AI in werving en selectie: risico's, bias en wat de EU AI Act nu al van u vraagt

De belofte is voor elke overbelaste HR-afdeling onweerstaanbaar. In plaats van handmatig honderden cv's door te nemen, leest, analyseert en rangschikt een algoritmealgoritmeDe leerprocedure (bijvoorbeeld gradient descent, boominductie); ze op trainingsdata uitvoeren levert een model op. Controls hechten zich aan modellen en systemen, niet aan algoritmen in abstracte zin. Zie machine learning, trainingsdata.Open full entry → de kandidaten in enkele seconden. De best passende talenten komen bovendrijven; de rest ontvangt automatisch een afwijzing. Het is efficiënt, schaalbaar, en het voelt objectief.

Maar die objectiviteit is een gevaarlijke illusie. Het geautomatiseerd screenen van kandidaten is een van de meest juridisch beladen toepassingen van kunstmatige intelligentie binnen het bedrijfsleven. Terwijl HR-managers de efficiëntiewinst vieren, begeven zij hun organisatie stilzwijgend in de zwaarste risicocategorie van de EU AI ActEU AI ActVerordening (EU) 2024/1689, in het Nederlands de AI-verordening, de Europese wet over artificiële intelligentie. Ze hanteert een risicogebaseerde aanpak: verboden praktijken, eisen voor hoogrisico-AI-systemen, transparantieverplichtingen voor specifieke toepassingen en een apart regime voor AI-modellen voor algemene doeleinden (general-purpose AI). Verplichtingen zijn verdeeld tussen aanbieders en gebruiksverantwoordelijken. Zie hoogrisico-AI-systeem, general-purpose AI, conformiteitsbeoordeling.Open full entry →, met verplichtingen die vergaand zijn en die niet aan de softwareleverancier kunnen worden gedelegeerd.

De illusie van de objectieve machine

Een algoritme heeft geen intrinsiek begrip van 'talent' of 'geschiktheid'. Het herkent patronen in historische data, in dit geval de aannamebeslissingen die uw organisatie in het verleden heeft genomen. Het model leert niet wie de beste kandidaat is, maar wie het meest lijkt op de mensen die eerder succesvol zijn aangenomen.

Als uw IT-afdeling historisch gezien voornamelijk uit mannen bestaat, of als bepaalde achtergronden onbewust consequent werden afgewezen, codificeert het algoritme deze patronen en herhaalt ze op industriële schaal.

Dit is geen theorie. Amazon ontdekte in 2018 dat hun intern ontwikkeld AI-recruitmentsysteem systematisch vrouwen benadeelde bij technische functies, omdat het model was getraind op tien jaar aanwezigheidsdata uit een mannelijk gedomineerde sector. Het systeem deed precies wat het was getraind om te doen. Dat was precies het probleem. Amazon stopte het project.

Wat begon als een instrument om menselijke vooroordelen te elimineren, functioneert in de praktijk regelmatig als versterker van historische ongelijkheid.

Bijlage III: werving en selectie is expliciet hoog-risico

De Europese wetgever erkent de maatschappelijke impact van algoritmische besluitvorming op de arbeidsmarkt. Bijlage IIIBijlage IIIDe lijst van de EU AI Act met hoog-risico-toepassingsgebieden: biometrie, kritieke infrastructuur, onderwijs, werk, essentiële diensten, rechtshandhaving, migratie, justitie. Zie conformiteitsbeoordeling, conformiteitsverklaring.Open full entry → van de EU AI Act classificeert AI-systemen die worden ingezet voor werving, selectie, het filteren van sollicitaties of het evalueren van kandidaten expliciet als hoog-risicorisicoIn de termen van de EU AI Act de combinatie van de waarschijnlijkheid dat een schade optreedt en de ernst ervan als dat gebeurt. De schakel tussen een principe (via de schade die het zou schenden) en een control (de maatregel die het vermindert). Het benoemen van de schade en het inschatten van het risico is op grond van Art. 9 vereist voordat een maatregel wordt gekozen. Zie schade, control, restrisico.Open full entry →.

