IA et recrutement : ce que l'AI Act et le RGPD imposent aux RH

Tri automatique des CV, matching de candidats, scoring, analyse vidéo d'entretiens, détection des risques de départ : l'IA s'installe dans les directions des ressources humaines. Le droit aussi. Le règlement européen sur l'IA classe le recrutement et la gestion des travailleurs parmi les systèmes à haut risque, avec des obligations pleinement applicables au 2 août 2026. Et en France, le RGPD et le Code du travail encadrent déjà ces pratiques. Voici ce que toute entreprise qui utilise ou envisage un outil d'IA RH doit savoir.

Pourquoi le recrutement est classé à haut risque

L'annexe III du règlement 2024/1689 vise expressément les systèmes d'IA destinés au recrutement et à la sélection des personnes : publication ciblée d'offres, tri et filtrage des candidatures, évaluation des candidats. Elle vise aussi les systèmes utilisés pour les décisions affectant la relation de travail : promotion, licenciement, répartition des tâches fondée sur le comportement ou les caractéristiques personnelles, suivi et évaluation des performances.

Le raisonnement du législateur européen est simple : ces systèmes conditionnent l'accès à l'emploi et les perspectives de carrière. Une erreur ou un biais peut écarter durablement une personne du marché du travail, ou reproduire des discriminations historiques présentes dans les données d'entraînement.

Conséquence pratique : un ATS doté d'un module de tri intelligent, un outil de matching, une solution de scoring des candidatures ou un logiciel d'évaluation continue des salariés relèvent en principe du haut risque. L'exemption de l'article 6, paragraphe 3, reste envisageable pour des fonctions purement procédurales (détection de doublons, extraction de champs d'un CV sans notation), mais elle ne joue jamais en cas de profilage des personnes. Or la plupart des outils RH à valeur ajoutée font précisément du profilage.

Ce qui est interdit d'emblée

Avant même de parler de haut risque, l'article 5 du règlement interdit depuis le 2 février 2025 certaines pratiques directement pertinentes en RH :

• La reconnaissance des émotions sur le lieu de travail, sauf raisons médicales ou de sécurité. Les outils qui prétendent mesurer le stress, l'engagement ou la sincérité d'un candidat en entretien vidéo sont dans la zone rouge.
• La notation sociale aboutissant à un traitement défavorable dans un contexte étranger à celui de la collecte des données.
• La catégorisation biométrique visant à déduire des données sensibles comme l'origine, les opinions ou l'orientation sexuelle.

Le plafond de sanction associé est le plus élevé du texte : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Si un outil de votre stack RH flirte avec l'analyse émotionnelle ou comportementale, faites-le qualifier juridiquement avant toute chose.

Vos obligations concrètes en tant qu'employeur déployeur

Dans la quasi-totalité des cas, l'employeur qui achète un outil d'IA RH est un déployeur au sens du règlement. L'article 26 lui impose notamment :

• d'utiliser le système conformément à la notice fournie par l'éditeur : cas d'usage prévus, limites, seuils de confiance ;
• de confier la surveillance humaine à des personnes compétentes, formées et dotées de l'autorité nécessaire pour écarter une recommandation de l'outil ;
• de veiller à la pertinence et à la qualité des données d'entrée qu'il maîtrise, par exemple les critères paramétrés dans l'outil de tri ;
• de conserver les journaux générés par le système pendant six mois minimum ;
• et surtout, d'informer les salariés et leurs représentants avant la mise en service d'un système à haut risque qui les concerne. Cette information préalable est une obligation spécifique au contexte du travail, voulue comme telle par le législateur.

Un point mérite d'être souligné : la surveillance humaine ne peut pas être cosmétique. Un recruteur qui valide systématiquement les classements de l'outil sans capacité réelle d'analyse n'exerce pas un contrôle humain effectif. Les process internes doivent le démontrer : temps alloué, formation, traçabilité des décisions divergentes.

Le RGPD s'applique déjà, intégralement

Pas besoin d'attendre août 2026 : chaque outil d'IA RH traite des données personnelles et relève donc du RGPD depuis toujours. Quatre points de contrôle prioritaires :

• Base légale et minimisation : les données collectées doivent présenter un lien direct et nécessaire avec l'emploi proposé ou l'évaluation des aptitudes professionnelles. Ce principe, posé par l'article L1221-6 du Code du travail, rejoint la minimisation du RGPD. Un outil qui aspire les réseaux sociaux des candidats pose un problème immédiat.
• Décision entièrement automatisée : l'article 22 du RGPD interdit par principe qu'une décision produisant des effets juridiques ou significatifs (rejet d'une candidature, par exemple) repose exclusivement sur un traitement automatisé. Un rejet automatique sans intervention humaine réelle est juridiquement fragile. Il faut soit une intervention humaine effective, soit entrer dans les exceptions strictes de l'article 22 avec les garanties associées : droit d'obtenir une intervention humaine, d'exprimer son point de vue, de contester la décision.
• Analyse d'impact : le recrutement algorithmique et l'évaluation des salariés figurent parmi les traitements pour lesquels une AIPD est requise. C'est un document que la CNIL demande en premier lors d'un contrôle.
• Information et durées : les candidats doivent être informés de manière claire de l'utilisation d'un outil algorithmique, de sa logique générale et de leurs droits. Côté conservation, la pratique de place retient deux ans après le dernier contact pour les candidatures non retenues, sauf accord pour plus long.

