AI kan werkgevers helpen bij het schrijven van functieomschrijvingen, het samenvatten van cv’s, het rangschikken van kandidaten, het plannen van gesprekken en het ondersteunen van aanwervingsbeslissingen. Maar rekrutering gaat over beslissingen die een grote impact op iemands leven kunnen hebben.
Dat maakt AI bij rekrutering een belangrijk domein voor zowel de GDPR als de Europese AI Act.
Begin bij de toepassing
“AI gebruiken bij rekrutering” kan heel uiteenlopende dingen betekenen.
Bijvoorbeeld:
- Een vacature opstellen
- Cv’s samenvatten
- Vaardigheden uit sollicitaties halen
- Kandidaten rangschikken
- Tests analyseren
- Video-interviews screenen
- Kandidaten aanbevelen
- Sollicitaties automatisch afwijzen
Het risico hangt sterk af van wat het systeem echt doet.
AI gebruiken om de formulering van een vacature te verbeteren is heel iets anders dan een algoritme laten bepalen wie een gesprek krijgt.
Welke persoonsgegevens komen in het AI-systeem?
Bepaal voor je een AI-tool gebruikt welke informatie je erin wil stoppen.
Een cv kan namen, adressen, werkverleden, opleiding en andere persoonsgegevens bevatten. Het kan ook foto’s bevatten of gevoelige informatie die de kandidaat zelf heeft toegevoegd.
Pas minimale gegevensverwerking toe.
Kan de taak zonder identificeerbare kandidaatgegevens, ga dan na of je het volledige cv wel moet uploaden. Diezelfde vraag geldt wanneer je een cv in een algemene AI-assistent plakt.
Wat doet de aanbieder met de gegevens?
Vraag:
- Worden kandidaatgegevens bewaard?
- Hoelang?
- Worden ze gebruikt om modellen te trainen of te verbeteren?
- Wie heeft er toegang toe?
- Waar worden ze verwerkt?
- Zijn er subverwerkers betrokken?
- Kunnen de gegevens worden verwijderd?
- Welke contractuele bescherming geldt?
Ga er niet van uit dat een AI-tool geschikt is voor vertrouwelijke rekruteringsgegevens omdat hij bekend is. Verwerkt de aanbieder kandidaatgegevens namens jou, dan heb je normaal ook een verwerkersovereenkomst nodig.
Neem de AI-aanbieder op in je derdendossier
Verwerkt een externe AI-aanbieder kandidaatgegevens, zorg er dan voor dat hij is opgenomen in je derdendossier. Documenteer wat de aanbieder doet, welke persoonsgegevens hij ontvangt, waar die worden verwerkt, of er subverwerkers zijn en welke contractuele en doorgifteafspraken gelden.
Zo wordt de AI-tool behandeld als elke andere externe partij die persoonsgegevens verwerkt, en geen ongedocumenteerd onderdeel van je rekruteringsproces.
Geautomatiseerde besluitvorming onder de GDPR
De GDPR bevat specifieke regels voor beslissingen die uitsluitend op geautomatiseerde verwerking berusten en rechtsgevolgen hebben of personen op vergelijkbare wijze aanzienlijk treffen.
Een volledig geautomatiseerde beslissing om een sollicitant af te wijzen kan dus ernstige vragen oproepen.
Of een concreet proces binnen die regels valt, hangt af van hoe het systeem en de menselijke tussenkomst in werkelijkheid functioneren.
Iemand achteraan het proces toevoegen lost niets op als die persoon de aanbeveling van het algoritme gewoon overneemt. Waar de geautomatiseerde uitkomst feitelijk doorslaggevend is en de mens geen echte beoordeling toevoegt, blijft de verwerking binnen artikel 22 GDPR. Zie mag AI een sollicitant automatisch afwijzen? voor wat dat in de praktijk betekent.
Ook de AI Act speelt
De Europese AI Act reguleert AI-systemen naargelang hun risico.
Bepaalde AI-systemen bestemd voor rekrutering of selectie, bijvoorbeeld om sollicitaties te analyseren en te filteren of kandidaten te beoordelen, zijn onder de verordening hoog risico.
Die kwalificatie brengt aanzienlijke verplichtingen mee, en welke daarvan op jou rusten hangt af van de rol die je organisatie speelt: aanbieder, gebruiksverantwoordelijke of een andere gereguleerde rol.
Over de timing: deze hoogrisicoverplichtingen zouden gelden vanaf 2 augustus 2026, maar Verordening (EU) 2026/1744 stelde die datum uit tot 2 december 2027 voor de zelfstandige systemen uit bijlage III die rekrutering dekken. De transparantieverplichtingen van artikel 50 werden niet uitgesteld en gelden nu. Zie GDPR en de AI Act bij rekrutering voor hoe beide kaders samenhangen.
Vertekening en nauwkeurigheid
AI-systemen kunnen patronen in de gebruikte gegevens en criteria reproduceren of versterken.
Een werkgever gaat daarom na:
- Of de criteria relevant zijn voor de functie
- Of de resultaten accuraat zijn
- Of bepaalde groepen kunnen worden benadeeld
- Hoe fouten kunnen worden opgemerkt
- Hoe kandidaten beslissingen kunnen aanvechten
- Of menselijke beoordelaars de beperkingen van het systeem begrijpen
De GDPR-beginselen van juistheid en behoorlijkheid blijven gelden, ook wanneer software de verwerking uitvoert.
Beoordeel voor je uitrolt
Afhankelijk van de aard en het risico van de verwerking kan een gegevensbeschermingseffectbeoordeling vereist zijn onder de GDPR.
Doe die beoordeling vóór de ingebruikname, niet nadat de klachten binnenkomen.
Conformiteit met de AI Act kan bijkomend risicobeheer, documentatie, menselijk toezicht en andere maatregelen vragen.
AI moet een beheerst rekruteringsproces ondersteunen
De juiste vraag is niet “Kan AI ons tijd besparen?”
Ze luidt:
Kunnen we dit specifieke systeem voor deze specifieke rekruteringstaak rechtmatig, transparant en beheerst inzetten?
GDPRWise helpt organisaties de persoonsgegevens, aanbieders, doeleinden en risico’s van hun verwerkingsactiviteiten in kaart te brengen, zodat er een gestructureerde GDPR-basis ligt wanneer nieuwe tools zoals AI worden geïntroduceerd.
GDPRWise brengt je verwerkingsactiviteiten en externe aanbieders in kaart, zodat een nieuwe rekruteringsAI gedocumenteerd en beoordeeld wordt in plaats van stilletjes toegevoegd.