AI in werving en selectie

Voor het overgrote deel van de Nederlandse MKB-bedrijven is dit de enige hoog-risico AI-toepassing die daadwerkelijk in huis is — vaak zonder dat iemand het zo benoemt. Recruitmentsoftware die cv's voorsorteert, kandidaten scoort of matches voorstelt, valt onder bijlage III van de EU AI Act. De verplichtingen daarvoor gaan in op 2 december 2027, en ze gelden ook voor jou als gebruiker, niet alleen voor de leverancier.

In het kort

• AI in werving en selectie is hoog-risico onder bijlage III van de AI Act.
• Deadline: 2 december 2027 (verschoven van 2 augustus 2026 door Verordening (EU) 2026/1744).
• Emotieherkenning op de werkvloer en in sollicitaties is sowieso verboden, nu al.
• Ook als gebruiker heb je eigen verplichtingen: toezicht, logging, informeren, geletterdheid.
• Discriminatie ontstaat meestal onbedoeld, via historische data en indirecte kenmerken.
• De belangrijkste actie nu: vraag je leverancier schriftelijk om hun classificatie en tijdlijn.

Waarom juist deze toepassing zwaar is gereguleerd

De AI Act deelt systemen in naar de impact op mensen. Werving en selectie raakt direct iemands toegang tot werk en inkomen, de beslissing is voor de kandidaat ondoorzichtig, en fouten zijn structureel: een model dat een bepaald profiel systematisch lager scoort, doet dat bij elke sollicitatie opnieuw.

Dat verschilt wezenlijk van een menselijke recruiter met een vooroordeel. Die is inconsistent, en die inconsistentie beperkt de schade. Een model is perfect consistent — ook in zijn fouten, en op schaal.

Wat er precies onder valt

Wel hoog-risico:

• Sollicitaties filteren of voorsorteren
• Kandidaten scoren, ranken of matchen op geschiktheid
• Gerichte plaatsing van vacatures op basis van profielkenmerken
• AI die meebeslist over promotie, taaktoewijzing of beëindiging
• Geautomatiseerde beoordeling van assessments of video-interviews

Niet hoog-risico:

• Een vacaturetekst laten schrijven of verbeteren
• Een cv laten samenvatten voor je eigen leesgemak, zonder oordeel
• Een planningsvoorstel maken voor sollicitatiegesprekken
• Sollicitanten algemene informatie geven via een chatbot

Sowieso verboden, nu al:

• Emotieherkenning in de werkcontext — AI die uit gezichtsuitdrukking, stem of houding afleidt hoe een kandidaat of medewerker zich voelt. Dit valt onder de verboden praktijken die sinds 2 februari 2025 gelden en kent het hoogste boeteniveau.

Het onderscheid zit in de vraag of het systeem een oordeel velt over een persoon. Samenvatten is geen oordeel; scoren wel.

Hoe discriminatie ontstaat zonder dat iemand het wil

Dit is het deel dat in de praktijk het meest wordt onderschat, omdat niemand het systeem heeft gevraagd te discrimineren.

Historische data. Een model dat leert van wie je in het verleden hebt aangenomen, leert de patronen in die keuzes — inclusief de scheefheid erin. Als er historisch vooral mannen zijn aangenomen voor een technische functie, leert het systeem dat mannen daar succesvol zijn.

Indirecte kenmerken (proxies). Je kunt geslacht, herkomst en leeftijd expliciet uit de data halen en toch dezelfde uitkomst krijgen. Postcode correleert met herkomst en inkomen. Het jaar van afstuderen verraadt leeftijd. Een gat in het cv correleert met zorgtaken en dus met geslacht. De naam van een sportvereniging of een opleidingsinstelling kan hetzelfde doen.

Taalgebruik. Modellen scoren cv's die in vlot, formeel Nederlands zijn geschreven vaak hoger — wat systematisch nadelig uitpakt voor kandidaten met een andere moedertaal, ook als die vakinhoudelijk sterker zijn.

Feedbacklus. Het model selecteert kandidaten, die worden aangenomen, hun succes voedt het model. De oorspronkelijke scheefheid wordt bevestigd in plaats van gecorrigeerd.

De praktische consequentie: "wij kijken niet naar geslacht of herkomst" is geen garantie. Alleen meten of de uitkomsten scheef zijn, is dat wel.

