Medewerkers interviewen met AI, wat zeggen AVG en AI Act?

Een AI die met je medewerkers praat over hun werk roept terecht vragen op. Mag dat, en wat moet je je mensen vertellen? In dit artikel zetten we de belangrijkste regels op een rij: de AI Act, de AVG en de Wet op de ondernemingsraden. Dit is geen juridisch advies. Elke situatie is anders, dus toets je eigen plan, en vraag bij twijfel een jurist of je ondernemingsraad mee te kijken.

De AI Act in het kort

De AI Act is de Europese wet over kunstmatige intelligentie. Hij deelt AI-systemen in naar risico: sommige toepassingen zijn verboden, sommige zijn hoog-risico met zware eisen, en voor veel andere gelden vooral transparantieregels. Voor een AI die medewerkers interviewt, zijn drie onderdelen van belang.

1. Zeggen dat het een AI is

Volgens artikel 50 moeten AI-systemen die rechtstreeks met mensen communiceren zo zijn ontworpen dat die mensen weten dat ze met een AI praten. Behalve als dat voor een redelijk geïnformeerd persoon al duidelijk is. De informatie moet uiterlijk bij het eerste contact worden gegeven, duidelijk en herkenbaar. Deze regel geldt vanaf 2 augustus 2026.

De verplichting ligt formeel bij de aanbieder. Maar ook als werkgever wil je dat je mensen weten waar ze aan toe zijn. Noem het dus ook zelf in je aankondiging.

2. Geen emotieherkenning op het werk

Artikel 5, lid 1, onder f verbiedt het gebruik van AI-systemen om emoties van mensen af te leiden op de werkplek en in het onderwijs. De enige uitzondering is voor medische redenen of veiligheid. Dit verbod geldt al sinds 2 februari 2025.

Voor een interview betekent dat: een AI mag luisteren naar wat iemand zegt over zijn werk, maar hoort niet te analyseren of iemand gestrest, boos of ongemotiveerd klinkt. Vraag een aanbieder daarom expliciet of het systeem iets met stem, toon of gezichtsuitdrukkingen doet, behalve het omzetten van spraak naar tekst.

3. Hoog-risico bij het beoordelen van mensen

In bijlage III, punt 4 staan toepassingen rond werk en personeelsbeheer die als hoog-risico gelden. Daaronder vallen AI-systemen voor werving en selectie, en systemen die bedoeld zijn om beslissingen te nemen over arbeidsvoorwaarden, promotie of ontslag, om taken toe te wijzen op basis van persoonlijk gedrag of eigenschappen, of om de prestaties en het gedrag van werknemers te monitoren en te evalueren.

Voor hoog-risicosystemen gelden zware eisen, onder meer voor de aanbieder en voor de werkgever die het systeem gebruikt. Wanneer die verplichtingen precies ingaan, check je het best op een actuele officiële bron.

Waarom een procesaudit iets anders is

Een procesaudit die kijkt naar taken, en niet naar mensen, valt in de kern buiten die categorie. Het doel is in kaart brengen hoe vaak een taak voorkomt, hoe lang die duurt en in welke systemen hij plaatsvindt. Het doel is niet om te bepalen wie goed presteert.

Dat verschil moet je wel echt waarmaken. Een paar vragen om jezelf te stellen:

• Krijgt iemand een score of ranking? Dan schuif je richting evaluatie van mensen.
• Worden de uitkomsten gebruikt voor beoordelingsgesprekken, promotie of ontslag? Dan verandert het doel, en daarmee mogelijk de regels.
• Worden citaten aan namen gekoppeld, of aan rollen?

Artikel 6, lid 3 bevat ook een uitzondering voor systemen uit bijlage III die geen significant risico vormen, bijvoorbeeld omdat ze alleen een beperkte procedurele taak doen. Maar die uitzondering geldt nooit als het systeem aan profilering van mensen doet. Twijfel je over je eigen toepassing? Laat het toetsen.

De AVG: wat moet je als werkgever regelen?

