EU AI Act en recruitment: wat verandert in 2026-2027

Je gebruikt vrijwel zeker al AI in je recruitment. Een tool die cv’s screent, een chatbot die eerste vragen beantwoordt, of software die vacatures op meerdere sites plaatst. Voor recruitment geldt de EU AI Act extra streng: werving en selectie vallen expliciet onder ‘hoog risico’. Overtredingen leiden tot boetes tot 35 miljoen euro of 7% van de wereldwijde jaaromzet.

De wet wordt gefaseerd ingevoerd. Sommige AI-praktijken zijn sinds 2 februari 2025 verboden. De grote deadline voor hoog-risico AI stond op 2 augustus 2026, maar via de Digital Omnibus schuift die door naar 2 december 2027. De onderhandelingen lopen nog. Tot een definitief akkoord blijft 2 augustus 2026 formeel de bindende datum.

Hier leggen we in heldere taal uit wat de AI Act voor jouw recruitment betekent. Welke AI valt onder welk risiconiveau, wat is al verboden, en wanneer gelden de regels echt?

Geen juridisch jargon, wel bruikbare uitleg voor HR en recruitment.

Wat is de EU AI Act en waarom is recruitment hoog risico?

De EU AI Act (Verordening 2024/1689) is de eerste brede AI-wet ter wereld. De verordening trad op 1 augustus 2024 in werking en wordt in fases toegepast. Voor recruitment is de wet extra relevant: AI-systemen voor werving en selectie staan expliciet in Bijlage III als hoog-risico categorie.

De reden dat recruitment apart staat: AI-beslissingen in werving beïnvloeden direct iemands levensonderhoud en carrière. Een afwijzing door een bevooroordeeld algoritme bepaalt iemands toekomst. De Europese wetgever wil daarom extra waarborgen rond transparantie, bias-preventie en menselijk toezicht.

De AI Act maakt geen onderscheid tussen zelf ontwikkelde AI en ingekochte tools. Zet je Amerikaanse cv-screening in voor kandidaten in de EU? Dan gelden de Europese regels. Ook als je gratis tools inzet, geldt de wet zodra de toepassing onder de AI-definitie valt.

Belangrijk: niet elke software is AI volgens deze wet. Klassieke regel-gebaseerde systemen zonder machine learning vallen er doorgaans buiten. Zodra een systeem zelf patronen leert uit data en op basis daarvan beslissingen neemt, gaat het om een AI-systeem.

De 4 risicocategorieën van de AI Act

De AI Act hanteert vier risiconiveaus. Hoe groter het risico voor mensen en hun rechten, hoe strenger de regels.

Verboden AI: sinds februari 2025 niet meer toegestaan

Sommige AI-toepassingen zijn volledig verboden. Deze verboden gelden sinds 2 februari 2025. Voor recruitment zijn vooral relevant:

Emotieherkenning op de werkplek en in het onderwijs is verboden, behalve voor medische of veiligheidsdoeleinden (Art. 5 lid 1 sub f). Een tool die claimt te zien of een kandidaat liegt via gezichtsuitdrukkingen tijdens een sollicitatiegesprek? Verboden. Software die emoties afleidt uit stempatronen van sollicitanten? Ook verboden volgens de Autoriteit Persoonsgegevens. De uitzondering voor veiligheid (zoals vermoeidheidsdetectie bij piloten) geldt niet voor recruitment.

Sociale scoring door private partijen is verboden als dit leidt tot nadelige behandeling in contexten die losstaan van de oorspronkelijke data. Een AI die kandidaten beoordeelt op hun algemene sociale media gedrag zonder professionele relevantie valt hieronder.

Manipulatieve AI die subliminale technieken inzet buiten het bewustzijn van de persoon is verboden wanneer dit materiële schade veroorzaakt. Denk aan systemen die kandidaten onbewust sturen naar slechtere arbeidsvoorwaarden.