Dit is geen grijs gebied. Zodra uw organisatie een AI-tool inzet die cv's scoort, kandidaten rangschikt of sollicitatiebeslissingen ondersteunt, treedt een zwaar compliance-regime in werking. De kernverplichtingen voor deployers onder Artikel 26:

• Aantoonbaar menselijk toezichtmenselijk toezichtHet ingebouwde vermogen van een mens om een AI-systeem te monitoren, erin in te grijpen, het te overrulen of stil te leggen, alleen betekenisvol wanneer de mens de bevoegdheid, de informatie en de tijd heeft om te handelen. Zie principe, human-in-the-loop, human-on-the-loop.Open full entry →, u wijst per systeem een getrainde, bevoegde persoon aan die de AI-uitkomst kan overrulen; diens interventies worden gelogd (Art. 26.2)
• Inputdata-bewaking, u bent verantwoordelijk voor de kwaliteit van de data waarmee het systeem werkt (Art. 26.4)
• Doorlopende monitoringdoorlopende monitoringHet voortdurend observeren van de prestatie, drift, eerlijkheid en het gebruik van een uitgerold systeem tegen drempels met benoemde eigenaren, de control die past bij de snelheid en schaal van AI. Zie control, model drift.Open full entry →, u bewaakt actief of het systeem presteert zoals beoogd, ook na ingebruikname (Art. 26.5)
• Logretentie, beslissingen en interventies zijn aantoonbaar vastgelegd voor de volledige gebruiksperiode (Art. 26.6)
• Fundamental Rights Impact Assessment (FRIAFRIAFundamental Rights Impact Assessment, vereist van publieke organen en bepaalde private gebruiksverantwoordelijken voordat ze sommige hoog-risico-AI-systemen onder de EU AI Act gebruiken. Zie grondrechten-impactassessment, gebruiksverantwoordelijke.Open full entry →), een vooraf uitgevoerde, gedocumenteerde beoordeling van de impact op grondrechten (Art. 27)

Wanneer geldt de FRIA, en voor wie?

Het Omnibus-akkoord veranderde de reikwijdte van Art. 27 niet. Een gewone private werkgever die een CV-screeningstool gebruikt, valt niet onder de FRIA-plicht (alle overige Art. 26-verplichtingen blijven wel gelden). De FRIA-plicht rust op publiekrechtelijke instanties, private aanbiedersaanbiederDe actor die een AI-systeem ontwikkelt (of laat ontwikkelen) en het onder eigen naam op de markt brengt of in gebruik neemt, met fabrikantachtige plichten: ontwerpcontrols, documentatie, conformiteit. Zie gebruiksverantwoordelijke, AI-verplichtingen.Open full entry → van openbare diensten en deployers van Bijlage III-punt 5(b)/(c)-systemen (kredietwaardigheid van natuurlijke personen, en risicobeoordeling en prijsstelling in levens- en zorgverzekering). Een bank of verzekeraar is dus altijd FRIA-plichtig; een private werkgever die cv's screent niet.

De FRIA is geen korte vragenlijst, maar een gestructureerd onderzoek naar zeven grondrechtendimensies: gelijkheid, non-discriminatie, privacyprivacyHet principe dat persoonsgegevens die een AI-systeem gebruikt of voortbrengt binnen het doel en de grondslag blijven waarvoor ze zijn verzameld. Drie routes veroorzaken de meeste problemen: persoonsgegevens in trainingsmateriaal dat daar nooit voor bedoeld was, modeloutput die reproduceert wat het model heeft onthouden, en purpose creep, waarbij een systeem dat voor één gebruik is gebouwd afglijdt naar een ander gebruik dat de oorspronkelijke grondslag niet dekte. De AVG regelt dit volledig, en de EU AI Act voegt data governance-plichten toe voor hoogrisicosystemen (artikel 10). Zie DPIA, verantwoorde AI.Open full entry →, menselijke waardigheid, vrijheid van beroepskeuze, recht op eerlijk proces en bescherming van persoonsgegevens. U beoordeelt per dimensie de potentiële impact, de bijbehorende risico's en de beheersmaatregelen.

