Een recruiter die altijd op 'goedkeuren' klikt, is een dure computermuis

Op de website van het E-recruitment Congress in Amsterdam, waar ik deze maand mocht spreken, staat een opvallende belofte: intelligente agents nemen vandaag autonoom beslissingen en nemen volledige taakstromen over. Als bezoeker lees je dat als de toekomst. Als jurist lees je een zin waar een hele juridische afdeling aan vastzit.

Wie in Europa autonoom over kandidaten beslist, krijgt immers met twee regelgevingen tegelijk te maken: de GDPR en de AI Act. De meeste HR-afdelingen hebben daar een geruststellend antwoord op: bij ons beslist altijd een mens. Dat antwoord is de olifant in de kamer. De vraag is niet of er een mens in het proces zit, maar of die mens er nog toe doet.

Profilering: het woord dat de uitweg afsluit

Niet elke recruitmenttool is hoog risico

De AI Act bevat in bijlage III een lijst van domeinen waar de wetgever streng wil zijn. Werkgelegenheid staat erop, en niet vaag. De tekst noemt uitdrukkelijk AI die gerichte vacatures plaatst, sollicitaties analyseert en filtert, en kandidaten beoordeelt.

Toch is niet elke tool die met werving te maken heeft automatisch een AI-systeem met hoog risico. Artikel 6(3) biedt een uitweg voor systemen die alleen een beperkte procedurele of voorbereidende taak uitvoeren en de uitkomst van een beslissing niet wezenlijk beïnvloeden. Denk aan een tool die een cv leest en naam, diploma's en vorige werkgevers netjes in de juiste velden van je sollicitatiesysteem zet. Dat is een razendsnelle archiefklerk die ordent, maar niet oordeelt.

Wanneer de archiefklerk rechter wordt

Eén woord sluit die uitweg onherroepelijk af: profilering. Een systeem uit bijlage III dat aan profilering doet, is altijd hoog risico, zonder discussie.

De definitie van profilering komt uit de GDPR, en de AI Act neemt ze gewoon over. In gewone taal gebruikt een systeem gegevens over een persoon om die persoon te beoordelen of iets over hem te voorspellen. Hoe goed zal hij presteren, hoe betrouwbaar is ze, blijft hij langer dan anderhalf jaar, past ze in het team?

Laat diezelfde archiefklerk nu elke kandidaat een score van 1 tot 100 geven, of kandidaten rangschikken, of labelen als "hoog potentieel". Dan heeft de klerk zichzelf tot rechter gepromoveerd, want hij beoordeelt niet langer informatie maar de persoon zelf. Dat is profilering, en je systeem is hoog risico. Hetzelfde geldt voor gerichte vacatures: een algoritme dat op basis van voorspellingen bepaalt wie je vacature te zien krijgt, beslist stilletjes wie überhaupt een kans maakt.

Een eenvoudige test voor maandagochtend: neem de brochure of website van je recruitmenttool en zoek naar woorden als "match score", "fit", "ranking" of "voorspellend". Elk van die woorden is een leverancier die trots vertelt dat zijn product aan profilering doet. Alleen staan de gevolgen zelden op dezelfde pagina.

Wie beslist er eigenlijk?

Artikel 22 GDPR en het arrest SCHUFA

Naast de AI Act staat een oudere regel, al sinds 2018 van toepassing: artikel 22 GDPR. Iedereen heeft het recht niet onderworpen te worden aan een besluit dat uitsluitend op geautomatiseerde verwerking berust, profilering inbegrepen, als dat besluit hem in aanmerkelijke mate treft. Een afwijzing voor een job valt daar zonder twijfel onder.

Neem een tool die kandidaat A 92 punten geeft, kandidaat B 41 en kandidaat C 18. Je recruiter heeft zeshonderd sollicitaties en een leidinggevende die gisteren al een selectie wou. In de praktijk krijgt iedereen onder de 60 de vriendelijke afwijzingsmail. Formeel klikte een mens op de knop, maar besliste die mens iets, of fungeerde hij als een heel dure computermuis?

Het Hof van Justitie maakte die vraag in december 2023 een stuk ongemakkelijker in de zaak rond SCHUFA, een Duits kredietbureau. SCHUFA berekende kredietscores, een bank weigerde op basis daarvan een lening, en iedereen wees naar de ander: het bureau rekende alleen, en de bank had een mens die besliste. Het Hof ging daar niet in mee. Als een derde zich in sterke mate op zo'n score baseert, dan is het berekenen van de score zelf het besluit.

Vertaal dat naar je wervingsproces. Als in werkelijkheid niemand onder de 60 ooit wordt uitgenodigd, dan besliste niet je recruiter. Dan besliste de 60.

