Répondre dix fois par semaine à la même question sur les congés, relire une offre d’emploi, trier deux cents candidatures : l’intelligence artificielle peut alléger ces tâches. Mais en RH, elle traite des données personnelles et peut peser sur des décisions qui touchent un emploi ou une carrière. Le bon usage de l’IA en RH allège le travail sans retirer la décision à un humain. Il respecte aussi trois textes : le RGPD, le Code du travail et le règlement européen sur l’IA (AI Act).
Ce guide présente cinq usages courants. Pour chacun : ce que l’IA apporte, ses limites, un exemple de consigne et les règles applicables au 11 octobre 2026. Une méthode de déploiement en sept étapes termine l’article.
Le cadre juridique en bref (octobre 2026)
Le règlement européen sur l’IA
Le règlement (UE) 2024/1689 entre en application par étapes. Le règlement « omnibus numérique » sur l’IA (règlement (UE) 2026/1744 du 8 juillet 2026, en vigueur depuis le 27 juillet 2026) a modifié une partie du calendrier.
- Depuis le 2 février 2025 : les pratiques interdites s’appliquent. Parmi elles, la reconnaissance des émotions sur le lieu de travail à partir de données biométriques, sauf raisons médicales ou de sécurité.
- Depuis le 2 février 2025 également : la maîtrise de l’IA. Depuis l’omnibus, l’entreprise doit « prendre des mesures pour favoriser » la formation de son personnel, sans être tenue de garantir un niveau donné.
- Depuis le 2 août 2026 : la transparence. Une personne qui échange directement avec un système d’IA doit en être informée, sauf si c’est évident.
- À partir du 2 décembre 2027, au lieu du 2 août 2026 : les obligations sur les systèmes d’IA « à haut risque » de l’annexe III. Pour l’emploi, elle vise le recrutement et le tri des candidatures, les décisions de promotion ou de licenciement, l’attribution des tâches selon le comportement, le suivi et l’évaluation des performances.
Le RGPD
Il s’applique dès qu’un outil traite des données de salariés ou de candidats. Avant tout usage, il faut fixer :
- une finalité précise et une base légale ;
- les données strictement nécessaires et leur durée de conservation ;
- les personnes habilitées et les mesures de sécurité ;
- l’information des personnes concernées ;
- une analyse d’impact (AIPD) quand le traitement présente un risque élevé.
Son article 22 interdit en principe une décision produisant des effets juridiques ou significatifs fondée exclusivement sur un traitement automatisé. Les exceptions prévues exigent une justification et des garanties, dont le droit d’obtenir une intervention humaine.
Le Code du travail
Les candidats et les salariés sont informés à l’avance des méthodes de recrutement et d’évaluation, qui doivent être pertinentes (articles L1221-8 et L1222-3). Aucune donnée ne peut être collectée par un dispositif qui ne leur a pas été présenté (L1221-9 et L1222-4).
Dans les entreprises d’au moins 50 salariés, le CSE a deux rôles. Il est informé avant l’utilisation de méthodes d’aide au recrutement ou de traitements automatisés de gestion du personnel. Il est informé et consulté avant la mise en œuvre d’outils de contrôle de l’activité (L2312-38) et sur l’introduction de nouvelles technologies (L2312-8).
Cas n° 1 : répondre aux questions courantes des salariés
Ce que l’IA apporte. Un assistant conversationnel répond à toute heure aux questions fréquentes : solde de congés, procédure d’arrêt maladie, date de paie, règles de télétravail. L’équipe RH garde son temps pour les cas particuliers.
Ses limites. Un modèle de langage peut produire une réponse plausible mais fausse. Il doit donc s’appuyer sur une base documentaire validée : accords, convention collective, règlement intérieur, procédures. Il renvoie vers un interlocuteur humain dès que la question devient personnelle ou sensible : santé, conflit, rupture du contrat.
Exemple de consigne (pour préparer la base de réponses) : « À partir de cette procédure validée, prépare cinq questions-réponses pour les salariés. Cite la section utilisée. Écris “information absente” si le document ne permet pas de répondre. » Une personne des RH relit chaque réponse avant publication.
