Elke AI-tool die je in recruitment gebruikt, wordt binnenkort een juridisch risico of een concurrentievoordeel. Er is geen middenweg. Vanaf 2 augustus 2026valt AI in recruitment onder de EU AI Act in de categorie hoog risico, met verplichte compliance-eisen. Dat is geen toekomstmuziek. Dat is over vijf weken. En het komt bovenop de GDPR-eisen waar je bureau nu al aan hoort te voldoen. Neem je interviews op, laat je gesprekken transcriberen, maak je kandidaatsamenvattingen of zet je door AI gegenereerde data in je ATS? Dan gelden beide regelgevingen tegelijk voor jou. In dit artikel lees je wat dat in de praktijk betekent, wat je moet doen en waarom de bureaus die dit als eerste goed regelen, het werk binnenhalen dat anderen kwijtraken.
Wat de GDPR nu al vereist als je AI inzet in recruitment
De jury van de Algemene Verordening Gegevensbescherming (AVG, in het Engels GDPR) geldt al sinds 2018, maar veel recruitmentbureaus behandelen hem nog steeds als een vinkje in plaats van als een werkprincipe. Zodra je AI-tools aan het interviewproces toevoegt, worden de compliance-eisen een stuk zwaarder.
Spraakopnames van interviews zijn persoonsgegevens. Onder de GDPR kunnen ze, afhankelijk van hoe ze worden verwerkt, ook als biometrische gegevens gelden. Dat betekent dat elk interview dat je team opneemt een rechtmatige grondslag voor verwerking nodig heeft, plus een duidelijk bewaarbeleid en goede beveiliging. Stuurt je AI-tool opnames voor transcriptie naar een API van een derde partij? Dan is die derde partij een verwerker en heb je een verwerkersovereenkomst (Data Processing Agreement) nodig.
Kandidaten hebben specifieke rechten onder artikel 22 van de GDPR wanneer geautomatiseerde verwerking een rol speelt bij beslissingen die hen raken. Maakt je AI-tool een kandidaatsamenvatting, haalt hij competentiesignalen uit het gesprek of levert hij een andere vorm van gestructureerde beoordeling? Dan mag die output niet de enige basis zijn voor een aannamebeslissing, tenzij de kandidaat het recht krijgt om menselijke tussenkomst te vragen. Een recruiter moet de AI-output echt beoordelen en een eigen, onafhankelijk oordeel vormen voordat er een beslissing valt.
Hier schieten veel bureaus onbewust tekort. Een recruiter die even naar een AI-samenvatting kijkt en die zonder eigen beoordeling doorstuurt naar een klant, houdt geen betekenisvol toezicht. Dan stempel je een geautomatiseerde beslissing af, en dat levert een GDPR-risico op.
Er zijn een aantal praktische eisen die elk recruitmentbureau dat AI-tools gebruikt nu al op orde moet hebben.
- Candidate consent moet worden gevraagd voordat de opname begint, met duidelijke uitleg over wat de AI-tool met hun gegevens doet
- Met elke AI-leverancier die kandidaatgegevens verwerkt, moet een verwerkersovereenkomst (Data Processing Agreement) zijn afgesloten
- Bewaartermijnen moeten worden vastgelegd en nageleefd. Interviewopnames en transcripties horen niet eindeloos op servers te blijven staan
- Kandidaten moeten hun recht op verwijdering van gegevens kunnen uitoefenen volgens artikel 17. Vraagt een kandidaat om zijn gegevens te verwijderen, dan moeten je systemen dat volledig kunnen uitvoeren
- Je privacyverklaring moet uitleggen dat er AI wordt gebruikt in het wervingsproces, wat die AI doet en hoe er met kandidaatgegevens wordt omgegaan
De bureaus die dit zien als operationele eisen en niet als juridische bijzaak, zijn de bureaus die boetes vermijden. De GDPR-boetes zijn sinds 2018 opgelopen tot in totaal meer dan 6,8 miljard euro, waarvan 193 boetes specifiek in de sector werkgelegenheid. Een recruitmentbureau in het Verenigd Koninkrijk kreeg een boete van 150.000 euro omdat het de data van een kandidaat niet kon vinden en verwijderen toen daarom werd gevraagd. De fouten die tot boetes leiden, zijn bijna altijd operationeel en niet opzettelijk.
Wat de EU AI Act verandert voor recruitmentbureaus
De GDPR regelt welke gegevens je verzamelt en hoe je ze verwerkt. De EU AI Act regelt de beslissingen die je tools met die gegevens nemen. Beide gelden tegelijk. Voldoen aan de GDPR betekent niet dat je voldoet aan de AI Act, en andersom ook niet. Het zijn parallelle verplichtingen.
