De inzet van AI op de werkvloer neemt snel toe. Van cv‑screening tot prestatiemonitoring: veel werkgevers gebruiken inmiddels digitale instrumenten die mede bepalen wie wordt aangenomen, beoordeeld, bevorderd of ontslagen. Dat biedt kansen, maar brengt ook duidelijke risico’s met zich mee. Het gebruik van AI‑systemen binnen de arbeidscontext kan immers een directe en wezenlijke impact hebben op de loopbaanperspectieven en de arbeidsrechten van werknemers.
Het is dan ook niet voor niets dat de Europese wetgever in de AI Act verschillende toepassingen binnen HR als hoog risico heeft aangewezen. Maar betekent dit dan dat alle HR‑software automatisch als high‑risk moet worden beschouwd? Niet noodzakelijk, al blijkt in de praktijk dat veel systemen wel degelijk in die richting bewegen.
Omdat boetes voor schending van de AI Act voor organisaties kunnen oplopen tot 15 miljoen euro of 3% van de wereldwijde jaaromzet (en bij verboden AI‑praktijken zelfs tot 35 miljoen euro of 7%) is er voor werkgevers alle reden om nauwkeurig te beoordelen of hun HR‑tools onder het high‑risk‑regime vallen en, zo ja, welke verplichtingen daaruit voortvloeien.
De Europese AI‑verordening
De AI Act is de eerste brede Europese wet die het aanbieden en gebruiken van kunstmatige intelligentie structureel reguleert. Waar eerdere beleidskaders vooral richtinggevend waren, zoals het concept van “betrouwbare AI” uit de aanbevelingen van de Europese AI‑expertgroep, legt de AI Act nu juridisch bindende normen vast voor de hele levenscyclus van AI‑systemen.
De verordening maakt deel uit van het New Legislative Framework (NLF), het Europese stelsel voor productregelgeving dat zorgt voor uniforme regels over conformiteit, markttoegang en toezicht. Omdat het een verordening betreft, geldt de AI Act rechtstreeks in alle lidstaten. Nationale implementatie is slechts in beperkte mate nodig.
Het hoofddoel van de AI Act is het creëren van één geharmoniseerd rechtskader binnen de EU. Dat moet zorgen voor rechtszekerheid voor aanbieders en gebruikers van AI, een gelijk speelveld op de interne markt en een beter beschermingsniveau voor gezondheid, veiligheid en fundamentele rechten.
Belangrijk om te benadrukken: de AI Act geldt niet voor alle digitale of geautomatiseerde systemen. Alleen systemen die voldoen aan de definitie van een “AI‑systeem” in artikel 3, lid 1, vallen binnen de reikwijdte. Die definitie is bewust breed geformuleerd: elk systeem dat een zekere mate van autonomie heeft, input verwerkt en op basis daarvan output genereert die een fysieke of digitale omgeving kan beïnvloeden. De Guidelines on the definition of an artificial intelligence system established by Regulation (EU) 2024/1689 (AI Act) van de Europese Commissie geven nadere handvatten hoe deze elementen in concrete gevallen moeten worden uitgelegd.
De risicogebaseerde aanpak van de AI Act
De AI Act hanteert een risicogebaseerde structuur: hoe groter de mogelijke impact van een AI‑systeem op gezondheid, veiligheid of fundamentele rechten, hoe zwaarder het nalevingsregime. Systemen met een beperkt risico vallen onder een lichter kader, terwijl hoogrisico‑AI‑systemen aan een uitgebreid pakket technische en organisatorische verplichtingen moeten voldoen.
Op het eerste gezicht doet deze aanpak denken aan een klassieke risicoanalyse, maar in de kern werkt de verordening met een strikt formeel classificatiestelsel. De vraag of een AI-systeem hoog risico is, wordt in beginsel beantwoord aan de hand van artikel 6 in samenhang met Bijlage I en Bijlage III: een AI‑systeem wordt alleen als hoog risico of als verboden aangemerkt wanneer het expliciet voorkomt in de in de verordening opgenomen categorieën. Staat een systeem daar niet in, dan valt het in beginsel buiten die hoogrisicocategorie.
Voor de kwalificatie als hoogrisico‑AI is dus geen materiële belangenafweging vereist. Dat is een belangrijk verschil met bijvoorbeeld de DPIA onder de AVG, waar het juist gaat om het identificeren en wegen van risico’s voor betrokkenen. Tegelijkertijd betekent dit niet dat de AI Act helemaal geen individuele risicobeoordeling kent: voor bepaalde gebruikers van hoogrisico‑systemen geldt aanvullend een verplichting om een fundamental rights impact assessment (FRIA) uit te voeren. Die FRIA staat naast eventuele DPIA‑verplichtingen onder de AVG en richt zich specifiek op de impact op grondrechten in de concrete gebruikscontext.