De Artikel 29-Werkgroep, de voorloper van de huidige European Data Protection Board, formuleerde het in haar richtlijnen over geautomatiseerde besluitvorming al heel helder (vrij vertaald):

"De verwerkingsverantwoordelijke kan de bepalingen van artikel 22 niet omzeilen door menselijke tussenkomst te fabriceren. Om als menselijke tussenkomst te gelden, moet het toezicht op het besluit betekenisvol zijn, en niet louter een symbolisch gebaar."
Art. 29 Werkgroep

De toestemmingsval

Is een geautomatiseerd besluit dan verboden? Niet per se, want artikel 22 laat het toe langs drie wegen. De wet kan het uitdrukkelijk toestaan, het kan noodzakelijk zijn voor een overeenkomst, of de kandidaat geeft uitdrukkelijke toestemming. De eerste weg is in werving zo goed als dicht. De tweede wordt door toezichthouders zeer eng gelezen: de Europese richtlijnen houden de deur op een kier voor uitzonderlijk hoge aantallen sollicitaties, maar veel cv's en tijdswinst zijn nog geen noodzaak. Blijft over: toestemming.

Speel het even uit. Een uitzendkantoor wil duizenden cv's volautomatisch verwerken en vraagt elke kandidaat om toestemming. Als iedereen akkoord gaat en niemand klaagt, is er niets aan de hand. Als enkelen achteraf klagen, voorziet de wet ook daarin: je biedt menselijke tussenkomst, laat de kandidaat zijn standpunt toelichten en het besluit aanvechten. Maar wat als sommige kandidaten weigeren? Kun je die gewoon negeren?

Daar zit de val. Als weigeren betekent dat je sollicitatie in een zwart gat verdwijnt, dan had de kandidaat geen echte keuze, en toestemming moet vrij gegeven zijn. Tussen een werkzoekende en wie de job aanbiedt, is dat al wankel. De enige veilige weg is een menselijke route voor wie weigert. Weigert twintig procent van honderdduizend kandidaten, dan heb je mensen nodig voor twintigduizend cv's, en is je efficiëntiewinst net de deur uitgewandeld.

De olifant in de kamer: menselijk toezicht

Onder de GDPR een uitweg, onder de AI Act een plicht

Hier lopen beide regelgevingen fundamenteel uiteen. Onder de GDPR is een mens die echt beslist vooral een uitweg: het besluit is dan niet langer uitsluitend geautomatiseerd, en artikel 22 speelt niet. Onder de AI Act werkt het omgekeerd, want een mens in het proces haalt je nergens uit. Je scoringstool blijft hoog risico, of een recruiter de resultaten nu bekijkt of niet. En net omdat ze hoog risico is, wordt menselijk toezicht een verplichting op zich.

Human in the loop, on the loop, in command

De AI Act is soepeler over de vorm van dat toezicht dan vaak gedacht. Artikel 14 eist niet dat een mens elke output goedkeurt, maar vraagt mensen die het systeem begrijpen, het opvolgen, afwijkingen opmerken, de output kunnen negeren of terugdraaien en het systeem kunnen stilleggen.

In AI-governance onderscheidt men drie modellen. Een human in the loop keurt elke beslissing goed, een human on the loop houdt toezicht en grijpt in waar nodig, en een human in command bestuurt het systeem als geheel en kan het uitzetten. Voor fraudedetectie bij een bank, met miljoenen transacties, is on the loop perfect verdedigbaar. In werving gaat elk afzonderlijk besluit echter over iemands job, en dan duwt artikel 22 GDPR je alsnog terug naar een human in the loop. Je hebt dus beide nodig.

Automation bias en een override rate van nul

Mensen zijn zeker geen perfecte recruiters. Ze zijn vooringenomen, worden moe en kiezen bijvoorbeeld graag de kandidaat van hun eigen school. Waarom vertrouwt de wet hen dan meer dan machines? Kijk naar het verkeer. Menselijke bestuurders veroorzaken elke dag dodelijke ongevallen, en we hebben daar een hele verzekeringssector rond gebouwd, maar één ongeval met een zelfrijdende wagen haalt de voorpagina. Van mensen aanvaarden we fouten, van machines eisen we perfectie. Dat is niet helemaal rationeel, maar wel diep menselijk.