Onder de EU AI Act worden AI-systemen voor werving en selectie aangemerkt als hoog risico volgens bijlage III. Dat geldt voor cv-screening, kandidaatmatching, interviewanalyse, beoordeling van kandidaten en elke AI die aannamebeslissingen beïnvloedt. Vanaf 2 augustus 2026 moeten gebruikers (deployers) van deze systemen aan een volledig pakket compliance-verplichtingen voldoen.
Het cruciale woord hier is “deployer.” Kiest of configureert je bureau een AI-tool, of vertrouw je erop bij aannamebeslissingen? Dan ben je volgens de wet een deployer. Het maakt niet uit of je de technologie zelf hebt gebouwd. Het maakt ook niet uit of je leverancier zegt dat compliance hun verantwoordelijkheid is. Je kunt je compliance-verplichtingen niet doorschuiven naar een technologiepartner. De wet legt verplichtingen op aan zowel aanbieders (leveranciers die de systemen bouwen) als deployers (bedrijven die ze gebruiken).
De wet heeft ook extraterritoriale werking. Wordt de output van je AI-systeem in de EU gebruikt of raakt die kandidaten in de EU, dan geldt de regelgeving, ongeacht waar je bedrijf gevestigd is of waar de technologie wordt gehost. Een uitzendbureau in Londen dat kandidaten screent voor een functie in Amsterdam valt er ook onder.
Dit vraagt de EU AI Act van deployers van hoog-risico AI in recruitment.
- Menselijk toezicht moet betekenisvol zijn, geen formaliteit. Wie de aannamebeslissing neemt, moet de AI-output echt beoordelen, begrijpen wat het systeem heeft beoordeeld en hoe, en een eigen, onafhankelijk oordeel vormen. Een recruiter die een AI-shortlist gewoon doorstuurt zonder het onderliggende bewijs te bekijken, voldoet hier niet aan
- Transparantie: is verplicht. Kandidaten en medewerkers moeten worden geïnformeerd voordat een hoog-risico AI-systeem in het wervingsproces wordt ingezet. Ze hebben het recht om te weten dat er AI wordt gebruikt, hoe die werkt en welke rol die speelt in beslissingen die hen raken
- Risicobeoordelingen moeten worden uitgevoerd. Deployers moeten een effectbeoordeling voor grondrechten doen voordat ze een hoog-risico AI-systeem voor het eerst gebruiken
- Datakwaliteit en biasmonitoring zijn operationele eisen. Heb je zeggenschap over de inputdata van je AI-tools, dan moet je zorgen dat die data relevant en representatief is. Kandidatenpools die scheef zijn door geografie, taal of bestaande netwerkeffecten brengen een biasrisico mee dat bij jou ligt
- Logs moeten worden bewaard gedurende minimaal zes maanden. Samen met de eis om de prestaties van het systeem doorlopend te monitoren, vraagt dat om infrastructuur waar veel bureaus nog niet op hebben gerekend
- AI-geletterdheid van medewerkers is nu al verplicht. Iedereen die AI-systemen bedient of gebruikt, moet voldoende training krijgen. Deze verplichting geldt sinds februari 2025
Artikel 6(3) bevat een uitzondering voor bepaalde smalle, procedurele AI-taken, die dan niet als hoog risico gelden. Een tool die binnenkomende documenten sorteert of dubbele invoer markeert, kan daaronder vallen. Maar deze uitzondering geldt uitdrukkelijk niet als het AI-systeem gepaard gaat met profilering volgens artikel 4(4) van de GDPR. Profilering is elke geautomatiseerde verwerking die persoonlijke aspecten van iemand beoordeelt, zoals werkprestaties, betrouwbaarheid of gedrag. De meeste tools voor kandidaatmatching, rankingalgoritmes en systemen voor gestructureerde interviewanalyse doen precies dat. Matcht, rangschikt, beoordeelt of verdeelt je tool kandidaten op basis van persoonlijke kenmerken? Dan geldt de uitzondering vrijwel zeker niet voor jou.
De boetes zijn fors. Deployers die niet voldoen aan hun verplichtingen voor hoog-risicosystemen, riskeren boetes tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Voor verboden AI-praktijken ligt het plafond op 35 miljoen euro of 7% van de omzet. Maar de boete is niet het grootste commerciële risico. Toezichthouders mogen ook niet-conforme AI-systemen van de markt halen of terugroepen. Voor een bureau waarvan het bedrijfsmodel draait op AI-interviewanalyse en kandidaatmatching, zorgt het wegvallen van een kerntool midden in een contract direct voor operationele problemen.
Hoe In2Dialog vanaf dag één rond compliance is gebouwd
De meeste AI-recruitmenttools zijn eerst gebouwd voor snelheid en functies. Compliance kwam later, vaak als pagina op de website in plaats van als ontwerpprincipe in het product. In2Dialog koos voor de omgekeerde aanpak.
