In juli 2026 paste de EU het tijdschema van haar AI-wetgeving aan. Verordening (EU) 2026/1744, de “Digital Omnibus”, werd op 24 juli 2026 gepubliceerd en is sinds 27 juli 2026 van kracht. De verordening wijzigt de AI-verordening en schuift de strengste verplichtingen voor AI-systemen met een hoog risico, waaronder veel wervingstools, door van augustus 2026 naar december 2027.

In de media heette dat “uitstel”. Wie het daarbij laat, mist twee dingen. Een deel van de regels is nooit uitgesteld, en de belangrijkste regel voor werving geldt al sinds februari 2025.

Al verboden: software die emoties leest

Sommige video-interview- en assessmenttools beweren enthousiasme, stress of betrouwbaarheid af te lezen aan het gezicht of de stem van een kandidaat. Sinds 2 februari 2025 is AI die emoties of intenties afleidt uit gezichtsuitdrukkingen, stemkenmerken of andere biometrische gegevens verboden op de werkvloer en bij werving en selectie. Alleen enkele medische en veiligheidstoepassingen zijn toegestaan. Het verbod gaat over het afleiden van emoties uit het lichaam: analyse van de toon van geschreven tekst valt er niet automatisch onder. En kandidaten erover informeren maakt het niet rechtmatig: een verbod is een verbod.

Dit staat in artikel 5 van de AI-verordening. De Europese Commissie publiceerde praktische richtsnoeren over deze verboden praktijken. Beweert een tool in uw selectieproces emoties te lezen uit gezichtsuitdrukkingen, stemkenmerken of andere biometrische gegevens? Dan is dat het eerste om te controleren.

Een tweede plicht uit dezelfde periode blijft ook staan. Organisaties die AI gebruiken, moeten maatregelen nemen die de ontwikkeling van AI-geletterdheid bij medewerkers ondersteunen, denk aan training en interne richtlijnen, zonder dat ze een bepaald individueel niveau hoeven te garanderen (zie de vragen en antwoorden van de Commissie over AI-geletterdheid).

Wat er in juli 2026 veranderde, en wat niet

Wat opschoof, zijn de strenge regels voor AI-systemen met een hoog risico. “Hoog risico” verwijst naar een lijst in de wet (bijlage III) met gevoelige toepassingen. Op die lijst staat ook AI voor werving en selectie, en AI voor beslissingen over promotie, ontslag, taakverdeling en monitoring. De strenge eisen die daaraan vasthangen, gelden nu vanaf 2 december 2027 in plaats van 2 augustus 2026.

Twee kanttekeningen houden dit realistisch. Ten eerste gelden de regels van december 2027 voor werkelijk nieuwe typen en modellen die vanaf die datum voor het eerst in de EU in de handel worden gebracht of in gebruik worden gesteld. Een type en model dat al vóór die datum op de markt is, valt in beginsel onder het overgangsrecht, tenzij het ontwerp daarna substantieel wijzigt. Een huidige ATS-installatie (sollicitantenvolgsysteem) verandert op 2 december 2027 dus niet automatisch van status. Beoordeel vooral of een product werkelijk een nieuw type of model is en of een upgrade het ontwerp substantieel wijzigt. Voor systemen bij overheden geldt een aparte deadline in 2030.

Ten tweede gaat het uitstel alléén over de AI-verordening. De AVG, gelijkebehandelingswetgeving en het arbeidsrecht gelden gewoon. De AVG beperkt nu al besluiten die uitsluitend op geautomatiseerde verwerking zijn gebaseerd en rechtsgevolgen of vergelijkbaar ingrijpende gevolgen hebben, behoudens beperkte uitzonderingen, en kan bij kandidaatscreening een gegevensbeschermingseffectbeoordeling (DPIA) vereisen.

Let daarnaast op de medezeggenschap: voor een voorgenomen besluit tot invoering of wijziging van bijvoorbeeld een personeelsvolgsysteem of een regeling rond persoonsgegevens is instemming van de ondernemingsraad nodig (artikel 27 WOR; zie de toelichting van de SER). Niet elk systeem valt daaronder: het gaat om het besluit tot zo’n regeling.

Wat niet opschoof: de transparantieregels van artikel 50. Die gelden sinds 2 augustus 2026, volgens planning.

Transparantie sinds augustus 2026: vooral een taak van de aanbieder

De AI-verordening verdeelt de plichten over twee rollen. De aanbieder ontwikkelt het systeem of brengt het onder eigen naam op de markt. De gebruiksverantwoordelijke zet het in. Koopt u een kant-en-klare tool, dan is de leverancier meestal de aanbieder en bent u als werkgever meestal de gebruiksverantwoordelijke. Die rolverdeling bepaalt wie wat moet doen.

