AI-verordening HR-tech: nalevingsgids

HR-technologie is geen categorie van de verordening. Wat telt is het gebruik dat bijlage III, punt 4, noemt (“Werkgelegenheid, personeelsbeheer en toegang tot zelfstandige arbeid”).

Artikel 5 geldt vanaf 2 februari 2025, behalve artikel 5(1), eerste alinea, punten ba) en bb), en de leden 1 bis en 1 ter, die gelden vanaf 2 december 2026 (artikel 113, punt a)). De onderstaande lijst is niet volledig; artikel 5 bevat nog andere verboden.

• Emoties afleiden op het werk: artikel 5(1), f)

  Verboden zijn het in de handel brengen, het voor dit specifieke doel in gebruik stellen en het gebruiken van AI-systemen om emoties van een natuurlijke persoon op de werkplek en in het onderwijs af te leiden, behalve wanneer het gebruik van het AI-systeem is bedoeld om uit medische of veiligheidsoverwegingen te worden ingevoerd of in de handel te worden gebracht. De verordening definieert “werkplek” niet. Of het verbod ook kandidaten in video-interviews treft, is een kwestie van uitleg die deze pagina niet beslecht.

• Biometrische categorisering op gevoelige kenmerken: artikel 5(1), g)

  Verboden zijn systemen voor biometrische categorisering die natuurlijke personen individueel categoriseren op basis van hun biometrische gegevens om hun ras, politieke opvattingen, lidmaatschap van een vakbond, religieuze of levensbeschouwelijke overtuigingen, seksleven of seksuele geaardheid af te leiden. Het verbod geldt niet voor het labelen of filteren van rechtmatig verkregen biometrische datasets, zoals afbeeldingen, op basis van biometrische gegevens of voor het categoriseren van biometrische gegevens op het gebied van rechtshandhaving.

• Social scoring: artikel 5(1), c)

  Verboden zijn AI-systemen voor het evalueren of classificeren van natuurlijke personen of groepen personen over een bepaalde periode op basis van hun sociale gedrag of van bekende, afgeleide of voorspelde persoonlijke of persoonlijkheidskenmerken, wanneer de sociale score leidt tot nadelige of ongunstige behandeling in sociale contexten die losstaan van de contexten waarin de gegevens oorspronkelijk zijn gegenereerd of verzameld, of tot nadelige of ongunstige behandeling die ongerechtvaardigd of onevenredig is met hun sociale gedrag of de ernst daarvan.

• Emotieherkenning die niet verboden is

  Emotieherkenningssystemen en systemen voor biometrische categorisering die niet verboden zijn, zijn niet van de verordening uitgesloten. Bijlage III, punt 1, b) en c), noemt biometrische categorisering op basis van gevoelige of beschermde attributen of kenmerken, en emotieherkenning, als hoogrisico voor zover het gebruik ervan is toegestaan op grond van het toepasselijke Unie- of nationale recht. Gebruiksverantwoordelijken van een emotieherkenningssysteem of een systeem voor biometrische categorisering informeren de natuurlijke personen die eraan worden blootgesteld over de werking van het systeem en verwerken de persoonsgegevens in overeenstemming met het gegevensbeschermingsrecht (artikel 50(3)). Een emotieherkenningssysteem is bedoeld om emoties of intenties van natuurlijke personen te identificeren of af te leiden op basis van hun biometrische gegevens (artikel 3, punt 39).

• De ontwikkelaar van de software is de aanbieder, de werkgever die het gebruikt is een gebruiksverantwoordelijke

  De aanbieder is de natuurlijke of rechtspersoon, overheidsinstantie, agentschap of ander orgaan die een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam of merk in de handel brengt of in gebruik stelt (artikel 3, punt 3). Aanbieders van hoogrisicosystemen moeten ervoor zorgen dat hun systemen voldoen aan de eisen van afdeling 2 (artikelen 8 tot en met 15) (artikel 16, punt a)). Een gebruiksverantwoordelijke is een natuurlijke of rechtspersoon, overheidsinstantie, agentschap of ander orgaan die een AI-systeem onder eigen verantwoordelijkheid gebruikt, behalve wanneer het systeem wordt gebruikt in het kader van een persoonlijke niet-beroepsactiviteit (artikel 3, punt 4). Een werkgever die een HR-systeem gebruikt, is een gebruiksverantwoordelijke met de plichten van artikel 26. Een gebruiksverantwoordelijke wordt aanbieder als hij zijn naam of merk op een al in de handel gebracht hoogrisicosysteem plaatst, er een substantiële wijziging in aanbrengt of het beoogde doel van een systeem wijzigt zodat het een hoogrisicosysteem wordt (artikel 25(1)).