In grote lijnen werkt de AI Act met drie lagen:
- Verboden AI‑praktijken (artikel 5): een limitatieve lijst van toepassingen die als onaanvaardbaar worden beschouwd en volledig zijn verboden, zoals bepaalde vormen van manipulatieve AI, social scoring en biometrische categorisering.
- Hoogrisico‑AI‑systemen (artikel 6 jo. Bijlage I en III): systemen waarvoor een omvangrijk pakket verplichtingen geldt, waaronder eisen aan datakwaliteit, documentatie, transparantie, logging, menselijk toezicht en conformiteitsbeoordeling.
- Overige AI‑systemen: systemen die niet onder artikel 5 of artikel 6 vallen. Deze kunnen wel aan specifieke transparantieverplichtingen zijn onderworpen.
Wanneer kwalificeert HR‑software als high‑risk AI?
Voor organisaties die AI in hun HR‑processen inzetten, is een van de kernvragen of een systeem binnen de categorie hoogrisico‑AI valt. Artikel 6 van de AI Act onderscheidt hiervoor twee routes. Een AI‑systeem wordt als hoog risico aangemerkt wanneer het:
- een veiligheidscomponent vormt van een product dat valt onder specifieke Europese productregelgeving die in Bijlage I is genoemd, of
- een beoogd doel heeft dat voorkomt in een van de toepassingsgebieden die zijn opgesomd in Bijlage III.
Voor werkgevers is met name het toepassingsgebied dat betrekking heeft op de arbeidscontext relevant, aangeduid als “Werkgelegenheid, personeelsbeheer en toegang tot zelfstandige arbeid”.
Arbeidsverhoudingen worden van oudsher gekenmerkt door een structurele ongelijkheid tussen werkgever en werknemer. Deze asymmetrie vormt de grondslag voor het stelsel van beschermende en dwingendrechtelijke normen binnen het arbeidsrecht. Tegen deze achtergrond wordt het gebruik van AI‑systemen in de arbeidscontext als bijzonder gevoelig aangemerkt.
AI‑toepassingen kunnen immers rechtstreeks invloed hebben op loopbaanperspectieven, inkomen en arbeidsrechten. Deze gevoeligheid wordt expliciet onderstreept in overweging 57 van de AI‑verordening, waarin wordt benadrukt dat AI‑systemen in dit domein vanwege hun potentieel ingrijpende effect op de positie van werknemers als hoogrisico moeten worden beschouwd. Het gaat daarbij in het bijzonder om twee subcategorieën in Bijlage III:
- systemen die worden gebruikt voor werving en selectie, zoals tools voor gerichte vacatureplaatsing, automatische analyse en filtering van sollicitaties of algoritmen die kandidaten rangschikken;
- systemen die worden ingezet voor personeelsbeheer en prestatiemanagement, waaronder toepassingen die beslissingen ondersteunen of voorbereiden over arbeidsvoorwaarden, promoties, taaktoedeling, beëindiging van arbeidsrelaties, of die gericht zijn op het monitoren en evalueren van prestaties en gedrag.
Zodra een systeem wordt ingezet voor het selecteren van kandidaten, het beoordelen van prestaties of het voorspellen van risico’s (zoals uitstroom of verzuim), ligt een kwalificatie als hoogrisico-AI al snel voor de hand. Tegelijkertijd moet worden onderkend dat het systeem in bepaalde gevallen onder een uitzondering van artikel 6, lid 3, AI Act kan vallen. Indien daarvan sprake is, dient de aanbieder van het systeem dit gemotiveerd vast te stellen en te onderbouwen, en ervoor te zorgen dat het systeem daadwerkelijk aan de voorwaarden van deze uitzondering voldoet.
Welke verplichtingen gelden voor werkgevers bij high‑risk HR‑AI?
Zodra HR‑software onder het hoogrisicoregime van de AI Act valt, verschuift het juridische speelveld aanzienlijk. De wet gaat er dan niet meer van uit dat een AI‑systeem slechts een handig hulpmiddel is, maar dat het potentieel ingrijpt in fundamentele rechten van werknemers. Dat brengt stevige verplichtingen mee voor de organisatie die het systeem inzet.
