Benieuwd naar Staffyou WFM?

Plan een demo
Staffyou
Demo
WFM blog

AI Act en roostersoftware: wanneer is automatisch plannen 'hoog risico'?

Roostersoftware kan onder de EU AI Act een hoog-risicosysteem zijn als het gaat om een AI-systeem dat diensten toewijst op basis van individueel gedrag of persoonlijke kenmerken, of dat de prestaties en het gedrag van medewerkers monitort en beoordeelt. Een systeem dat alleen drukte voorspelt, of dat plant op opgegeven beschikbaarheid, certificaten en afstand, valt daar volgens de conceptrichtsnoeren van de Europese Commissie in de regel niet onder. De regels voor hoog risico gelden vanaf 2 december 2027; dan moet je als werkgever onder meer menselijk toezicht regelen, logs bewaren en medewerkers en hun vertegenwoordigers vooraf informeren. Dit artikel is geen juridisch advies: leg je eigen systeem voor aan je jurist en je ondernemingsraad (OR).

WFM blog

Roostersoftware kan onder de EU AI Act een hoog-risicosysteem zijn als het gaat om een AI-systeem dat diensten toewijst op basis van individueel gedrag of persoonlijke kenmerken, of dat de prestaties en het gedrag van medewerkers monitort en beoordeelt. Een systeem dat alleen drukte voorspelt, of dat plant op opgegeven beschikbaarheid, certificaten en afstand, valt daar volgens de conceptrichtsnoeren van de Europese Commissie in de regel niet onder. De regels voor hoog risico gelden vanaf 2 december 2027; dan moet je als werkgever onder meer menselijk toezicht regelen, logs bewaren en medewerkers en hun vertegenwoordigers vooraf informeren. Dit artikel is geen juridisch advies: leg je eigen systeem voor aan je jurist en je ondernemingsraad (OR).

Wat zegt de EU AI Act over AI in HR?

De AI Act geldt alleen voor AI-systemen: systemen die uit hun invoer afleiden hoe ze voorspellingen, aanbevelingen of beslissingen maken (artikel 3). Niet elk planningsalgoritme valt daaronder. Volgens de richtsnoeren van de Commissie over die definitie valt een gewone spreadsheet zonder AI-functies erbuiten, net als een voorspelling die alleen een gemiddelde doortrekt. Ook systemen op basis van klassieke heuristieken of beproefde optimalisatiemethoden kunnen erbuiten vallen. Een vaste lijst is er niet: het hangt af van hoe jouw systeem werkt.

Is het wel een AI-systeem, dan kijk je naar bijlage III, punt 4 (werkgelegenheid). Punt 4a gaat over werving en selectie. Roosters vallen onder punt 4b: AI-systemen die bedoeld zijn om

  • besluiten te nemen die de voorwaarden van de arbeidsrelatie raken, of over promotie of beëindiging;
  • taken toe te wijzen op basis van individueel gedrag of persoonlijke eigenschappen of kenmerken;
  • prestaties en gedrag van medewerkers te monitoren en te evalueren.

Wanneer valt automatisch plannen onder hoog risico?

De Commissie publiceerde op 19 mei 2026 conceptrichtsnoeren over de indeling van hoog-risicosystemen. Ze zijn niet bindend; de consultatie liep tot 23 juli 2026 en de definitieve versie volgt naar verwachting eind 2026. Het eerste praktijkvoorbeeld onder punt 4b is letterlijk een roosterplanner:

"A retail/logistics company deploys an AI-enabled scheduler to assign shifts, rest periods and on-call windows"

Vertaald: een retail- of logistiekbedrijf zet een AI-planner in om diensten, rustperiodes en bereikbaarheidsdiensten toe te wijzen. Als invoer gebruikt het systeem onder meer stiptheid, no-showhistorie, het aandeel geaccepteerde en geweigerde diensten en beoordelingen door klanten of leidinggevenden ("punctuality, non-show history, acceptance/decline rates for offered shifts, customer/manager ratings"). Het rangschikt medewerkers per dienst, geeft de best presterende mensen de belangrijkste diensten en verlaagt de prioriteit van wie voorrangsaanbiedingen weigert. Volgens de Commissie valt dit onder 4b en kan het zich niet beroepen op de uitzonderingen in artikel 6 lid 3, omdat het gevolgen heeft voor loon, toegang tot diensten en doorgroei.

