Mise à jour du 11/10/2026 : le règlement « omnibus numérique » (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, reporte au 2 décembre 2027 les obligations des systèmes d’IA à haut risque utilisés en RH, initialement prévues le 2 août 2026. Il assouplit aussi l’obligation de maîtrise de l’IA. Le calendrier ci-dessous en tient compte.
L’AI Act encadre l’usage de l’intelligence artificielle dans les RH : certains systèmes sont interdits depuis 2025, d’autres, dits « à haut risque », imposeront un contrôle humain et une traçabilité. Les employeurs qui entrent dans son champ d’application (article 2) sont concernés, quelle que soit leur taille.
Qu’est-ce que l’AI Act ?
L’AI Act (Règlement UE 2024/1689) du 13 juin 2024 est le premier règlement européen contraignant sur l’intelligence artificielle. On le présente souvent selon quatre niveaux de risque (inacceptable, élevé, limité, minimal) : c’est une grille de lecture, car un même système peut cumuler plusieurs obligations (pratique interdite, haut risque, transparence). Ce règlement s’applique directement dans tous les États membres.
Les dates clés de l’AI Act
L’AI Act s’applique par étapes. Le règlement omnibus de 2026 a décalé une partie du calendrier. Les échéances utiles aux RH :
- Depuis le 2 février 2025 : interdiction de certaines pratiques, dont la reconnaissance des émotions sur le lieu de travail. Depuis la même date, obligation de maîtrise de l’IA : depuis l’omnibus, l’entreprise doit « prendre des mesures pour favoriser » la formation des personnes qui utilisent ces systèmes, sans devoir garantir un niveau donné.
- Depuis le 2 août 2025 : régime des sanctions (chapitre XII), applicable aux obligations déjà en vigueur.
- Depuis le 2 août 2026 : application générale du règlement, notamment les obligations de transparence (article 50), sous réserve de délais transitoires pour certains systèmes déjà sur le marché.
- 2 décembre 2027 (au lieu du 2 août 2026) : obligations des systèmes d’IA à haut risque de l’annexe III, qui vise notamment le recrutement, la promotion, le licenciement, l’attribution des tâches et l’évaluation des salariés.
- 2 août 2028 : obligations des systèmes à haut risque liés à des produits soumis à la législation d’harmonisation de l’annexe I (article 6, paragraphe 1), rares en RH.
Un régime transitoire (article 111) couvre les systèmes à haut risque déjà mis sur le marché ou en service avant ces dates : ils n’y sont soumis qu’en cas de modification importante de leur conception. Les interdictions s’appliquent, elles, à tous les systèmes. Ce report ne change rien au RGPD, qui s’applique déjà à tout traitement de données de candidats ou de salariés.
Ce qui est interdit dès maintenant
IA émotionnelles en entreprise
Depuis le 2 février 2025, il est strictement interdit d’utiliser des systèmes d’IA qui déduisent les émotions à partir de données biométriques sur le lieu de travail, sauf lorsque le système est mis en place pour des raisons médicales ou de sécurité (article 5, paragraphe 1, f).
Exemples interdits : analyse des expressions faciales en entretien, détection du ton de voix pour évaluer l’état émotionnel, surveillance des réactions émotionnelles via webcam. Un outil de mesure de l’engagement n’est concerné que s’il infère des émotions à partir de données biométriques.
Autres interdictions : notation sociale (social scoring) et catégorisation biométrique visant à déduire des caractéristiques sensibles, dans les conditions précises de l’article 5. Une évaluation professionnelle ordinaire n’est pas, en soi, une notation sociale interdite.
Systèmes d’IA à haut risque en RH
Les obligations de ces systèmes s’appliqueront à partir du 2 décembre 2027. Ils concernent :
Recrutement : tri automatique de CV, chatbots de préqualification, entretiens vidéo différés avec analyse automatique, systèmes de matching profils/postes.
Gestion des performances : notation automatique, affectation de tâches basée sur l’analyse comportementale, surveillance de la productivité avec scoring.
Promotion et carrière : décisions de promotion assistées par IA, attribution d’opportunités de développement.
Certains outils limités à une tâche étroite ou préparatoire, sans influence significative sur la décision, peuvent échapper au haut risque (article 6, paragraphe 3). Cette exception ne joue jamais pour un système qui établit le profil des personnes.
Obligations de l’employeur qui les utilise
Le fournisseur de l’outil supporte l’essentiel des exigences techniques : qualité des données d’entraînement, documentation technique, marquage CE. Un employeur qui développe son propre outil ou modifie substantiellement un système peut lui-même devenir fournisseur (article 25). L’employeur qui l’utilise (le « déployeur ») devra, selon l’article 26 :
- Utiliser l’outil selon sa notice et en surveiller le fonctionnement
- Confier le contrôle humain à des personnes compétentes, formées et disposant de l’autorité nécessaire
- Veiller à la qualité des données d’entrée qu’il fournit : pertinentes et suffisamment représentatives
- Conserver les journaux générés par le système et placés sous son contrôle, au moins six mois sauf règle contraire
- Informer les représentants du personnel et les salariés concernés avant la mise en service sur le lieu de travail
- Informer les personnes faisant l’objet d’une décision prise ou aidée par le système
- Signaler au fournisseur et à l’autorité de surveillance un risque au sens du règlement, en suspendant alors l’usage du système, ainsi que tout incident grave
L’analyse d’impact sur les droits fondamentaux de l’article 27 ne vise pas l’employeur privé ordinaire : elle concerne les organismes publics, les entités privées fournissant un service public et certains usages en crédit et assurance. En revanche, une analyse d’impact relative à la protection des données (RGPD) est souvent obligatoire : la liste de la CNIL y soumet notamment le recrutement facilité par un algorithme.
