Omdat het een EU-verordening betreft, en geen richtlijn, gelden de regels rechtstreeks in alle lidstaten en hoeven zij niet eerst in nationale wetgeving te worden omgezet.
Belangrijke begrippen in de verordening
De AI-verordening gebruikt een aantal termen die werkgevers moeten kennen. Een AI-systeem is een op machines gebaseerd systeem dat met verschillende niveaus van autonomie werkt en uit invoer afleidt hoe het uitvoer genereert, zoals voorspellingen, inhoud, aanbevelingen of beslissingen die fysieke of virtuele omgevingen kunnen beïnvloeden. Hieronder valt de meeste moderne software die op basis van gegevens beslissingen neemt of voorstelt, zoals het screenen van cv’s, het volgen van de productiviteit van werknemers of het aanbevelen van dienstroosters. Zie voor een nadere toelichting op de definitie van een AI-systeem onze eerdere News Update over AI-geletterdheid en definitie van AI-systemen.
Een aanbieder is de organisatie die een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam of merk op de markt brengt of in gebruik neemt, zoals een softwareleverancier of technologiebedrijf. Een gebruiksverantwoordelijke is de organisatie die een AI-systeem professioneel en onder eigen verantwoordelijkheid binnen de eigen organisatie gebruikt; voor de meeste werkgevers geldt deze rol. Let wel: een werkgever kan ook als aanbieder worden aangemerkt, bijvoorbeeld als hij een AI-toepassing onder eigen naam gebruikt of een chatbot die oorspronkelijk voor klantvragen is ontwikkeld, inzet voor HR-doeleinden. In dat geval gelden de zwaardere verplichtingen voor aanbieders.
Het door de verordening gemaakte onderscheid of een AI-systeem op zichzelf staat of is ingebed in een fysiek product, maakt voor de verplichtingen van werkgevers als gebruiksverantwoordelijke niet uit: menselijk toezicht, transparantie, informatie aan werknemers en het bewaren van logs gelden in beide gevallen. Het onderscheid is vooral van belang voor aanbieders.
Welke risicocategorieën zijn er en wat valt eronder?
De AI-verordening deelt AI-systemen in vier risicocategorieën in, op basis van de mogelijke risico’s voor de veiligheid, rechten of vrijheden van mensen: verboden AI-praktijken, AI-systemen met een hoog risico, AI met transparantieverplichtingen en AI met minimaal risico.
Verboden AI-praktijken
Sommige toepassingen zijn volledig verboden. Voor werkgevers is vooral het verbod op emotieherkenning op de werkplek relevant, bijvoorbeeld door gezichtsuitdrukkingen of stemgeluid te analyseren; dit mag alleen om medische of veiligheidsredenen. Andere verboden praktijken zijn onder meer sociale scoring, manipulatieve AI-technieken, het uitbuiten van kwetsbaarheden en, voor rechtshandhavingsdoeleinden, realtime biometrische identificatie op afstand in openbare ruimten.
AI-systemen met een hoog risico
Het gebruik van AI-systemen met een hoog risico is toegestaan, maar alleen als dit aan strenge eisen voldoet. Voor werkgevers is vooral de categorie ‘werkgelegenheid en personeelsbeheer’ relevant. Daaronder vallen AI-systemen voor werving en selectie, zoals gerichte vacatureadvertenties, het filteren van sollicitaties en het beoordelen van kandidaten. Ook systemen voor beslissingen over promotie of ontslag, voor taakverdeling op basis van persoonlijke eigenschappen of voor het monitoren en beoordelen van prestaties vallen hieronder, zoals een AI-systeem dat de prestaties van magazijnmedewerkers volgt. Tools die op basis van stemgeluid of gezichtsuitdrukkingen vaststellen hoe een werknemer zich voelt, vallen onder het hiervoor genoemde verbod op emotieherkenning. Tools die alleen de toon of stemming van geschreven berichten of e-mails analyseren, verwerken geen biometrische gegevens en vallen daarom niet onder dat verbod; zij kunnen wel als AI-systeem met een hoog risico kwalificeren als zij worden gebruikt om prestaties of gedrag van werknemers te monitoren of te beoordelen. Andere gebieden met een hoog risico zijn onder meer onderwijs, kredietwaardigheidsbeoordeling, kritieke infrastructuur, biometrie en toegang tot essentiële diensten.
Transparantieverplichtingen
Sommige AI-systemen hebben een beperkt risico en moeten alleen aan transparantieverplichtingen voldoen. Een belangrijk voorbeeld zijn AI-chatbots: mensen moeten weten dat zij met AI communiceren, tenzij dat zonder meer duidelijk is. Dit geldt ook voor AI-systemen die inhoud genereren of bewerken, zoals afbeeldingen, audio of video. Deze transparantieverplichtingen gelden sinds 2 augustus 2026; voor aanbieders van generatieve AI-systemen die al vóór die datum op de markt waren, geldt de markeringsplicht vanaf 2 december 2026. Zie over de transparantieverplichtingen onze eerdere News Update over Transparantieverplichtingen en AI Omnibus-verordening.
De transparantieverplichtingen van artikel 50 AI-verordening gelden overigens ongeacht of een AI-systeem als hoog risico is aangemerkt. Zet een werkgever (voor zover toegestaan, dus om medische of veiligheidsredenen) een systeem voor emotieherkenning of biometrische categorisering in, dan moet hij de betrokken werknemers daarover informeren. Overtreding van artikel 50 kan leiden tot boetes van maximaal € 15 miljoen of 3% van de wereldwijde jaaromzet.
