AI privacy in HR: gratis of zakelijk AI-account?

Een collega plakt een gespreksverslag in een gratis chatbot. Daarmee staan persoonsgegevens bij een partij waarmee je geen afspraken hebt.

AI privacy in HR komt neer op één regel: verwerk persoonsgegevens van medewerkers alleen met AI tools waarmee je zakelijke afspraken hebt. Een gratis AI account is niet geschikt, een zakelijk account met verwerkersovereenkomst wel. Daarnaast gelden de regels van de AVG. Welke toepassingen wel en niet mogen, lees je in ons overzicht van AI in HR.

Wat is AI privacy?

AI privacy is de bescherming van persoonsgegevens die je met AI tools verwerkt, van de prompt die je typt tot de output die je bewaart. Bij generatieve AI toepassingen gaat het om alles wat je invoert: tekst, documenten, opnames en data uit gekoppelde systemen. Staat daar een naam, functie, verzuimhistorie of beoordeling in, dan verwerk je persoonsgegevens en geldt de AVG.

HR-data is extra gevoelig. Het gaat over salarissen, gezondheid, functioneren en conflicten, informatie die medewerkers met vertrouwen aan hun werkgever geven. AI privacy is voor HR daarom geen IT-onderwerp, maar een kwestie van goed werkgeverschap. Wie generatieve AI in HR wil inzetten, begint bij de vraag welke data waar terechtkomt en welke maatregelen nodig zijn om risico’s te beperken. Lees ook onze tips voor een AVG-proof HR-administratie.

Wat is het verschil tussen een gratis en een zakelijk AI account?

Het verschil zit in wat de aanbieder met je data mag doen en welke afspraken je kunt maken. Voor AI privacy is dat het belangrijkste onderscheid dat er is.

Gratis of persoonlijk AI account

Bij de meeste gratis en persoonlijke accounts kan de aanbieder je gesprekken gebruiken om modellen te verbeteren, tenzij je dat zelf uitzet. Je data kan dan in trainingsdata belanden, en gegevens in een AI-model zijn achteraf vrijwel niet te verwijderen. Je sluit geen verwerkersovereenkomst, je hebt geen beheer over wie wat gebruikt en je ziet niet welke medewerkers welke tools gebruiken. Gebruiken medewerkers privé-accounts voor werk, dan spreek je van shadow AI. Dat is lastig te monitoren en nog lastiger te beperken.

Zakelijk AI account

Zakelijke abonnementen gebruiken je data standaard niet voor training. Je sluit een verwerkersovereenkomst, beheert gebruikers centraal en stelt vaak zelf bewaartermijnen in. Sommige leveranciers bieden ook dataopslag binnen Europa. Met een zakelijk account maak je dus duidelijke afspraken met leveranciers over wat er met persoonsgegevens gebeurt. Dat is precies wat de AVG van je vraagt.

De conclusie is eenvoudig: HR-data hoort niet in een gratis account. Een zakelijk account is geen garantie voor AI privacy, maar wel de basis waarop je verdere maatregelen bouwt om gebruikers en betrokkenen te beschermen.

Welke privacyrisico’s heeft AI voor HR?

De grootste privacyrisico’s van AI voor HR zijn datalekken, ongewenst gebruik van je data en beslissingen zonder menselijke controle. Op een rij:

• Datalekken: medewerkers voeren persoonsgegevens in AI-chatbots in, waardoor die buiten je controle terechtkomen.
• Trainingsdata: gegevens die in een model terechtkomen, krijg je er vrijwel niet meer uit.
• Doorgifte buiten de EU: veel generatieve AI diensten draaien op servers van Amerikaanse techbedrijven.
• Geautomatiseerde besluitvorming: AI die zelfstandig sollicitanten afwijst of medewerkers beoordeelt.
• Onjuiste output en profilering: AI kan verbanden leggen die niet kloppen of bestaande vooroordelen versterken.
• Te ruime toegang: een AI tool die meer data ziet dan de gebruiker zelf mag zien.

Deze risico’s verschillen per toepassing, en dus ook de maatregelen om ze te beperken. Een vacaturetekst herschrijven zonder namen is iets anders dan een verzuimoverzicht per medewerker laten analyseren. Beoordeel daarom per toepassing welke data nodig is en wat er mis kan gaan.

Wat zegt de AVG over AI en HR-data?

De AVG maakt geen uitzondering voor AI: als het zonder AI niet mag, mag het met AI ook niet. Dezelfde basisregels gelden voor elke toepassing:

• Grondslag: je hebt een wettelijke basis nodig, bij HR vaak de uitvoering van de arbeidsovereenkomst, een wettelijke plicht of gerechtvaardigd belang.
• Doelbinding: gebruik data alleen voor het doel waarvoor je ze hebt. HR-administratie automatiseren past daar meestal binnen.
• Dataminimalisatie: beperk wat je invoert tot wat nodig is, en werk waar het kan met totalen per team of afdeling.
• Transparantie: medewerkers weten via je privacyverklaring welke AI tools je gebruikt en waarvoor.
• Beveiliging: sluit een verwerkersovereenkomst met elke AI-leverancier en neem passende technische maatregelen.
• Rechten van betrokkenen: medewerkers houden recht op inzage, correctie en bezwaar, ook als AI hun data verwerkt.

Bij AI toepassingen die medewerkers beoordelen, volgen of op grote schaal gegevens combineren, is een DPIA vaak verplicht. Met zo’n gegevensbeschermingseffectbeoordeling breng je vooraf de risico’s in kaart en leg je vast welke maatregelen je neemt. Ook houd je de AI tools bij in je register van verwerkingsactiviteiten, net als je andere systemen. Voor de bewaring van uitkomsten gelden dezelfde regels als voor het personeelsdossier onder de AVG.

Mag AI beslissingen nemen over medewerkers?

Nee, AI mag geen beslissingen nemen over medewerkers zonder betekenisvolle menselijke tussenkomst. De AVG geeft mensen het recht om niet onderworpen te worden aan geautomatiseerde besluitvorming met rechtsgevolgen of andere aanmerkelijke gevolgen. Denk aan aannemen, belonen, promoveren of ontslaan.

Ook als een berekende score in de praktijk bepaalt wat er gebeurt, kan er sprake zijn van een geautomatiseerd besluit. De exacte en actuele regels vind je op de website van de Rijksoverheid. Laat je AI sollicitanten voorselecteren, bijvoorbeeld in een ATS systeem, en kijkt niemand naar de afgewezen kandidaten? Dan valt dat al snel onder geautomatiseerde besluitvorming.

Menselijke tussenkomst moet dus echt iets betekenen en de rechten van betrokkenen waarborgen. Een recruiter die elk AI-advies blind overneemt, telt niet. Wees ook transparant: vermeld in een vacature dat je AI gebruikt bij de selectie en dat een mens de beslissing neemt. Kandidaten moeten bezwaar kunnen maken tegen die geautomatiseerde stap.

Mag HR-data naar AI tools buiten Europa?

Ja, HR-data mag naar AI tools buiten Europa, mits het beschermingsniveau gelijkwaardig is aan dat in de EU. Voor de Verenigde Staten bestaat daarvoor het EU-US Data Privacy Framework, waaraan leveranciers kunnen deelnemen.

Doet een leverancier niet mee, dan kun je standaardcontractbepalingen van de Europese Commissie sluiten. Daarin spreek je af wat de leverancier met je data doet en wat er gebeurt als het misgaat. Steeds meer aanbieders bieden daarnaast opslag en verwerking binnen Europa.

Je mag als organisatie ook kiezen om alle data binnen Europa te houden, ook als dat strenger is dan de wet. Dat is een beleidskeuze, geen wettelijke plicht. Leg die keuze vast in je AI beleid, zodat iedereen weet welke leveranciers zijn toegestaan.

Wat voegt de AI Act toe aan de AVG?

De AVG regelt wat je met persoonsgegevens mag, de AI Act regelt welke AI-systemen je mag gebruiken en onder welke voorwaarden. Voor HR zijn drie onderdelen belangrijk:

• Bepaalde toepassingen zijn verboden, zoals AI die emoties van mensen op de werkplek herkent.
• AI voor werving, selectie en beslissingen over promotie of ontslag geldt als hoog risico. Die extra verplichtingen gaan later in.
• Werkgevers nemen maatregelen om de AI-geletterdheid van hun medewerkers te ondersteunen.

AI privacy draait dus om beide wetten en hun verplichtingen tegelijk. De AVG bepaalt of je de data mag gebruiken, de AI Act of de toepassing zelf toegestaan is.

Welke HR-gegevens voer je nooit in een AI tool in?

Sommige gegevens horen nooit in een AI tool, ook niet in een zakelijk account. Houd deze categorieën altijd buiten je prompts:

• Het burgerservicenummer, kopieën van ID-bewijzen en bankgegevens.
• Medische gegevens, zoals de oorzaak van ziekte of informatie van de bedrijfsarts.
• Bijzondere persoonsgegevens, zoals religie, etniciteit, seksuele geaardheid of vakbondslidmaatschap.
• Strafrechtelijke gegevens en uitkomsten van antecedentenonderzoek.
• Complete personeelsdossiers of exports van je hele personeelsbestand.

Wil je toch een analyse doen, haal dan namen en herleidbare details weg of werk met totalen. Denk ook aan de geheimhoudingsplicht die voor HR geldt. Een vraag over het verzuimpercentage per afdeling levert vaak hetzelfde inzicht op als een overzicht per medewerker, met veel minder risico.

Zo gebruik je AI privacyvriendelijk in HR

Met deze acht stappen zet je AI privacyvriendelijk in binnen HR:

• Stap 1: inventariseer welke AI tools in je organisatie al worden gebruikt, ook privé-accounts.
• Stap 2: kies een zakelijk account en sluit een verwerkersovereenkomst met elke leverancier.
• Stap 3: leg in een AI beleid vast welke tools en toepassingen zijn toegestaan en wie verantwoordelijk is.
• Stap 4: voer zo min mogelijk persoonsgegevens in en werk waar het kan geanonimiseerd of geaggregeerd.
• Stap 5: laat de beslissing over mensen altijd bij een mens die het AI-advies echt beoordeelt.
• Stap 6: informeer medewerkers en sollicitanten via je privacyverklaring over je AI-gebruik.
• Stap 7: train je team in wat wel en niet mag, en in het controleren van AI-output.
• Stap 8: monitor het gebruik en evalueer je afspraken en waarborgen minstens één keer per jaar.

Leg deze afspraken ook vast in je HR beleid. Heeft je organisatie een ondernemingsraad, betrek die dan vroeg: bij tools die prestaties of gedrag kunnen volgen, heeft de OR instemmingsrecht.

Waarom is een koppeling veiliger dan kopiëren en plakken?

Een koppeling tussen je AI-assistent en je HR software is veiliger dan data kopiëren en plakken, omdat de data in het bronsysteem blijft. De AI vraagt alleen de context op die nodig is voor je vraag. Een koppeling via MCP volgt bovendien de rechten van de gebruiker: een medewerker ziet via AI alleen wat hij ook in het systeem zelf mag zien.

Bij kopiëren en plakken heb je die controle niet. Een export met het hele personeelsbestand staat dan in één keer in een chatgesprek. In ons webinar over AI en HR-data leggen we samen met privacyjurist Martin Plak uit hoe je dit veilig organiseert.

Zo gaat HoorayHR om met AI en privacy

HoorayHR is alles-in-één HR software voor het MKB, waarmee je AI inzet op HR-data die veilig in je eigen omgeving blijft. We zijn ISO 27001-gecertificeerd en AVG-proof. Al je medewerkergegevens staan in het digitale personeelsdossier, met rechten die je per rol instelt.

Met onze MCP praat je met jouw HR-data via de AI-assistent die je al gebruikt, zoals Claude, ChatGPT of Copilot. Iedereen werkt daarbij binnen de eigen rechten in HoorayHR. Onze Meeting Agent zet gesprekken om in een samenvatting met actiepunten op de juiste plek. In onze verzuimregistratie leg je alleen wettelijk toegestane informatie vast, zonder medische details. Meer lees je op onze pagina over AI in HoorayHR.

AI privacy hoeft geen rem te zijn op het gebruik van AI in HR. Met een zakelijk account, duidelijke afspraken met je leveranciers en een mens die de beslissingen neemt, kan er veel. Begin met een inventarisatie van wat er al gebruikt wordt, want daar zit vaak het grootste risico.