AI-monitoring van werknemers: wat een werkgever mag volgens de AVG en de AI-verordening

Gepubliceerd op 25 oktober 2025 · Laatst bijgewerkt op 29 oktober 2026

Een werkgever mag AI-software gebruiken om werknemers te monitoren, maar alleen als hij een gerechtvaardigd belang heeft, niet verder gaat dan nodig, werknemers vooraf informeert en de ondernemingsraad heeft ingestemd (artikel 6 lid 1 sub f AVG en artikel 27 lid 1 sub l WOR). Eén vorm is helemaal verboden: AI die emoties van werknemers herkent, behalve om medische of veiligheidsredenen (artikel 5 lid 1 sub f van de AI-verordening, sinds 2 februari 2025).

Drie regelingen en het EVRM

Drie regelingen bepalen samen wat mag: de AVG, de Europese AI-verordening (Verordening (EU) 2024/1689) en de Wet op de ondernemingsraden. Daarnaast toetst de rechter monitoring aan het recht op privéleven uit artikel 8 EVRM.

• De AVG regelt of en hoe u persoonsgegevens van werknemers mag verwerken; meer over werknemersgegevens leest u in ons aparte artikel.
• De AI-verordening stelt eisen aan het AI-systeem zelf en aan de werkgever die het gebruikt.
• De WOR geeft de ondernemingsraad instemmingsrecht bij controlesystemen.

Wanneer mag een werkgever monitoren volgens de AVG?

Een werkgever mag monitoren als dat nodig is voor een gerechtvaardigd belang, zoals beveiliging of het voorkomen van fraude, en dat belang zwaarder weegt dan de privacy van de werknemer. Toestemming van de werknemer is meestal geen geldige grondslag, omdat een werknemer afhankelijk is van zijn werkgever en daardoor niet vrij kan weigeren.

Bij die afweging gelden de beginselen van artikel 5 AVG. Concreet betekent dat:

• Doelbinding: u legt vooraf vast waarvoor u monitort en gebruikt de gegevens niet voor iets anders.
• Proportionaliteit en subsidiariteit: de monitoring staat in verhouding tot het doel en er is geen minder ingrijpend middel.
• Dataminimalisatie: u verzamelt niet meer gegevens dan nodig.
• Transparantie: werknemers weten vooraf wat er wordt verzameld, waarom en hoe lang (artikelen 13 en 14 AVG).
• Bewaartermijn: u bewaart de gegevens niet langer dan het doel vereist.

Stelselmatige monitoring van werknemers vraagt bijna altijd vooraf een gegevensbeschermingseffectbeoordeling (DPIA, artikel 35 AVG). Beslist een AI-systeem zelfstandig over iets met rechtsgevolgen, zoals een afwijzing of ontslag, dan heeft de werknemer volgens artikel 22 AVG recht op menselijke tussenkomst. Meer over wat een werkgever mag controleren leest u in ons artikel daarover.

Bărbulescu: vooraf informeren en een concrete aanleiding

Het Europees Hof voor de Rechten van de Mens bepaalde dat een werkgever werknemers vooraf duidelijk moet informeren over aard en omvang van controle (EHRM 5 september 2017, Bărbulescu tegen Roemenië, nr. 61496/08). Ook moet hij een legitieme reden hebben en nagaan of een minder ingrijpend middel mogelijk was.

Nederlandse rechters passen die factoren toe. Het gerechtshof Arnhem-Leeuwarden oordeelde op 5 juli 2022 in een zaak tussen ING en een werknemer wiens e-mail was onderzocht (ECLI:NL:GHARL:2022:6203). De werknemer was vooraf niet geïnformeerd over de aard van de mogelijke monitoring. Volgens het hof zijn de Bărbulescu-richtsnoeren geen strikte voorwaarden, maar factoren die samen worden gewogen. Omdat onduidelijk was welke signalen tot het onderzoek hadden geleid, liet het hof ING bewijzen dat er een redelijke verdenking was, en de werknemer dat het om een fishing expedition ging.

De uitspraak laat zien waarom het vastleggen van de aanleiding vóór de monitoring zo belangrijk is. Is bewijs onrechtmatig verkregen, dan mag de rechter het in een civiele procedure meestal toch gebruiken, maar de onrechtmatigheid kan wel meewegen, bijvoorbeeld bij een ontslagzaak of een schadevergoeding.

Wat de AI-verordening van een werkgever vraagt

De AI-verordening deelt AI-systemen in naar risico; AI voor werving, selectie, beoordeling en monitoring van werknemers is hoog risico (bijlage III, punt 4). Een werkgever die zo’n systeem gebruikt, is “gebruiksverantwoordelijke” en heeft eigen plichten.

Tijdlijn van de AI-verordening voor werkgevers

Stand 29 oktober 2026. De oorspronkelijke datum voor de hoogrisicoplichten was 2 augustus 2026; die is met het Digital Omnibus-pakket uitgesteld.

Welke AI-toepassingen zijn verboden?

Verboden is onder meer AI die emoties afleidt op de werkplek, tenzij om medische of veiligheidsredenen (artikel 5 lid 1 sub f). Ook manipulatieve AI en biometrische categorisering naar bijvoorbeeld ras, politieke voorkeur of seksuele geaardheid zijn verboden (artikel 5).