• Stappen van de aanbieder vóór het op de markt brengen

  Voordat hij een in bijlage III opgenomen hoogrisicosysteem (met uitzondering van punt 2) in de handel brengt of in gebruik stelt, registreert de aanbieder zichzelf en zijn systeem in de EU-databank (artikel 49(1)). Voor systemen als bedoeld in de punten 2 tot en met 8 van bijlage III volgt de aanbieder de conformiteitsbeoordelingsprocedure op basis van interne controle (bijlage VI), die niet voorziet in de betrokkenheid van een aangemelde instantie (artikel 43(2)). Een aanbieder die heeft vastgesteld dat zijn systeem uit bijlage III volgens artikel 6(3) niet hoogrisico is, documenteert de beoordeling (artikel 6(4)) en registreert zichzelf en het systeem in de EU-databank voordat het in de handel wordt gebracht of in gebruik wordt gesteld (artikel 49(2)).

• Plichten van de werkgever als gebruiksverantwoordelijke

  Gebruiksverantwoordelijken van hoogrisicosystemen nemen passende technische en organisatorische maatregelen om ze te gebruiken overeenkomstig de gebruiksaanwijzing (artikel 26(1)), wijzen menselijk toezicht toe aan natuurlijke personen met de nodige bekwaamheid, opleiding en autoriteit (artikel 26(2)), monitoren de werking van het systeem op basis van de gebruiksaanwijzing (artikel 26(5)) en bewaren de logs die onder hun controle vallen ten minste zes maanden, tenzij ander recht anders bepaalt (artikel 26(6)). Werkgevers informeren werknemersvertegenwoordigers en de betrokken werknemers voordat zij het systeem op de werkplek gebruiken (artikel 26(7)), in voorkomend geval overeenkomstig de regels en procedures van het Unie- en nationaal recht inzake het informeren van werknemers en hun vertegenwoordigers. Gebruiksverantwoordelijken van systemen uit bijlage III die besluiten nemen over natuurlijke personen of daarbij helpen, informeren die personen dat zij worden onderworpen aan het systeem (artikel 26(11)). Betrokken personen hebben in de in artikel 86(1) beschreven gevallen recht op uitleg. Aanbieders en gebruiksverantwoordelijken van AI-systemen nemen ook maatregelen om de AI-geletterdheid van hun personeel en van andere personen die namens hen met de werking en het gebruik van de systemen te maken hebben te bevorderen; zij hoeven geen specifiek niveau van AI-geletterdheid van individuen te garanderen (artikel 4(1)).

• Publieke werkgevers hebben aanvullende plichten

  Gebruiksverantwoordelijken die overheidsinstanties of instellingen, organen en instanties van de Unie zijn, voldoen aan de registratieverplichtingen van artikel 49 (artikel 26(8)). Voordat een hoogrisicosysteem als bedoeld in artikel 6(2), met uitzondering van systemen op het in punt 2 van bijlage III vermelde gebied, in gebruik wordt genomen, voeren gebruiksverantwoordelijken die publiekrechtelijke organen zijn of particuliere entiteiten die openbare diensten verlenen een beoordeling van het effect op de grondrechten uit (artikel 27(1)). Een werkgever die noch een publiekrechtelijk orgaan noch een particuliere entiteit is die openbare diensten verleent, valt voor bijlage III, punt 4, niet onder artikel 27(1).