De meeste transparantieplichten liggen bij aanbieders. Een chatbot moet duidelijk maken dat iemand met AI communiceert, tenzij dat al evident is, maar het inbouwen van die melding is de taak van de aanbieder. Aanbieders van AI-systemen die synthetische audio-, beeld-, video- of tekstinhoud genereren, moeten er in beginsel voor zorgen dat de output in een machineleesbaar formaat wordt gemarkeerd en detecteerbaar is als kunstmatig gegenereerd of gemanipuleerd. Er gelden beperkte uitzonderingen, onder meer voor standaardbewerkingen en wanneer de output de invoer of de betekenis daarvan niet wezenlijk verandert. Aanbieders van systemen die vóór 2 augustus 2026 op de markt zijn gebracht, hebben tot 2 december 2026 om aan deze specifieke markeringsplicht te voldoen.

Het lijstje van de werkgever zelf is korter. Maak deepfakes bekend: door AI gemaakte of bewerkte beelden, audio of video die lijken op echte personen, plaatsen of gebeurtenissen en ten onrechte echt kunnen lijken. Label AI-geschreven teksten die u publiceert om het publiek te informeren over zaken van algemeen belang, tenzij een inhoudelijk deskundige de tekst werkelijk heeft beoordeeld (spellingscontrole telt niet) en iemand de redactionele verantwoordelijkheid draagt. En informeer mensen wanneer u binnen de wettelijke uitzonderingen emotieherkenning of biometrische categorisering inzet; op de werkvloer komt dat door het verbod nauwelijks voor. De toelichting van de Commissie bij artikel 50 werkt deze toetsen uit.

Concreet: een vacaturepagina zal zelden gelden als informatie over een zaak van algemeen belang. Een beter voorbeeld is een artikel als dit: een met AI-ondersteuning geschreven analyse van de juridische regels voor werving en selectie mag zonder AI-label worden gepubliceerd als een deskundige de tekst inhoudelijk beoordeelt en de uitgever de redactionele verantwoordelijkheid neemt. Een levensechte, volledig door AI gegenereerde “medewerker” die in een wervingsvideo zijn verhaal doet, kan daarentegen een deepfake zijn en moet dan duidelijk als deepfake worden aangeduid als de video ten onrechte echt kan lijken.

Welke wervingstools gelden als AI-systeem met een hoog risico

Niet elke tool in het wervingsproces geldt als AI-systeem met een hoog risico. Een chatbot die vragen over parkeren beantwoordt niet. Een interviewplanner of documentopslag in uw ATS ook niet. Een tool die cv’s rangschikt, kandidaten scoort of adviseert wie doorgaat, kan dat wél zijn.

De classificatietoets in de wet (artikel 6) is strenger dan hij klinkt. Een systeem uit bijlage III valt alleen buiten de categorie ‘hoog risico’ als het geen significant risico op schade aan de gezondheid, veiligheid of grondrechten oplevert, onder meer doordat het de uitkomst van een besluit niet wezenlijk beïnvloedt, en aan ten minste één van de beperkte voorwaarden van artikel 6, lid 3, voldoet. Een systeem uit bijlage III dat natuurlijke personen profileert, geldt altijd als een AI-systeem met een hoog risico. De aanbieder moet een beoordeling dat het systeem niet hoog risico is documenteren voordat het systeem in de handel wordt gebracht of in gebruik wordt gesteld. Die aanbieder is niet altijd uw commerciële leverancier. Vraag elke leverancier daarom schriftelijk hoe het product is ingedeeld en waarom.

Wat december 2027 van u vraagt

Voor tools die als AI-systeem met een hoog risico kwalificeren, draagt de aanbieder het zwaarste deel: conformiteitsbeoordeling, technische documentatie, eisen aan nauwkeurigheid en maatregelen tegen vertekening en discriminatie. De plichten van de werkgever als gebruiksverantwoordelijke op grond van artikel 26 zijn operationeler en omvatten onder meer:

• wijs getrainde, bevoegde mensen aan die toezicht houden op het systeem;
• gebruik het volgens de instructies en volg de werking; hebt u reden om aan te nemen dat gebruik volgens de instructies een risico in de zin van de verordening kan opleveren, schort het gebruik dan op en informeer de aanbieder of distributeur en de bevoegde markttoezichtautoriteit onverwijld; stelt u een ernstig incident vast, informeer dan onmiddellijk eerst de aanbieder en vervolgens de importeur of distributeur en de bevoegde markttoezichtautoriteiten;
• bewaar de automatisch gegenereerde logbestanden waarover u beschikt, in de regel ten minste zes maanden, tenzij andere wetgeving anders bepaalt;
• informeer medewerkers en hun vertegenwoordigers vóór ingebruikname;
• informeer kandidaten en medewerkers die met AI-ondersteunde beslissingen te maken krijgen;
• zorg dat invoergegevens relevant en voldoende representatief zijn, voor zover u die gegevens beheert.

Sommige publieke organisaties en private aanbieders van publieke diensten moeten voor gebruik ook een grondrechteneffectbeoordeling uitvoeren.

Twee contractpunten zijn het waard om vroeg te regelen. Afspraken met leveranciers kunnen ondersteuning, rechtsmiddelen en vrijwaringen verdelen, maar ze kunnen de wettelijke rollen niet veranderen.

