVG), de EU AI-wet en de arbeidswetgeving. Samen creëren zij specifieke verplichtingen rond de manier waarop kandidaatgegevens worden verzameld, hoe geautomatiseerde beslissingen worden genomen en wie er mag werken.

Naleving is geen afvinkexercitie. De boetes zijn aanzienlijk (tot 6% van de wereldwijde omzet onder de EU AI-wet) en de handhavingsactiviteit neemt toe. In 2023 heeft de Autoriteit Persoonsgegevens (AP) meerdere organisaties beboet voor het onrechtmatig verwerken van persoonsgegevens van sollicitanten met behulp van algoritmische systemen, een signaal dat toezichthouders algoritmische systemen nauwlettend in de gaten houden.

Waarom 2026 het kantelpunt is

De verplichtingen van de EU AI-wet voor hoog-risico AI-systemen, die expliciet arbeids-AI omvatten, werden in augustus 2026 van toepassing voor de meeste organisaties. Dit is geen toekomstige vereiste. Als u vandaag AI gebruikt om kandidaten te screenen, te rangschikken of te selecteren en u actief bent in de EU, is de klok al begonnen te lopen.

Tegelijkertijd neemt de handhaving door de AP van algoritmische besluitvorming bij werving toe, en groeit het bewustzijn van kandidaten over hun AVG-rechten. Een conform proces opzetten beschermt u nu al tegen boetes, klachten van kandidaten en reputatieschade.

De EU AI-wet en arbeids-AI

De EU AI-wet introduceert een vierlaags risicoklassificatiesysteem voor AI. Arbeids-AI valt in de hoogst gereguleerde categorie: hoog risico. Bijlage III van de wet noemt expliciet AI die wordt gebruikt voor werving en selectie, waaronder cv-screening, kandidaatranking en sollicitatiebeoordeling, als hoog-risicotoepassingen.

Wat de hoog-risicoclassificatie in de praktijk betekent

Werkgevers en HR-technologieleveranciers die hoog-risico AI inzetten bij werving moeten voldoen aan een veeleisende reeks verplichtingen. Dit zijn geen vrijblijvende richtlijnen maar wettelijke vereisten met afdwingbare sancties.

Ten eerste moet er een conformiteitsbeoordeling worden uitgevoerd voordat het AI-systeem wordt ingezet. Dit omvat het documenteren van het doel van het systeem, de trainingsdata, de bekende beperkingen en de maatregelen om vooroordelen en fouten te beperken. Werkgevers die kant-en-klare tools aanschaffen, dienen deze documentatie op te vragen bij hun leverancier.

Vereiste menselijk toezicht

Elk hoog-risico AI-systeem moet zo worden ontworpen dat menselijke controle en bijsturing mogelijk zijn. In de context van werving betekent dit dat geen enkele kandidaat uitsluitend op basis van een AI-beslissing mag worden afgewezen of doorgestuurd naar de volgende fase, zonder dat een mens de zinvolle mogelijkheid heeft om die beslissing te beoordelen en te herzien.

Dit wordt niet vervuld door een stempelproces waarbij een mens AI-uitvoer goedkeurt zonder oprecht te kijken naar het materiaal van de kandidaat. Het toezicht moet inhoudelijk zijn. De mens moet toegang hebben tot de redenering van de AI en de onderliggende kandidaatgegevens, en moet in staat zijn tot een andere conclusie te komen.

Transparantie naar kandidaten

Kandidaten moeten worden geïnformeerd dat AI wordt gebruikt in hun beoordeling. Deze mededeling dient te verschijnen voordat de AI-interactie begint, in de vacature, de sollicitatiestroom of een specifieke kennisgeving. De mededeling moet uitleggen welk type AI wordt gebruikt, wat het beoordeelt en hoe de uitvoer wordt gebruikt in de selectiebeslissing.

AVG en kandidaatgegevens

De AVG is van toepassing op elke werkgever die persoonsgegevens verwerkt van kandidaten die in de EU of het VK wonen, ongeacht waar de werkgever is gevestigd. Werving is een van de gebieden met het hoogste AVG-nalevingsrisico omdat het grote hoeveelheden gevoelige persoonsgegevens omvat van personen die geen bestaande relatie hebben met de werkgever.

Rechtsgrondslag voor verwerking

De verwerking van kandidaatgegevens tijdens actieve werving berust doorgaans op gerechtvaardigde belangen (artikel 6(1)(f)) of de uitvoering van een overeenkomst (artikel 6(1)(b), in precontractuele stappen). Toestemming is zelden de juiste grondslag voor werving: zij moet vrijelijk worden gegeven, wat wordt bemoeilijkt door de machtsongelijkheid tussen werkgever en sollicitant.

