AI Act et RH : quelles obligations
pour les employeurs en 2026 ?
Tri de CV, scoring, évaluation automatisée… Vos outils RH sont classés « haut risque ». Certaines obligations s'appliquent déjà. Voici ce que vous devez faire — et quand.
L'essentiel en 30 secondes
- 1L'AI Act classe la quasi-totalité des outils RH algorithmiques (tri de CV, scoring, évaluation) en catégorie « haut risque ».
- 2Certaines obligations s'appliquent déjà depuis février 2025 : pratiques interdites (reconnaissance des émotions) et formation des équipes à l'IA.
- 3Les obligations les plus lourdes, prévues pour août 2026, ont été reportées au 2 décembre 2027 par le « Digital Omnibus ».
- 4Ce report n'est pas un feu vert pour l'inaction : la CNIL intensifie ses contrôles dès l'automne 2026.
- 5Les sanctions peuvent atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
L'AI Act en bref : de quoi parle-t-on ?
Le règlement (UE) 2024/1689, dit « AI Act », est le premier cadre juridique contraignant au monde consacré à l'intelligence artificielle. Entré en vigueur le 1er août 2024, il s'applique de façon progressive et repose sur une logique simple : plus un usage de l'IA présente de risques pour les personnes, plus les obligations sont lourdes.
Usages interdits : notation sociale, manipulation comportementale, reconnaissance des émotions au travail (sauf exceptions).
Autorisé mais soumis à obligations strictes (documentation, supervision humaine, traçabilité). C'est ici que se trouvent la plupart des outils RH.
Obligation principale de transparence : informer l'utilisateur qu'il interagit avec une IA (ex : chatbot).
Aucune contrainte particulière. Concerne la majorité des usages courants.
Point souvent ignoré : l'AI Act ne concerne pas que les éditeurs de logiciels. En tant qu'entreprise utilisatrice d'un outil d'IA — ce que le règlement appelle un « déployeur » — l'employeur porte lui-même des obligations juridiques. Votre ATS peut intégrer un module IA sans que vous en ayez pleinement conscience, et c'est pourtant vous qui restez responsable.
Pourquoi les RH sont en première ligne
L'annexe III du règlement liste les domaines considérés comme « haut risque ». L'emploi y figure en bonne place. Sont concernés les systèmes d'IA utilisés pour :
La diffusion d'offres d'emploi ciblées
Le tri et le filtrage des candidatures (CV parsing, scoring, matching)
L'évaluation des candidats (tests automatisés, analyse d'entretiens vidéo)
Les décisions de promotion ou de fin de relation contractuelle
L'attribution des tâches fondée sur le comportement ou les traits de personnalité
Le suivi et l'évaluation des performances des salariés
Si votre entreprise utilise un logiciel de tri de CV, un outil de scoring de candidats ou un module d'évaluation automatisée, elle exploite très probablement un système d'IA à haut risque au sens du règlement.
Ce qui s'applique déjà (et que beaucoup ignorent)
Plusieurs dispositions sont déjà en vigueur depuis février 2025
1. Les pratiques interdites
La reconnaissance des émotions des salariés (hors exceptions liées à la sécurité) et la catégorisation biométrique sont prohibées sur le lieu de travail, quelle que soit la taille de l'entreprise. Un outil qui analyserait l'état émotionnel de vos collaborateurs en visioconférence tombe sous le coup de cette interdiction. Sanctions maximales : jusqu'à 35 M€ ou 7 % du CA mondial.
2. L'obligation de « maîtrise de l'IA »
Toute organisation qui utilise des systèmes d'IA doit s'assurer que son personnel dispose d'un niveau suffisant de compétences et de compréhension de l'IA. Concrètement : former les équipes RH qui utilisent ChatGPT, Copilot ou tout outil intégrant de l'IA. Cette obligation s'applique sans seuil de taille — les PME sont concernées au même titre que les grands groupes.
