AVG en AI in HR: wat mag wel en wat niet

AI-tooling in HR raakt bijna altijd persoonsgegevens, en vaak ook gevoelige informatie over functioneren en ontwikkeling. Dat maakt de AVG geen bijzaak maar een ontwerpvoorwaarde. Dit artikel zet op een rij wat er speelt wanneer je gesprekken laat vastleggen en samenvatten door AI.

Dit is algemene informatie en geen juridisch advies. Laat je eigen verwerkingen altijd toetsen door een privacy officer of jurist.

Waar gaat het precies over?

Bij AI-ondersteunde gespreksvoering verwerk je doorgaans drie soorten gegevens:

Inhoud van het gesprek: wat er gezegd is, in transcript of samenvatting.
Afgeleide gegevens: actiepunten, thema’s, ontwikkelpunten die het systeem eruit haalt.
Metadata: wie sprak met wie, wanneer, hoe lang, hoe vaak.

Alle drie zijn persoonsgegevens. De derde categorie wordt vaak vergeten, terwijl juist metadata over gespreksfrequentie verrassend veel over iemand zegt.

De grondslag: niet zomaar toestemming

Veel organisaties grijpen reflexmatig naar toestemming als grondslag. In een werkgever-werknemerrelatie is dat juist een wankele keuze: er is een gezagsverhouding, waardoor toestemming zelden echt “vrij” gegeven is. Een medewerker die nee zegt tegen een opname van het eigen functioneringsgesprek voelt zich zelden vrij.

In de praktijk leunen HR-verwerkingen daarom vaker op:

Uitvoering van de arbeidsovereenkomst: je moet nu eenmaal functioneren beoordelen en vastleggen.
Wettelijke verplichting: denk aan dossiervorming rond verzuim of ontslagdossiers.
Gerechtvaardigd belang: mits je een belangenafweging maakt en documenteert.

Welke grondslag je ook kiest: leg de keuze vast en wees er consistent in. Zie ook Toestemming voor gespreksopnames voor de praktische kant.

Transparantie is niet onderhandelbaar

Medewerkers moeten weten dat en waarom er wordt vastgelegd. Dat betekent concreet:

Het staat in je privacyverklaring voor personeel, in begrijpelijke taal.
De medewerker weet het vóór het gesprek, niet achteraf.
Duidelijk is wie de vastlegging kan inzien: alleen de leidinggevende, of ook HR en directie?
Duidelijk is hoe lang het bewaard blijft.

Heimelijk opnemen of samenvatten is vrijwel altijd problematisch, ook als de intentie goed is.

Dataminimalisatie: sla op wat je nodig hebt

De AVG vraagt je niet meer te verwerken dan nodig voor je doel. Bij gespreksvastlegging levert dat een paar concrete keuzes op:

Bewaar je het ruwe audiobestand of alleen de goedgekeurde samenvatting? Vaak volstaat het tweede, en dat scheelt enorm in risico.
Verwijder je transcripten automatisch na verwerking?
Filter je gevoelige onderwerpen (gezondheid, geloof, privésituatie) actief uit het dossier?

Gezondheidsgegevens zijn bijzondere persoonsgegevens met een extra streng regime. Een medewerker die tijdens een 1-op-1 iets over zijn behandeling vertelt, hoort dat niet automatisch terug te zien in een AI-samenvatting.

Geen volledig geautomatiseerde beoordeling

Dit is de grens die het vaakst wordt opgezocht. De AVG geeft mensen het recht niet onderworpen te worden aan uitsluitend geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbare aanzienlijke impact. Een promotie, een beoordelingsscore of een verbetertraject valt daar snel onder.

De praktische vertaling: AI mag voorbereiden, de mens beslist. Een systeem dat een concept-samenvatting maakt die de leidinggevende controleert, corrigeert en vaststelt is iets heel anders dan een systeem dat zelfstandig een oordeel produceert dat ongelezen het dossier in gaat.

Zorg dus dat er een echte controlestap in je proces zit, en dat die ook echt wordt uitgevoerd, niet alleen op papier bestaat.

Inzage en correctie

Medewerkers hebben recht op inzage in wat er over hen is vastgelegd, en op correctie van feitelijke onjuistheden. Bij AI-samenvattingen is dat extra relevant: transcriptie- en samenvattingsfouten komen voor. Een goed ingericht proces geeft de medewerker de samenvatting te zien vóórdat die definitief wordt, zodat correctie een normale stap is in plaats van een formeel verzoek achteraf.

Verwerkers en doorgifte

Gebruik je een externe tool, dan is die partij verwerker en heb je een verwerkersovereenkomst nodig. Let daarbij op:

Waar staan de gegevens (EU of daarbuiten)?
Worden je gesprekken gebruikt om modellen te trainen? Dat wil je normaal gesproken uitsluiten.
Welke subverwerkers zitten er in de keten?
Wat gebeurt er met je data als het contract eindigt?

Checklist voor je eigen situatie

Grondslag gekozen en vastgelegd
Belangenafweging gedocumenteerd (bij gerechtvaardigd belang)
Privacyverklaring voor personeel bijgewerkt
Medewerkers vooraf geïnformeerd
Bewaartermijnen bepaald én technisch afgedwongen
Menselijke controlestap in het proces
Verwerkersovereenkomst gesloten
Training uitgesloten in het contract
DPIA overwogen (bij grootschalige of systematische monitoring)