Skip to main content

Artikel 15 voor HR-technologie: nauwkeurigheid, robuustheid en cyberbeveiliging

Hoe artikel 15 (nauwkeurigheid, robuustheid, cyberbeveiliging) geldt voor AI bij werving en personeelsbeheer onder bijlage III, punt 4: toepassingsgebied, rollen, data, boetes en wat de verordening openlaat.

Aanbieders van hoogrisico-AI-systemen voor werving of personeelsbeheer moeten die ontwerpen voor een passend niveau van nauwkeurigheid, robuustheid en cyberbeveiliging (artikel 15).

Dit zijn systemen uit bijlage III, punt 4; artikel 15 geldt voor hen vanaf 2 december 2027. De aanbieder vermeldt nauwkeurigheidsniveaus en -maatstaven in de gebruiksaanwijzing (artikel 15, lid 3). Werkgevers die zo’n systeem alleen gebruiken, zijn gebruiksverantwoordelijken en niet gebonden aan artikel 15. Boetes bedragen maximaal 15 miljoen EUR (artikel 99, lid 4). Voor een onderneming maximaal 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is. Volgende stap: som de maatstaven op die u gaat vermelden.

Artikel 15 vraagt om een passend niveau, niet om een vast getal

Artikel 15 stelt ontwerpeisen aan de aanbieder. Het noemt voor geen enkele sector een nauwkeurigheidswaarde.

  • art. 15(1)
    Passend niveau, gedurende de hele levenscyclus

    AI-systemen met een hoog risico moeten zo worden ontworpen en ontwikkeld dat ze een passend niveau van nauwkeurigheid, robuustheid en cyberbeveiliging bereiken en in dat opzicht gedurende hun hele levenscyclus consistent presteren.

  • art. 15(2)
    Benchmarks moedigt de Commissie aan

    De Commissie moedigt in voorkomend geval de ontwikkeling van benchmarks en meetmethodologieën aan, in samenwerking met belanghebbenden zoals metrologie- en benchmarkingautoriteiten. Dat is geen verplichting voor de aanbieder.

  • art. 15(3)
    Niveaus en maatstaven vermelden

    De nauwkeurigheidsniveaus en de relevante nauwkeurigheidsmaatstaven moeten worden vermeld in de bijgevoegde gebruiksaanwijzingen.

  • art. 15(4)
    Weerbaarheid tegen fouten, en feedbackloops

    Systemen moeten zo bestand mogelijk zijn tegen fouten, storingen of inconsistenties in het systeem of de omgeving waarin het werkt, met name door de interactie met natuurlijke personen of andere systemen. Er moeten technische en organisatorische maatregelen worden genomen; technische redundantie, back-up- of failsafeplannen worden als opties genoemd. Een systeem dat na het in de handel brengen blijft leren, moet zo worden ontwikkeld dat het risico dat bevooroordeelde outputs invloed hebben op toekomstige input (feedbackloops) wordt weggenomen of zo veel mogelijk wordt beperkt.

  • art. 15(5)
    Cyberbeveiliging tegen onbevoegde derden

    Systemen moeten bestand zijn tegen pogingen van onbevoegde derden om het gebruik, de outputs of de prestaties te wijzigen door kwetsbaarheden te misbruiken. De technische oplossingen omvatten in voorkomend geval maatregelen tegen datavergiftiging, modelvergiftiging, adversarial examples of modelontwijking, aanvallen op vertrouwelijkheid en modelgebreken.

Welke HR-AI aan artikel 15 moet voldoen

Artikel 15 bindt alleen aanbieders van hoogrisico-AI-systemen. De rijen hieronder tonen wanneer HR-AI hoogrisico wordt.

  • HR-technologie is geen categorie in de verordening

    De verordening kent geen categorie „HR-technologie”. Deze site gebruikt het woord voor AI die onder de verordening valt via bijlage III, punt 4 (werkgelegenheid, personeelsbeheer en toegang tot zelfstandige arbeid), en via het verbod in artikel 5, lid 1, punt f), om emoties op de werkplek af te leiden.