Plichten van de werkgever bij hoogrisico-AI

De plichten van artikel 26 AI-verordening voor hoogrisicosystemen gelden vanaf de nieuwe ingangsdatum. Wie nu een systeem kiest, houdt daar het best al rekening mee:

• Het systeem gebruiken volgens de gebruiksaanwijzing van de aanbieder.
• Menselijk toezicht toewijzen aan iemand met de nodige kennis en bevoegdheid.
• De automatisch gegenereerde logs ten minste zes maanden bewaren.
• Werknemers en hun vertegenwoordigers informeren voordat het systeem op de werkplek wordt ingezet.
• De werking blijven controleren en bij risico’s het gebruik stoppen en de aanbieder melden.

AI-geletterdheid: wat al sinds februari 2025 geldt

Sinds 2 februari 2025 moet een organisatie die AI gebruikt maatregelen nemen voor voldoende AI-kennis bij de mensen die ermee werken (artikel 4 AI-verordening). Dat gaat over begrijpen wat het systeem doet, waar het fouten kan maken en wanneer menselijke controle nodig is.

De verordening schrijft geen vaste cursus voor. De maatregelen hangen af van de kennis van de medewerkers en de context waarin zij AI gebruiken. Leg vast welke training u heeft gegeven en aan wie.

Maximale boetes onder AI-verordening en AVG

Het hogere van de twee bedragen geldt als maximum. In Nederland houdt de Autoriteit Persoonsgegevens toezicht op de AVG.

Instemmingsrecht van de ondernemingsraad

Voor een systeem dat geschikt is om aanwezigheid, gedrag of prestaties van werknemers te controleren, heeft de werkgever de instemming van de ondernemingsraad nodig (artikel 27 lid 1 sub l WOR). Ook een regeling over de verwerking van personeelsgegevens valt onder het instemmingsrecht (artikel 27 lid 1 sub k WOR).

Een besluit zonder instemming is nietig als de ondernemingsraad daar binnen een maand schriftelijk een beroep op doet (artikel 27 lid 5 WOR). Gaat het om de invoering van een belangrijke technologische voorziening, dan heeft de ondernemingsraad daarnaast adviesrecht (artikel 25 lid 1 sub k WOR). Heeft het bedrijf geen ondernemingsraad maar wel een personeelsvertegenwoordiging, dan gelden aparte regels in artikel 35c WOR.

Controlepunten voor werkgever en werknemer

Werkgever: voordat het systeem aan gaat

• Leg het doel van de monitoring en de concrete aanleiding schriftelijk vast en toets of een lichter middel volstaat.
• Voer vooraf een DPIA uit (artikel 35 AVG).
• Vraag instemming van de ondernemingsraad voordat het systeem in gebruik gaat (artikel 27 WOR).
• Informeer werknemers in een privacyverklaring of monitoringsprotocol over wat, waarom en hoe lang.
• Controleer of het systeem onder de verboden van artikel 5 AI-verordening valt, zoals emotieherkenning.
• Laat besluiten over werving, beoordeling of ontslag altijd door een mens nemen.

Werknemer: als u vermoedt dat u wordt gevolgd

• Vraag uw werkgever om het monitoringsprotocol en de privacyverklaring.
• Gebruik uw inzagerecht (artikel 15 AVG): uw werkgever moet binnen een maand laten zien welke gegevens hij over u verwerkt.
• Vraag bij een geautomatiseerd besluit om menselijke tussenkomst en uitleg (artikel 22 AVG).
• Ga na of de ondernemingsraad heeft ingestemd met het systeem.
• Dien bij een vermoedelijke overtreding een klacht in bij de Autoriteit Persoonsgegevens.

Wat wij doen bij AI-monitoring van werknemers

• Beoordelen of een monitoringsysteem past binnen de AVG en de AI-verordening.
• Een monitoringsprotocol en een instemmingsaanvraag voor de ondernemingsraad opstellen.
• Contracten met de AI-leverancier nalopen, met hulp van onze ICT-recht advocaat.
• Werknemers bijstaan bij een inzageverzoek of een klacht over monitoring.
• Procederen over ontslag of schadevergoeding na monitoring, met onze arbeidsrecht advocaat.

In het kort

• AI-monitoring mag alleen met een gerechtvaardigd belang, proportioneel en na vooraf informeren; toestemming van werknemers is meestal geen geldige grondslag.
• Emotieherkenning op het werk is sinds 2 februari 2025 verboden, behalve om medische of veiligheidsredenen.
• AI voor werving, beoordeling en monitoring is hoog risico; de plichten daarvoor gelden vanaf 2 december 2027.
• Zonder instemming van de ondernemingsraad kan het besluit tot invoering nietig zijn.

Veelgestelde vragen

Valt een eenvoudige planningstool ook onder de AI-verordening?

Een planningstool die werknemers niet beoordeelt, valt meestal niet onder hoog risico. De plicht tot AI-geletterdheid van artikel 4 geldt wel voor elke organisatie die AI gebruikt.

Wat moet de werkgever doen als de ondernemingsraad niet heeft ingestemd?

Doet de ondernemingsraad binnen een maand schriftelijk een beroep op de nietigheid (artikel 27 lid 5 WOR), dan moet de werkgever het systeem stopzetten of alsnog instemming vragen. Hij kan ook de kantonrechter om vervangende toestemming vragen (artikel 27 lid 4 WOR).

Lees ook: wat mag uw werkgever van u weten? en de juridische risico’s van AI op de werkvloer.