AI-tools vatten een cv in enkele seconden samen, vergelijken ervaring met een functieomschrijving of helpen relevante vaardigheden te vinden. Dat is aantrekkelijk wanneer een werkgever honderden sollicitaties ontvangt.
Maar cv’s van kandidaten in een AI-tool kopiëren blijft verwerking van persoonsgegevens. Voor je dat doet, moet je begrijpen wat er met die informatie gebeurt.
Wat vraag je de AI precies te doen?
Er zit een groot verschil tussen:
- De formulering van een algemene rekruteringsmail verbeteren
- Het cv van een kandidaat samenvatten
- Een cv vergelijken met functiecriteria
- Kandidaten rangschikken
- Aanbevelen wie een gesprek krijgt
- Sollicitanten automatisch afwijzen
Hoe dichter de tool bij het nemen of bepalen van de rekruteringsbeslissing komt, hoe groter het juridische en praktische risico. Het systeem zelf laten beslissen brengt je op het terrein van automatische afwijzing.
Een cv bevat persoonsgegevens
De bestandsnaam weghalen anonimiseert een cv niet.
Het document kan bevatten:
- Naam
- E-mailadres
- Telefoonnummer
- Werkverleden
- Opleiding
- Locatie
- Foto
- Beroepslidmaatschappen
- Andere informatie die de persoon identificeert
Het kan zelfs gevoelige informatie bevatten die de kandidaat zelf heeft toegevoegd.
Behandel het uploaden als een doorgifte van persoonsgegevens aan een technologieaanbieder.
Controleer eerst de AI-aanbieder
Ga vóór je een AI-dienst met kandidaatgegevens gebruikt na:
- Welk product of accounttype je gebruikt
- Welke contractuele voorwaarden gelden
- Of ingediende gegevens bewaard blijven
- Of ze gebruikt kunnen worden om modellen te trainen of te verbeteren
- Waar de verwerking plaatsvindt
- Welke subverwerkers betrokken zijn
- Welke beveiligingsmaatregelen beschikbaar zijn
- Of er passende verwerkersvoorwaarden worden aangeboden
- Hoe verwijdering werkt
Die antwoorden kunnen verschillen tussen de consumenten- en de zakelijke versie van dezelfde AI-dienst. Dezelfde vragen gelden voor elke AI-tool die persoonsgegevens raakt, niet alleen voor rekruteringstools.
Beperk wat je uploadt
Wil je enkel hulp bij het vinden van vaardigheden, heb je dan de naam, het adres, de foto en de contactgegevens van de kandidaat nodig?
Waarschijnlijk niet.
Verwijder waar mogelijk informatie die voor de taak niet nodig is.
Onthoud dat pseudonimisering het risico verlaagt, maar de informatie persoonsgegevens laat en dus volledig binnen de GDPR houdt.
Vertrouw de uitkomst niet blindelings
AI kan zich vergissen, ervaring verkeerd begrijpen of conclusies genereren die het cv niet ondersteunt.
Rekruteringsbeslissingen mogen niet steunen op de aanname dat een door AI gemaakte samenvatting klopt.
Een menselijke beoordelaar moet de relevante brongegevens kunnen nakijken en de uitkomst in vraag kunnen stellen.
Rangschikken is iets anders dan samenvatten
AI gebruiken om een neutrale samenvatting te maken brengt al GDPR-verplichtingen mee.
Ze gebruiken om kandidaten te scoren, te rangschikken of af te wijzen brengt bijkomende vragen mee over behoorlijkheid, transparantie, geautomatiseerde besluitvorming en mogelijk de regels voor hoogrisicosystemen onder de Europese AI Act.
Behandel die toepassingen niet als gelijkwaardig.
Maak een interne AI-regel
Medewerkers moeten weten of ze kandidaatgegevens in publieke of generatieve AI-tools mogen plakken.
Een eenvoudig beleid voor toelaatbaar AI-gebruik kan bepalen:
- Welke AI-tools goedgekeurd zijn
- Welk gebruik bij rekrutering toegestaan is
- Welke informatie niet geüpload mag worden
- Welke menselijke controle vereist is
- Welke beveiligingseisen gelden
- Hoe je opschaalt bij toepassingen met een hoger risico
Zonder zo’n regel bouwen hiring managers “schaduw-AI”-processen op zonder dat HR of de directie het weet.
Beoordeel de tool voor het cv
De praktische regel is eenvoudig: test geen AI-rekruteringsproces met echte kandidaatgegevens voordat je de tool hebt beoordeeld.
GDPRWise helpt organisaties derden en verwerkingsactiviteiten in kaart te brengen, zodat nieuwe AI-tools worden beoordeeld binnen het bestaande GDPR-kader in plaats van informeel te worden ingevoerd.
GDPRWise brengt de aanbieders en verwerkingsactiviteiten achter je rekrutering in kaart, zodat een AI-tool wordt beoordeeld voordat er echte kandidaatgegevens naartoe gaan.