De grens leggen de richtsnoeren bij het soort gegevens:

Wat het systeem doetPlek in de AI Act volgens de conceptrichtsnoeren
Medewerkers rangschikken op stiptheid, no-shows, acceptatiegraad of beoordelingenHoog risico (4b), geen uitzondering (praktijkvoorbeeld)
Minder of slechtere diensten geven na het weigeren van aanbiedingenValt onder 4b: dit is gedrag beoordelen (rn. 276)
Diensten toewijzen op beschikbaarheid die medewerkers zelf opgeven, of op een verplicht certificaat zoals een heftruckcertificaatGeen persoonlijke kenmerken (rn. 272)
Werk toewijzen op afstand tot de locatieIn de regel geen hoog risico (rn. 272)
Vraag voorspellen, zoals drukke bezorgzones, zonder gevolgen voor wie een suggestie negeertBuiten 4b (praktijkvoorbeeld)
Uren uit de tijdregistratie bundelen in een rapport, zonder scores of signalenWel 4b, maar uitzondering voor een voorbereidende taak (art. 6 lid 3 onder d)

Stiptheid, betrouwbaarheidsscores en prestatiebeoordelingen tellen volgens randnummer 270 als persoonlijke eigenschappen of kenmerken. Niet elke dagelijkse keuze telt mee: wie binnen een dienst wanneer pauze neemt, is volgens randnummer 262 een gewone operationele beslissing. Gebruik no-showcijfers dus op groepsniveau om je buffer te bepalen, niet om individuele mensen te rangschikken.

De uitzonderingen in artikel 6 en de profileringsregel

Een systeem uit bijlage III is geen hoog risico als het geen significant risico vormt, onder meer omdat het de uitkomst van een besluit niet wezenlijk beïnvloedt. Dat kan bij vier soorten taken: een beperkte procedurele taak, het verbeteren van een afgerond menselijk resultaat, het opsporen van afwijkingen in eerdere besluiten zonder die te vervangen, of een voorbereidende taak (artikel 6 lid 3).

Daar staat één harde regel tegenover: een systeem dat personen profileert, is altijd hoog risico. Profileren is het geautomatiseerd evalueren van persoonlijke aspecten, zoals beroepsprestaties, betrouwbaarheid of gedrag (artikel 4 lid 4 AVG). Een matcher die per medewerker een betrouwbaarheidsscore berekent, kan zich daardoor waarschijnlijk niet op de uitzonderingen beroepen. Vindt een leverancier dat zijn systeem uit bijlage III geen hoog risico is, dan moet hij die beoordeling vastleggen (artikel 6 lid 4). Vraag je leverancier naar die beoordeling.

Wat moet je als werkgever doen bij een hoog-risicosysteem?

De AI Act noemt de gebruiker van een AI-systeem de gebruiksverantwoordelijke. Voor een werkgever die een hoog-risicosysteem gebruikt, gelden vanaf 2 december 2027 onder meer deze plichten uit artikel 26:

  • het systeem gebruiken volgens de gebruiksaanwijzing van de leverancier;
  • menselijk toezicht beleggen bij mensen met de kennis, training en bevoegdheid om in te grijpen;
  • zorgen dat de invoer relevant en representatief is, voor zover jij die beheert;
  • de werking volgen en risico's of ernstige incidenten melden;
  • de automatisch gemaakte logs minstens zes maanden bewaren;
  • vóór ingebruikname de werknemersvertegenwoordiging en de betrokken medewerkers informeren;
  • de informatie van de leverancier gebruiken voor je gegevensbeschermingseffectbeoordeling (DPIA);
  • mensen over wie het systeem beslist of meebeslist, daarover informeren.