Hoog risico: bijna alle recruitment-AI valt hieronder

Bijlage III, punt 4 van de AI Act benoemt werving en selectie expliciet als hoog-risico. Dit omvat:

• Gericht plaatsen van vacature-advertenties
• Analyseren en filteren van sollicitaties
• Evalueren en rangschikken van kandidaten
• Beslissingen over promotie, taakverdeling of beëindiging van arbeid
• Prestatiemonitoring van medewerkers

Voor hoog-risico AI gelden in de eindsituatie strenge eisen: risicobeheer over de hele levenscyclus (Art. 9), data governance en bias-preventie (Art. 10), technische documentatie (Art. 11), automatische logregistratie (Art. 12), duidelijke gebruiksinstructies (Art. 13), menselijk toezicht (Art. 14), nauwkeurigheid en cybersecurity (Art. 15), conformiteitsbeoordeling met CE-markering, registratie in de EU-database en post-market monitoring.

Uitzondering: Art. 6(3) kent een uitzondering voor AI zonder significant risico. Een simpele cv-parser die alleen gegevens extraheert zonder te beoordelen, valt hier mogelijk onder. Zodra ranking of beoordeling plaatsvindt, gaat het wel om hoog risico.

Beperkt risico: transparantieplicht

Sommige AI-systemen hebben vooral transparantieverplichtingen uit Art. 50:

• Chatbots moeten zichtbaar maken dat het om AI gaat
• AI-gegenereerde content moet als zodanig herkenbaar zijn
• Eventuele emotieherkenning of biometrische categorisatie (waar toegestaan) moet gemeld worden

Minimaal risico: geen AI Act-verplichtingen

Systemen als spellingscontrole, spamfilters en algemene zoekmachines vallen hierbuiten. Let op: andere wetgeving zoals de AVG blijft natuurlijk van toepassing.

Digital Omnibus: waarom de hoog-risico deadline verschuift

Op 19 november 2025 presenteerde de Europese Commissie de Digital Omnibus op AI. Aanleiding: de harmonisatienormen en nationale toezichthouders waren niet op tijd klaar om bedrijven realistisch te laten voldoen aan de AI Act per 2 augustus 2026.

Dit uitstel betekent niet dat de wet zwakker wordt. De verboden AI-praktijken en AI-geletterdheid (sinds februari 2025) en de regels voor general-purpose AI (sinds augustus 2025) blijven ongewijzigd. Alleen de hoog-risico verplichtingen schuiven op.

Tijdlijn AI Act:

• 2 februari 2025: Verboden AI-praktijken + AI-geletterdheid van kracht
• 2 augustus 2025: Regels voor general-purpose AI (zoals ChatGPT) + sancties
• 2 augustus 2026: Oorspronkelijke deadline hoog-risico AI (formeel nog geldend tot Omnibus finaal is)
• 2 december 2027: Voorgestelde nieuwe deadline voor hoog-risico AI uit Bijlage III (recruitment)
• 2 augustus 2028: Voorgestelde deadline voor hoog-risico AI in gereguleerde producten

Zolang de trilogen tussen Parlement, Raad en Commissie niet zijn afgerond, blijft 2 augustus 2026 juridisch bindend. Compliance-experts adviseren daarom: bereid je voor alsof augustus 2026 geldt, plan operationeel alsof december 2027 de handhavingsdatum wordt.

AI-geletterdheid in recruitment: verplicht sinds februari 2025

Artikel 4 van de AI Act verplicht aanbieders en gebruikers (deployers) van AI-systemen om te zorgen voor voldoende AI-geletterdheid bij medewerkers die het systeem ontwikkelen, inzetten of bedienen. Deze plicht geldt al sinds 2 februari 2025, rol- en contextafhankelijk.

Voor een recruiter die een cv-screening-tool gebruikt, betekent AI-geletterdheid:

1. Voldoende kennis van het specifieke systeem
2. Begrip van mogelijkheden én beperkingen
3. Het systeem correct inzetten volgens de instructies
4. Bewustzijn van mogelijke bias en risico’s
5. Weten wanneer menselijke interventie nodig is

De Autoriteit Persoonsgegevens publiceerde de handreiking Aan de slag met AI-geletterdheid. Kern: een korte basistraining over wat AI is en wat het niet kan, volstaat voor de meeste organisaties als startpunt. Voor hoog-risico toepassingen zoals recruitment mag je meer verwachten, bijvoorbeeld specifieke training over bias en documentatieplichten.