De FRIA moet zijn afgerond vóór ingebruikname en periodiek worden herzien. Een FRIA die na een incident wordt opgesteld, telt niet als compliance.

De mythe van de gecertificeerde leverancier

De meest gehoorde verdediging van HR-directeuren: "Wij gebruiken een tool van een grote, gerenommeerde softwareleverancier. Zij zijn gecertificeerd, dus wij zijn compliant."

Dit is een fundamentele misvatting. Bij het inkopen van een AI-systeemAI-systeemEen machinaal systeem dat voor expliciete of impliciete doelen uit invoer afleidt hoe het uitvoer genereert, voorspellingen, inhoud, aanbevelingen of beslissingen, die fysieke of virtuele omgevingen kunnen beïnvloeden. De OESO-achtige definitie die de EU AI Act volgt. Zie algoritme, machine learning.Open full entry → voor werving en selectie bent u de deployer in de zin van de AI Act. Uw leverancier kan garanderen dat de software correct is gebouwd, de CE-markeringCE-markeringDe markering die op producten (waaronder hoog-risico-AI-systemen) wordt aangebracht en aangeeft dat ze voldoen aan de toepasselijke EU-eisen. Zie conformiteitsbeoordeling, conformiteitsverklaring.Open full entry → of conformiteitsverklaringconformiteitsverklaringDe ondertekende verklaring van de aanbieder dat een hoog-risico-AI-systeem aan de eisen van de AI Act voldoet, opgesteld voordat het systeem op de markt wordt gebracht. Zie aanbieder, conformiteitsbeoordeling.Open full entry → dekt hun deel van de verantwoordelijkheid. Maar u bent verantwoordelijk voor hoe en op wie u dat systeem inzet.

Geen enkele leverancier kan uw FRIA uitvoeren. Geen enkele leverancier kan uw menselijk-toezichtsprotocol inrichten. Geen enkele leverancier is verantwoordelijk voor de kwaliteit van de inputdata die uw HR-afdeling aanlevert. Deze verplichtingen zijn structureel van de deployer.

De sollicitant informeren (Art. 26(11) en Art. 86)

De plicht om een persoon die door een Bijlage III-systeem wordt beoordeeld te informeren is Art. 26(11); het recht op uitleg van een individueel besluit is Art. 86. Art. 50 betreft een andere set (chatbots, synthetische content, emotieherkenningemotieherkenningEen AI-systeem dat de emoties van een persoon afleidt uit biometrische gegevens; het gebruik ervan op de werkvloer en in het onderwijs is onder de AI Act beperkt. Zie biometrische categorisering, verboden praktijken.Open full entry → en deepfakesdeepfakeDoor AI gegenereerde of gemanipuleerde audio, beeld of video die echte personen of gebeurtenissen overtuigend weergeeft die niet hebben plaatsgevonden; onderworpen aan etiketteringsplichten onder de transparantielaag van de EU AI Act. Zie generatieve AI, transparantie.Open full entry →). Omdat de informatieplicht in het Bijlage III-regime valt, volgt zij de Bijlage III-tijdlijn (2 december 2027), niet de datum van 2 augustus 2026 die voor Art. 50 geldt. In de praktijk betekent dit nog steeds actieve, begrijpelijke informatie op het moment van de beoordeling, niet verstopt in de privacyverklaring.

In de context van werving betekent dit dat sollicitanten moeten weten dat hun cv door een algoritme wordt beoordeeld, welke informatie daarvoor wordt gebruikt en hoe de betrokkene bezwaar kan maken. Wie dit achterwege laat, overtreedt zowel de AI Act als mogelijk ook AVGAVGVerordening (EU) 2016/679, de Algemene verordening gegevensbescherming (in het Engels: GDPR). De AVG geldt voor AI zodra persoonsgegevens de training, invoer, uitvoer of logs binnenkomen, en werkt naast de EU AI Act in plaats van erdoor te worden vervangen. Zie verwerkingsverantwoordelijke, verwerker, DPIA.Open full entry →-rechten op geautomatiseerde besluitvorminggeautomatiseerde besluitvormingBeslissingen die uitsluitend op geautomatiseerde verwerking berusten en rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen hebben, door AVG-artikel 22 beperkt tot drie uitzonderingsgronden, met waarborgen voor menselijke tussenkomst. Zie profilering, menselijk toezicht.Open full entry → (Art. 22 AVG).