In drie situaties wordt een werkgever zelf aanbieder, met alle aanbiedersverplichtingen: de eigen naam of het eigen merk plaatsen op een bestaand AI-systeem met een hoog risico; een substantiële wijziging aanbrengen in een AI-systeem met een hoog risico, terwijl het systeem een hoog risico blijft; of het beoogde doel van een systeem dat niet als hoog risico was geclassificeerd zodanig wijzigen dat het daardoor een hoog risico krijgt (artikel 25). Niet elke aanpassing of nieuwe toepassing verandert uw wettelijke rol, maar een beoordelingsportaal onder uw eigen merk verdient een tweede blik.

Boetes en nationaal toezicht

De wet noemt maxima, geen standaardboetes. Voor verboden praktijken: tot € 35 miljoen of, voor ondernemingen, 7% van de wereldwijde jaaromzet, als dat hoger is. Voor schending van specifieke plichten van aanbieders en gebruiksverantwoordelijken en van de transparantieregels: tot € 15 miljoen of 3% volgens dezelfde systematiek. Voor mkb-bedrijven geldt het laagste van de twee bedragen (artikel 99). Wat een boete in de praktijk wordt, hangt van het geval af, maar de plafonds laten zien hoe groot de mogelijke gevolgen van niet-naleving zijn.

Het nationale toezicht krijgt in verschillende tempo’s vorm. In Duitsland trad op 29 juli 2026 een nationale uitvoeringswet in werking; de Bundesnetzagentur wordt daar de centrale coördinerende toezichthouder. In Nederland bracht het kabinet de Uitvoeringswet AI-verordening in april 2026 in consultatie: bestaande toezichthouders houden binnen hun eigen domein toezicht, met een coördinerende rol voor de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur (RDI).

Op 20 augustus 2026 had België al verschillende autoriteiten voor de bescherming van grondrechten op grond van artikel 77 geïdentificeerd, maar de bredere aanwijzing van markttoezichtautoriteiten en het centrale contactpunt op grond van artikel 70 was nog niet afgerond.

De praktische conclusie is overal dezelfde: wacht niet op een checklist van de toezichthouder. De verplichtingen gelden hoe dan ook. Een organisatie die gedateerd vastlegt welke AI-tools ze gebruikt, welke rol ze daarbij heeft en welke controles ze heeft uitgevoerd, staat er straks aanzienlijk beter voor.

Drie acties om nu te starten

1. Breng uw wervingstools in kaart. Alles wat kandidaten of medewerkers raakt: wat doet het, wie is de aanbieder, leidt het emoties af uit gezichtsuitdrukkingen, stemkenmerken of andere biometrische gegevens, en bent u gebruiksverantwoordelijke, of ongemerkt aanbieder geworden?
2. Regel wat nu al geldt. Stop het gebruik van functies die op basis van biometrische gegevens emoties of intenties van kandidaten of medewerkers afleiden, tenzij een gespecialiseerde jurist bevestigt dat een beperkte medische of veiligheidsuitzondering geldt. Laat de aanbieder schriftelijk bevestigen welke signalen de functie verwerkt en schakel de functie uit waar het verbod geldt. Controleer of chatbots en deepfakes aan de toepasselijke transparantieplichten voldoen. Leg uw maatregelen voor AI-geletterdheid vast.
3. Bereid u samen met leveranciers en juristen voor op 2027. Vraag elke aanbieder om de classificatie en het nalevingsplan. Beleg de plichten hierboven bij vaste verantwoordelijken en leg deadlines vast, en leg interpretatievragen voor aan uw juridisch adviseur. Moet daarbij ook het functieontwerp of het assessment op de schop, dan sluit ons werk in Talent Advisory daarop aan.

Bij wervingsbeslissingen draait steeds vaker software mee. De nuttige governancevraag, vandaag al, is of u kunt uitleggen en vastleggen hoe een beslissing tot stand kwam.

Wanneer artikel 86 van toepassing is, heeft een betrokkene recht op een duidelijke en inhoudelijk relevante uitleg van de gebruiksverantwoordelijke. De beslissing moet zijn gebaseerd op de output van een daarvoor in aanmerking komend AI-systeem met een hoog risico uit bijlage III, met uitzondering van een systeem uit punt 2 van die bijlage, en moet rechtsgevolgen of vergelijkbaar ingrijpende gevolgen hebben die de betrokkene als nadelig voor diens gezondheid, veiligheid of grondrechten beschouwt. De uitleg moet betrekking hebben op de rol van het systeem in de besluitvormingsprocedure en de voornaamste elementen van de beslissing. Dit recht geldt voor zover het Unierecht er nog niet in voorziet; overgangsregels kunnen de praktische toepassing beïnvloeden.

In gereguleerde omgevingen is het vastleggen van die afweging nu al een verstandige governancepraktijk. De periode tot december 2027 is voorbereidingstijd.

Dit artikel is algemene informatie voor werkgevers, geen juridisch advies. Leg specifieke interpretatievragen voor aan een gespecialiseerde jurist op het gebied van arbeidsrecht en privacy.