Le recrutement figure dans l'annexe III du règlement européen sur l'intelligence artificielle, aux côtés de l'évaluation des candidats, des décisions de promotion ou de licenciement, de l'affectation des tâches et du suivi de la performance. Ce classement en haut risque suppose supervision humaine documentée, journaux conservés et information préalable des salariés et des représentants du personnel. Mais ces obligations propres à l'annexe III ne s'appliqueront qu'à partir du 2 décembre 2027, date reportée par le règlement (UE) 2026/1744, dit Digital Omnibus, adopté et en vigueur depuis le 27 juillet 2026. Ce report ne vaut pas moratoire : plusieurs règles s'imposent déjà aux services RH, et le RGPD comme le Code du travail n'ont jamais attendu l'AI Act pour encadrer le recrutement.
Le calendrier européen reporte le haut risque, pas tout le reste
Trois obligations de l'AI Act sont déjà opposables à une direction RH, indépendamment de l'échéance de 2027. L'obligation de maîtrise de l'IA, prévue à l'article 4, s'applique depuis le 2 février 2025 et impose de former les équipes selon leurs fonctions. Les interdictions de l'article 5 s'appliquent depuis la même date, dont celle de la reconnaissance des émotions des salariés au travail à partir de données biométriques. La transparence de l'article 50, qui impose notamment de signaler qu'un échange se fait avec une IA, s'applique depuis le 2 août 2026. Seules les obligations propres aux systèmes à haut risque de l'annexe III restent reportées au 2 décembre 2027.
| Date | Obligation applicable |
|---|---|
| 2 février 2025 | Interdictions (article 5) et obligation de maîtrise de l'IA (article 4) |
| 2 août 2026 | Application générale du règlement, dont la transparence (article 50) |
| 2 décembre 2026 | Nouvelles interdictions et marquage lisible par machine pour certains systèmes déjà commercialisés |
| 2 décembre 2027 | Haut risque de l'annexe III, dont le recrutement |
| 2 août 2028 | Haut risque de l'annexe I (produits réglementés) |
Pour qualifier un système, la méthode reste la même quelle que soit l'échéance : inventorier tous les outils utilisés y compris les usages informels, décrire leur finalité précise, classer selon les quatre niveaux du règlement, vérifier si l'exception de l'article 6 paragraphe 3 s'applique pour une tâche procédurale étroite, puis qualifier son propre rôle. Une entreprise qui modifie la destination d'un outil généraliste, ou qui y ajoute son nom, peut basculer de déployeur à fournisseur et hériter de l'ensemble des obligations correspondantes.
Le Code du travail n'attend pas l'Europe
Le Code du travail impose d'informer expressément le candidat des méthodes d'aide au recrutement utilisées à son égard, préalablement à leur mise en œuvre. Cette obligation s'applique dès aujourd'hui, sans lien avec le calendrier de l'AI Act, et vaut pour tout outil qui trie, score ou pré-qualifie une candidature.
La consultation du comité social et économique constitue un autre point de vigilance, souvent sous-estimé. Dans un arrêt du 21 mai 2026, la Cour d'appel de Paris a jugé qu'autoriser un outil d'IA grand public puis encadrer son usage par une charte interne constitue une décision d'introduction d'une nouvelle technologie au sens de l'article L2312-8 du Code du travail, même lorsque les salariés utilisaient déjà spontanément cet outil avant toute réaction de l'entreprise. Autrement dit : découvrir un usage informel et choisir de l'encadrer, plutôt que de l'interdire, déclenche l'obligation de consulter le CSE, indépendamment de l'origine de l'initiative.
