AI Act : outils RH à haut risque, la checklist employeur avant août 2026
Le 2 août 2026, la plupart des obligations du règlement européen sur l’intelligence artificielle deviennent applicables (règl. (UE) 2024/1689, art. 113). Les systèmes d’IA utilisés pour recruter, évaluer ou gérer des salariés sont classés « à haut risque » (règl. (UE) 2024/1689, annexe III, point 4). À partir de cette date, l’outil RH n’est plus un simple logiciel : vous devez organiser la supervision humaine, la traçabilité et l’information des personnes concernées (règl. (UE) 2024/1689, art. 26).
Vos outils RH sont souvent « à haut risque »
Le texte vise explicitement les systèmes d’IA qui interviennent dans trois zones sensibles de la relation de travail. D’abord, le recrutement et la sélection : tri, classement, présélection de candidatures (règl. (UE) 2024/1689, annexe III, point 4(a)). Ensuite, les décisions qui affectent la relation de travail — promotion, mobilité, rupture, affectations (règl. (UE) 2024/1689, annexe III, point 4(b)). Enfin, la surveillance et l’évaluation de salariés sur la base de données collectées au travail (règl. (UE) 2024/1689, annexe III, point 4(b)).
Dans les faits, cela couvre un ATS qui classe des CV, un outil d’entretien vidéo qui génère un score, ou un module qui recommande des affectations. Le critère n’est pas marketing — « IA » écrit en gros sur une brochure — c’est l’usage réel : filtrer, classer, noter, recommander, sur des décisions qui touchent à l’emploi ou aux conditions de travail. Vous encadrez l’usage, pas le discours commercial.
Point clé — Ne vous fiez pas aux qualifications de votre éditeur. Un outil présenté comme « simple automatisation » qui trie des candidatures selon des critères pondérés est un système d’IA à haut risque au sens du règlement (annexe III, point 4).
Autre vigilance, déjà applicable : l’AI Act interdit, sauf exceptions limitées, l’inférence d’émotions sur le lieu de travail (règl. (UE) 2024/1689, art. 5). Écartez les outils qui promettent de « mesurer l’engagement » par analyse d’images, de voix ou de comportements. La promesse est séduisante ; le risque juridique ne l’est pas.
Déployeur ou fournisseur : votre rôle change vos obligations
L’AI Act distingue le fournisseur (celui qui met le système sur le marché) et le déployeur (celui qui l’utilise) (règl. (UE) 2024/1689, art. 3). L’employeur est le plus souvent déployeur : il achète un outil et l’utilise. Vous basculez vers le régime fournisseur si vous le mettez sur le marché sous votre nom, ou si vous le modifiez substantiellement pour un usage RH à haut risque (règl. (UE) 2024/1689, art. 25).
| Situation | Statut probable | Conséquence pratique |
|---|---|---|
| Outil RH acheté, utilisé « tel quel » | Déployeur | Appliquez l’art. 26 (supervision, logs, information). |
| Outil rebrandé « maison » (nom/marque de l’entreprise) | Fournisseur (art. 25) | Obligations fournisseur + conformité technique complète. |
| Outil modifié substantiellement (règles/algorithmes) | Fournisseur (art. 25) | Obligations fournisseur sur la version modifiée. |
Nous voyons régulièrement des entreprises qui « personnalisent » un ATS ou un outil de scoring sans mesurer qu’elles changent de statut réglementaire. Si vous avez modifié les critères de classement ou ajouté vos propres règles de filtrage, vérifiez votre qualification avant août.
Information du CSE et des salariés : un double étage juridique
L’AI Act impose d’informer les représentants des travailleurs et les travailleurs concernés avant qu’ils soient soumis à l’usage d’un système d’IA à haut risque sur le lieu de travail (règl. (UE) 2024/1689, art. 26). Ce n’est pas une obligation vague : elle vise une information préalable, individuelle côté salariés et candidats, collective côté représentants.
En France, cette obligation européenne se superpose à l’information-consultation du CSE sur l’introduction de nouvelles technologies et les projets importants qui modifient les conditions de travail (art. L2312-8 et L2312-37 CT). Un oubli sur ce terrain se paie vite : le TJ de Nanterre a suspendu sous astreinte un déploiement d’IA en phase pilote pour défaut de consultation (TJ Nanterre, 29 janvier 2026). L’analyse complète de cette décision : Intelligence artificielle : le CSE doit être consulté, même en phase pilote.
Préparez un dossier unique qui consolide les deux exigences : description de l’usage, données traitées, place de l’humain dans la décision, mesures anti-biais, et garanties RGPD. Un dossier solide sert deux fois — pour le CSE et pour la documentation réglementaire AI Act. Les entreprises qui découvriront l’obligation le jour de la mise en demeure auront un problème de calendrier, pas de bonne volonté.
Supervision humaine, logs, littératie : ce que vous devez démontrer
Le sujet n’est pas technique : vous devez piloter l’outil et en assumer les effets. Trois exigences structurent la mise en conformité côté employeur déployeur.
La première est la supervision humaine réelle. Des personnes compétentes doivent pouvoir comprendre les sorties du système, garder la main, et intervenir pour corriger ou désactiver (règl. (UE) 2024/1689, art. 26). Un rejet de candidature « automatique » sans regard humain est un risque juridique inutile, d’autant que le RGPD encadre déjà les décisions exclusivement automatisées (RGPD, art. 22). La supervision sur le papier ne compte pas : si personne dans l’équipe RH ne sait expliquer pourquoi un candidat a été écarté, la supervision est fictive.
La deuxième est la traçabilité. Vous devez conserver les logs générés automatiquement par le système, sous votre contrôle, pendant au moins six mois (règl. (UE) 2024/1689, art. 26). Vérifiez avec votre éditeur que ces logs sont effectivement accessibles et exportables — ce n’est pas toujours le cas.
La troisième est le monitoring. Si un risque apparaît — biais détecté, résultats aberrants, incident — vous suspendez l’usage et alertez le fournisseur et, si nécessaire, les autorités (règl. (UE) 2024/1689, art. 26).
À cela s’ajoute la littératie IA : les personnes qui utilisent ou supervisent l’outil doivent être formées à ses limites, ses biais possibles, les contrôles à effectuer et la procédure d’escalade (règl. (UE) 2024/1689, art. 4). Le format est libre, mais le contenu ne l’est pas.
Checklist employeur avant le 2 août 2026
- Recensez vos outils RH et cartographiez les usages « haut risque » (annexe III, point 4).
- Verrouillez votre rôle : pas de rebranding, pas de modification substantielle sans gouvernance (art. 25).
- Structurez une supervision humaine écrite : qui contrôle, à quel moment, avec quel pouvoir de veto (art. 26).
- Organisez la conservation des logs et l’accès interne (art. 26).
- CSE + RGPD : consultation, transparence candidats/salariés, AIPD si nécessaire (art. L2312-8 et L2312-37 CT ; RGPD, art. 35).
- Formalisez une procédure d’alerte et de suspension d’usage en cas de dérive (art. 26).
- Formez les équipes RH et managers qui utiliseront l’outil (art. 4).
Pour le calendrier complet de l’AI Act et ses premières étapes 2025, notre article d’août dernier reste une bonne base : Intelligence artificielle au travail : les premières obligations de l’AI Act.
Nous accompagnons nos clients sur ce sujet dans le cadre de nos audits RH : cartographie des outils, qualification du statut déployeur/fournisseur, documentation CSE et mise en conformité. Pour en parler : Accompagnement RH premium.