  • Bijlage III, punt 4: werkgelegenheid en personeelsbeheer

    Bijlage III, punt 4, a), omvat AI-systemen die bedoeld zijn om te worden gebruikt voor de werving of selectie van natuurlijke personen, met name voor het plaatsen van gerichte vacatures, het analyseren en filteren van sollicitaties en het beoordelen van kandidaten. Punt b) omvat AI-systemen die bedoeld zijn om te worden gebruikt voor het nemen van besluiten die van invloed zijn op de voorwaarden van arbeidsgerelateerde betrekkingen, de bevordering of beëindiging van arbeidsgerelateerde contractuele betrekkingen, voor het toewijzen van taken op basis van individueel gedrag of persoonlijke eigenschappen of kenmerken, of voor het monitoren en beoordelen van de prestaties en het gedrag van personen in die betrekkingen. Een systeem uit bijlage III wordt alleen op grond van artikel 6, lid 3, niet als hoogrisico beschouwd, en de aanbieder moet die beoordeling documenteren voordat het systeem in de handel wordt gebracht of in gebruik wordt gesteld (artikel 6, lid 4). Artikel 6, lid 3, is nooit van toepassing wanneer het systeem profilering van natuurlijke personen uitvoert. Een aanbieder die concludeert dat zijn systeem uit bijlage III geen hoog risico inhoudt, valt onder de registratieverplichting van artikel 49, lid 2.

  • Aanbieder en gebruiksverantwoordelijke

    De aanbieder, bijvoorbeeld een leverancier van HR-software, ontwikkelt het AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam in de handel of stelt het onder eigen naam in gebruik (artikel 3, punt 3). Een werkgever, wervingsbureau of ander orgaan dat een systeem onder eigen gezag gebruikt, is een gebruiksverantwoordelijke (artikel 3, punt 4). Een gebruiksverantwoordelijke wordt aanbieder als hij zijn naam of merk zet op een hoogrisicosysteem dat al in de handel is, een substantiële wijziging aanbrengt waardoor het een hoogrisicosysteem blijft, of het beoogde doel van een systeem dat geen hoog risico had zo wijzigt dat het een hoogrisicosysteem wordt (artikel 25, lid 1). De verordening is niet van toepassing op verplichtingen van gebruiksverantwoordelijken die natuurlijke personen zijn en AI-systemen gebruiken in het kader van een louter persoonlijke niet-beroepsactiviteit (artikel 2, lid 10).

  • Data

    Systemen uit bijlage III, punt 4, moeten aan deze verplichtingen voldoen vanaf 2 december 2027 (artikel 113, lid 3, punt c), i)). Een systeem dat vóór die datum in de handel is gebracht of in gebruik is gesteld, valt er alleen onder als het ontwerp daarna aanzienlijk wijzigt; in elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, uiterlijk 2 augustus 2030 de nodige stappen ondernemen om te voldoen (artikel 111, lid 2). Het verbod van artikel 5, lid 1, punt f), geldt sinds 2 februari 2025; de uitzondering in artikel 113, lid 3, punt a), heeft daar geen betrekking op.

  • Boetes

    Overtredingen van de verplichtingen van aanbieders (artikel 16) en gebruiksverantwoordelijken (artikel 26) kunnen worden beboet met maximaal 15 miljoen EUR of, als de overtreder een onderneming is, maximaal 3 % van haar totale wereldwijde jaaromzet in het voorgaande boekjaar, als dat bedrag hoger is (artikel 99, lid 4). Voor mkb-bedrijven, met inbegrip van start-ups, geldt het lagere bedrag als maximum voor elke boete (artikel 99, lid 6); hetzelfde geldt voor kleine midcapondernemingen (artikel 3, punt 14 ter, artikel 99, lid 6 bis). Elke lidstaat bepaalt in hoeverre boeten kunnen worden opgelegd aan overheidsinstanties en -organen die op zijn grondgebied zijn gevestigd (artikel 99, lid 8).

