IA Act et recrutement : obligations employeurs

Le tri de CV et le matching sont-ils classés « haut risque » par l'AI Act ?

Oui, dans la quasi-totalité des cas. L'Annexe III du règlement (UE) 2024/1689, dit AI Act, classe automatiquement en « système à haut risque » tout outil d'intelligence artificielle destiné au recrutement ou à la sélection de personnes : ciblage d'offres d'emploi, analyse et filtrage des candidatures, évaluation ou notation des profils.

Le point 4(a) de cette annexe vise très précisément le tri de CV et le matching candidat-poste. Le point 4(b) couvre en plus les usages internes : décisions de promotion ou de rupture, répartition des tâches selon le comportement individuel, ou évaluation continue de la performance des salariés.

L'article 6 du règlement prévoit quatre exceptions étroites (tâche procédurale limitée, amélioration d'un travail humain déjà réalisé, simple détection d'écart sans influence sur la décision, tâche préparatoire). Mais le texte est clair sur un point : dès qu'un système profile des personnes, c'est-à-dire évalue des traits ou un comportement pour en tirer un score ou un classement, il reste toujours à haut risque, sans exception possible. Un outil de scoring de candidatures entre donc presque systématiquement dans ce cadre.

Calendrier réel des obligations : ce qui s'applique déjà et ce qui est reporté à 2027

C'est le point le plus mal compris, y compris dans une partie de la presse spécialisée : la date du 2 août 2026, longtemps annoncée comme l'échéance des obligations « haut risque », n'est plus la bonne. Un accord politique entre le Parlement européen et le Conseil de l'Union, entériné par le Conseil le 29 juin 2026 dans le cadre du paquet dit « Digital Omnibus », a repoussé cette échéance.

Toutes les obligations de l'AI Act ne sont pas reportées pour autant. Voici l'état réel du calendrier, à ne pas confondre avec les échéances déjà en vigueur :

Concrètement, un employeur qui utilise un outil de tri de CV n'est pas juridiquement tenu, au 12 juillet 2026, de respecter l'intégralité des obligations « haut risque » de l'Annexe III : elles deviendront exigibles le 2 décembre 2027. En revanche, l'interdiction de la reconnaissance des émotions et la littératie IA du personnel sont déjà des obligations en vigueur, sans aucun report.

Les obligations concrètes de l'employeur qui utilise un outil IA en recrutement

L'AI Act distingue deux rôles : le fournisseur, qui édite et certifie le système, et le déployeur, c'est-à-dire l'employeur qui l'utilise dans son processus de recrutement. L'article 26 du règlement fixe les obligations de ce second rôle, celles qui concernent directement les équipes RH.

• -- Usage conforme à la notice : utiliser le système exactement selon sa documentation technique, sans le détourner de son usage prévu (un outil pensé pour une présélection ne peut pas devenir l'unique base d'une décision d'embauche).
• -- Supervision humaine confiée à des personnes compétentes : un recruteur formé doit pouvoir comprendre, vérifier et, si nécessaire, écarter la recommandation de l'algorithme.
• -- Suivi du fonctionnement réel : surveiller l'usage en conditions opérationnelles et signaler au fournisseur ou à l'autorité compétente tout risque identifié.
• -- Conservation des journaux : conserver les journaux générés automatiquement par le système pendant au moins six mois.
• -- Information préalable des salariés : avant toute mise en service, informer les travailleurs et leurs représentants qu'ils seront soumis à l'usage du système.

La littératie IA (article 4) complète ce socle : depuis février 2025, tout employeur qui déploie un outil IA doit s'assurer que son personnel RH dispose d'un niveau de compréhension suffisant de ses limites, de ses biais potentiels et de ses implications juridiques. Ce n'est pas une recommandation, c'est une obligation déjà exigible.

Transparence et droit à l'explication : ce que vous devez aux candidats

Au-delà de l'information générale sur l'usage de l'IA, deux mécanismes protègent spécifiquement le candidat évalué. L'article 26 impose au déployeur d'informer toute personne soumise à une décision, ou à une aide à la décision, prise par un système à haut risque. L'article 86 va plus loin en ouvrant un droit à l'explication : un candidat écarté peut demander à comprendre les critères qui ont conduit à cette décision.