3. Les règles sur les modèles d'IA à usage général
Les fournisseurs de grands modèles (LLM) sont soumis à des obligations propres. Côté employeur, l'impact est indirect mais réel : cela renforce les exigences de transparence de vos fournisseurs d'outils.
Le Digital Omnibus reporte l'échéance haut risque
Calendrier mis à jour
Pratiques interdites + obligation de formation
Règles sur les modèles à usage général (LLM)
Marquage des contenus générés par IA (art. 50)
Obligations haut risque — outils RH (reporté du 2 août 2026)
Le report n'est pas un feu vert pour l'inaction
La CNIL a annoncé qu'elle intensifierait ses contrôles sur les systèmes RH dès l'automne 2026 — le recrutement est une de ses priorités. Et la mise en conformité d'un système haut risque se compte en mois : décembre 2027, c'est demain.
Les obligations « haut risque » à anticiper d'ici décembre 2027
Inventorier et cartographier
Tous les systèmes d'IA utilisés dans les processus RH, y compris les modules IA « cachés » dans les SaaS existants (ATS, SIRH, outils d'entretien vidéo).
Garantir une supervision humaine effective
Aucune décision produisant un effet juridique sur un candidat ou un salarié (rejet de candidature compris) ne peut être prise par un algorithme seul — une exigence qui rejoint l'article 22 du RGPD.
Tenir la documentation technique
Conserver les journaux d'activité (logs) du système pendant la durée prévue par le règlement.
Exiger de ses fournisseurs les preuves de conformité
Documentation des articles 9 à 15, rapports de tests de biais, marquage CE le moment venu.
Informer les personnes concernées
Candidats et salariés doivent savoir qu'un système d'IA est utilisé et à quelles fins.
Réaliser les analyses d'impact
En articulation avec l'AIPD du RGPD lorsque des données personnelles sont traitées — ce qui est quasi systématique en RH.
AI Act + RGPD + Code du travail : le triple verrou français
L'AI Act ne remplace pas les obligations existantes, il s'y ajoute. En France, trois cadres se superposent :
- Registre des traitements
- AIPD pour le scoring et profilage
- Information des personnes
- Conservation des CV : 2 ans max (CNIL, avril 2026)
- Consultation du CSE obligatoire avant tout outil algorithmique
- Obligation de sécurité (art. L. 4121-1)
- Évaluation des risques IA sur la santé des salariés
- Responsabilité même si la décision est prise par un algorithme
- Discrimination indirecte = sanction possible
- Exemple : système Amazon abandonné pour biais sexiste
Quelles sanctions en cas de manquement ?
| Type de manquement | Amende maximale |
|---|---|
| Recours à des pratiques interdites | 35 M€ ou 7 % du CA mondial |
| Non-conformité des systèmes à haut risque | 15 M€ ou 3 % du CA mondial |
| Communication d'informations inexactes aux autorités | 7,5 M€ ou 1 % du CA mondial |
Des plafonds proportionnels réduits s'appliquent aux PME et startups. Au-delà de l'amende, un système non conforme peut être interdit d'exploitation.
Le kit opérationnel : par où commencer ?
Un plan en 3 phases, du plus urgent au plus structurant
Étape 0 — L'audit flash (une demi-journée)
Trois questions suffisent pour savoir où vous en êtes :
Suis-je capable de lister tous les outils IA utilisés dans mes processus RH ? Si la réponse est non, c'est votre chantier n°1. Pensez aux modules cachés : votre ATS propose-t-il un « matching intelligent » ?
Mes équipes qui utilisent l'IA ont-elles été formées ? L'obligation de maîtrise de l'IA (article 4) est déjà en vigueur.
Un outil que j'utilise prétend-il analyser les émotions ou la personnalité via la biométrie ? Si oui, arrêt immédiat : pratique interdite depuis février 2025.