Les règles.
- Vérifiez que l’assistant indique dès le premier échange qu’il s’agit d’une IA (article 50 de l’AI Act). L’obligation pèse d’abord sur le fournisseur, mais c’est l’employeur qui met l’outil à disposition.
- Limitez les données accessibles : un assistant qui donne le solde de congés n’a besoin ni des rémunérations ni des dossiers disciplinaires.
- Qualifiez le rôle du prestataire. S’il traite les données pour votre compte, concluez un contrat conforme à l’article 28 du RGPD. Vérifiez ses propres sous-traitants, la réutilisation éventuelle des données pour entraîner ses modèles, les accès et les transferts hors de l’Union européenne.
Niveau de risque (appréciation pratique) : faible, si l’outil se limite à informer. Le libre-service d’un SIRH règle déjà une bonne part de ces questions sans IA : le salarié consulte lui-même ses compteurs dans le module congés et absences.
Cas n° 2 : rédiger et relire les documents RH
Ce que l’IA apporte. Un premier jet d’offre d’emploi, de note d’information, de trame d’entretien ou de compte rendu. Une reformulation plus claire d’une procédure. Le résumé d’un long accord. L’outil peut faciliter le démarrage d’un texte.
Ses limites. Le texte produit reste un brouillon. L’IA peut reprendre des formulations discriminatoires, des règles périmées ou des références inexistantes. Une personne compétente relit chaque texte avant envoi.
Exemple de consigne : « Rédige une offre d’emploi de comptable fournisseurs à partir de cette fiche de poste. Indique les missions, les compétences requises et le lieu de travail. N’ajoute aucun critère qui ne figure pas dans la fiche. »
Les règles.
- Écartez les critères discriminatoires, notamment liés à l’âge ou au sexe (article L1132-1). Certaines différences de traitement sont exceptionnellement autorisées dans les conditions fixées par la loi, notamment aux articles L1133-1 et L1133-2. Faites vérifier toute exception avant publication.
- Ne saisissez pas de données de salariés dans un outil grand public non encadré par un contrat. Retirer les noms ne suffit pas : une fonction unique, une ancienneté ou des circonstances précises peuvent identifier la personne. Remplacer un nom par un code est une pseudonymisation, et le RGPD continue de s’appliquer.
- Gardez la maîtrise des documents engageants (contrat, avenant, sanction) : l’IA aide à rédiger, le service RH ou le conseil juridique valide.
Niveau de risque : faible à modéré, selon les données transmises à l’outil.
Cas n° 3 : trier et présélectionner les candidatures
Ce que l’IA apporte. Sur un poste qui reçoit des centaines de candidatures, l’outil compare les CV aux critères du poste. Il propose un premier classement et repère les profils à appeler en priorité.
Ses limites. Un modèle entraîné sur des recrutements passés peut reproduire leurs biais. Un mot-clé absent peut écarter un bon candidat qui décrit autrement son expérience. Le classement n’explique pas toujours ses raisons.
Exemple d’exercice (sur des CV fictifs) : « Compare ces dix CV fictifs à la grille de compétences du poste. Pour chaque CV, relève les compétences explicitement mentionnées et cite le passage correspondant. Pour les autres critères, écris “information non trouvée, à vérifier avec le candidat”. N’attribue aucune note globale et n’écarte aucun candidat. » Le recruteur décide à partir de cette synthèse.
Les règles. C’est l’usage le plus encadré.
AI Act. Un système d’IA destiné à analyser et filtrer les candidatures ou à évaluer les candidats relève en principe du « haut risque » (annexe III, point 4). Certaines tâches étroites ou préparatoires, sans influence significative sur la décision, peuvent y échapper (article 6, paragraphe 3). Cette exception ne joue jamais pour un système qui fait du profilage, ce qui est en général le cas d’un classement de candidats. À partir du 2 décembre 2027, l’employeur qui l’utilise devra notamment :
- l’utiliser conformément à la notice du fournisseur ;
- confier le contrôle humain à des personnes formées et habilitées ;
- veiller à la pertinence des données qu’il fournit à l’outil ;
- conserver au moins six mois les journaux générés automatiquement qui sont sous son contrôle, sauf autre règle légale ;
- informer les représentants du personnel et les travailleurs concernés avant la mise en service.
