IA dans le recrutement : ce qui a changé le 2 août

Beaucoup d’entreprises pensent que le règlement IA concerne les éditeurs de logiciels. C’est faux, et c’est le point qui va coûter cher. Le texte distingue le fournisseur, qui met le système sur le marché, du déployeur, qui l’utilise dans son activité. Si votre logiciel de recrutement trie les candidatures, si votre solution d’entretien vidéo évalue les candidats, si votre outil RH note ou surveille vos salariés, vous êtes déployeur d’un système à haut risque. C’est votre nom qui figure dans l’annexe III du règlement, pas seulement celui de votre prestataire.

Ce qui est purement interdit

Certaines pratiques sont interdites depuis février 2025, sans aménagement possible. Deux concernent directement le monde du travail : la reconnaissance des émotions sur le lieu de travail, c’est-à-dire analyser le visage ou la voix d’un salarié ou d’un candidat pour en déduire son état émotionnel, et la notation sociale. Un outil d’entretien vidéo qui prétend mesurer « l’enthousiasme » ou « la sincérité » d’un candidat relève très probablement de la première catégorie. Les sanctions sur ce terrain montent à 35 millions d’euros ou 7 % du chiffre d’affaires mondial.

Ce que le classement à haut risque vous impose

Pour les systèmes à haut risque que vous utilisez, les obligations du déployeur sont concrètes :

• utiliser le système conformément à sa notice, ce qui suppose de l’avoir lue et comprise ;
• garantir une surveillance humaine réelle, par des personnes formées, qui peuvent contredire la machine ;
• vérifier la pertinence des données que vous injectez dans le système ;
• surveiller son fonctionnement et signaler les incidents au fournisseur ;
• informer les salariés et leurs représentants avant la mise en service d’un système à haut risque sur le lieu de travail ;
• informer les candidats qu’un système d’IA est utilisé dans le processus.

Rien de tout cela n’est déclaratif. Il faut pouvoir le démontrer, documents à l’appui, comme pour le RGPD.

Ce que le RGPD exigeait déjà, et que l’IA n’efface pas

Les deux textes se cumulent, et c’est la confusion la plus fréquente chez nos clients. Avant même le règlement IA, un tri de candidatures automatisé posait trois questions RGPD : la base légale du traitement, l’information des candidats, et l’article 22, qui interdit qu’une décision produisant des effets juridiques repose exclusivement sur un traitement automatisé. Un recruteur qui se contente de valider les choix de la machine sans les examiner ne constitue pas une intervention humaine au sens du RGPD. Une analyse d’impact est par ailleurs très souvent requise sur ces traitements.

Être en règle avec le règlement IA ne dispense d’aucune de ces obligations. À l’inverse, un dossier RGPD solide vous donne une bonne partie du travail : registre, analyse d’impact, information des personnes et encadrement du sous-traitant sont les fondations des deux conformités.

En France, qui surveille

La CNIL fait partie des autorités désignées pour la surveillance du marché, aux côtés de la DGCCRF et de l’Arcom selon les domaines. Elle a publié ses premières questions-réponses sur l’articulation entre le règlement IA et le RGPD. Autrement dit, l’autorité qui contrôle déjà vos traitements de données est aussi celle qui contrôlera vos usages d’IA en RH. Un contrôle pourra porter sur les deux terrains à la fois.

Par où commencer, concrètement

Pas par un projet pharaonique. Par un inventaire honnête : quels outils de votre entreprise embarquent de l’IA, pour quels usages, avec quelles données. La plupart des organisations découvrent à cette occasion des usages qu’aucune direction n’a jamais validés. Ensuite, pour chaque usage RH : vérifier la qualification, interdit, haut risque ou risque limité, obtenir du fournisseur sa documentation de conformité, organiser la surveillance humaine, et mettre à jour l’information des candidats et des salariés.

C’est exactement le type de chantier qu’un accompagnement de mise en conformité ou un DPO externalisé prend en charge, parce que la méthode est la même que pour le RGPD : inventorier, qualifier, documenter, former.