Recenser tous les outils numériques RH dans un tableau unique (nom, éditeur, usage, présence d'une brique IA, données traitées)
Envoyer un questionnaire aux éditeurs pour les cases « inconnu »
Recenser aussi les usages non officiels (shadow AI) : mini-sondage interne anonyme
Classer chaque usage par niveau de risque (aide à décider du sort d'un candidat = haut risque)
Organiser une session de sensibilisation IA pour les équipes RH (2-3 h) et conserver la feuille d'émargement
Rédiger et diffuser une charte IA : outils autorisés, données interdites, obligation de relecture humaine
Désigner un référent IA (DPO, juriste, DRH ou binôme RH/IT) avec accès direct à la direction
Vérifier la conformité RGPD de chaque outil IA : registre, AIPD pour le scoring, durées de conservation (2 ans max pour les CV)
Ajouter une mention d'information dans vos processus de recrutement (annonce + accusé de réception)
Vérifier qu'aucune décision n'est prise par l'algorithme seul — traçabilité dans l'ATS
Consulter le CSE avant tout nouveau déploiement d'outil algorithmique
Intégrer une clause de conformité AI Act dans vos contrats et appels d'offres SIRH/ATS
Exiger de chaque fournisseur d'outil à haut risque sa documentation de conformité (articles 9 à 15)
Définir et documenter votre dispositif de supervision humaine
Mettre en place la conservation des logs des systèmes à haut risque
Planifier un audit annuel de vos usages IA
Les 5 questions à envoyer à vos éditeurs
À copier-coller dans votre prochain échange
- 1Votre solution intègre-t-elle des fonctionnalités d'IA ou de machine learning ? Si oui, lesquelles et à quelles étapes de nos processus ?
- 2Comment qualifiez-vous votre système au regard de l'AI Act (haut risque / risque limité) et sur quelle base ?
- 3Pouvez-vous nous fournir votre documentation technique et vos rapports de tests de biais (articles 9 à 15 du règlement) ?
- 4Quelles fonctionnalités permettent la supervision humaine et la traçabilité des décisions (logs, historique des validations) ?
- 5Quel est votre calendrier de mise en conformité, et vous engagez-vous contractuellement sur la fourniture des preuves de conformité ?
Un éditeur incapable de répondre à ces questions est un signal d'alerte — c'est vous, déployeur, qui porterez une partie du risque juridique.
Qui fait quoi en interne ?
| Action | Pilote | Contributeurs |
|---|---|---|
| Cartographie des outils IA | RH | IT, DPO |
| Qualification du niveau de risque | DPO / juriste | RH, éditeurs |
| Formation des équipes (art. 4) | RH | Prestataire éventuel |
| Charte IA | RH + DPO | Direction, IT |
| Registre RGPD, AIPD | DPO | RH |
| Consultation CSE | Direction / RH | Élus |
| Clauses contractuelles éditeurs | Juridique / achats | RH, DPO |
Pour aller plus loin
Questions fréquentes
Sources et textes officiels
Texte intégral du règlement (UE) 2024/1689 — AI Act
Journal officiel de l'UE, 12 juillet 2024
Synthèse officielle du règlement par l'Union européenne
Lecture rapide recommandée
AI Act Explorer (navigation dans le texte)
Outil non officiel mais fidèle au Journal officiel
CNIL — Recommandations sur l'IA et les données personnelles
Dont le référentiel d'avril 2026 sur la conservation des données candidats
Article mis à jour le 4 juillet 2026. Le cadre réglementaire évolue rapidement : la publication officielle du Digital Omnibus au Journal officiel de l'UE pourra ajuster certaines échéances.
Anaïs B.
Head of HR · Fondatrice de Outil-RH.fr
Avec plus de 12 ans d'expérience RH en entreprise — de l'opérationnel au pilotage stratégique — Anaïs teste et analyse les outils SIRH et IA pour aider les professionnels RH à faire les bons choix technologiques.
Suivre sur LinkedInRestez informé des meilleurs outils RH
Recevez chaque mois nos comparatifs, guides et actualités IA & RH directement dans votre boîte mail.
Pas de spam. Désinscription possible à tout moment. Conformément au RGPD.