Wie door zo'n besluit nadeel ondervindt, heeft recht op een duidelijke uitleg over de rol van het systeem en de belangrijkste elementen van het besluit (artikel 86). De leverancier heeft eigen plichten, zoals de conformiteitsbeoordeling.

Voorbeeld (fictief): de maximale boete. Voor overtreding van artikel 26 geldt een boete tot € 15 miljoen of 3% van de wereldwijde jaaromzet (artikel 99 lid 4). Normaal geldt het hoogste van die twee bedragen, voor het mkb en voor zogeheten small mid-caps het laagste (lid 6 en 6a).

OrganisatieJaaromzet3%Maximum
Horecabedrijf, mkb€ 8 miljoen€ 240.000€ 240.000
Retailketen, geen mkb of small mid-cap€ 900 miljoen€ 27 miljoen€ 27 miljoen

Dit zijn plafonds. De toezichthouder weegt onder meer de ernst, de duur en de medewerking mee (lid 7).

Wat geldt nu al, vóór december 2027?

  • AI-geletterdheid (artikel 4) geldt sinds 2 februari 2025. Na de wijziging door de Digital Omnibus (Verordening (EU) 2026/1744) moet je maatregelen nemen om de AI-kennis van je mensen te ondersteunen, maar hoef je geen bepaald niveau te garanderen. Volgens de tijdlijn van de Commissie wordt hierop sinds 2 augustus 2026 gehandhaafd.
  • Transparantie (artikel 50) geldt sinds 2 augustus 2026. Een AI-systeem dat rechtstreeks met mensen communiceert, bijvoorbeeld een assistent die via WhatsApp open diensten aanbiedt, moet zo zijn gemaakt dat mensen weten dat ze met AI praten, tenzij dat voor de hand ligt. Die plicht ligt bij de leverancier; vraag hoe die is ingevuld.
  • De AVG en, als je een OR hebt, de WOR gelden nu al, ook als je systeem geen AI-systeem is.

Wat regelt Nederland: OR, AVG en Arbeidsinspectie

Ondernemingsraad. Volgens artikel 27 lid 1 WOR heeft de OR instemmingsrecht bij een regeling over arbeids- en rusttijden (onder b), over de verwerking van persoonsgegevens van medewerkers (onder k) en over voorzieningen die gericht zijn op of geschikt zijn voor controle op aanwezigheid, gedrag of prestaties (onder l). Volgens de Autoriteit Persoonsgegevens (AP) geldt dat laatste ook als je het systeem niet gebruikt om mensen te volgen, maar het wel zou kunnen. Regelt je cao het onderwerp al inhoudelijk, dan is instemming niet nodig (lid 3). Zonder instemming kun je de kantonrechter om toestemming vragen (lid 4).

AVG. Volgens de AP is vooraf een DPIA verplicht als je werknemers stelselmatig monitort. Een besluit dat uitsluitend geautomatiseerd tot stand komt en iemand in aanmerkelijke mate treft, mag alleen in uitzonderingsgevallen (artikel 22 AVG). Menselijke tussenkomst moet volgens de AP betekenisvol zijn: de beoordelaar begrijpt op hoofdlijnen hoe de uitkomst tot stand komt en kan er echt van afwijken. Een planner die elk voorstel moet overnemen, telt niet.

Arbeidsinspectie. De inspectie adviseert je risico-inventarisatie en -evaluatie (RI&E) bij te werken als je algoritmes het werk laat aansturen, en medewerkers en bij grotere bedrijven de OR vanaf het begin te betrekken. Bij de bedrijven die de inspectie bezocht, werden medewerkers meestal niet betrokken en vaak pas geïnformeerd nadat het systeem al was gekocht.

