Je hebt een AI-detector-API gevonden die 99 % nauwkeurigheid belooft. De integratie lijkt eenvoudig. Maar voordat je je eerste cv naar dat eindpunt stuurt, is er een vraag die niemand op de landingspagina van de leverancier stelt: wat gebeurt er met de kandidaatgegevens nadat je ze hebt verstuurd?
Als je cv’s van kandidaten via een externe AI-detectie-API verwerkt, ga je een gegevensverwerkingsrelatie aan waar GDPR en andere privacywetten specifieke eisen aan stellen.
Wat je eigenlijk verstuurt
Wanneer je ATS een AI-detector-API aanroept, stuurt het de tekst van het cv van een kandidaat — of een groot deel ervan — naar een server van een derde partij. Die tekst bevat persoonsgegevens: namen, contactgegevens, werkervaring, opleiding en soms demografische details.
De meeste AI-detector-API’s zijn niet gebouwd voor HR-gegevens. Ze werden oorspronkelijk ontworpen voor het opsporen van plagiaat in academisch werk en contentmarketing. Hun privacybeleid, bewaarpraktijken en beveiligingsnormen zijn geschreven voor het nakijken van essays, niet voor het screenen van kandidaten.
Lees het privacybeleid van de leverancier voordat je integreert, alsof je een functionaris voor gegevensbescherming bent. Want dat zijn de mensen die vragen gaan stellen als er iets misloopt.
GDPR: de basis die je niet kan overslaan
Als je in de EU of de EER werft, of gegevens van EU-inwoners verwerkt, is GDPR van toepassing op elk systeem dat met kandidaatgegevens werkt. Dit betekent het volgende voor een AI-detectie-integratie:
Rechtsgrond: Je hebt een wettelijke reden nodig om kandidaatgegevens via de detector te verwerken. De twee gangbare opties zijn gerechtvaardigd belang (GDPR-artikel 6, lid 1, f) en uitdrukkelijke toestemming. Bij gerechtvaardigd belang moet je documenteren waarom detectie noodzakelijk en evenredig is. Toestemming vereist dat de kandidaat instemt voordat zijn cv wordt gescand, en die toestemming moet specifiek, geïnformeerd en intrekbaar zijn (GDPR Advisor, 2026).
Transparantie: Kandidaten moeten worden verteld dat hun gegevens naar een AI-detectiedienst van een derde partij worden gestuurd, welke gegevens worden gedeeld, waarom, en hoe lang ze worden bewaard. Je privacyverklaring moet het doel expliciet noemen. “We kunnen tools van derden gebruiken” is niet specifiek genoeg.
Verwerkersovereenkomst: GDPR-artikel 28 vereist een schriftelijke overeenkomst tussen jou (de verwerkingsverantwoordelijke) en de API-leverancier (de verwerker). Die overeenkomst moet specificeren welke gegevens worden verwerkt, voor welk doel, hoe lang ze worden opgeslagen en welke beveiligingsmaatregelen gelden. Als de leverancier geen verwerkersovereenkomst aanbiedt, is dat een waarschuwingssignaal.
Amerikaanse privacywetten: niet alleen een Europees probleem
GDPR haalt de koppen, maar de Amerikaanse privacyvereisten breiden zich uit. Verschillende staten hebben allesomvattende privacywetten aangenomen of voorgesteld:
- Californië (CCPA/CPRA): Vereist openbaarmaking van gegevensdeling met derden en geeft consumenten het recht om zich af te melden voor de verkoop of het delen van persoonsgegevens.
- New York City Local Law 144: Vereist bias-audits voor geautomatiseerde beslissingshulpmiddelen bij werving. Als je AI-detector bijdraagt aan een aanwervingsbeslissing, kan die onder deze wet vallen.
- Illinois AI Video Interview Act en BIPA: Leggen specifieke eisen op aan biometrische gegevens en AI-tools die bij werving worden gebruikt.
De regelgeving beweegt richting meer openbaarmaking, meer audits en meer rechten voor kandidaten. Een ongecontroleerde externe API aan je proces toevoegen vergroot het aantal punten waarop compliance-problemen kunnen ontstaan.
Vijf vragen voor de API-leverancier
Vraag voordat je een contract tekent om schriftelijke antwoorden op deze vragen:
-
Waar staan de servers? Als de infrastructuur van de leverancier buiten jouw rechtsgebied valt, gelden regels voor grensoverschrijdende gegevensoverdracht. Voor EU-gegevens die naar Amerikaanse servers worden gestuurd, heb je Standard Contractual Clauses of een adequaatheidsbesluit nodig.
-
Hoe lang worden kandidaatgegevens bewaard? Sommige API’s slaan invoertekst op om het model te verbeteren. Als cv’s van je kandidaten voor onbepaalde tijd op de servers van de leverancier blijven staan, botst dat met het beginsel van dataminimalisatie.
-
Worden kandidaatgegevens gebruikt om modellen te trainen? Veel AI-bedrijven gebruiken invoergegevens om hun modellen te verbeteren. Als cv-tekst voor training wordt gebruikt, deel je kandidaatgegevens voor een doel dat niets met werving te maken heeft — en dat valt vrijwel zeker buiten het bereik van je opgegeven rechtsgrond.
-
Welke beveiligingscertificeringen heeft de leverancier? SOC 2 Type II, ISO 27001 of gelijkwaardig. Als de leverancier geen beveiligingsnormen kan aantonen, stuur je persoonsgegevens naar een systeem dat je niet kan controleren.
-
Gaat de leverancier akkoord met een GDPR-conforme verwerkersovereenkomst? Als het antwoord nee is, of “dat doen we normaal niet voor dit productniveau”, stap dan af.
Het alternatief van dataminimalisatie
Het GDPR-beginsel van dataminimalisatie zegt dat je alleen de gegevens mag verwerken die nodig zijn voor een specifiek doel. Een AI-detectiescan verwerkt de volledige cv-tekst om één vraag te beantwoorden: “Is dit door AI geschreven?” Dat is heel veel persoonsgegevens voor een signaal met weinig waarde.
Een criteriagerichte aanpak verwerkt minder gegevens voor een nuttiger resultaat. CriteriaMatch beoordeelt specifieke kwalificaties — certificaten, werkvergunningen, taalvaardigheden, ervaringsdrempels — aan de hand van vooraf bepaalde vereisten. De screening is gericht, het resultaat is bruikbaar, en de gegevensverwerking staat in verhouding tot het doel.
Je hoeft geen volledige cv’s naar een server van een derde partij te sturen om te beslissen of een kandidaat aan je vereisten voldoet.
Voor meer over het opbouwen van wervingsprocessen die zowel de rechten van kandidaten als de efficiëntie van het team respecteren, zie onze gids over verantwoorde AI in werving.
Breng de compliance in kaart voordat je tekent
De markt voor AI-detector-API’s beweegt snel. Leveranciers verkopen urgentie — “AI-cv’s overspoelen je pipeline” — zonder in te gaan op de privacyinfrastructuur die nodig is om hun producten verantwoord te gebruiken.
Evalueer eerst compliance, dan pas nauwkeurigheid. De technische integratie is het makkelijke deel. Het gegevensbeheer is waar de meeste teams merken dat de kosten het signaal niet waard zijn.