AI literacy als wettelijke verplichting (Art. 4)

Artikel 4 van de AI Act is al van kracht sinds 2 februari 2025. Het verplicht organisaties om medewerkers die met AI-systemen werken een passend niveau van AI-kennis bij te brengen, afgestemd op het specifieke systeem en hun rol daarin.

Voor een HR-medewerker die dagelijks de output van een screeningsalgoritme gebruikt, betekent dit: begrijpen hoe het systeem tot een rangschikking komt, welke factoren het zwaarst wegen, hoe biasbiasEen systematische scheefheid in data, modelgedrag of uitkomsten die de ene groep zonder rechtvaardiging anders behandelt dan de andere. Bias sluipt meestal binnen via trainingsdata die historische patronen weerspiegelen. Voor hoogrisico-AI-systemen vereist Artikel 10 van de EU AI Act onderzoek van datasets op mogelijke bias en maatregelen om die te detecteren, te voorkomen en te beperken. Zie eerlijkheid.Open full entry → kan ontstaan en wanneer het professioneel oordeel zwaarder moet tellen dan de algoritmische uitkomst. Aantoonbaar, met trainingsregistratiestrainingsregistratiesBewijs van wie welke versie van welke trainingsinhoud heeft afgerond, wanneer, met welk resultaat, het artefact dat training laat functioneren als een compliance-control. Zie AI-geletterdheid, bewijs.Open full entry → die u bij een audit kunt overleggen. Generieke "AI-bewustwordingstraining" volstaat niet.

Het toezicht is geen theorie meer. In de Rapportage AI & Algoritmes Nederland van maart 2026 wijdt de Autoriteit Persoonsgegevens, coördinerend toezichthouder op algoritmes en AI, een hoofdstuk aan AI bij werving en selectie. De conclusie: deze systemen moeten accuraat, niet-discriminerend en uitlegbaar zijn voor kandidaten, en de meeste voldoen daar nu niet aan. Een eerste selectie wordt vaak gemaakt zonder dat duidelijk is hoe het systeem geschiktheid voorspelt, hoe een oordeel tot stand komt of hoe kandidaten dat kunnen betwisten. Voor organisaties die AI inzetten bij werving zijn de plichten uit dit artikel al de maatstaf die een toezichthouder hanteert.

Vijf stappen naar werkbare governance

Stap 1, Inventariseer volledig. Begin met een eerlijk overzicht van alle AI-functionaliteit die uw wervingsproces raakt. Niet alleen de zichtbare screeningstool, maar ook de AI-features in uw Applicant Tracking System, de "slimme" zoekfunctie op uw carrièresite, planningsassistenten en videoanalyse bij digitale gesprekken. Shadow AI, AI die buiten het gezichtsveld van IT en compliance opereert, is in HR-omgevingen bijzonder wijdverspreid.

Stap 2, Voer de FRIA uit vóór ingebruikname. Behandel de FRIA niet als een formaliteit maar als een inhoudelijk onderzoek. Betrek naast HR ook uw privacy officer, juridische adviseur en, waar van toepassing, de ondernemingsraad. De OR heeft instemmingsrecht bij de invoering van systemen die medewerkers of sollicitanten beoordelen.

