AI-verordening HR-managers: wat je in 2026 moet regelen

HR-managers in het Nederlandse MKB staan voor een concrete compliance-opgave: wie AI gebruikt bij werving, selectie of personeelsbeoordeling, valt onder de EU AI-verordening met bijbehorende verplichtingen. Geen theorie, maar harde eisen met boetes tot 15 miljoen euro of 3% van de wereldwijde jaaromzet.

Kijk, de meeste HR-managers denken dat de AI-verordening iets is voor grote techbedrijven. Dat klopt niet. Als jij een AI-tool inzet die cv's screent, kandidaten rankt, of verzuim voorspelt, ben jij de deployer. En deployers hebben eigen verplichtingen onder de verordening.

# Waarom HR precies in het vizier ligt

De AI-verordening maakt onderscheid in risiconiveaus. AI-systemen die worden ingezet bij werving en selectie van mensen vallen onder Bijlage III van de verordening. Dat is de lijst met hoog-risico AI-toepassingen. Recruitment-AI staat er expliciet op: systemen voor het screenen of filteren van sollicitanten, het rangschikken van kandidaten, het beoordelen van gedrag of persoonlijkheid tijdens sollicitatieprocedures.

Hoog-risico betekent niet verboden. Het betekent wel dat er extra verplichtingen gelden, zowel voor de aanbieder van het systeem als voor jou als deployer die het inzet.

Voor HR zijn de meest directe verplichtingen:

• Artikel 26 over deployer-verplichtingen: je moet het systeem gebruiken zoals de aanbieder het heeft bedoeld, toezicht houden door mensen, en niet zomaar op de AI-output vertrouwen zonder menselijke beoordeling.
• Artikel 4 over AI-geletterdheid: je organisatie moet aantoonbaar zorgen dat medewerkers die met AI-systemen werken, voldoende kennis hebben om dat verantwoord te doen.
• Artikel 86 over het recht op uitleg: mensen die door een hoog-risico AI-systeem een beslissing hebben gekregen, kunnen om uitleg vragen.

# Artikel 4: AI-geletterdheid is niet optioneel

Artikel 4 van de EU AI-verordening verplicht aanbieders én deployers om te zorgen voor voldoende AI-geletterdheid bij hun medewerkers. De wet zegt letterlijk dat je rekening moet houden met de technische kennis, ervaring, opleiding en training van de mensen die AI-systemen gebruiken of ermee worden geconfronteerd.

Voor HR-afdelingen betekent dit concreet:

1. Breng in kaart wie er met AI-systemen werkt. Dat is niet alleen de HR-manager die de tool beheert, maar ook recruiters die de output gebruiken, leidinggevenden die op basis van AI-adviezen beslissingen nemen, en soms zelfs de medewerkers zelf.
2. Documenteer welke trainingen zijn gevolgd. Artikel 4 stelt geen specifieke uren of certificaten verplicht, maar je moet kunnen aantonen dat je het hebt geregeld. Een e-mail met een linkje naar een FAQ telt niet.
3. Herhaal dit bij nieuwe tools. Elke keer dat je een nieuw AI-systeem introduceert, moet je opnieuw nadenken over de benodigde kennis bij je team.

De deadline voor AI-geletterdheidsverplichtingen was 2 februari 2025. Dat is al verstreken. Als je hier nog niets mee hebt gedaan, loop je achter.

# Wat je als deployer moet doen bij hoog-risico systemen

Artikel 26 is het hart van de deployer-verplichtingen. De meest praktische eisen voor HR:

Menselijk toezicht: Je mag de beslissing over aanname, afwijzing of promotie nooit volledig aan een AI-systeem overlaten. Er moet altijd een mens zijn die de output begrijpt, kan betwisten, en de uiteindelijke beslissing neemt. Dit is ook juridisch logisch: onder de AVG heb je al het recht om niet uitsluitend aan geautomatiseerde besluitvorming te worden onderworpen (Artikel 22 AVG).

Gebruik volgens de instructies: De aanbieder van het AI-systeem levert documentatie mee, inclusief een zogenaamde technische documentatie en gebruiksinstructies. Als jij de tool anders gebruikt dan beschreven, verschuift de aansprakelijkheid naar jou. Lees die documentatie dus.

Registreer je gebruik: Deployers van hoog-risico AI-systemen moeten hun gebruik registreren in de EU-database voor hoog-risico AI-systemen. Dit geldt voor systemen die na 2 augustus 2026 in gebruik worden genomen. Voor bestaande systemen loopt de overgangsperiode tot augustus 2027.