RGPD : la responsabilité de l'employeur même sans outil officiel
Le scénario du compte personnel
Un salarié RH qui copie des CV dans ChatGPT via son compte personnel pour en obtenir un résumé ou un classement crée une architecture à trois acteurs que le droit n'anticipe pas clairement : le candidat dont les données circulent, le SaaS de recrutement qui orchestre officiellement le processus, et le compte d'IA générative connecté par le salarié, hors de tout contrat. L'article 4 paragraphe 7 du RGPD désigne comme responsable de traitement celui qui détermine les finalités et les moyens. La finalité reste celle de l'employeur, qui recrute. Mais le moyen, c'est-à-dire l'outil retenu, lui échappe entièrement. Le Comité européen de la protection des données considère, dans ses lignes directrices 07/2020, que les salariés agissant sous l'autorité du responsable de traitement ne sont ni responsables de traitement ni sous-traitants. L'employeur demeure donc responsable d'un traitement qu'il n'a ni choisi ni identifié, ce qui rend sa conformité presque impossible à démontrer au titre de l'article 5 paragraphe 2.
Le droit d'accès prévu à l'article 15 du RGPD devient alors l'instrument le plus concret pour un candidat qui soupçonne un traitement automatisé non déclaré. La Cour de justice de l'Union européenne a précisé, dans son arrêt Dun & Bradstreet Austria du 27 février 2025 (C-203/22), que lorsqu'une décision automatisée est en cause, la personne a droit à une explication réelle de la procédure appliquée, et qu'une simple accumulation de journaux bruts ne suffit pas à satisfaire cette obligation.
Ce que le RGPD exige avant tout usage
L'article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets significatifs. Filtrer des candidatures avec une IA n'est pas interdit, mais déléguer la décision finale peut l'être. L'intervention humaine doit être réelle : une personne capable d'examiner le résultat, de s'en écarter et de répondre au candidat, ce qu'un simple clic de validation n'offre pas. La CNIL, dans ses recommandations de 2024, attend une politique d'entreprise structurée : une liste écrite d'usages autorisés et interdits, une gouvernance associant DPO, responsable des systèmes d'information et RSSI, la désactivation de la réutilisation des données par le fournisseur lorsque c'est possible, et la formation des utilisateurs. Lorsque le fournisseur traite des données pour le compte de l'entreprise, le contrat de sous-traitance de l'article 28 doit couvrir les instructions, la confidentialité, les sous-traitants ultérieurs et les conditions de restitution des données.
Sur le plan technique, certaines plateformes tentent de réduire l'exposition des données avant leur envoi à des modèles tiers. Moon AI, la solution française de Stellarr Studio, propose par exemple un dispositif nommé Moon Blur qui remplace les données personnelles par des jetons avant transmission, puis les rétablit au retour. Ce procédé étant réversible, il s'agit d'une pseudonymisation au sens de l'article 4-5 du RGPD, jamais d'une anonymisation : les requêtes partent bien chez les fournisseurs des modèles tiers une fois pseudonymisées, et le dispositif ne dispense ni d'une base légale, ni d'un contrat de sous-traitance, ni de l'information des personnes concernées.
Biais algorithmiques : le tri de CV reste sous surveillance humaine
Trois mécanismes expliquent la plupart des biais observés dans les outils de tri de candidatures. Un modèle entraîné sur d'anciens recrutements reproduit les écarts passés, ce qui impose de tester les résultats par genre, âge et profil. Une adresse, un trou dans le parcours ou un loisir peuvent servir de substitut à un critère interdit sans que le recruteur le voie. Enfin, un recruteur pressé suit parfois le score proposé sans le questionner, alors que le règlement exige une supervision humaine effective. Un cas souvent cité illustre ce risque de biais historique : selon une source, Amazon aurait abandonné en 2018 un outil expérimental de tri de CV qui pénalisait les candidatures féminines après un apprentissage sur des données historiques déséquilibrées.
Un autre phénomène est rapporté par la presse spécialisée RH : certains candidats inséreraient dans leur CV du texte invisible, en blanc sur fond blanc ou en police infime, destiné à orienter favorablement la lecture d'un outil de tri. La fréquence réelle de cette pratique n'est établie par aucune source officielle fiable, mais son principe illustre pourquoi confier la décision finale à une machine reste une erreur à la fois réglementaire et opérationnelle : lire les candidatures, exercer son jugement et documenter la décision sont les garanties attendues d'une intervention humaine réelle au sens de l'article 22 du RGPD.