Une personne visée par une décision fondée sur ce système pourra demander une explication sur le rôle de l’IA (article 86). Ce droit vaut pour une décision qui produit des effets juridiques ou l’affecte de façon significative, et qu’elle estime défavorable pour sa santé, sa sécurité ou ses droits fondamentaux. Un régime transitoire couvre les systèmes dont un exemplaire du même type et modèle a été mis sur le marché ou en service avant le 2 décembre 2027 : ils restent hors de ces obligations tant que leur conception n’est pas modifiée de façon importante (article 111). Il peut donc s’appliquer à un outil que vous adoptez après cette date. Demandez au fournisseur sa position écrite.
Code du travail, dès aujourd’hui. Le candidat est informé avant leur mise en œuvre des méthodes utilisées, qui doivent être pertinentes au regard du poste (L1221-8). Le CSE des entreprises d’au moins 50 salariés est informé avant leur utilisation (L2312-38).
RGPD, dès aujourd’hui. En principe, aucun refus ne doit reposer exclusivement sur le classement automatique ; les exceptions de l’article 22 sont étroites et encadrées. En pratique, une personne examine réellement les dossiers et peut s’écarter de la suggestion avant toute décision défavorable. Une analyse d’impact est obligatoire : la liste de la CNIL des traitements qui l’exigent vise expressément le recrutement facilité par un algorithme de sélection. La CNIL rappelle aussi les données qu’un recruteur peut ou non collecter.
Tester avant d’utiliser. Commencez avec des candidatures fictives, ou réellement anonymisées. Réutiliser d’anciennes candidatures reste un traitement de données, à encadrer. Comparez le classement de l’outil à une grille de compétences validée, plutôt qu’aux choix passés des recruteurs, qui peuvent eux-mêmes comporter des biais. Pour aller plus loin, voir notre article sur l’IA dans le recrutement.
Niveau de risque : élevé.
Cas n° 4 : analyser les données RH
Ce que l’IA apporte. Repérer des tendances dans l’absentéisme, les départs ou les heures supplémentaires. Résumer des centaines de commentaires libres d’une enquête interne. Signaler une équipe dont les indicateurs se dégradent.
Ses limites. Une corrélation n’est pas une cause. Un score individuel de « risque de départ » peut se tromper et stigmatiser un salarié. Dans les petites équipes, l’anonymat est fragile : un commentaire « anonyme » dans une équipe de quatre personnes est vite attribué.
Exemple de consigne : « Regroupe ces 300 commentaires anonymes par thème et indique le nombre de commentaires par thème. Ne cite aucun commentaire qui permette d’identifier son auteur. »
Les règles.
- Privilégiez les analyses agrégées par équipe ou par site, avec un seuil minimal de répondants pour publier un résultat.
- Noter individuellement les salariés (risque de départ, engagement, performance) revient à faire du profilage. Un outil qui sert à suivre ou évaluer leurs performances ou leur comportement entre dans l’annexe III de l’AI Act. Et un système de l’annexe III qui fait du profilage est toujours à haut risque.
- Les salariés sont informés au préalable (L1222-3 et L1222-4). Pour ce profilage individuel, une analyse d’impact est obligatoire : la liste de la CNIL vise la détection des « hauts potentiels » et la prévention des départs à partir de corrélations. Pour les autres analyses, vérifiez si le traitement présente un risque élevé. Agréger les seuls résultats ne suffit pas à écarter l’analyse d’impact.
- La reconnaissance des émotions à partir de données biométriques (visage, voix) est interdite au travail depuis le 2 février 2025. L’analyse du sentiment exprimé dans des commentaires écrits n’est pas visée par cette interdiction, qui porte sur les données biométriques, mais elle reste soumise au RGPD.