Bijzondere categorieën gegevens, waaronder gezondheid, handicap, etnische afkomst en religie, vereisen een aanvullende rechtsgrondslag op grond van artikel 9, meestal uitdrukkelijke toestemming of noodzaak voor arbeidsrechtelijke verplichtingen. Als uw screeningsvragen of psychometrische tools onbedoeld bijzondere categorieën gegevens verzamelen, dient u deze aanvullende grondslag te documenteren.

Dataminimalisatie en doelbinding

U mag alleen kandidaatgegevens verzamelen die noodzakelijk zijn voor de wervingsbeslissing. Dit beginsel grijpt in op verschillende gangbare praktijken: vragen naar de geboortedatum wanneer leeftijd geen echte vereiste is, een foto opvragen voor het sollicitatiegesprek, of uitgebreide informatie van sociale media verzamelen zonder een duidelijk verband met de functie. Op trefwoorden gebaseerde screeningstools kunnen ook onbedoelde vooroordelen introduceren wanneer zij proxy-data verzamelen die correleert met beschermde kenmerken.

Doelbinding betekent dat gegevens verzameld voor een functie niet vrij mogen worden hergebruikt voor een andere zonder een nieuwe rechtsgrondslag. Als u afgewezen kandidaten wilt bewaren voor toekomstige mogelijkheden, vereist dit uitdrukkelijke toestemming en moet u de intrekking van die toestemming onverwijld honoreren.

Bewaartermijnen

Er bestaat geen door de AVG vastgestelde bewaartermijn voor kandidaatgegevens. Het beginsel van opslagbeperking vereist echter dat u gegevens verwijdert wanneer ze niet langer nodig zijn. In de praktijk hanteren de meeste organisaties een bewaartermijn van zes maanden na het einde van de werving. Sommige hanteren twaalf maanden om potentiële discriminatieclaims te kunnen afweren.

Welke termijn u ook kiest, leg deze vast in uw privacyverklaring en pas ze consequent toe. Een bewaartermijn die u vermeldt maar niet toepast, is erger dan helemaal geen vermelde termijn. Het toont toezichthouders aan dat u wist wat u moest doen en ervoor koos dit niet te doen.

Geautomatiseerde beslissingen en artikel 22 AVG

Artikel 22 AVG geeft personen het recht om niet uitsluitend onderworpen te worden aan geautomatiseerde besluitvorming die rechtsgevolgen of vergelijkbaar significante effecten heeft. In een wervingscontext activeert een afwijzings- of voorselectiebeslissing die volledig door een algoritme wordt genomen zonder zinvolle menselijke betrokkenheid dit recht.

Wanneer artikel 22 van toepassing is

De kerntoets is of de beslissing uitsluitend is gebaseerd op geautomatiseerde verwerking en een significant effect heeft. Afwijzing van een sollicitatie is een significant effect. Gerangschikt worden beneden de drempel voor een gesprek door een algoritme en daardoor nooit beoordeeld worden door een mens is ook een significant effect, zelfs als de werkgever het proces omschrijft als AI-ondersteund in plaats van AI-beslist.

Cruciaal is dat artikel 22 ook van toepassing is wanneer de werkgever meent dat een mens betrokken is, als die menselijke beoordeling oppervlakkig of nominaal is. De AP heeft verduidelijkt dat een mens die eenvoudigweg AI-uitvoer accepteert zonder oprecht in te gaan op de onderliggende informatie, geen zinvolle menselijke betrokkenheid vormt.

Vereiste waarborgen

Wanneer geautomatiseerde besluitvorming rechtmatig wordt gebruikt, hetzij met toestemming van de kandidaat hetzij als noodzakelijk voor het aangaan van een overeenkomst, moeten drie waarborgen aanwezig zijn. Ten eerste moeten kandidaten worden geïnformeerd dat geautomatiseerde besluitvorming plaatsvindt en zinvolle informatie ontvangen over de gehanteerde logica. Ten tweede moeten kandidaten menselijke beoordeling van elke geautomatiseerde beslissing kunnen aanvragen. Ten derde moeten kandidaten de beslissing kunnen betwisten en hun standpunt kenbaar maken.

In de praktijk betekent dit het opzetten van een kandidaatgericht mechanisme: een duidelijke kennisgeving in de sollicitatiestroom, een contactmogelijkheid voor beoordelingsverzoeken en een intern proces voor de behandeling van die verzoeken met een echte menselijke evaluatie.

