De belangrijkste regelgeving die werving van tech-personeel beïnvloedt

Werven in de tech staat meer onder een vergrootglas dan ooit. Snelheid telt, maar snelheid zonder compliance is een valkuil. In 2026 zijn de regels verschoven: de EU heeft de verplichtingen van de AI Act voor werving uitgesteld, Nederland heeft NIS2 in werking laten treden en de Amerikaanse federale handhaving is van koers veranderd. Hier lees je waar we nu staan en wat dat betekent voor je wervingsproces.

AVG: gegevensbescherming bij werving

Elk cv, elke achtergrondcheck en elke interviewnotitie bevat persoonsgegevens. Voor elke stap in je wervingsproces heb je een rechtmatige grondslag nodig. Bij werving is dat meestal een gerechtvaardigd belang, stappen voorafgaand aan een overeenkomst of een wettelijke verplichting. Toestemming is zelden de juiste keuze: door de machtsonbalans tussen werkgever en kandidaat is het lastig om die vrij te geven.

Strafrechtelijke gegevens krijgen extra bescherming. Op grond van artikel 10 van de AVG mag je ze alleen verwerken als Unie- of nationaal recht dat toestaat. In Nederland betekent dat bijvoorbeeld werken met de verklaring omtrent het gedrag (VOG).

Wees transparant naar kandidaten over wat je verzamelt en waarom. Bewaar alleen wat je nodig hebt, verwijder het zodra het niet meer nodig is en zorg dat je verzoeken van kandidaten om inzage of verwijdering kunt afhandelen. Is een besluit over een kandidaat volledig geautomatiseerd en heeft het aanzienlijke gevolgen, dan heeft de kandidaat recht op menselijke tussenkomst.

Wat er nog aan komt: het voorstel voor de Digital Omnibus van de EU van november 2025 zou delen van de AVG wijzigen, waaronder de definitie van persoonsgegevens en de regels voor geautomatiseerde besluitvorming. In oktober 2026 wordt er nog over onderhandeld. Zolang het niet is aangenomen, geldt de AVG onverkort.

Kortom: de AVG is niet alleen een wettelijke verplichting, maar ook een manier om vertrouwen op te bouwen bij kandidaten.

EU AI Act: hoogrisicotools bij werving

De EU AI Act beschouwt AI die wordt gebruikt bij werving en selectie als hoog risico. Dat geldt voor tools die gerichte vacatures plaatsen, sollicitaties screenen of filteren en kandidaten beoordelen. Werkgevers die deze tools gebruiken, moeten de instructies van de aanbieder volgen, getraind personeel toezicht laten houden op het systeem, controleren of de invoergegevens relevant zijn, logs bijhouden en kandidaten en werknemers informeren dat AI wordt gebruikt. Je kunt niet zomaar een tool inschakelen en weglopen: je moet begrijpen hoe die werkt en welke invloed die heeft op beslissingen.

De deadline is verschoven. De Digital Omnibus on AI is op 27 juli 2026 in werking getreden en heeft de verplichtingen voor hoogrisicosystemen uitgesteld van 2 augustus 2026 naar 2 december 2027. De verplichtingen zelf zijn niet veranderd. Sommige regels gelden al: sinds februari 2025 is emotieherkenning op de werkplek verboden en sinds augustus 2026 gelden transparantieregels voor AI-systemen die met mensen communiceren, zoals recruitment-chatbots.

Gebruik de extra tijd goed. Breng in kaart welke tools in je wervingsproces AI gebruiken, vraag je leveranciers hoe ze aan de eisen gaan voldoen en richt menselijk toezicht nu in, in plaats van eind 2027.

NIS2: screening voor cruciale functies in cyberbeveiliging

NIS2 verplicht essentiële en belangrijke entiteiten hun cyberbeveiligingsrisico's te beheersen, en mensen zijn daar onderdeel van. Beveiliging van personeel is een van de verplichte maatregelen. Voor digitale infrastructuur en ICT-dienstverleners nemen de uitvoeringsregels van de EU achtergrondverificatie van relevant personeel expliciet op.

EU-lidstaten zetten NIS2 in verschillend tempo om in nationaal recht. In Nederland geldt de Cyberbeveiligingswet sinds 15 augustus 2026. De wet geldt voor meer dan 8.000 organisaties, die zich moeten registreren bij het Nationaal Cyber Security Centrum, beveiligingsmaatregelen moeten nemen, ernstige incidenten moeten melden en ervoor moeten zorgen dat hun bestuurders een cyberbeveiligingstraining volgen.