- Un outil qui permet de contrôler l’activité des salariés suppose l’information et la consultation préalables du CSE (L2312-38) dans les entreprises d’au moins 50 salariés.
Avant l’IA, ces analyses supposent des données fiables et à jour : absences, temps de travail, entretiens. Voir nos indicateurs de performance RH et les tableaux de bord du module reporting de Kammi.
Niveau de risque : modéré en agrégé, élevé au niveau individuel.
Cas n° 5 : personnaliser la formation et la mobilité interne
Ce que l’IA apporte. L’outil s’appuie sur les compétences déclarées, les entretiens et les fiches de poste. Il suggère des formations, repère les écarts de compétences et signale des postes ouverts en interne.
Ses limites. La suggestion vaut ce que valent les données : un référentiel de compétences incomplet ou des fiches de poste anciennes donnent des recommandations creuses. Un salarié peut aussi se sentir enfermé dans le profil que l’outil lui attribue.
Exemple de consigne : « À partir de ce profil fictif et de ce catalogue de formations, propose trois formations. Justifie chaque proposition et signale les informations manquantes. » Le responsable en discute ensuite avec le salarié.
Les règles.
- Regardez la finalité réelle de l’outil, pas seulement le caractère facultatif de la suggestion. Une recommandation purement informative pèse peu. Un outil servant à décider d’une promotion ou d’une mobilité, ou à suivre et évaluer les performances, relève en principe de l’annexe III (point 4). Les exceptions de l’article 6, paragraphe 3, décrites au cas n° 3, restent possibles.
- Au regard du RGPD, la liste de la CNIL soumet à analyse d’impact les formations personnalisées proposées par un algorithme. En principe, une décision de promotion ou de mutation ne doit pas être exclusivement automatisée : maintenez une intervention humaine réelle.
- Les données utilisées doivent rester pertinentes : ne pas importer de profils de réseaux sociaux personnels sans base légale ni information des salariés.
Les entretiens de parcours professionnel et le suivi des compétences restent la base de ces recommandations : voir les modules compétences et formations.
Niveau de risque : modéré pour une suggestion, élevé pour une évaluation ou une décision.
Par où commencer ?
Pour une PME, le premier usage doit être fréquent, simple à contrôler et pauvre en données personnelles.
| Usage | Données personnelles | Effort de contrôle | Encadrement |
|---|---|---|---|
| Rédaction et relecture | Aucune si bien utilisé | Relecture de chaque texte | Faible |
| Questions des salariés | Limitées | Base documentaire à tenir à jour | Transparence, RGPD |
| Formation et mobilité | Oui | Référentiel de compétences fiable | RGPD, AIPD, AI Act selon la finalité |
| Analyse des données | Oui | Seuils d’anonymat, interprétation | RGPD, AIPD si profilage, CSE |
| Tri des candidatures | Oui | Revue humaine de chaque dossier | Haut risque, AIPD, CSE |
Un bon premier essai : faire reformuler une procédure interne qui ne contient aucune donnée personnelle, puis la faire valider par l’équipe RH.
Déployer un outil d’IA en RH : la méthode en 7 étapes
- Inventorier les outils d’IA déjà utilisés, y compris ceux adoptés individuellement par les équipes (assistants de rédaction, fonctions d’IA intégrées aux logiciels existants).
- Qualifier chaque usage : pratique interdite, haut risque (annexe III), obligation de transparence. Ces obligations peuvent se cumuler. En cas de doute sur le haut risque, demandez au fournisseur son analyse écrite.
- Rédiger une fiche par usage : objectif, données utilisées, base légale, destinataires, durée de conservation, habilitations, sécurité, responsable. Inscrivez le traitement au registre, informez les personnes et menez l’analyse d’impact quand elle est requise (CNIL, AIPD).