La CNIL a publié des recommandations dédiées au recrutement qui constituent le référentiel opérationnel : questions admissibles, encadrement des outils d'aide à la sélection, droits des candidats. Les intégrer à vos process, c'est neutraliser l'essentiel du risque de contrôle.

Le Code du travail ajoute ses propres règles

Le droit français encadre les méthodes de recrutement et d'évaluation depuis bien avant l'IA, et ces textes s'appliquent pleinement aux outils algorithmiques :

• Information préalable du candidat : le candidat doit être expressément informé, préalablement à leur mise en œuvre, des méthodes et techniques d'aide au recrutement utilisées à son égard (article L1221-8). Les résultats obtenus doivent rester confidentiels.
• Pertinence des méthodes : les méthodes et techniques d'aide au recrutement ou d'évaluation doivent être pertinentes au regard de la finalité poursuivie (article L1221-8 pour les candidats, L1222-3 pour les salariés). Un outil dont l'éditeur ne peut pas documenter la validité scientifique expose l'employeur.
• Évaluation des salariés : le salarié doit être informé préalablement des méthodes et techniques d'évaluation professionnelle mises en œuvre à son égard (article L1222-3), et les résultats doivent rester confidentiels. Toute évaluation par IA non annoncée est contestable.
• Consultation du CSE : le comité social et économique est informé et consulté avant l'introduction de nouvelles technologies et de tout aménagement important modifiant les conditions de travail (article L2312-8), et préalablement à la mise en œuvre de moyens ou techniques permettant un contrôle de l'activité des salariés (article L2312-38). Déployer un outil d'IA d'évaluation sans consulter le CSE, c'est s'exposer à un délit d'entrave et à l'inopposabilité du dispositif.

Ces obligations françaises convergent avec l'AI Act : information des personnes, transparence des méthodes, dialogue social. Une mise en conformité bien menée traite les deux corpus en un seul chantier.

La discrimination, risque numéro un

Le biais algorithmique n'est pas un sujet théorique. Un modèle entraîné sur l'historique de recrutement d'une entreprise reproduit les préférences passées, y compris les moins avouables. Or l'article L1132-1 du Code du travail prohibe toute discrimination fondée sur une liste de critères (origine, sexe, âge, état de santé, apparence, lieu de résidence, etc.), et le régime probatoire est favorable au demandeur : il lui suffit de présenter des éléments laissant supposer une discrimination, à charge pour l'employeur de prouver que sa décision repose sur des éléments objectifs.

Face à un algorithme, cette charge de la preuve devient redoutable. Comment démontrer l'objectivité d'une décision si vous ne comprenez pas les critères réellement utilisés par l'outil ? D'où trois réflexes :

• exiger de l'éditeur la documentation sur les données d'entraînement et les tests de biais réalisés ;
• auditer régulièrement les résultats de l'outil par population (taux de sélection comparés) ;
• conserver la trace des décisions humaines qui s'écartent des recommandations de l'outil, preuve d'un contrôle réel.

La sanction pénale de la discrimination peut atteindre trois ans d'emprisonnement et 45 000 euros d'amende pour les personnes physiques, sans compter les dommages et intérêts et le risque réputationnel. L'argument "c'est l'algorithme" ne constitue pas une défense : la décision reste celle de l'employeur.

Checklist : déployer un outil d'IA RH en 8 points

1. Qualifier l'outil : haut risque ou non, profilage ou non, analyse émotionnelle ou non. Documentez la qualification par écrit.
2. Auditer l'éditeur : conformité AI Act (documentation, notice, marquage CE à terme), engagements RGPD, tests de biais, localisation des données.
3. Réaliser l'AIPD avant tout déploiement, en y intégrant les risques de discrimination.
4. Consulter le CSE en amont, avec un dossier d'information complet sur le fonctionnement de l'outil.
5. Informer candidats et salariés : mentions dans les offres, notices d'information, mise à jour de la politique de confidentialité RH.
6. Organiser le contrôle humain : qui valide, avec quel temps, quelle formation, quelle procédure pour écarter une recommandation.
7. Paramétrer les durées de conservation et les journaux (six mois minimum pour les logs du système au titre de l'AI Act).
8. Prévoir la revue périodique : audit annuel des résultats, veille sur les mises à jour de l'outil, réévaluation de la qualification en cas d'évolution fonctionnelle.