Valt je organisatie onder NIS2, dan is het screenen van mensen in gevoelige functies niet langer iets wat leuk is om te hebben. Lees onze gids over NIS2 en personeelsscreening om te zien wat het betekent voor je wervingsproces.

ISO 27001 en SOC 2: normen voor gegevensbeveiliging

ISO 27001 is de internationale norm voor informatiebeveiliging. Een certificering laat zien dat een onafhankelijke auditor heeft gecontroleerd hoe een organisatie gevoelige gegevens beschermt. De huidige versie is ISO/IEC 27001:2022; de overgangsperiode eindigde op 31 oktober 2025, dus certificaten onder de oude versie uit 2013 zijn niet meer geldig. Vraag bij het beoordelen van een leverancier daarom om een actueel certificaat uit 2022. De norm bevat zelf ook screening van medewerkers als maatregel.

SOC 2 is een Amerikaans raamwerk. Het is geen certificering maar een attestation-rapport van een onafhankelijke auditor over hoe een leverancier gegevens beschermt. Een Type II-rapport, dat de maatregelen over een periode test, zegt meer dan een Type I-rapport, dat één moment beoordeelt.

Voor HR geven beide zekerheid dat kandidaatgegevens verantwoord worden behandeld. Het zijn niet zomaar keurmerken, maar signalen van vertrouwen.

FCRA en EEOC: eerlijke werving in de VS

De Fair Credit Reporting Act (FCRA) is niet veranderd. Voordat een werkgever via een screeningbureau een achtergrondcheck laat uitvoeren, moet hij een aparte mededeling doen en schriftelijke toestemming krijgen. Kan het rapport tot een afwijzing leiden, dan moet hij eerst een pre-adverse action-bericht sturen met een kopie van het rapport, de kandidaat tijd geven om te reageren en daarna een definitief adverse action-bericht sturen. Veel staten en steden voegen daar eigen fair chance-regels aan toe.

De federale handhaving op eerlijkheid is verschoven. In januari 2025 trok de Equal Employment Opportunity Commission (EEOC) haar richtlijnen over AI bij werving in. In juni 2026 concludeerde het ministerie van Justitie dat de richtlijnen van de EEOC over disparate impact (regels die op papier neutraal zijn maar één groep harder treffen) ongrondwettig zijn. En in oktober 2026 stuurde de EEOC het Witte Huis een conceptregel om haar richtlijn uit 2012 over het gebruik van arrestatie- en veroordelingsgegevens bij werving in te trekken.

Dat betekent niet dat alles mag. Title VII verbiedt nog steeds discriminatie, ook disparate impact, en kandidaten kunnen nog steeds een rechtszaak aanspannen. Veel staten hebben bovendien eigen regels. New York City eist bias-audits van geautomatiseerde wervingstools, Illinois verbiedt sinds januari 2026 discriminerend gebruik van AI bij arbeid en de regels van Californië over geautomatiseerde besluitvormingssystemen gelden sinds oktober 2025. Vergelijkbare kandidaten gelijk behandelen en kunnen uitleggen waarom een achtergrondcheck relevant is voor de functie blijft de veiligste aanpak.

Eerlijkheid is geen keuze. Compliance en ethiek gaan hand in hand.

Wat slimme HR-teams doen

Slimme HR-teams bouwen compliance in hun workflows in en koppelen het aan hun ATS. Ze werken alleen met gecertificeerde en geauditeerde partners, documenteren elke stap en trainen hun mensen om bij te blijven met veranderende regels. Ze houden ook deadlines in de gaten die nog schuiven, zoals de datum van december 2027 voor de AI Act en de AVG-wijzigingen waarover wordt onderhandeld. Zo worden audits eenvoudiger en wordt compliance een vanzelfsprekend onderdeel van het dagelijks werk.

Compliance als voordeel

Regelgeving hoeft geen last te zijn. Het kan juist een concurrentievoordeel worden. Als kandidaten zien dat je privacy, transparantie en eerlijkheid serieus neemt, wordt je werkgeversmerk sterker.

Bij Pescheck is compliance geen vinkje dat we zetten, maar onderdeel van ons DNA. We zijn ISO 27001-gecertificeerd, volledig AVG-conform, geïntegreerd met meer dan 100 ATS-platformen en we maken werving zowel snel als compliant.