Bij een interview worden persoonsgegevens verwerkt: wie heeft wat gezegd, welke rol heeft iemand, en soms een opname van de stem. Daarmee is de AVG van toepassing.

Jij bent verantwoordelijk

Als werkgever bepaal jij het doel van de audit. Daarmee ben je in de regel de verwerkingsverantwoordelijke. De aanbieder van de audit is dan meestal verwerker, en met een verwerker sluit je een verwerkersovereenkomst.

Een grondslag kiezen

Je hebt een wettelijke grondslag nodig. Toestemming van werknemers is daarvoor meestal niet geschikt. De Autoriteit Persoonsgegevens legt in het OR-privacyboekje uit dat werknemers afhankelijk zijn van hun werkgever, en daardoor maar zelden echt vrij toestemming kunnen geven. Vaak komt een werkgever dan uit bij gerechtvaardigd belang. Daarvoor moet je een belangenafweging maken en die vastleggen.

Mensen informeren

Volgens artikel 13 van de AVG moet je mensen informeren op het moment dat je hun gegevens verzamelt. Denk aan: wie is verantwoordelijk, wat is het doel, wat is de grondslag, wie krijgt de gegevens te zien, hoe lang worden ze bewaard en welke rechten heeft iemand. Doe dat in gewone taal, voordat de gesprekken beginnen.

Zo weinig mogelijk gegevens

De AVG vraagt om dataminimalisatie: niet meer gegevens verwerken dan nodig. De AP noemt in het OR-privacyboekje ook de vraag of gegevens echt per persoon nodig zijn, of dat gegevens op het niveau van een afdeling of het hele bedrijf volstaan. Voor een procesaudit is dat een goede toets. Je wilt weten hoeveel uur er in facturen gaat zitten, niet wie de traagste is.

Denk aan: opnames niet langer bewaren dan nodig, en citaten aan rollen koppelen in plaats van aan namen.

De ondernemingsraad

Heb je 50 mensen of meer in dienst? Dan ben je volgens artikel 2 van de WOR verplicht een ondernemingsraad in te stellen. Volgens artikel 27, lid 1 heeft de ondernemingsraad instemmingsrecht bij een regeling over het verwerken en beschermen van persoonsgegevens van werknemers (onder k), en bij voorzieningen die gericht zijn op of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties (onder l).

Let op het woord "geschikt". Volgens het OR-privacyboekje van de AP is instemming ook nodig als een systeem daarvoor geschikt is, ook al is dat niet het doel. Of een procesaudit daaronder valt, hangt af van hoe hij is ingericht en wat er met de uitkomsten gebeurt. Bespreek het daarom vooraf met je ondernemingsraad.

Ben je kleiner, met 10 tot 50 mensen, en heb je een personeelsvertegenwoordiging? Die heeft volgens de WOR niet automatisch dezelfde instemmingsrechten op deze onderwerpen. Toch is het slim om ook dan vooraf te overleggen.

Een checklist voordat je begint

1. Leg vast wat het doel is: processen in kaart brengen, niet mensen beoordelen.
2. Spreek af dat de uitkomsten niet worden gebruikt voor beoordeling, promotie of ontslag.
3. Controleer dat het systeem zegt dat het een AI is.
4. Controleer dat het systeem geen emoties afleidt uit stem of beeld.
5. Kies en documenteer je grondslag.
6. Sluit een verwerkersovereenkomst met de aanbieder.
7. Informeer je mensen vooraf, in gewone taal.
8. Vraag hoe lang opnames en teksten worden bewaard.
9. Betrek je ondernemingsraad of personeelsvertegenwoordiging.

Tot slot

Bij Tideform hebben we de audit om deze regels heen gebouwd. De interviewer zegt aan het begin dat het een AI is, audio wordt op onze eigen server uitgeschreven en daarna meteen verwijderd, citaten staan op naam van een rol en niemand krijgt een score. Maar ook dan blijft het jouw verantwoordelijkheid om te toetsen of het in jouw situatie past. Een goed gesprek met je team en je ondernemingsraad hoort daar altijd bij.