Niveau de risque par usage RH
Toutes les tâches RH assistées par l'IA ne portent pas le même niveau de risque. Le tableau suivant reprend les six familles d'usage identifiées dans la fonction RH et indique ce qui s'applique déjà, en attendant l'échéance de l'annexe III.
| Usage RH | Risque AI Act (indicatif) | Ce qui s'applique dès maintenant |
|---|---|---|
| Présélection et tri de candidatures | Haut risque (recrutement, annexe III) | Information du candidat (Code du travail), article 22 RGPD, littératie article 4 |
| Gestion des talents, mobilité interne | Haut risque possible (promotion, affectation des tâches) | Décisions à documenter, supervision humaine à formaliser dès à présent |
| Formation et montée en compétences | Hors annexe III en général | Transparence article 50 si contenu généré visible des salariés |
| Expérience collaborateur et QVT | Interdiction si reconnaissance d'émotions biométriques | Interdiction en vigueur depuis le 2 février 2025, analyses à garder agrégées |
| Administration du personnel et paie | Risque limité | Contrôle humain sur le calcul, transparence si chatbot salarié |
| Pilotage social et reporting | Risque limité à minimal | Relecture humaine obligatoire des indicateurs légaux (BDESE, index égalité) |
La checklist d'audit à lancer dès maintenant
- Inventorier tous les systèmes d'IA utilisés en RH, y compris les usages informels sur compte personnel : c'est la première source de surprise lors d'un contrôle.
- Décrire la finalité précise de chaque outil et qualifier son propre rôle, déployeur ou fournisseur, en surveillant les modifications qui feraient basculer un outil hors de sa destination initiale.
- Vérifier la base légale du traitement (article 6 du RGPD) et documenter la minimisation des données transmises (article 5).
- Exiger un contrat de sous-traitance conforme à l'article 28 auprès de chaque fournisseur, et vérifier si les conditions générales autorisent la réutilisation des données transmises.
- Informer les candidats et les salariés, avant toute mise en œuvre, des méthodes d'aide au recrutement utilisées, conformément au Code du travail et aux articles 13 et 14 du RGPD.
- Consulter le CSE avant d'introduire ou même d'encadrer tardivement un usage d'IA déjà répandu dans les équipes, conformément à l'article L2312-8.
- Former les équipes RH à la littératie IA, obligation déjà applicable depuis février 2025.
- Rédiger une charte d'usage listant les usages autorisés et interdits, avec une gouvernance associant DPO, responsable des systèmes d'information et RSSI.
- Conserver, pour toute candidature ou évaluation assistée par IA, une trace de la décision humaine réelle qui a suivi la recommandation de l'outil.
Questions fréquentes
Le tri de CV par IA est-il déjà interdit en France ?
Non, il n'est pas interdit. Il n'est pas non plus en haut risque au sens de l'AI Act avant le 2 décembre 2027. Mais il est déjà encadré par le RGPD, notamment l'article 22 sur les décisions automatisées, et par le Code du travail, qui impose d'informer le candidat des méthodes d'aide au recrutement utilisées à son égard avant leur mise en œuvre.
Un salarié qui utilise ChatGPT en privé pour trier des CV engage-t-il l'entreprise ?
En principe oui. L'employeur reste responsable du traitement dès lors que le salarié agit dans le cadre de ses fonctions, même s'il utilise un compte personnel non validé. Le Comité européen de la protection des données considère que les salariés sous l'autorité du responsable de traitement ne deviennent ni responsables de traitement ni sous-traitants. La difficulté n'est pas de désigner le responsable, mais de démontrer sa conformité sur un outil qu'il n'a ni choisi ni identifié.
Faut-il consulter le CSE avant de déployer un outil d'IA RH ?
Oui. Une décision de la Cour d'appel de Paris du 21 mai 2026 a jugé qu'autoriser un outil d'IA grand public puis l'encadrer par une charte constitue une introduction de nouvelle technologie au sens de l'article L2312-8 du Code du travail, même si l'usage préexistait de façon informelle dans les équipes.
Quelles sanctions en cas de manquement au RGPD ?
L'article 83 paragraphe 5 du RGPD fixe l'amende maximale à 20 000 000 euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond couvre les manquements aux principes fondamentaux, aux droits des personnes et aux transferts hors Union européenne non encadrés.