Évaluation des salariés : les cas d'usage sensibles

Le recrutement concentre l'attention, mais l'évaluation des salariés en poste est au moins aussi exposée. Trois familles d'outils méritent un examen juridique systématique :

• Le people analytics : tableaux de bord de performance individuelle, scoring de productivité, prédiction des départs. Dès que l'outil note ou classe des salariés sur la base de leur comportement ou de leurs caractéristiques, on est dans l'annexe III de l'AI Act et dans le champ de l'article L1222-3 du Code du travail. L'information préalable de chaque salarié est impérative, et la finalité doit rester professionnelle : un score d'attrition utilisé pour écarter un salarié d'une promotion pose un problème sérieux de loyauté et de pertinence.
• Le monitoring assisté par IA : analyse des communications, mesure du temps d'activité, détection d'anomalies. Ces dispositifs cumulent la consultation obligatoire du CSE au titre de l'article L2312-38, les exigences de proportionnalité de la CNIL et, selon les fonctionnalités, la qualification de haut risque. La surveillance permanente et généralisée des salariés est constamment sanctionnée par la CNIL et par les juges : l'IA ne change rien à ce principe, elle aggrave le risque en industrialisant la collecte.
• Les décisions de fin de contrat : tout outil qui contribue à identifier des salariés à licencier ou à ne pas renouveler entre dans la catégorie la plus sensible. Une décision de licenciement doit reposer sur des éléments objectifs, vérifiables et individualisés. Un employeur incapable d'expliquer les critères ayant conduit l'algorithme à désigner tel salarié s'expose à voir la rupture jugée sans cause réelle et sérieuse, avec les condamnations qui suivent.

Dans tous ces cas, le réflexe est le même : documentation de la finalité, information individuelle préalable, consultation du CSE, AIPD, et capacité à reconstituer le raisonnement de l'outil pour chaque décision individuelle. Si l'éditeur ne peut pas fournir cette explicabilité, l'outil n'est pas déployable en l'état pour des décisions individuelles.

La FRIA : qui doit analyser l'impact sur les droits fondamentaux ?

L'article 27 de l'AI Act impose une analyse d'impact sur les droits fondamentaux avant le premier déploiement de certains systèmes à haut risque. Elle concerne les organismes de droit public, les entités privées fournissant des services publics, et certains déployeurs des secteurs bancaire et assurantiel. Une entreprise privée classique n'y est pas tenue pour son outil de recrutement, mais l'exercice reste une bonne pratique : la FRIA recoupe largement l'AIPD du RGPD, et un document unique bien construit peut couvrir les deux exigences. Pour les employeurs publics et parapublics en revanche, c'est une obligation ferme à intégrer au calendrier de déploiement, avec notification à l'autorité de surveillance.

Combien de temps prévoir pour se mettre en conformité ?

Sur la base des dossiers que nous traitons, comptez :

• 4 à 6 semaines pour la phase d'audit : cartographie des outils RH, qualification juridique de chacun, revue des contrats éditeurs et des mentions d'information existantes ;
• 6 à 10 semaines pour la mise à niveau : AIPD, dossier CSE et déroulé de la consultation, refonte des notices d'information candidats et salariés, procédure de contrôle humain, avenants contractuels avec les éditeurs ;
• en continu ensuite : audit annuel des résultats de l'outil, revue de qualification à chaque évolution fonctionnelle, veille sur les normes harmonisées et les positions de la CNIL.

La consultation du CSE est souvent le chemin critique : elle suppose un dossier d'information complet et des délais de procédure incompressibles. Une entreprise qui vise un déploiement à la rentrée doit lancer le chantier maintenant. Et pour les outils déjà en production sans cadre, la priorité absolue est de régulariser l'information des personnes et la consultation des représentants du personnel : ce sont les manquements les plus faciles à établir pour un candidat évincé ou un syndicat.

Contrat éditeur : les clauses à exiger

Le contrat avec votre fournisseur d'outil RH est votre première ligne de défense. Points de négociation prioritaires : garantie de conformité AI Act et RGPD avec obligation de maintien dans le temps, remise de la documentation technique et de la notice d'utilisation, information préalable en cas de modification substantielle du modèle, assistance en cas de contrôle CNIL ou d'action d'un candidat, clause d'audit, engagements chiffrés sur les tests de biais, et répartition claire des responsabilités et des plafonds en cas de sanction. Un éditeur sérieux accepte ces clauses. Un éditeur qui les refuse en bloc vous dit quelque chose sur sa propre conformité.

Ce qu'il faut retenir

L'IA en RH cumule trois corpus : l'AI Act qui classe ces systèmes à haut risque avec échéance au 2 août 2026, le RGPD qui s'applique déjà intégralement, et le Code du travail qui impose information préalable, pertinence des méthodes et consultation du CSE. Le risque le plus lourd reste la discrimination algorithmique, où la charge de la preuve joue contre l'employeur mal préparé.

Le cabinet Mirabile Avocat accompagne DRH et directions juridiques sur toute la chaîne : qualification des outils, AIPD, dossiers CSE, contrats éditeurs, procédures de contrôle humain. Un projet d'outil IA RH en cours ? Parlons-en avant le déploiement, pas après le premier contentieux.