Let op: in de Digital Omnibus stelt de Commissie voor om de verplichting voor providers/deployers te versoepelen en de verantwoordelijkheid deels bij de Commissie en lidstaten te leggen. Dit is nog geen aangenomen wijziging.

Wat mag wel en niet? 5 recruitment-situaties

Van abstracte wet naar dagelijkse praktijk. Hier vijf veelvoorkomende situaties.

1. Cv-screening met AI die kandidaten rangschikt

• Status: Hoog-risico AI
• Straks verplicht: kandidaten informeren, menselijke eindbeslissing, documentatie, bias-monitoring
• Actie nu: leverancier vragen naar AI Act-compliance en bias-tests

2. Video-interview met emotieherkenning

• Status: VERBODEN sinds 2 februari 2025
• Actie: direct stoppen met gebruik
• Alternatief: transcriptie en inhoudsanalyse zonder emotiedetectie

3. Chatbot voor veelgestelde vragen over vacatures

• Status: Beperkt risico (transparantieplicht)
• Verplicht: zichtbaar aangeven dat het om AI gaat
• Let op: zodra de chatbot gaat selecteren of screenen, wordt het hoog-risico

4. ChatGPT voor vacatureteksten

• Status: Minimaal risico bij pure tekstcreatie
• AVG-risico: geen kandidaatgegevens invoeren
• Transparantie: overweeg een vermelding bij AI-gegenereerde content

5. Stemanalyse voor persoonlijkheidsassessment

• Status: VERBODEN als het stempatronen koppelt aan emoties of mentale toestanden (Art. 5 lid 1 sub f)
• Waarom: wetenschappelijke basis is zwak en culturele bias is groot, zoals in deze analyse uitgewerkt
• Alternatief: gestructureerde interviews of gevalideerde assessments

Toezicht in Nederland: Autoriteit Persoonsgegevens

In Nederland speelt de Autoriteit Persoonsgegevens (AP) een coördinerende rol voor algoritmetoezicht via de Algoritme- en AI-kamer (AAK). Sectorale toezichthouders (AFM, DNB) krijgen aanvullende bevoegdheden voor hun vakgebied.

De AP heeft inmiddels meerdere hulpmiddelen gepubliceerd: de handreiking AI-geletterdheid, guidance over betekenisvolle menselijke tussenkomst en een framework voor algoritmetoezicht. Voor recruitment is vooral de handreiking menselijke tussenkomst relevant bij geautomatiseerde selectie.

Praktische stappen voor HR en recruitment:

• Inventariseer alle AI-tools die je gebruikt, inclusief via ATS en job boards
• Documenteer per tool: doel, werking en mogelijke risico’s
• Vraag leveranciers om hun AI Act-compliance-plan
• Betrek de OR bij AI-systemen die medewerkers beoordelen
• Zorg voor bewustwording en training binnen je team

Boetes en sancties

De AI Act kent substantiële sancties (Art. 99). Het hoogste bedrag van de twee geldt.

Naast boetes zijn er andere gevolgen: verplichte terugtrekking van AI-systemen, reputatieschade, civiele aansprakelijkheid voor discriminatie en claims van afgewezen kandidaten. Die laatste categorie zal in de praktijk de meeste impact hebben.

Veelgestelde vragen over de EU AI Act in recruitment

Wanneer moet ik als recruiter volledig compliant zijn?

De AI Act kent meerdere deadlines. Verboden AI en AI-geletterdheid gelden sinds 2 februari 2025. Regels voor general-purpose AI gelden sinds 2 augustus 2025. De hoog-risico verplichtingen (waaronder recruitment) stonden op 2 augustus 2026, maar de Digital Omnibus schuift die naar 2 december 2027. Tot het akkoord definitief is, blijft 2 augustus 2026 formeel de bindende datum.

Wat is de Digital Omnibus op AI?