Stap 3, Borg menselijk toezicht als proces, niet als principeprincipeEen van de zeven waarden van verantwoorde AI waaraan een bestuurd systeem zou moeten voldoen (eerlijkheid, veiligheid en betrouwbaarheid, privacy, beveiliging en robuustheid, transparantie en uitlegbaarheid, verantwoording, menselijk toezicht). Een principe is abstract: het benoemt een uitkomst, geen knop die je kunt omzetten. Het wordt bestuurbaar door de schade te benoemen die het zou schenden, het risico van die schade in te schatten, en controls tegen dat risico te plaatsen. Zo geborgd, wordt een principe een pijler. Zie pijler, schade, risico.Open full entry →. "Human-in-the-loophuman-in-the-loopEen toezichtsopstelling waarin een mens elk geval dat het systeem aanbeveelt goedkeurt of beslist, passend bij individuele beslissingen met grote gevolgen, en alleen betekenisvol met bevoegdheid, informatie en tijd. Zie menselijk toezicht, human-on-the-loop.Open full entry →" is geen filosofisch standpunt, het is een operationele vereiste met naam, bevoegdheid en bewijsbewijsHet concrete bewijs dat een control is ontworpen, geïmplementeerd en werkt: een testrapport, een audit trail, een impactassessment, een monitoringlog. Elke schakel in de governance-keten levert een artefact op, en samen zijn ze wat een organisatie overhandigt aan haar eigen bestuur, een toezichthouder, een klant of een betrokkene om te tonen, niet te zeggen, dat een systeem bestuurd is. De afwezigheid ervan is zelf het falen: een risicoregister zonder testresultaten, of een maatregel die wordt geclaimd zonder validatie, is een governance-gat, geen papierwerk-gat. De sluitende schakel van de governance-keten. Zie control, governance.Open full entry →. Wijs per systeem een toezichthouder aan, leg vast hoe diens interventies worden geregistreerd en zorg dat hij de AI-uitkomst daadwerkelijk kan en mag overrulen.

Stap 4, Informeer uw sollicitanten actief. Verwerk de informatieplicht in uw wervingscommunicatie: vermeld in de bevestigingsmail na een sollicitatie dat de eerste screening gedeeltelijk algoritmisch is, wat daarvoor wordt gebruikt en hoe de betrokkene bezwaar kan maken.

Stap 5, Monitor op uitkomstverdeling. Analyseer periodiek of de AI-uitkomsten systematisch afwijken langs demografische lijnen. Registreer de bevindingen en de maatregelen die u neemt. Dit is tegelijk de kern van uw monitoring-verplichting onder Art. 26.5 én uw sterkste verdediging bij een klacht over discriminatie.

Tijdlijn: wanneer moet u actie ondernemen?

Datum	Verplichting	Status
2 feb 2025	Art. 4 AI Literacy van kracht	✅ Nu verplicht
2 aug 2026	Art. 50 Transparantieverplichtingen (incl. informatieplicht naar betrokkenenbetrokkenenDe individuen of groepen die onderworpen zijn aan of geraakt worden door de uitkomsten of beslissingen van een AI-systeem, en wier rechten het governance-regime beoogt te beschermen. Zie schade, belanghebbendenanalyse.Open full entry →)	⚠️ Over 2 maanden
2 dec 2027	Volledige hoog-risico verplichtingen (Art. 26, FRIA, logretentie)	🔜 Voorbereiding nu

De deadline van december 2027 voor volledige hoog-risico compliance klinkt ver weg, maar een FRIA-traject, het inrichten van menselijk-toezichtsprocessen en het borgen van AI Literacy vergen maanden van voorbereiding. Organisaties die in 2026 beginnen, lopen voor op de curve; wie wacht tot 2027 bouwt onder tijdsdruk.

De reële inzet

Organisaties die AI inzetten voor werving en selectie zonder de bijbehorende governancegovernanceHet stelsel waarmee een organisatie zichzelf bestuurt: corporate governance, risicobeheer, compliance, verantwoordingslijnen, risicobereidheid en het besturingsmodel. Het bestaat over alles wat de organisatie doet, voor en los van AI. AI governance is ditzelfde stelsel, uitgebreid voor AI. Zie AI governance, governance design, execution level.Open full entry →, bouwen een compliance-schuld op die op twee fronten kan worden afgerekend: door de toezichthouder via boetes tot €15 miljoen of 3% van de wereldwijde jaaromzet, en door de rechter via discriminatieprocedures van afgewezen kandidaten die kunnen aantonen dat een algoritme hun kansen heeft bepaald.

Organisaties die de governance wél inrichten, bereiken iets dat moeilijker te kwantificeren maar minstens zo waardevol is: zij kunnen aantonen dat hun wervingsproces eerlijk is, niet omdat ze dat stellen, maar omdat ze het kunnen bewijzen.