AI met minimaal risico
De meeste dagelijkse AI-toepassingen, zoals spamfilters, AI-gestuurde spellingcontrole en voorraadbeheersoftware, hebben een minimaal risico. De algemene wetgeving blijft hierop van toepassing, maar de AI-verordening stelt geen specifieke eisen.
Hoe hoger het risico, hoe zwaarder de verplichtingen. Wat betekent de AI-verordening concreet voor werkgevers?
Een werkgever die een AI-systeem met een hoog risico op de werkplek gebruikt, moet onder meer:
- het systeem gebruiken volgens de instructies van de aanbieder;
- zorgen voor menselijk toezicht door een gekwalificeerd persoon die kan ingrijpen en het systeem zo nodig kan overrulen of stoppen;
- de werking van het systeem monitoren en ernstige incidenten melden aan de aanbieder en de bevoegde autoriteit; en
- automatisch gegenereerde logs bewaren, voor zover hij daarover controle heeft gedurende ten minste zes maanden, tenzij het toepasselijk recht een langere bewaartermijn voor-schrijft.
Voordat een werkgever een AI-systeem met een hoog risico op de werkplek in gebruik neemt, moet hij de betrokken werknemers en, indien aanwezig, de ondernemingsraad informeren. Voor een regeling over de verwerking van persoonsgegevens of een systeem voor controle of monitoring van werknemers is aanvullend instemming van de ondernemingsraad vereist op grond van artikel 27 lid 1, onder k en l, WOR. Bij een belangrijke technologische voorziening kan bovendien adviesrecht gelden op grond van artikel 25 WOR; een besluit zonder vereiste instemming is nietig (artikel 27 lid 5 WOR). Ook de informatieverplichtingen uit de AVG blijven van toepassing.
Ongeacht het risiconiveau, dus ook bij een AI-systeem met minimaal risico, moet de werkgever maatregelen nemen om de AI-geletterdheid te ondersteunen van zijn personeel en andere personen die namens hem met AI-systemen werken (artikel 4 AI-verordening). Sinds de Omnibus AI (Verordening (EU) 2026/1744, vastgesteld op 8 juli 2026 en gepubliceerd in het Publicatieblad van 24 juli 2026) is deze verplichting afgezwakt: de werkgever hoeft geen specifiek niveau van AI-geletterdheid bij individuele medewerkers te garanderen, en de Europese Commissie en de lidstaten moeten werkgevers hierbij ondersteunen. Zie over AI-geletterdheid onze eerdere News Update: AI-geletterdheid en definitie van AI-systemen.
Gefaseerde inwerkingtreding
De verordening is gefaseerd van toepassing geworden. De verboden AI-praktijken en de verplichting tot AI-geletterdheid gelden al sinds 2 februari 2025; de governance- en sanctieregels sinds 2 augustus 2025. Zie over de sanctieregels onze eerdere News Update: Verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden en sancties.
De Omnibus AI voegt bovendien nieuwe verboden praktijken toe (onder meer AI die niet-consensuele seksuele of intieme beelden genereert), die vanaf 2 december 2026 gelden. De Omnibus AI heeft de toepassingsdata voor hoogrisico-AI uitgesteld, en daarnaast een aantal gerichte inhoudelijke wijzigingen doorgevoerd (zoals de afzwakking van de verplichting tot AI-geletterdheid). De kernverplichtingen voor hoogrisico-AI, zoals menselijk toezicht en conformiteitsbeoordeling, zijn niet wezenlijk gewijzigd. De transparantieverplichtingen worden nader toegelicht in onze News Update Transparantieverplichtingen en AI Omnibus-verordening.
Voor hoogrisico-AI-systemen, zoals systemen voor werving, selectie en personeelsbeheer, zijn de verplichtingen pas vanaf 2 december 2027 van toepassing. Voor AI-systemen in producten die onder de Europese harmonisatiewetgeving van bijlage I vallen, is dat 2 augustus 2028. Een AI-systeem dat al vóór die datum in de handel is gebracht of in gebruik is gesteld (bijvoorbeeld een tool die de werkgever zelf heeft laten ontwikkelen en intern inzet), hoeft pas aan de nieuwe eisen te voldoen als het ontwerp ingrijpend wordt gewijzigd. Bepalend is daarbij of het type en model van het systeem vóór die datum voor het eerst in de handel is gebracht of in gebruik is gesteld. Voor werkgevers betekent dit uitstel niet dat zij kunnen afwachten: het verbod op emotieherkenning op de werkplek, de transparantieverplichtingen en de (afgezwakte) verplichting tot AI-geletterdheid gelden al, en ook de AVG en het instemmingsrecht van de ondernemingsraad op grond van de WOR zijn onverkort van toepassing.
Voorbereiden op de AI-verordening
De AI-verordening is geen arbeidsrechtelijke regeling, maar wel een blijvende nalevingsverplichting voor werkgevers die AI inzetten in de arbeidscontext. Werkgevers doen er goed aan hun rol en verplichtingen in kaart te brengen: hoe hoger het risico van het systeem, hoe zwaarder de eisen. Bekijk voor praktische handvatten onze eerdere News Updates: De AI-verordering komt eraan en AI op de bestuursagenda: best practices.