Toezicht. Het kabinet wil de AP aanwijzen als markttoezichthouder voor een groot deel van de hoog-risicotoepassingen. De Nederlandse uitvoeringswet komt naar verwachting later dan de AI Act voorschrijft (Kamerbrief van 20 april 2026).

Checklist: zo bereid je je voor op 2 december 2027

Voorbeeld: stappenplan voor een werkgever met één roostersysteem en een OR, start januari 2027.

WanneerStap
januari 2027Breng in kaart wat je systemen doen: forecast, matching, beoordelen. Noteer welke gegevens over mensen meewegen, zoals stiptheid, no-shows, acceptatiegraad of beoordelingen.
februari 2027Vraag je leverancier: is dit een AI-systeem, valt het volgens hem onder bijlage III en waar staat die beoordeling? Vraag ook naar de gebruiksaanwijzing, de logs en de uitleg per dienst.
maart 2027Besluit welke gedragsgegevens je echt nodig hebt. Leg vast wie toezicht houdt en voorstellen mag aanpassen of afwijzen.
april tot juni 2027Voer de DPIA uit, werk de RI&E bij en leg de regeling ter instemming voor aan de OR.
september 2027Informeer de medewerkers en train de planners.
vanaf 2 december 2027Bewaar logs minstens zes maanden, volg de werking en geef uitleg als iemand daarom vraagt.

Hoe organiseer je dit in de praktijk?

Het best uit te leggen is een opzet waarin software voorstelt en een mens beslist, en waarin je per dienst kunt teruglezen waarom iemand is gekozen.

In Staffyou WFM stelt Staffyou Algoritme een planning voor op beschikbaarheid, skills, locatie, voorkeuren, kosten en regels. Je stelt per klant en per locatie in hoe zwaar onder meer kosten, afstand, voorkeur en continuïteit wegen. De planner keurt het voorstel goed of past het aan; automatisch publiceren gebeurt alleen als je dat instelt, bijvoorbeeld binnen een bepaald tarief of voor een vertrouwde groep. Staffyou Compliance legt per dienst vast welke regels golden. Gesprekken van Staffyou Agent zijn terug te lezen en de planner kan ze in één stap overnemen. Of jouw inrichting onder bijlage III valt, hangt af van wat je laat meewegen. Staffyou geeft daarover geen juridische garantie; bespreek het met je jurist en je OR.

Veelgestelde vragen

Vanaf wanneer geldt de AI Act voor HR-software?

De hoog-risicoregels voor bijlage III, waaronder werving en personeelsbeheer, gelden vanaf 2 december 2027. AI-geletterdheid geldt sinds 2 februari 2025 en de transparantieplicht voor chatbots sinds 2 augustus 2026.

Valt elke roosterplanner onder de AI Act?

Nee. Alleen AI-systemen vallen eronder, en een roostersysteem is alleen hoog risico als het onder bijlage III valt. De AVG, de Arbeidstijdenwet en, als je een OR hebt, de WOR gelden wel.

Moet de OR instemmen met nieuwe roostersoftware?

Vaak wel, zeker als de software ook aanwezigheid registreert, bijvoorbeeld via inklokken (artikel 27 lid 1 onder l WOR). Dat geldt niet als je cao het onderwerp al inhoudelijk regelt. Is het een hoog-risicosysteem, dan moet je de werknemersvertegenwoordiging daarnaast vooraf informeren.

Wie is verantwoordelijk: de leverancier of de werkgever?

Allebei. De leverancier (in de AI Act: de aanbieder) moet zorgen dat het systeem aan de eisen voldoet. Jij bent verantwoordelijk voor hoe je het gebruikt: toezicht, invoer, logs en informatie aan medewerkers.

Wil je zien hoe voorstel, goedkeuring en vastlegging per dienst werken? Plan een demo en neem je vragen voor je jurist of OR mee.

Bronnen

Verder lezen

Personeelsplanning in één systeem?

Staffyou WFM: €0,15 per gepland uur, de eerste 500 uur per maand gratis.

Plan een demo