AVG en AI in recruitment: welke regels gelden er, en hoe gaan wij ermee om?

AI kan recruiters veel werk uit handen nemen: cv's uitlezen, kandidaten matchen, berichten voorbereiden. Maar je werkt met gegevens van mensen, en over het gebruik van AI bij werving en selectie zijn duidelijke regels. In dit artikel zetten we op een rij welke regels er gelden, en hoe we daar bij Lets Hire mee omgaan.

De AVG: cv's zijn persoonsgegevens

Een cv zit vol persoonsgegevens: naam, contactgegevens, werkervaring, opleiding. Daarom geldt de Algemene verordening gegevensbescherming (AVG) voor alles wat je met kandidaatgegevens doet, met of zonder AI. De belangrijkste principes voor recruitment:

• Doelbinding: gebruik gegevens alleen voor het doel waarvoor je ze kreeg, zoals een sollicitatie of het bemiddelen naar werk.
• Dataminimalisatie: verwerk niet meer gegevens dan je nodig hebt.
• Bewaartermijnen: bewaar sollicitatiegegevens niet langer dan nodig. De Autoriteit Persoonsgegevens noemt als richtlijn tot vier weken na afloop van een sollicitatieprocedure, of tot een jaar als de kandidaat daar toestemming voor geeft.
• Transparantie: kandidaten moeten weten wat je met hun gegevens doet, ook als je daar AI voor gebruikt.
• Geen besluit door alleen een computer: volgens artikel 22 van de AVG mogen mensen niet worden onderworpen aan een besluit dat uitsluitend geautomatiseerd is genomen, als dat hen in aanmerkelijke mate treft. Een afwijzing die alleen door een algoritme is bepaald, past daar niet bij.

Wie is waarvoor verantwoordelijk? Het recruitmentbureau of de werkgever bepaalt waarom en hoe kandidaatgegevens worden gebruikt, en is daarmee verwerkingsverantwoordelijke. Lets Hire verwerkt die gegevens in opdracht, als verwerker, en legt dat vast in een verwerkersovereenkomst.

De AI Act: werving en selectie is 'hoog risico'

Sinds 1 augustus 2024 is de Europese AI-verordening (AI Act) van kracht. Die werkt met risiconiveaus: hoe groter de impact van een AI-systeem op mensen, hoe strenger de regels. AI die wordt gebruikt om kandidaten te werven, te selecteren of te beoordelen staat in bijlage III van de AI Act en geldt daarmee als hoog risico.

1. 1Sinds 2 februari 2025Verboden AI-praktijken zijn niet meer toegestaan, zoals emotieherkenning op de werkplek. Organisaties die AI inzetten, moeten zorgen dat hun medewerkers voldoende kennis hebben om er verantwoord mee te werken (AI-geletterdheid).
2. 2Sinds 2 augustus 2026Transparantieregels: mensen moeten weten dat ze met een AI-systeem te maken hebben, bijvoorbeeld met een chatbot.
3. 3Vanaf 2 december 2027De zware eisen voor hoog-risico-AI gaan gelden, zoals risicobeheer, menselijk toezicht, goede datakwaliteit en logging. Die stonden eerst gepland voor augustus 2026, maar zijn met het Europese 'Digital Omnibus'-pakket uitgesteld.

Het uitstel geeft lucht, maar de richting is duidelijk: AI in recruitment moet uitlegbaar zijn, de mens moet de controle houden en het moet zorgvuldig met gegevens omgaan. Daar bouwen we nu al op.

Hoe Lets Hire ermee omgaat

• Jij beslist, niet Inti. Inti stelt voor: een matchscore, een conceptbericht, een volgende stap. Niets wordt verstuurd of aangepast voordat jij het hebt goedgekeurd. Afwijzen of aannemen blijft altijd een menselijke beslissing.
• Uitleg bij elke match. Een matchscore komt met de sterke punten en aandachtspunten van een kandidaat, zodat je ziet waaróm iemand wel of niet past en het advies kunt controleren.
• Je data blijft van jou. Elke organisatie werkt in een eigen, afgeschermde omgeving. Onze database staat in Frankfurt, binnen de EU.
• AI via een zakelijke verbinding. Voor de AI gebruiken we het taalmodel Claude van Anthropic via een zakelijke API. Volgens de zakelijke voorwaarden van Anthropic worden die gegevens niet gebruikt om AI-modellen te trainen. Waar gegevens buiten de EU worden verwerkt, zorgen we voor passende waarborgen, zoals het EU-VS Data Privacy Framework of standaardcontractbepalingen.
• Alleen recruitment. Inti werkt alleen aan recruitmenttaken en alleen binnen jouw eigen organisatie. Geen gezichtsanalyse, geen emotieherkenning, geen beoordeling van mensen op basis van gevoelige kenmerken.
• Duidelijke afspraken. Met elke klant sluiten we een verwerkersovereenkomst. Bij het einde van een abonnement kun je je gegevens exporteren, waarna we ze verwijderen.

Wat kun je zelf doen als recruiter?

• Vertel kandidaten in je privacyverklaring dat je AI gebruikt om cv's te verwerken en kandidaten te matchen.
• Gebruik een matchscore als advies, niet als besluit. Kijk zelf naar de kandidaat voordat je iemand afwijst.
• Spreek bewaartermijnen af in je team en houd je eraan.
• Zorg dat iedereen in je team weet hoe de AI werkt en waar de grenzen liggen. Dat is meteen je invulling van AI-geletterdheid.