Vos actions prioritaires
1. Cartographier vos systèmes d’IA
Identifiez tous les outils utilisant l’IA dans vos processus RH : ATS, outils d’entretiens vidéo, systèmes d’évaluation automatisés, chatbots RH, outils d’analyse prédictive, IA « shadow » (ChatGPT, outils non autorisés).
2. Classifier par niveau de risque
Pour chaque système identifié, déterminez sa classification :
- l’analyse émotionnelle est interdite
- les ATS avec tri automatique et l’évaluation des performances par IA relèvent en principe du haut risque
- les chatbots informationnels relèvent surtout des obligations de transparence.
3. Arrêter immédiatement les IA interdites
Si vous utilisez des systèmes d’analyse émotionnelle, cessez leur usage immédiatement. Sanctions : jusqu’à 35 millions € ou 7% du CA mondial.
4. Développer la maîtrise de l’IA
L’article 4 modifié demande des mesures adaptées pour favoriser la maîtrise de l’IA des personnes qui utilisent ces systèmes, sans imposer une formation formelle systématique. Priorités : les personnes chargées du contrôle humain, puis les responsables RH, recruteurs, managers et équipes IT.
Contenu : Fonctionnement de l’IA, obligations légales, détection des biais, supervision humaine, droits des personnes. Pour identifier les usages concrets de l'IA en RH, consultez nos 5 cas pratiques de l'IA en RH.
5. Préparer la conformité des systèmes à haut risque
Le report au 2 décembre 2027 laisse le temps de préparer : auditer vos systèmes actuels, demander à vos fournisseurs leur analyse de classification et leur notice d’utilisation, désigner et former les personnes chargées du contrôle humain, organiser la conservation des journaux et réaliser l’analyse d’impact RGPD quand elle est requise.
6. Informer et consulter
Informer les candidats et salariés (usage de l’IA, données collectées, impact sur les décisions). Dès aujourd’hui, dans les entreprises d’au moins 50 salariés, le CSE doit être informé avant leur utilisation des méthodes ou techniques d’aide au recrutement, et informé et consulté avant la mise en œuvre de moyens de contrôle de l’activité des salariés (article L2312-38) ; il est aussi consulté sur l’introduction de nouvelles technologies (article L2312-8). Pensez enfin à formaliser une charte d’usage définissant les systèmes autorisés et les principes éthiques.
Sanctions
| Infraction | Montant maximal |
|---|---|
| Usage d’une IA interdite | 35 millions € ou 7% CA mondial |
| Non-conformité IA à haut risque | 15 millions € ou 3% CA mondial |
| Information inexacte aux autorités | 7,5 millions € ou 1% CA mondial |
Le deuxième plafond couvre notamment les obligations de l’employeur utilisateur (article 26) et les obligations de transparence (article 50). Les pourcentages portent sur le chiffre d’affaires annuel mondial de l’exercice précédent. Le montant le plus élevé est retenu, sauf pour les PME, à qui s’applique le plus faible (article 99) ; depuis l’omnibus, les petites entreprises à moyenne capitalisation en bénéficient aussi, sauf pour les pratiques interdites. Des sanctions au titre du RGPD peuvent également être encourues.
Autorités de contrôle en France : les autorités chargées de contrôler l’application de l’AI Act sont désignées par le droit national ; vérifiez l’état de ces désignations. La CNIL reste compétente pour tout ce qui relève du RGPD.
Questions fréquentes
Notre ATS trie automatiquement les CV. Sommes-nous concernés ?
Oui, si votre système repose sur l’IA : un système destiné à analyser et filtrer les candidatures relève en principe du haut risque (annexe III, point 4). Les obligations de l’employeur utilisateur s’appliqueront à partir du 2 décembre 2027 : contrôle humain, journaux, information des candidats et des représentants du personnel. Le RGPD s’applique déjà : en principe, une décision produisant des effets juridiques ou affectant significativement le candidat ne peut reposer exclusivement sur un traitement automatisé (article 22), sauf exceptions encadrées. Si votre outil était déjà en service avant le 2 décembre 2027, vérifiez le régime transitoire de l’article 111.
Les petites entreprises sont-elles exemptées de l’AI Act ?
Non. L’AI Act s’applique aux entreprises qui déploient des systèmes d’IA dans l’Union européenne, dans les conditions de son article 2, quelle que soit leur taille. Les allègements portent surtout sur les fournisseurs et sur le plafond des amendes, plus bas pour les PME. Ils n’exemptent pas l’employeur utilisateur.
Notre fournisseur dit être conforme. Suffit-il de le croire ?
Non. Vous restez responsable de vos propres obligations d’utilisateur. Pour un système à haut risque, prévoyez dans le contrat la remise de la notice d’utilisation, de la déclaration UE de conformité et du marquage CE, exigibles à partir du 2 décembre 2027. Organisez le contrôle humain et réalisez l’analyse d’impact RGPD quand elle est requise.
Sources et références
- Règlement (UE) 2024/1689 du 13 juin 2024 (AI Act) – EUR-Lex : articles 4, 5, 26, 27, 99, 111, 113 et annexe III
- Règlement (UE) 2026/1744 du 8 juillet 2026 (omnibus numérique sur l’IA) – EUR-Lex
- CNIL – Liste des traitements pour lesquels une analyse d’impact est requise
- CNIL – Commission Nationale de l’Informatique et des Libertés
- Nouvelle réglementation européenne sur l’IA : DRH, passez à l’action ! – Éditions Législatives
- AI Act : que doivent faire les RH dès 2025 ? – Unow
- AI Act : Quelles obligations dès le 2 février 2025 ? – Dastra
Dernière mise à jour : 11 octobre 2026.