  • Grenzen van het toepassingsgebied

    De verordening is niet van toepassing op gebieden die buiten het toepassingsgebied van het Unierecht vallen (eerste zin van artikel 2, lid 3), noch op AI-systemen of AI-modellen, met inbegrip van hun output, die specifiek ontwikkeld en in gebruik gesteld zijn met wetenschappelijk onderzoek en wetenschappelijke ontwikkeling als enig doel (artikel 2, lid 6), noch op onderzoeks-, test- en ontwikkelingsactiviteiten voordat een systeem in de handel wordt gebracht of in gebruik wordt gesteld; testen onder reële omstandigheden vallen niet onder die uitsluiting (artikel 2, lid 8). Zij is niet van toepassing op AI-systemen die worden vrijgegeven onder vrije en opensourcelicenties, tenzij zij als hoogrisico-AI-systemen in de handel worden gebracht of in gebruik worden gesteld of onder artikel 5 of 50 vallen (artikel 2, lid 12).

Wat de verordening openlaat voor HR-technologie

  • Geen nauwkeurigheidswaarde en geen eerlijkheidsmaatstaf

    Artikel 15 noemt voor geen enkele sector een nauwkeurigheidsmaatstaf, minimumwaarde, testmethode of norm, en de verordening noemt geen eerlijkheidsmaatstaf voor HR-systemen. De aanbieder vermeldt de niveaus en relevante maatstaven (artikel 15, lid 3). De technische documentatie moet ook de maatstaven beschrijven waarmee nauwkeurigheid, robuustheid en naleving worden gemeten, evenals mogelijk discriminerende gevolgen (bijlage IV, punt 2, g)).

  • Vermoedens van conformiteit

    De verordening noemt zelf geen norm. Systemen die conform zijn met geharmoniseerde normen waarvan de referenties in het Publicatieblad zijn bekendgemaakt, worden vermoed te voldoen aan de eisen van afdeling 2, voor zover die normen ze bestrijken (artikel 40, lid 1). Een cyberbeveiligingscertificaat of conformiteitsverklaring uit hoofde van Verordening (EU) 2019/881, bekendgemaakt in het Publicatieblad, geeft een vermoeden voor de cyberbeveiligingseisen van artikel 15 (artikel 42, lid 2); systemen die onder Verordening (EU) 2024/2847 vallen en voldoen aan artikel 12, lid 1, daarvan, worden geacht aan die eisen te voldoen (artikel 42, lid 3). De Commissie ontwikkelt richtsnoeren over de toepassing van de eisen en verplichtingen van de artikelen 8 tot en met 15 en de artikelen 25 en 26 (artikel 96, lid 1, punt a)).

  • Voorbeeld: terugkoppellussen in een rangschikkingstool

    Voorbeeld, geen vereiste van de verordening: de aanbieder van een tool die kandidaten rangschikt en na het in de handel brengen blijft leren, kan testen of zijn eerdere rangschikkingen de invoer beïnvloeden waarvan hij later leert, wat artikel 15, lid 4, over terugkoppellussen de aanbieder vraagt aan te pakken.

Vragen over artikel 15 in HR-technologie

Stelt artikel 15 een nauwkeurigheidswaarde of eerlijkheidsmaatstaf vast voor AI bij werving?

Nee. Artikel 15, lid 1, vraagt een passend niveau, en artikel 15, lid 3, vraagt dat de aanbieder de niveaus en relevante nauwkeurigheidsmaatstaven vermeldt in de gebruiksaanwijzing. De verordening noemt geen waarde, maatstaf of testmethode voor HR-systemen.

Wie moet aan artikel 15 voldoen als een werkgever een screeningtool koopt?

De aanbieder ontwerpt het systeem zo dat het aan artikel 15 voldoet (artikel 16, punt a)). De werkgever is een gebruiksverantwoordelijke en gebruikt het systeem volgens de gebruiksaanwijzing (artikel 26, lid 1). Een gebruiksverantwoordelijke die zijn eigen naam op het systeem zet, het substantieel wijzigt of het beoogde doel wijzigt, wordt de aanbieder (artikel 25, lid 1).

Vanaf wanneer geldt artikel 15 voor een systeem dat cv’s screent?

Vanaf 2 december 2027, als het systeem een hoogrisicosysteem uit bijlage III, punt 4, is (artikelen 6, lid 2, en 113). Een systeem dat vóór die datum al in de handel was, valt er pas onder na een aanzienlijke ontwerpwijziging (artikel 111, lid 2).

Gerelateerde pagina’s

Scanara bereidt bewijs voor vanuit uw repositories

Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.