- Informer et consulter : informez les candidats et les salariés concernés avant la mise en œuvre. Informez le CSE et déterminez avant le pilote s’il doit être consulté ; si oui, achevez la consultation avant la décision de mise en œuvre (voir l’encadré).
- Organiser le contrôle humain : qui relit, qui peut écarter la suggestion de l’outil, comment un salarié ou un candidat conteste.
- Former les utilisateurs : fonctionnement, limites, biais, données à ne pas saisir. C’est le sens de l’obligation de maîtrise de l’IA.
- Piloter et réviser : un responsable RH, un interlocuteur informatique et le délégué à la protection des données s’il y en a un. Mesurez le temps réellement gagné après relecture, les réponses erronées, les corrections et les incidents. Fixez une date de bilan et une règle de suspension. Pour vérifier l’absence de discrimination, définissez la méthode avec le délégué à la protection des données, sans constituer de fichiers de données sensibles (origine, santé, convictions).
CSE et phase pilote : ce qu’en disent les juges
Le 14 février 2025, le juge des référés du tribunal judiciaire de Nanterre a suspendu le déploiement d’outils d’IA introduits en « phase pilote ». La consultation du CSE n’était pas achevée. Utilisés depuis plusieurs mois par une partie des salariés, ces outils constituaient déjà une première mise en œuvre, et non une simple expérimentation. Une phase pilote ne dispense donc pas de consulter le CSE lorsqu’elle ressemble déjà à un déploiement.
Questions fréquentes
Peut-on utiliser un assistant d’IA grand public pour rédiger une offre d’emploi ?
Oui, à condition de ne pas y saisir de données personnelles et de relire le texte : critères discriminatoires, exigences sans lien avec le poste, mentions inexactes. L’offre reste sous la responsabilité de l’employeur.
Faut-il consulter le CSE avant d’utiliser un outil d’IA ?
Dans les entreprises d’au moins 50 salariés, oui lorsque l’outil introduit une nouvelle technologie qui affecte les conditions de travail, ou lorsqu’il permet de contrôler l’activité des salariés. Le CSE est aussi informé avant l’utilisation de méthodes d’aide au recrutement ou de traitements automatisés de gestion du personnel. Les juges apprécient au cas par cas l’ampleur et les effets du projet.
L’AI Act s’applique-t-il aux PME ?
Oui, quelle que soit la taille de l’entreprise qui utilise un système d’IA. Le règlement prévoit surtout des allègements pour les fournisseurs, et des amendes plafonnées plus bas pour les PME. Il n’exempte pas les employeurs utilisateurs.
Quelles sanctions en cas de manquement ?
Pour l’AI Act, jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial de l’exercice précédent pour une pratique interdite. Jusqu’à 15 millions d’euros ou 3 % pour d’autres obligations, dont celles des utilisateurs de systèmes à haut risque. Le montant le plus élevé est retenu, sauf pour les PME, à qui s’applique le plus faible (article 99). Depuis l’omnibus, les petites entreprises à moyenne capitalisation en bénéficient aussi, sauf pour les pratiques interdites. S’y ajoutent les sanctions du RGPD et les recours devant le juge, comme la suspension d’un outil.
Kammi centralise les données RH (congés, temps, entretiens, compétences) sur lesquelles reposent ces usages. Pour une vue d’ensemble, voir aussi notre article sur l’intelligence artificielle dans les ressources humaines.
Sources et références
Règlement (UE) 2024/1689 sur l’intelligence artificielle (EUR-Lex) : articles 3 (39), 4, 5, 6, 26, 50, 86, 99, 111, 113 et annexe III
Règlement (UE) 2026/1744 du 8 juillet 2026, omnibus numérique sur l’IA (EUR-Lex)
RGPD, article 22 ; CNIL, intelligence artificielle, le recrutement, analyse d’impact et liste des traitements soumis à AIPD
Code du travail (Code du travail numérique) : articles L1132-1, L1133-1, L1133-2, L1221-8, L1221-9, L1222-3, L1222-4, L2312-8 et L2312-38
TJ Nanterre, référé, 14 février 2025, n° 24/01457