Informeer je medewerkers: Als je AI inzet op de werkvloer, heb je een informatieplicht richting de betrokken werknemers. Artikel 26 lid 7 zegt expliciet dat je werknemers en hun vertegenwoordigers moet informeren over het gebruik van hoog-risico AI-systemen.

# De AVG-verbinding die veel HR-managers missen

De AI-verordening staat niet op zichzelf. Bij recruitment-AI verwerk je ook persoonsgegevens, dus de AVG is óók van toepassing. De Autoriteit Persoonsgegevens houdt toezicht op beide.

Concreet: als jouw recruitment-AI profilering toepast of geautomatiseerde besluiten neemt, moet je waarschijnlijk een DPIA uitvoeren. Dat was al zo onder de AVG, maar de AI-verordening voegt er een extra laag aan toe. De Europese Commissie werkt aan richtlijnen om DPIA's en de grondrechten-impactbeoordeling (FRIA) onder de AI-verordening te combineren, maar die zijn er nog niet.

Tip: check bij je privacy officer of de verwerking van persoonsgegevens via AI-tools al is opgenomen in het verwerkingsregister. Als dat niet zo is, is dat het eerste wat je regelt.

# Praktisch stappenplan voor HR-teams

Geen abstracte lijst van aanbevelingen, maar wat je deze week concreet doet:

Stap 1: Inventariseer je AI-tools (1 uur) Maak een lijst van alle tools waarbij AI een rol speelt in HR-processen. Denk aan: ATS-systemen met AI-scoring, videosollicitatie-analyse, CV-parsers, verzuimvoorspellers, performance-management tools. Vraag ook bij andere afdelingen na of zij tools gebruiken die HR-data verwerken.

Stap 2: Classificeer per tool (2 uur) Valt de tool onder Bijlage III? Als het systeem helpt bij beslissingen over mensen in arbeidscontexten, is de kans groot van wel. Twijfel je? Lees de omschrijving in Bijlage III er nog eens op na.

Stap 3: Vraag documentatie op bij de aanbieder (1 dag) Iedere aanbieder van een hoog-risico AI-systeem is verplicht documentatie te leveren. Vraag expliciet om: de technische documentatie, de gebruiksinstructies, en informatie over de beperkingen van het systeem. Krijg je die niet, dan is dat een signaal.

Stap 4: Regel AI-geletterdheidstraining (1-2 weken) Organiseer een training voor iedereen die met de tools werkt. Leg vast wie er wanneer heeft deelgenomen. Gebruik de aanbiedersdocumentatie als basis, maar zorg ook dat medewerkers begrijpen wanneer ze de AI-output moeten bevragen.

Stap 5: Pas je procedures aan Zorg dat je wervingsprocedure expliciet een menselijke beoordelingsstap bevat ná de AI-output. Documenteer dit in je beleid. Zorg ook dat kandidaten weten dat AI wordt ingezet, wat voor informatie zij kunnen opvragen (Artikel 86), en hoe zij bezwaar kunnen maken.

Stap 6: Stem af met privacy officer Check of de AI-tools al in het verwerkingsregister staan. Bespreek of een DPIA nodig is. Maak afspraken over wie verantwoordelijk is voor het bijhouden van de compliance-documentatie.

# Wat zijn de risico's als je niets doet?

Eerlijk gezegd: de handhaving van de AI-verordening voor deployers start formeel per augustus 2026. Maar de AP kijkt nu al mee, en de AI-geletterdheidsverplichtingen gelden al. Bedrijven die straks worden aangesproken en geen documentatie kunnen overleggen, staan zwak.

Boetes voor deployers die hoog-risico AI-systemen niet conform de regels inzetten, kunnen oplopen tot 15 miljoen euro of 3% van de wereldwijde jaaromzet. Voor een MKB-bedrijf van 50 medewerkers is 3% van je omzet al een serieus bedrag.

Maar er is ook reputatierisico. Een kandidaat die vraagt hoe zijn afwijzing tot stand is gekomen en jij kunt dat niet uitleggen: dat wordt een probleem. Zeker nu rechters en journalisten steeds meer aandacht hebben voor algoritmische besluitvorming.

# Begin vandaag met de inventarisatie

De AI-verordening voelt groot, maar voor HR-managers is de scope behapbaar. Je hoeft niet alles tegelijk te doen. Begin met de inventarisatie van je AI-tools, vraag documentatie op bij je aanbieders, en regel de training voor je team.

Wil je weten waar je nu staat? Doe de gratis 2-minuten compliance-check op comply.khairos.ai en krijg direct inzicht in welke verplichtingen voor jouw organisatie gelden.