De Digital Omnibus is een voorstel van de Europese Commissie (19 november 2025) om de AI Act gedeeltelijk te vereenvoudigen en de hoog-risico deadlines uit te stellen. Het Europees Parlement steunde het voorstel op 26 maart 2026. De finale tekst ontstaat in trilogen tussen Commissie, Parlement en Raad.

Geldt de AI Act ook voor kleine recruitmentbureaus?

Ja. Er is geen uitzondering op basis van grootte. Wel zijn boetes proportioneel en krijgt het MKB vereenvoudigde documentatievereisten. Voor “small mid-caps” (tot 750 medewerkers / €150 miljoen omzet) komen er via de Omnibus extra vereenvoudigingen.

Mijn cv-screening tool komt uit de VS. Wie is verantwoordelijk?

Als gebruiker in de EU ben jij mede-verantwoordelijk. Vraag je leverancier om compliance-garanties en documentatie. Als die ontbreken, overweeg een alternatief of tref aanvullende maatregelen zoals een menselijke tweede check bij elke beslissing.

Is AI-geletterdheid nu al verplicht?

Ja, sinds 2 februari 2025 geldt Art. 4 AI Act voor iedereen die AI inzet of bedient. De plicht is proportioneel: hoe hoger het risico, hoe dieper de kennis moet zijn. Voor hoog-risico recruitment-AI komen vanaf de definitieve deadline extra eisen bovenop.

Mag ik ChatGPT gebruiken voor vacatureteksten?

Ja, voor pure tekstcreatie zonder kandidaatgegevens valt ChatGPT doorgaans onder minimaal risico. Het invoeren van persoonlijke kandidaatgegevens is wel een AVG-overtreding. Bij twijfel is transparantie over AI-gebruik het veiligste.

Hoe weet ik of mijn tool onder hoog risico valt?

AI die kandidaten beoordeelt, selecteert of rangschikt valt in recruitment vrijwel altijd onder hoog risico. Simpele cv-parsers die alleen gegevens uitlezen zonder beoordeling, vallen onder de uitzondering van Art. 6(3). Bij twijfel: ga uit van hoog risico.

Moet ik elke kandidaat individueel informeren over AI-gebruik?

Nee, informatie via privacy statement of sollicitatieprocedure volstaat. De informatie moet wel toegankelijk zijn vóór de sollicitatie.

Wat is het verschil tussen AI Act en AVG?

De AVG regelt privacy en persoonsgegevens. De AI Act regelt het AI-systeem zelf: transparantie, bias en fairness. Beide zijn van toepassing op recruitment-AI. Aan beide voldoen is geen keuze.

Kunnen kandidaten mijn AI-beslissingen aanvechten?

Ja. Kandidaten hebben recht op uitleg over AI-beslissingen die hen raken en op menselijke herbeoordeling. Documentatie van je AI-gebruik is daarom geen luxe maar noodzaak.

Van compliance-last naar eerlijk recruitment

De EU AI Act herstructureert hoe je AI in recruitment inzet. De deadlines schuiven via de Digital Omnibus op, maar de inhoud blijft overeind. Verboden AI is verboden, AI-geletterdheid is verplicht, en hoog-risico AI krijgt strenge eisen rond transparantie, menselijk toezicht en bias-preventie.

Wat je nu al doet:

• Stop met emotieherkenning en stemanalyse die koppelt aan emoties
• Inventariseer alle AI-tools in je recruitmentflow
• Vraag leveranciers om compliance-plannen
• Start met AI-geletterdheid in je team
• Documenteer hoe AI-beslissingen tot stand komen

Wat vanaf de definitieve deadline verplicht wordt voor hoog-risico AI:

• Transparantie naar kandidaten
• Menselijk toezicht op alle beoordelingen
• Volledige documentatie en logging
• Doorlopende bias-monitoring
• Registratie in de EU-database

De AI Act is uiteindelijk geen bureaucratische last maar een kans: kandidaten vertrouwen een werkgever die transparant is over algoritmes. Wie nu voorbereidt, staat straks sterker in de arbeidsmarkt.