Vikram Bhargava, die aan de George Washington University onderzoek doet naar AI en de toekomst van werk, wijst op nog een andere reden (vrij vertaald):

"Er zijn belangrijke (en over het hoofd geziene) ethische waarden die ontstaan doordat wij zelf keuzes maken, ook over met wie we wel of niet samenwerken. Die waarden komen in gevaar als HR-managers die keuze aan een algoritme overlaten."
Vikram Bhargava

De recruiter die als human-in-the-loop alles goedkeurt, geeft je bovendien het slechtste van twee werelden: de fouten van de machine, geen enkel menselijk oordeel, en een juridisch verhaal dat in elkaar zakt zodra iemand vraagt hoe het besluit tot stand kwam.

De AI Act benoemt die psychologie opvallend eerlijk. Artikel 14 spreekt over automation bias, de neiging om te veel te vertrouwen op wat het systeem zegt, en vraagt dat wie toezicht houdt zich daarvan bewust is. Artikel 26 verplicht organisaties om dat toezicht toe te vertrouwen aan mensen met de nodige bekwaamheid, opleiding en bevoegdheid, en hen daarin te ondersteunen.

Ziet je recruiter dus waarom de tool iemand een bepaalde score gaf, of alleen het getal? Heeft hij de tijd om echt te kijken, of werden de doelstellingen bepaald alsof de AI alles doet? Mag zij het oneens zijn, en gebeurt er dan iets? En vooral: hoe vaak gaan je recruiters in tegen de tool? Is het antwoord "nooit", dan heb je geen recruiter die toezicht houdt op een AI, maar een AI met een recruiter eraan vast. Een override rate van nul bewijst niet dat je AI perfect is. Het bewijst dat niemand kijkt.

Toezicht gaat ook niet alleen over individuele kandidaten. Iemand moet naar patronen kijken: wie wordt afgewezen, scoren bepaalde groepen systematisch lager, veranderde er iets na de laatste versie van de leverancier? Dat is het niveau van human in command, en in de meeste organisaties bestaat het nog niet.

"Maar de deadline is toch uitgesteld?"

Klopt. Door de Digital Omnibus, die eind juli 2026 in werking trad, gelden de verplichtingen voor systemen met hoog risico uit bijlage III pas vanaf 2 december 2027 in plaats van augustus 2026. Wie daaruit besluit dat hij tot dan kan achteroverleunen, vergist zich om drie redenen.

Ten eerste is de GDPR niet uitgesteld. Artikel 22, profilering en het arrest SCHUFA gelden vandaag. De recruiter als dure computermuis is geen probleem voor 2027, maar voor maandagochtend.

Ten tweede is niet de hele AI Act uitgesteld. Het verbod op emotieherkenning op de werkplek geldt al sinds februari 2025, en volgens de richtsnoeren van de Europese Commissie valt werving daaronder. Een videotool die je vertelt of een kandidaat "enthousiast" of "nerveus" oogt, wacht dus niet op 2027. Die mag je gewoon niet gebruiken.

Ten derde zijn er je contracten. De tool die je dit jaar kiest, gaat op 2 december 2027 niet uit. Je tekent voor bijvoorbeeld drie jaar, koppelt hem aan je sollicitatiesysteem en bouwt je processen eromheen. Een uitgestelde deadline is geen uitgesteld gevolg.

Stel de vragen die je leverancier liever niet hoort

De meeste leveranciers zwijgen over dit alles, niet per se uit kwade wil, maar omdat "hoog risico" slecht staat in een verkoopspresentatie. Je zult het dus zelf moeten vragen. Scoort, rangschikt of classificeert de tool kandidaten, en zo ja, hoe wordt ze tegen december 2027 conform? Kan je recruiter in begrijpelijke taal zien waarom een kandidaat een bepaalde score kreeg? Hoe werd het systeem getest op vooringenomenheid, en mag je de resultaten zien? Wat gebeurt er als je recruiter het oneens is? En waartoe verbindt de leverancier zich contractueel als de wet iets vereist wat zijn product nog niet kan? Krijg je heldere antwoorden, dan heb je wellicht een goede partner. Begint je leverancier enthousiast over de gebruikersinterface, dan weet je ook genoeg.

AI kan werving sneller, eerlijker en zelfs menselijker maken, door recruiters te verlossen van repetitief werk zodat ze tijd overhouden voor de gesprekken die ertoe doen. Conforme, AI-ondersteunde werving is haalbaarder dan velen denken. De toekomst is alleen geen agent die autonoom over mensen beslist, maar een agent die enorm veel werk verzet, naast een mens die nog durft te zeggen dat iets niet klopt.

Wil je weten of jouw recruitmenttool aan profilering doet, hoe je menselijk toezicht organiseert dat de toets van de GDPR en de AI Act doorstaat, of welke garanties je in je contract met de leverancier opneemt? Neem contact op via hallo@consey.legal.

Geschreven door Kris Seyen, Founder & Managing Partner consey.legal