Niet-naleving van artikel 5 wordt beboet met maximaal 35 miljoen EUR of, voor een onderneming, maximaal 7 % van haar totale wereldwijde jaaromzet in het voorgaande boekjaar, als dat bedrag hoger is (artikel 99(3)). Niet-naleving van de verplichtingen van aanbieders (artikel 16), gebruiksverantwoordelijken (artikel 26) en van de transparantieverplichtingen van artikel 50 wordt beboet met maximaal 15 miljoen EUR of, voor een onderneming, maximaal 3 %, als dat bedrag hoger is (artikel 99(4)). Voor mkb-bedrijven, inclusief start-ups, is elke boete maximaal het lagere van het percentage of het bedrag (artikel 99(6)); voor kleine midcapondernemingen (artikel 3, punt 14 ter) geldt hetzelfde voor de boetes van artikel 99(4) en (5) (artikel 99(6 bis)). Elke lidstaat bepaalt in hoeverre administratieve boetes kunnen worden opgelegd aan overheidsinstanties en -organen die in die lidstaat zijn gevestigd (artikel 99(8)). De sanctieregels van hoofdstuk XII gelden vanaf 2 augustus 2025, met uitzondering van artikel 101 (artikel 113, punt b)).

• art. 9
  Risicobeheersysteem

  Er wordt een risicobeheersysteem opgezet, uitgevoerd, gedocumenteerd en in stand gehouden als een continu iteratief proces gedurende de hele levenscyclus (artikel 9(1) en (2)).

• art. 10
  Data en datagovernance

  Trainings-, validatie- en testdatasets voldoen aan de kwaliteitscriteria en vallen onder datagovernancepraktijken die het onderzoek naar mogelijke bias omvatten (artikel 10(2) tot en met (4)).

• art. 12
  Bijhouden van logs

  Hoogrisico-AI-systemen maken technisch de automatische registratie van gebeurtenissen (logs) mogelijk gedurende de levensduur van het systeem (artikel 12(1)).

• art. 13
  Transparantie en verstrekking van informatie aan gebruiksverantwoordelijken

  De werking is voldoende transparant om gebruiksverantwoordelijken in staat te stellen de output te interpreteren en passend te gebruiken, en het systeem gaat vergezeld van een gebruiksaanwijzing (artikel 13(1) tot en met (3)).

• art. 14
  Menselijk toezicht

  Systemen worden zo ontworpen dat natuurlijke personen er tijdens het gebruik doeltreffend toezicht op kunnen houden (artikel 14(1)).

• art. 15
  Nauwkeurigheid, robuustheid en cyberbeveiliging

  Systemen bereiken een passend niveau van nauwkeurigheid, robuustheid en cyberbeveiliging en presteren in dat opzicht consistent gedurende hun hele levenscyclus; nauwkeurigheidsniveaus en metrieken worden vermeld in de gebruiksaanwijzing (artikel 15(1) en (3)).

• art. 26
  Verplichtingen van gebruiksverantwoordelijken

  Gebruiksverantwoordelijken gebruiken het systeem overeenkomstig de gebruiksaanwijzing, wijzen menselijk toezicht toe, monitoren de werking op basis van de gebruiksaanwijzing, bewaren de logs onder hun controle en informeren personen die aan besluiten zijn onderworpen (artikel 26(1), (2), (5), (6) en (11)). Werkgevers informeren werknemersvertegenwoordigers en betrokken werknemers, in voorkomend geval overeenkomstig de regels en procedures van het Unie- en nationaal recht inzake het informeren van werknemers en hun vertegenwoordigers (artikel 26(7)).

• art. 50
  Transparantieverplichtingen

  Aanbieders zorgen ervoor dat AI-systemen die bedoeld zijn om rechtstreeks met natuurlijke personen te interageren, die personen informeren dat zij met een AI-systeem interageren, tenzij dat duidelijk is (artikel 50(1)). Gebruiksverantwoordelijken van emotieherkenningssystemen of systemen voor biometrische categorisering informeren de personen die eraan worden blootgesteld (artikel 50(3)).

• Artikel 9: risicobeheer voor HR-tech-AI — EU AI-verordening

  Risicobeheer gedurende de hele levenscyclus voor HR-technologie.

• Artikel 14: menselijk toezicht voor HR-tech-AI

  Maatregelen voor menselijk toezicht voor HR-technologie.

• Verboden AI-praktijken volgens artikel 5 AI-verordening

  Alle verboden van artikel 5 en de uitzonderingen daarop.

• Bijlage III uitgediept: alle 8 hoog-risico categorieën

  Alle gebieden van bijlage III, waaronder punt 4 over werkgelegenheid.