In slechts enkele jaren tijd zijn tools voor artificiële intelligentie overal in HR doorgedrongen. Geautomatiseerde tools voor cv-selectie, assistenten voor het opstellen van vacatures, analyse van interviewverslagen, gepersonaliseerde aanbevelingen voor leertrajecten: de HR-functie leunt inmiddels sterk op AI om sneller te werken, dieper te analyseren en beter te sturen.
Maar achter deze belofte van efficiëntie schuilt een minder zichtbaar, maar cruciaal vraagstuk: de beveiliging van medewerkersgegevens.
Hoe meer AI wordt gebruikt, hoe meer medewerkersgegevens van het ene naar het andere systeem circuleren, worden gekruist en soms bij meerdere dienstverleners worden opgeslagen. En hoe meer deze gegevens circuleren, hoe kwetsbaarder ze worden. AI en cyberbeveiliging zijn niet langer alleen dossiers voor de IT-afdeling, maar een strategische uitdaging voor de HR-directeur.
In het begin hebben veel teams AI-oplossingen enthousiast getest en geadopteerd, vanuit een experimentele logica. Vandaag groeit het bewustzijn: het is niet langer mogelijk om de “AI-transformatie van HR” los te koppelen van de “strikte bescherming van medewerkersgegevens”. Beide moeten samen worden doordacht.
AI en cyberbeveiliging: waarom HR-data een cruciaal vraagstuk is geworden
HR-databanken zijn altijd al gevoelig geweest, maar AI heeft ze nog strategischer gemaakt. Ze bundelen een geheel aan persoonlijke, soms zeer intieme informatie, die zowel voor de business als voor aanvallers interessant is. Je vindt er identificatiegegevens, elementen over de loopbaan, informatie over verloning en, in sommige gevallen, gezondheidsgegevens of indicatoren met betrekking tot de persoonlijke situatie.
Voor een cybercrimineel is dit soort databank bijzonder aantrekkelijk, omdat ze betrouwbaar, gestructureerd en regelmatig bijgewerkt is. Eenmaal gecompromitteerd kunnen deze gegevens worden gebruikt voor identiteitsdiefstal, voor gerichte phishingcampagnes tegen bestuurders of sleutelrollen, of voor pogingen om toegang te krijgen tot andere systemen van het bedrijf.
De uitdaging is niet alleen technisch. Een lek van salarisgegevens, evaluaties of gezondheidsgerelateerde informatie kan langdurige spanningen veroorzaken, misverstanden voeden en het vertrouwen diepgaand aantasten. Het kan bijvoorbeeld:
- het gevoel van interne billijkheid ondermijnen wanneer loonverschillen abrupt zichtbaar worden;
- medewerkers in een kwetsbare positie brengen wanneer hun gevoelige informatie wordt vrijgegeven;
- de werkgeversreputatie schaden door het beeld te geven van een organisatie die nalatig omspringt met de bescherming van haar mensen.
In deze context wordt de beveiliging van HR-data tegelijk een juridisch, sociaal én reputatievraagstuk.
Afzonderlijk beschouwd lijkt elk van deze handelingen onbeduidend. Maar samen creëren ze een permanente stroom van gevoelige gegevens naar tools die soms nooit zijn doorgelicht of goedgekeurd door de IT-afdeling of de DPO. Het is deze diffuse, weinig zichtbare blootstelling die een van de belangrijkste risico’s vormt in het AI-tijdperk.
Daartegenover volstaat een louter technische reactie niet. Het is essentieel om binnen de HR-teams een echte cultuur van verantwoord AI-gebruik te ontwikkelen, met eenvoudige boodschappen:
- welke soorten gegevens als gevoelig worden beschouwd;
- welke tools zijn toegelaten of verboden;
- welke vragen men zich moet stellen vóór men medewerkersinformatie in een externe dienst plakt.
- welke types AI-projecten in HR systematisch moeten worden herzien vóór uitrol;
- welke minimale criteria inzake beveiliging, hosting en databeheer van leveranciers moeten worden geëist;
- in welke gevallen specifieke informatie aan medewerkers noodzakelijk is, of zelfs raadpleging van de werknemersvertegenwoordiging;
- hoe de levenscyclus van gegevens (verzameling, gebruik, bewaring, verwijdering) moet worden beheerd wanneer AI in het spel is.
Aan HR-zijde is er eveneens een grondige oefening nodig rond de mapping van de tools die al in gebruik zijn. Veel organisaties ontdekken, wanneer ze dieper graven, dat ze veel meer AI-oplossingen gebruiken dan gedacht: ATS-systemen met automatische scoring, aanbevelingssystemen geïntegreerd in leerplatformen, medewerkerstevredenheidstools die steunen op algoritmische modellen… Inzicht krijgen in dit ecosysteem is een noodzakelijke voorwaarde om opnieuw de regie te nemen.
Van cyberbeveiliging een duurzame HR-competentie maken
AI zal niet uit HR verdwijnen; integendeel, ze zal zich blijven uitbreiden naar nieuwe processen. De vraag is dus niet of we AI moeten adopteren, maar hoe we haar veilig en verantwoord kunnen inzetten.
Voor de HR-directeur betekent dit het opnemen van een dubbele rol. Enerzijds die van facilitator van innovatie, door relevante AI-use-cases te identificeren voor teams en managers, en projecten te ondersteunen die echte waarde creëren. Anderzijds die van beschermer van medewerkers, door erop toe te zien dat hun data met zorg wordt behandeld, gedurende de volledige levenscyclus wordt beveiligd en nooit wordt gebruikt voor ondoorzichtige of disproportionele doeleinden.
Concreet vertaalt zich dit in een aantal kernacties, die moeten worden gezien als een langetermijninvestering en niet als een eenmalig project:
