Compliance

AVG en AI-screening van sollicitanten: dit zijn de regels

De AI Act is uitgesteld tot 2027, maar de AVG geldt nu al. Dit mag u wel en niet bij geautomatiseerde screening van sollicitanten.

Redactie

1 oktober 2026

6 min leestijd

AVG en AI-screening van sollicitanten: dit zijn de regels

De aandacht in recruitmentland ging het afgelopen jaar vooral naar de AI Act. Maar er is een wet die al sinds 2018 geldt, waarvoor geen uitstel is verleend en waarop in Nederland actief toezicht wordt gehouden. Dat is de AVG. Wie vandaag een AI-tool inzet om sollicitanten te filteren, te scoren of af te wijzen, heeft daar nu al mee te maken. Hieronder staat wat de Autoriteit Persoonsgegevens van u verwacht en waar de meeste organisaties de mist in gaan.

De AI Act is uitgesteld, de AVG niet

De Europese Commissie bevestigt in haar toelichting op de AI Act dat de regels voor hoog-risico AI-systemen van toepassing worden op 2 december 2027, nadat deze datum via de Digital Omnibus is verschoven. Tot die tijd gelden de specifieke verplichtingen uit de AI Act nog niet.

Dat zegt niets over de AVG. Die is onverkort van kracht. De Autoriteit Persoonsgegevens wijst er op haar themapagina over het recht op menselijke tussenkomst op dat geautomatiseerde besluitvorming onder artikel 22 AVG in beginsel verboden is, en noemt het niet uitnodigen voor een sollicitatiegesprek expliciet als voorbeeld van een besluit dat onder dat artikel valt. Het verbod geldt vandaag, niet pas in 2027.

Veel organisaties lezen het uitstel daarom verkeerd. Het geeft u langer de tijd voor de documentatie-, log- en toezichtverplichtingen uit de AI Act. Het geeft u geen uitstel voor de vraag of u sollicitanten door een algoritme mag laten afwijzen.

Wanneer uw AI-screening onder artikel 22 AVG valt

Artikel 22 AVG gaat over besluiten die uitsluitend op geautomatiseerde verwerking zijn gebaseerd en die gevolgen hebben voor de betrokkene. De Autoriteit Persoonsgegevens noemt als voorbeelden het weigeren van een lening en het niet ontvangen van een uitnodiging voor een sollicitatiegesprek.

Het woord "uitsluitend" is waar het misgaat. Een tool die kandidaten rangschikt en waarbij de recruiter vervolgens alleen de bovenste vijf opent, is in de praktijk vaak een uitsluitend geautomatiseerd besluit voor iedereen die daaronder staat. Niemand heeft die kandidaten immers bekeken. Dat de software formeel alleen "adviseert" maakt dan weinig uit.

Volgens de Autoriteit Persoonsgegevens mag een organisatie alleen in drie gevallen geautomatiseerd besluiten. Het moet nodig zijn voor de totstandkoming of de uitvoering van een contract, een wet moet het toestaan, of de betrokkene moet uitdrukkelijke toestemming hebben gegeven.

Die derde route is bij sollicitanten kwetsbaar. Toestemming moet vrij gegeven zijn, en een kandidaat die solliciteert naar een baan bevindt zich in een afhankelijke positie. Wie zijn hele selectieproces op sollicitantentoestemming bouwt, bouwt op een grondslag die bij een klacht lastig te verdedigen is. Dit is een inschatting op basis van de systematiek van de AVG en geen standpunt dat de toezichthouder in deze bewoording heeft ingenomen.

Wat u de sollicitant moet vertellen

De Autoriteit Persoonsgegevens stelt dat organisaties geautomatiseerde besluitvorming moeten vermelden in hun privacyverklaring. Dat is het minimum. Een zin als "wij maken gebruik van geautomatiseerde systemen" voldoet daar in de geest niet aan, omdat de sollicitant daaruit niet kan opmaken wat er met zijn gegevens gebeurt.

De richting van de regelgeving is duidelijker. In de toelichting op wat de AI Act betekent voor wervingsbedrijven staat dat kandidaten recht hebben op uitleg over de belangrijkste factoren achter een besluit. De Europese Commissie voegt daaraan toe dat werkgevers bij gebruik op de werkvloer werknemers en hun vertegenwoordigers vooraf moeten informeren.

Praktisch betekent dit dat u drie dingen moet kunnen benoemen. Welke stap in uw proces door AI wordt uitgevoerd, op welke gegevens die stap zich baseert, en bij wie de kandidaat terechtkan voor een herbeoordeling.

Het recht op een menselijke blik, en de termijn die daarbij hoort

Komt een sollicitant terug op een geautomatiseerde afwijzing, dan heeft hij volgens de Autoriteit Persoonsgegevens recht op een nieuw besluit van een mens. De toezichthouder stelt daarbij een harde eis aan de afhandeling, namelijk dat u binnen één maand op zo'n verzoek reageert.