Controle op arbeidsrecht

De Wet arbeid vreemdelingen (WAV) verplicht werkgevers om te controleren of elke werknemer toestemming heeft om in Nederland te werken voordat de dienstbetrekking begint. Het niet correct uitvoeren van de controle leidt tot aansprakelijkheid voor boetes wegens illegale tewerkstelling, die kunnen oplopen tot 8.000 euro per niet-gemachtigde werknemer.

Digitale identiteitsverificatie

In Nederland dienen werkgevers bij aanvang van de dienstbetrekking een kopie van het identiteitsbewijs van de werknemer te bewaren in de loonadministratie. Dit kan een paspoort, identiteitskaart of verblijfsvergunning zijn. Werkgevers kunnen erkende digitale verificatiediensten gebruiken om de echtheid van documenten te controleren, met name bij grootschalige werving.

Digitale verificatiesystemen zijn niet verplicht maar kunnen het proces versnellen en de nauwkeurigheid verbeteren. Bij gebruik van externe verificatiediensten voor identiteitscontrole dient een verwerkersovereenkomst (artikel 28 AVG) aanwezig te zijn.

Regels voor biometrische gegevens

Verschillende digitale ID-verificatieproducten gebruiken biometrische gezichtsvergelijking, waarbij een live selfie wordt vergeleken met de foto op een document. Biometrische gegevens zijn bijzondere categorieën gegevens onder de AVG en vereisen een uitdrukkelijke rechtsgrondslag. Voor arbeidsrechtcontroles berust dit doorgaans op de grondslag van noodzaak voor arbeidsrechtelijke verplichtingen op grond van artikel 9(2)(b).

Als u biometrische gegevens verzamelt als onderdeel van uw wervingsproces, moet dit worden vermeld in uw privacyverklaring. Kandidaten moeten begrijpen welke biometrische gegevens worden verzameld, hoe ze worden gebruikt en hoe lang ze worden bewaard. Biometrische sjablonen moeten worden verwijderd zodra de verificatie is voltooid.

Vrij verkeer van EU/EER-werknemers

EU-, EER- en Zwitserse onderdanen genieten vrij verkeer van werknemers en mogen in Nederland werken zonder aanvullende werkvergunning. Werkgevers dienen hun identiteit te verifiëren aan de hand van een geldig EU-identiteitsbewijs of paspoort. Voor werknemers van buiten de EU/EER is een tewerkstellingsvergunning of gecombineerde vergunning voor verblijf en arbeid (GVVA) vereist, die de werkgever vóór aanvang van de werkzaamheden dient te verkrijgen.

Een conform AI-screeningsproces opbouwen

Een conform proces betekent geen trager proces. De AVG en de EU AI-wet definiëren verplichtingen, geen workflowontwerpen. Met de juiste basis kunt u een snel, grootschalig screeningsproces uitvoeren dat aan alle vereisten voldoet. Dit zijn de zes stappen om het te bouwen.

Auditchecklist voor compliance

Sancties en handhaving

Zowel de AVG als de EU AI-wet kennen aanzienlijke financiële sancties. Inzicht in de sanctiestructuur kalibreert de businesscase: de kosten van een nalevingsprogramma zijn een fractie van de kosten van een materiële handhavingsactie.

AVG-sancties

AVG-handhaving werkt met een tweelags systeem. Minder ernstige overtredingen, zoals ontoereikende administratie en ontbrekende privacyverklaringen, leveren boetes op van maximaal 10 miljoen euro of 2% van de wereldwijde jaarlijkse omzet, afhankelijk van welke van de twee hoger is. Ernstigere overtredingen, waaronder verwerking zonder rechtsgrondslag, schending van rechten van betrokkenen en ontoereikende beveiliging, leveren boetes op van maximaal 20 miljoen euro of 4% van de wereldwijde jaarlijkse omzet.

EU AI-wet-sancties

De EU AI-wet kent afzonderlijke sancties. Het gebruik van verboden AI-toepassingen levert boetes op van maximaal 35 miljoen euro of 7% van de wereldwijde jaarlijkse omzet. Overtredingen met betrekking tot hoog-risico AI-systemen, waaronder niet-naleving van transparantie-, menselijk toezicht- of documentatievereisten, leveren boetes op van maximaal 15 miljoen euro of 3% van de jaarlijkse omzet.

Veelgemaakte nalevingsfouten

Veelgestelde vragen