Ce droit s'articule avec le RGPD, qui encadre depuis plus longtemps les décisions automatisées et le profilage. L'article 22 du RGPD interdit en principe qu'une décision produisant des effets juridiques repose uniquement sur un traitement automatisé, sans intervention humaine réelle. Notre article dédié détaille précisément ce que le RGPD interdit en matière de décision automatisée en recrutement, un sujet distinct mais complémentaire de l'AI Act.

Les deux textes se recoupent aussi sur la donnée traitée : le CV et le profil du candidat restent des données personnelles au sens du RGPD, qu'un outil IA les analyse ou non. Nous détaillons ce volet dans notre article sur le RGPD appliqué au tri de CV.

Sanctions et contrôles : ce que risquent les employeurs non conformes

L'article 99 du règlement fixe un barème à trois paliers. Le palier le plus élevé, jusqu'à 35 millions d'euros ou 7% du chiffre d'affaires mondial, s'applique non seulement aux pratiques interdites (article 5) mais aussi aux manquements aux obligations essentielles des déployeurs et fournisseurs de systèmes à haut risque (articles 16 et 26). Autrement dit, une supervision humaine absente ou fictive relève potentiellement du niveau de sanction le plus sévère, pas d'une simple négligence administrative.

Les deux autres paliers concernent les manquements aux autres obligations (jusqu'à 15 millions d'euros ou 3% du chiffre d'affaires) et la transmission d'informations trompeuses aux autorités (jusqu'à 7,5 millions d'euros ou 1%). Un régime plus favorable s'applique aux PME, pour lesquelles c'est le montant le plus bas entre le forfait et le pourcentage qui prévaut.

Sur le terrain, la CNIL a d'ores et déjà inscrit le recrutement parmi ses thématiques de contrôle prioritaires pour 2026, avec trois axes annoncés : les décisions automatisées, l'information des candidats et les durées de conservation des données. Ces contrôles s'appuient sur le RGPD, déjà pleinement applicable, et préfigurent le rôle que la CNIL exercera comme autorité de surveillance du marché pour le champ du travail au titre de l'AI Act.

Comment se mettre en conformité avant l'échéance de 2027

Le report du calendrier à 2027 n'est pas une invitation à attendre. Les contrôles CNIL sur le recrutement ont commencé dès 2026, sur le fondement du RGPD, et la littératie IA du personnel est déjà exigible. Voici la feuille de route que nous recommandons aux équipes RH et directions juridiques :

1. Cartographier vos outils IA RH : identifiez lesquels relèvent de l'Annexe III (tri de CV, matching, scoring, analyse vidéo d'entretien) et lesquels restent hors périmètre.
2. Vérifier l'absence de reconnaissance des émotions : aucun outil utilisé ne doit inférer un état émotionnel à partir de la voix, du visage ou du comportement d'un candidat ou salarié, sauf exception médicale ou de sécurité strictement encadrée.
3. Documenter la supervision humaine : un recruteur formé doit pouvoir expliquer, à tout moment, pourquoi il a suivi ou écarté une recommandation algorithmique.
4. Auditer les biais du système : un outil de matching mal calibré peut reproduire des discriminations. Notre méthode pour auditer les biais d'un outil de matching candidat-poste détaille les étapes concrètes.
5. Exiger la documentation du fournisseur : un outil de tri de CV par IA sérieux doit pouvoir fournir sa notice d'utilisation, journaliser les décisions et documenter ses garde-fous contre les biais, sans attendre l'échéance légale de 2027.

Pour dérouler cette démarche point par point, nous avons construit une checklist de conformité IA RH qui reprend chacune de ces obligations dans l'ordre où les traiter. Pour une vue d'ensemble des usages de l'IA en RH au-delà du seul volet réglementaire, consultez aussi notre guide complet sur l'IA dans les RH.

Sources officielles : règlement (UE) 2024/1689 sur EUR-Lex, Commission européenne, cadre réglementaire sur l'IA et Conseil de l'UE, accord final sur le Digital Omnibus (29 juin 2026).