Die termijn is in de praktijk het grootste struikelblok. Niet omdat de beoordeling zelf lang duurt, maar omdat dit soort verzoeken bij veel organisaties binnenkomt op een algemeen sollicitatie-adres zonder eigenaar. Wie geen route heeft van kandidaatmail naar een aanwijsbare beoordelaar, haalt de maand niet. De Europese Commissie schrijft voor de AI Act voor dat menselijk toezicht wordt toegewezen aan een persoon met voldoende bevoegdheid. Dat is ook los van die wet goed advies.

Testen en auditen is geen eenmalige actie

De Autoriteit Persoonsgegevens verwacht dat organisaties hun systemen regelmatig auditen en testen, zodat deze werken zoals bedoeld en geen onjuiste resultaten geven. Op haar pagina over algoritmische risico's op de werkvloer benadrukt de toezichthouder bovendien dat risico's contextspecifiek zijn.

Dat betekent dat u zich niet kunt verschuilen achter de audit van uw leverancier. Die audit is uitgevoerd op de data en de context van die leverancier, niet op uw vacatures, uw doelgroep en uw afwijspercentages. Op de overzichtspagina met AI recruitment tools is per aanbieder te zien welke documentatie wordt verstrekt, maar de verantwoordelijkheid voor de uitkomst in uw eigen proces blijft bij u liggen.

De toelichting op de AI Act voor wervingsbedrijven stelt het onomwonden. U bent een deployer zodra u een AI-tool selecteert, configureert of erop vertrouwt, ook als u de technologie niet zelf hebt gebouwd.

Wat betekent dit voor uw organisatie

Vier concrete stappen, in volgorde van urgentie.

Breng eerst in kaart welke stap in uw selectieproces feitelijk zonder mens plaatsvindt. Kijk daarbij niet naar wat de leverancier zegt, maar naar wat uw recruiters werkelijk openen. Wordt een deel van de kandidaten nooit door een mens bekeken, dan heeft u te maken met artikel 22.

Bepaal daarna op welke van de drie uitzonderingen u zich baseert. Komt u uit bij toestemming, laat dan juridisch toetsen of die toestemming in uw proces vrij genoeg is gegeven.

Werk vervolgens uw privacyverklaring bij, zodat die beschrijft welke stap geautomatiseerd verloopt en hoe een kandidaat om een herbeoordeling kan vragen.

Richt tot slot de route voor zo'n verzoek in, met een aanwijsbare eigenaar en een termijn die binnen de maand blijft. Dit is de goedkoopste stap van de vier en de stap waarop u bij een klacht het snelst wordt afgerekend.

De Europese Commissie wijst er daarnaast op dat de fundamentele-rechtenbeoordeling uit de AI Act samen met de gegevensbeschermingseffectbeoordeling moet worden uitgevoerd, om dubbel werk te voorkomen. Wie nu een DPIA opstelt, legt daarmee alvast de basis voor wat in 2027 nodig is.

Veelgestelde vragen

Mag ik AI gebruiken om cv's voor te sorteren?

Ja, mits een mens de uitkomst daadwerkelijk beoordeelt. Wordt een deel van de kandidaten op basis van de score afgewezen zonder dat iemand ernaar kijkt, dan is sprake van een geautomatiseerd besluit en heeft u een van de drie grondslagen uit artikel 22 AVG nodig.

Moet ik sollicitanten vertellen dat ik AI gebruik?

De Autoriteit Persoonsgegevens verlangt dat geautomatiseerde besluitvorming in de privacyverklaring wordt vermeld. In de toelichting op de AI Act voor wervingsbedrijven wordt daarnaast gewezen op het recht van kandidaten op uitleg over de belangrijkste factoren achter een besluit.

Geldt dit ook als mijn leverancier buiten de EU zit?

De AVG geldt voor de verwerking van gegevens van betrokkenen in de EU, ongeacht waar de leverancier is gevestigd. U blijft als werkgever verwerkingsverantwoordelijke voor wat er met de gegevens van uw sollicitanten gebeurt.

Conclusie

Het uitstel van de AI Act heeft bij veel HR-afdelingen de indruk gewekt dat er tot 2027 niets hoeft te gebeuren. Dat klopt niet. De AVG stelt vandaag al eisen aan geautomatiseerde afwijzingen, aan wat u sollicitanten vertelt en aan hoe snel u reageert op een verzoek om een menselijke beoordeling. Het goede nieuws is dat de stappen die u nu zet onder de AVG, grotendeels hetzelfde werk zijn als wat de AI Act later van u gaat vragen. Wie nu begint, doet het werk één keer.