Voldoet je recruitmentsoftware aan de AVG en de AI Act? Checklist voor werkgevers

Als je vandaag recruitmentsoftware koopt, koop je een AI-systeem dat onder de strengste categorie van de Europese AI Act valt. Tegelijk verandert er in 2026 het een en ander aan de tijdlijn, waardoor veel leveranciers vaag doen over waar ze precies staan.

Dit artikel zet op een rij wat er nu al geldt, wat later komt, en welke tien vragen je aan een leverancier stelt voordat je tekent.

Waarom dit nu speelt

Twee regimes lopen door elkaar heen: de AVG, die er al jaren is, en de AI Act, die gefaseerd van kracht wordt.

Werving en selectie staat in Bijlage III van de AI Act, de lijst met hoog-risicotoepassingen. Dat is geen detail: het betekent dat er eisen gelden aan documentatie, menselijk toezicht, logging en risicobeheer.

De datum waarop die hoog-risicoverplichtingen afdwingbaar worden is in 2026 verschoven. Met de Digital Omnibus on AI, in juli 2026 in werking getreden, gaan de Bijlage III-verplichtingen van 2 augustus 2026 naar 2 december 2027.

Wat daarbij belangrijk is om te weten:

• De AVG is niet uitgesteld. Artikel 22 over geautomatiseerde besluitvorming, de DPIA-plicht, verwerkersovereenkomsten en bewaartermijnen gelden onverkort. Het toezichtsrisico op korte termijn zit hier, niet in de AI Act.
• De transparantieverplichtingen uit artikel 50 gelden sinds 2 augustus 2026. Kandidaten moeten weten dat ze met AI te maken hebben.
• Het verbod uit artikel 5 geldt al sinds februari 2025. Daaronder valt onder meer emotieherkenning op de werkplek. Een tool die claimt de gemoedstoestand of persoonlijkheid van een sollicitant af te leiden, beweegt zich op glad ijs.
• AI-geletterdheid, artikel 4, geldt ook al sinds februari 2025. Wie met het systeem werkt, moet weten wat het doet en waar de grenzen liggen.

Uitstel is dus geen afstel, en op de onderdelen die er nu al toe doen is uitstel niet eens aan de orde.

Wie is waarvoor verantwoordelijk?

Een misverstand dat veel geld kan kosten: als werkgever koop je geen compliance af.

• De leverancier is aanbieder van het AI-systeem. Die is verantwoordelijk voor technische documentatie, risicobeheer, kwaliteitsborging en, uiteindelijk, conformiteitsbeoordeling.
• Jij bent gebruiksverantwoordelijke. Jij bent verantwoordelijk voor de rechtsgrondslag, de informatie aan kandidaten, het daadwerkelijke menselijke toezicht en de bewaartermijnen in jouw proces.

Een leverancier die zegt "wij zijn compliant, u hoeft niets te doen" begrijpt de verordening niet, of hoopt dat jij hem niet begrijpt.

Tien vragen aan je leverancier

Stel deze vragen schriftelijk, vóór ondertekening.

1. Wordt onze kandidaatdata gebruikt om modellen te trainen? Het antwoord moet nee zijn, zwart op wit.
2. Wie zijn de subverwerkers en welk AI-model wordt gebruikt? Je hebt dit nodig voor je eigen verwerkingsregister.
3. Is er een verwerkersovereenkomst met een subverwerkerslijst? Zonder DPA kun je niet starten.
4. Hoe wordt menselijke tussenkomst afgedwongen? Niet: "de gebruiker kan altijd zelf beslissen." Wel: het systeem blokkeert een inhoudelijke afwijzing tot een mens de documenten heeft ingezien.
5. Is er een audit trail? Wie heeft wanneer op basis waarvan besloten. Dit heb je nodig zodra een kandidaat bezwaar maakt.
6. Kan ik per kandidaat uitleggen waarop de beoordeling is gebaseerd? Een kaal cijfer is niet uitlegbaar en dus niet verdedigbaar.
7. Doet het systeem uitspraken over persoonlijkheid, emotie of mentale eigenschappen? Zo ja, loop weg. Dit raakt aan artikel 5.
8. Welke maatregelen zijn er tegen bias, en worden die gemonitord? Vraag naar de procedure én naar het bewijs dat die wordt gevolgd.
9. Wat zijn de standaard bewaartermijnen en kan ik die zelf instellen? Voor afgewezen kandidaten is vier weken de gangbare norm, langer alleen met toestemming.
10. Waar staat de technische documentatie en mag ik die inzien? Bij een hoog-risicosysteem moet die er zijn. Nee is een veeg teken.