Wat je als werkgever moet regelen

Ook als je het systeem niet zelf bouwt, heb je als gebruiksverantwoordelijke eigen verplichtingen bij hoog-risico systemen:

1. Gebruik volgens de instructies. De leverancier levert een gebruiksaanwijzing; daarvan afwijken verschuift verantwoordelijkheid naar jou.
2. Menselijk toezicht beleggen. Bij iemand met voldoende kennis én de bevoegdheid om af te wijken van het systeem. Een recruiter die de ranking niet mag negeren, is geen toezicht.
3. Invoergegevens relevant en representatief houden. Wat je erin stopt bepaalt wat eruit komt.
4. Logs bewaren. Zodat achteraf te reconstrueren is hoe een beslissing tot stand kwam.
5. Sollicitanten informeren dat er een hoog-risico AI-systeem wordt gebruikt in de selectie.
6. AI-geletterdheid regelen voor de mensen die ermee werken — zie AI-geletterdheid verplicht. Voor deze groep ligt de lat hoger dan voor gewone gebruikers.

Daarnaast blijft de AVG gelden: sollicitanten hebben recht op informatie over de verwerking, en bij besluitvorming die uitsluitend geautomatiseerd verloopt gelden aanvullende eisen. Een volledig geautomatiseerde afwijzing zonder menselijke tussenkomst is juridisch een categorie apart — en zelden verstandig.

De vragen die je je leverancier nu moet stellen

Dit is de meest concrete actie die je vandaag kunt ondernemen. Stuur ze schriftelijk, en bewaar het antwoord.

1. Classificeert u dit systeem als hoog-risico onder bijlage III van de AI Act? Zo nee, op basis waarvan niet?
2. Hoe bereidt u zich voor op 2 december 2027, en wat levert u aan documentatie?
3. Op welke data is het model getraind, en hoe is dat op scheefheid getoetst?
4. Welke kenmerken gebruikt het systeem, en welke expliciet niet?
5. Test u periodiek op ongelijke uitkomsten tussen groepen? Kunnen wij die rapportage krijgen?
6. Kunnen wij per beslissing zien waaróp die is gebaseerd?
7. Welke logging is er, en hoelang blijft die beschikbaar voor ons?
8. Wat is uw rol en wat is de onze in de verdeling aanbieder-gebruiksverantwoordelijke?

Een leverancier die deze vragen niet kan beantwoorden, is over anderhalf jaar een probleem. Beter dat je dat nu weet dan in november 2027.

Wat je zelf kunt meten

Los van wat de leverancier doet, kun je je eigen uitkomsten controleren. Kijk periodiek naar de doorstroom per fase: hoeveel kandidaten komen binnen, hoeveel komen door de eerste selectie, hoeveel worden uitgenodigd, hoeveel aangenomen — uitgesplitst naar de groepen waarvoor discriminatie verboden is, voor zover je die gegevens rechtmatig hebt.

Als een groep systematisch in dezelfde fase afvalt, heb je een signaal. Dat is geen bewijs van discriminatie, maar het is wel de aanleiding om te kijken wat er in die stap gebeurt.

Overwegen om het niet te gebruiken

Een eerlijke afweging die zelden wordt gemaakt: is de tijdwinst het waard? Voor een bedrijf dat vijftien vacatures per jaar heeft, is het voorsorteren van cv's geen groot tijdsbeslag, terwijl de compliancelast vanaf december 2027 reëel is.

De redenering kantelt bij volume. Honderden sollicitaties per vacature maken handmatig voorsorteren onwerkbaar, en dan is een goed ingericht systeem met toezicht beter dan een overwerkte recruiter die de laatste vijftig cv's nauwelijks bekijkt.

Wat in beide gevallen verstandig is: gebruik AI voor het werk dat geen oordeel vraagt — samenvatten, structureren, plannen, vacatureteksten — en houd het oordeel bij mensen. Dan blijf je buiten de hoog-risico categorie en houd je de tijdwinst.

Conclusie

Als er één plek is waar een MKB-bedrijf de AI Act echt tegenkomt, is het recruitment. De deadline van december 2027 klinkt ver weg, maar de relevante actie ligt nu: weten of je software eronder valt, en weten of je leverancier er klaar voor is. Dat is een mail van tien minuten.

Voor het bredere overzicht van wat de AI Act van je vraagt, zie EU AI Act voor het MKB.

Bronnen

• Verordening (EU) 2024/1689 (AI Act), bijlage III
• Gibson Dunn — EU AI Act Omnibus: uitgestelde hoog-risico deadlines
• Autoriteit Persoonsgegevens — algoritmes en AI
• College voor de Rechten van de Mens — gelijke behandeling bij werving en selectie

Dit artikel beschrijft de stand van zaken op 27 juli 2026 en is algemene informatie, geen juridisch advies.