Een centraal uitgangspunt is dat hoogrisico‑AI in HR niet zonder betekenisvol menselijk toezicht mag worden ingezet. Het systeem kan ondersteunen, signaleren of adviseren, maar de uitkomst mag niet blind worden overgenomen: er moet altijd een mens zijn die de resultaten kan beoordelen en zo nodig corrigeren of terzijde schuiven. Werkgevers moeten er dus voor zorgen dat HR‑medewerkers begrijpen hoe het systeem werkt, welke aannames eraan ten grondslag liggen en in welke situaties een algoritmische uitkomst moet worden bijgesteld of genegeerd. De gebruiksinstructies van de aanbieder vormen daarbij het vertrekpunt: daarin hoort te staan met welke mate van nauwkeurigheid het systeem werkt, welke beperkingen gelden en welke risico’s moeten worden ondervangen. Die informatie moet vervolgens worden vertaald naar concrete werkinstructies en intern beleid.
Daarnaast verplicht de AI Act werkgevers om het gebruik van hoogrisico‑systemen actief te monitoren. Providers moeten hun systemen zo ontwerpen dat relevante gebeurtenissen automatisch worden gelogd; werkgevers die het systeem inzetten, moeten ervoor zorgen dat deze logs in beginsel minimaal zes maanden worden bewaard en beschikbaar zijn. Dat is niet alleen een administratieve verplichting, maar ook een praktisch instrument: zonder logs is het nauwelijks mogelijk om achteraf te reconstrueren waarom een sollicitant is afgewezen of hoe een bepaalde beoordeling tot stand is gekomen.
Ook op het vlak van transparantie legt de AI Act duidelijke verplichtingen op. Werknemers en sollicitanten moeten vooraf weten dat voor selectie, beoordeling of monitoring gebruik wordt gemaakt van AI. Wanneer een besluit significante gevolgen heeft voor een individu, ontstaat bovendien een recht op uitleg: de werkgever moet kunnen aangeven welke rol het AI‑systeem in de besluitvorming heeft gespeeld, welke factoren daarbij zijn meegewogen en hoe die uitkomst door een mens is gewogen. Een globale of puur technisch‑abstracte toelichting volstaat daarbij niet; het gaat om een uitleg die voor de betrokken persoon daadwerkelijk begrijpelijk is.
Het gevolg van dit alles is dat werkgevers niet kunnen volstaan met een “black box‑benadering” van AI. Ook wanneer een leverancier stelt dat zijn product volledig compliant is, blijft de werkgever verantwoordelijk voor juist gebruik, adequaat toezicht en een uitlegbare besluitvorming richting werknemers. AI kan HR‑processen ondersteunen, maar de juridische eindverantwoordelijkheid ligt onverminderd bij de organisatie die het systeem inzet.
Hoe kunnen werkgevers zich voorbereiden op de AI Act?
Werkgevers die HR-AI inzetten, moeten zich onder de AI Act niet alleen afvragen of een tool “AI” is, maar vooral of ze het gebruik in de praktijk beheersen. Zodra een systeem (mogelijk) onder hoog-risico valt — zoals bij recruitment of het analyseren/voorspellen van prestaties, gedrag, verzuim of uitstroom — komen er namelijk concrete plichten bij de gebruiksverantwoordelijke te liggen: zorgen dat het systeem volgens de gebruiksinstructies wordt gebruikt, dat er deskundig en bevoegd menselijk toezicht is, dat de inputdata zo relevant en representatief mogelijk is, en dat de werking actief wordt gemonitord. Als er aanwijzingen zijn dat het systeem niet (meer) aan de regels voldoet of dat zich risico’s/ernstige incidenten voordoen, moet de werkgever ingrijpen, de aanbieder informeren en het gebruik zo nodig onderbreken.
Een goede voorbereiding is daarom vooral organisatorisch: leg vast wie verantwoordelijk is voor toezicht en besluitvorming, hoe je logging en documentatie op orde houdt, en hoe je transparant communiceert richting werknemers en sollicitanten. Betrek de OR tijdig, zodat implementatie niet verzandt in achteraf repareren, maar vanaf het begin aansluit bij de eisen van controleerbaarheid en uitlegbaarheid die de AI Act beoogt.
Risicoclassificatie AI‑Act laten uitvoeren door onze ICT‑juristen
Heb je ondersteuning nodig bij de risicoclassificatie van een AI‑toepassing in jouw HR‑omgeving, of wil je weten of jouw bestaande HR‑software onder het hoogrisicoregime valt? Onze ICT‑juristen denken graag met je mee over kwalificatie, verplichtingen en praktische implementatie. Neem gerust contact met ons op.