Alle kandidaatgegevens worden verwerkt en opgeslagen binnen de Europese Unie. Er zijn geen internationale datadoorgiftes om te regelen, geen standaardcontractbepalingen om te beheren en je bent niet afhankelijk van Amerikaanse AI-infrastructuur waar onduidelijk is waar de data staat. Voor bureaus die onder de GDPR vallen, verdwijnt daarmee een van de meest voorkomende compliance-hoofdpijnen volledig.
In2Dialog gebruikt een eigen, beveiligde database-architectuur. Interviewdata wordt nooit naar externe AI-modellen zoals ChatGPT of andere publieke API's gestuurd. Je kandidaatopnames, transcripties en rapporten blijven binnen een gecontroleerde omgeving. De data wordt niet gebruikt om externe systemen te trainen. Dat verschil is belangrijk, want een aantal populaire AI-meetingtools is niet meer dan een dun laagje om publieke modellen heen, waardoor je kandidaatdata in een pijplijn belandt waar jij geen controle over hebt.
Toestemming van de kandidaat zit ingebouwd in de workflow. Voordat de opname start, wordt de toestemming geregeld als onderdeel van de standaard interviewvoorbereiding. Dat is geen bijzaak die er later aan is vastgeplakt. Het zit in de manier waarop recruiters de tool elke dag gebruiken.
Bewaartermijnen zijn instelbaar. Audiodata wordt standaard na één jaar automatisch verwijderd en transcripten na twee jaar. Kortere termijnen stel je in op basis van het beleid van je bureau. Maakt een kandidaat gebruik van het recht op verwijdering, dan kan het systeem dat volledig uitvoeren.
De mens blijft bij elk beslismoment betrokken. In2Dialog maakt gestructureerde rapporten die het interviewtranscript combineren met het cv van de kandidaat en de vacaturetekst. Maar het rapport is een hulpmiddel voor de recruiter, geen vervanging van de recruiter. Het systeem neemt geen wervingsbeslissingen. Het wijst kandidaten niet automatisch af. Het geeft geen scores die bepalen of iemand doorgaat. De recruiter bekijkt het rapport, gebruikt het eigen oordeel en neemt de beslissing. Precies wat zowel de GDPR als de EU AI Act vereisen.
Door dit ontwerp kan In2Dialog ook de audit trail vastleggen die toezichthouders verwachten. Bij elk interview horen een opname, een transcriptie, een gestructureerd rapport en een registratie van hoe die data is gebruikt. Vraagt een toezichthouder hoe een beslissing tot stand kwam en wie daarvoor verantwoordelijk was, dan is het antwoord duidelijk en herleidbaar.
Beoordeel je je AI-tools voor de deadline van 2 augustus? Dan zijn dit de concrete vragen die je elke leverancier moet stellen.
- Waar worden kandidaatgegevens verwerkt en opgeslagen? Is dat binnen de EU?
- Stuurt de tool data naar AI-modellen van derden? Zo ja, welke?
- Kan de leverancier een ondertekende verwerkersovereenkomst leveren?
- Ondersteunt de tool instelbare bewaartermijnen en verzoeken om gegevens te verwijderen?
- Is de AI-output bedoeld als beslisondersteuning met menselijk toezicht, of neemt de tool zelfstandig beslissingen?
- Kan de leverancier technische documentatie, resultaten van bias-audits en gebruikslogs aanleveren om je verplichtingen als deployer te onderbouwen?
Kan je huidige leverancier deze vragen niet duidelijk beantwoorden? Dan is dat je signaal om vóór augustus in actie te komen.
De bureaus die compliance zien als een concurrentievoordeel in plaats van een last, krijgen een meetbare voorsprong. Grote klanten met activiteiten in de EU nemen AI-governance nu al op in hun selectiecriteria voor leveranciers. Wie kan aantonen dat de AI-praktijken compliant zijn, de kandidaatprocessen transparant en het toezicht vastgelegd, wint aanbestedingen en onderhandelingen over een preferred supplier-status die niet-compliant bureaus verliezen.
De EU AI Act is de eerste grote AI-wetgeving in zijn soort. Het zal niet de laatste zijn. In het Verenigd Koninkrijk, Canada en op staatsniveau in de VS krijgen vergelijkbare kaders vorm. Wie nu investeert in compliant infrastructuur, bouwt capaciteit op die ook in andere rechtsgebieden bruikbaar is. De bureaus die governance in hun bedrijfsmodel verankeren, bereiden zich voor op het komende decennium, niet alleen op de volgende deadline.
Bekijk hoe de AI-interviewtools van In2Dialog werken voor recruitmentbureaus of book a demo en ontdek hoe compliance in elke stap van de workflow is ingebouwd.