De AVG-kant: wat je zelf moet regelen

• Rechtsgrondslag. In de meeste gevallen gerechtvaardigd belang voor de sollicitatieprocedure zelf, met expliciete toestemming voor de AI-analyse als extra laag.
• Informatieplicht. Vertel kandidaten in je vacature of sollicitatieformulier dat er AI wordt gebruikt, waarvoor, en dat een mens de beslissing neemt.
• DPIA. Bij hoog-risicoverwerking van sollicitatiegegevens is een gegevensbeschermingseffectbeoordeling in de praktijk onvermijdelijk.
• Bewaartermijnen. Vier weken na afwijzing, of maximaal een jaar met toestemming voor de talentpool. Zet dit ook technisch af, niet alleen in beleid.
• Rechten van kandidaten. Inzage, correctie en verwijdering moeten praktisch uitvoerbaar zijn. Meer hierover in GDPR en recruitment.

Hoe SelectWiser dit invult

Eerlijk en concreet, want op dit moment heeft geen enkele aanbieder in deze categorie het volledige Bijlage III-traject afgerond; die deadline ligt op 2 december 2027.

Wat er nu al staat:

• AI-analyse gebeurt alleen met expliciete toestemming van de kandidaat. Geen toestemming betekent geen analyse, en ook geen kosten. Solliciteren blijft gewoon mogelijk.
• Kandidaatdata wordt niet gebruikt voor modeltraining en niet permanent opgeslagen bij de AI-provider.
• Een inhoudelijke afwijzing vereist aantoonbare menselijke inzage van cv, motivatie of analyse. Het systeem legt die inzagemomenten vast.
• Elke afwijzing wordt vastgelegd met een menselijke reden, plus een audit trail van wie wanneer wat besloot.
• Het model mag geen aannames doen over leeftijd, geslacht, afkomst, gezondheid, religie of seksuele oriëntatie, en ook geen indirecte aanwijzingen daarvoor gebruiken.
• Er worden geen conclusies getrokken over persoonlijkheid of psychologische eigenschappen. De analyse blijft beperkt tot tekstuele inhoud en expliciete functie-eisen.
• Het volledige beleid is openbaar na te lezen op de pagina AI-governance.

Veelgestelde vragen

Welke recruitmentsoftware voldoet aan de AVG en de AI Act? Vraag geen keurmerk maar bewijs: verwerkersovereenkomst, subverwerkerslijst, bewaartermijnen, uitlegbare scores en afgedwongen menselijke tussenkomst. Wie die vier niet kan laten zien, voldoet niet.

Wat zijn de AVG-aandachtspunten bij recruitment assessments? Rechtsgrondslag en toestemming, informatie vooraf, dataminimalisatie, bewaartermijn na afronding, en het recht op een menselijke blik op de uitkomst. Bij psychometrische tests komt daar de vraag bij of het instrument gevalideerd is voor deze toepassing.

Mag ik kandidaten volledig automatisch afwijzen? In de praktijk niet. Artikel 22 AVG beperkt besluiten die uitsluitend op geautomatiseerde verwerking berusten en rechtsgevolgen hebben. Zorg voor echte, aantoonbare menselijke tussenkomst.

Moet ik kandidaten vertellen dat ik AI gebruik? Ja. Sinds 2 augustus 2026 gelden de transparantieverplichtingen uit artikel 50 AI Act, en de informatieplicht uit de AVG gold al.

Verandert er iets nu de deadline naar december 2027 is verschoven? Voor jou als werkgever weinig. De AVG-verplichtingen liepen door en de transparantie-eisen zijn juist recent ingegaan.

Conclusie

De uitgestelde deadline is geen reden om achterover te leunen: de verplichtingen die vandaag al gelden zijn precies de verplichtingen waar een kandidaat of toezichthouder je op aanspreekt.

Neem de tien vragen mee in je volgende leveranciersgesprek. Een aanbieder die daar zonder omhaal antwoord op geeft, heeft zijn zaken waarschijnlijk op orde. Zie ook waar je op let bij het vergelijken van AI recruitment tools of neem contact op met vragen over ons dossier.