Pourquoi l'IA de recrutement est classée à haut risque
L'annexe III du règlement (UE) 2024/1689 liste les domaines où un système d'IA est considéré à haut risque. Le point 4, « emploi, gestion de la main-d'œuvre et accès à l'emploi indépendant », vise deux familles de systèmes :
- Le recrutement et la sélection : les systèmes d'IA destinés à publier des offres d'emploi ciblées, analyser et filtrer les candidatures, et évaluer les candidats.
- La gestion des salariés : les systèmes qui influencent les décisions de promotion ou de licenciement, attribuent des tâches sur la base du comportement ou de traits de personnalité, ou suivent et évaluent les performances.
La logique du législateur est simple : ces systèmes prennent ou préparent des décisions qui engagent la carrière et les revenus de personnes réelles, avec des risques documentés de biais. Haut risque ne veut pas dire interdit : cela veut dire soumis à des exigences renforcées (gestion des risques, qualité des données d'entraînement, documentation, surveillance humaine, robustesse).
Éditeur ou employeur : qui doit quoi
Le règlement distingue le fournisseur (l'éditeur qui développe et commercialise l'outil) du déployeur (l'employeur qui l'utilise). L'essentiel des obligations techniques pèse sur l'éditeur. Mais l'employeur déployeur a ses propres obligations, et c'est le point aveugle de beaucoup de directions RH :
- Utiliser le système conformément à sa notice d'utilisation et assurer une surveillance humaine par des personnes formées.
- Informer les travailleurs et leurs représentants avant de mettre en service un système d'IA à haut risque sur le lieu de travail (article 26, paragraphe 7).
- Conserver les journaux générés par le système et surveiller son fonctionnement.
Autrement dit : acheter un outil du marché ne transfère pas la responsabilité. Le choix de l'éditeur, les questions à lui poser et la documentation de l'usage font partie du travail de conformité de l'employeur.
Les échéances à retenir côté RH
- Depuis le 2 février 2025 : les pratiques interdites de l'article 5 s'appliquent (voir ci-dessous), ainsi que l'obligation de maîtrise de l'IA (article 4) : les équipes qui utilisent des systèmes d'IA doivent être formées à leur fonctionnement et à leurs limites.
- 2 août 2026 : transparence de l'article 50. Un chatbot carrière doit se présenter comme une IA, et les contenus générés par IA doivent être marqués. Sanctions possibles jusqu'à 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial.
- 2 décembre 2027 : obligations complètes des systèmes à haut risque de l'annexe III, dont l'IA de recrutement et de gestion RH. Cette échéance était initialement fixée au 2 août 2026 : le règlement omnibus (UE) 2026/1744, publié au Journal officiel le 24 juillet 2026, l'a reportée de 16 mois. Le calendrier complet, date par date, est dans notre article AI Act : entrée en vigueur et calendrier.
Déjà interdit : inférer les émotions au travail
C'est l'interdiction la plus concrète pour les RH, et elle est déjà en application depuis le 2 février 2025. L'article 5 du règlement interdit la mise sur le marché et l'utilisation de systèmes d'IA « pour inférer les émotions d'une personne physique sur le lieu de travail et dans les établissements d'enseignement », sauf raisons médicales ou de sécurité. Un outil d'analyse vidéo d'entretien qui prétend mesurer le stress, l'enthousiasme ou la sincérité d'un candidat tombe dans cette catégorie. Les pratiques interdites exposent aux sanctions maximales du règlement : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial. Si un tel outil est dans votre pile RH, la question n'est pas 2027 : elle se pose maintenant.
Ce qu'un employeur peut faire dès maintenant
Le report à décembre 2027 est une fenêtre de préparation, pas une dispense. Cinq chantiers raisonnables, sans attendre :
- Inventorier : lister les outils RH qui embarquent de l'IA (ATS, matching, sourcing, chatbot carrière, analyse d'entretiens), souvent plus nombreux qu'on ne le croit.
- Questionner les éditeurs : comment classent-ils leur système au regard de l'annexe III, quelle documentation fournissent-ils, quel est leur plan de conformité pour décembre 2027 ?
- Garder l'humain dans la boucle : aucun rejet de candidature entièrement automatique, et une trace de qui décide quoi. C'est aussi une exigence du RGPD sur les décisions individuelles automatisées.
- Informer : candidats (chatbots, traitements IA) et salariés avec leurs représentants avant tout déploiement d'un système à haut risque.
- Former : l'obligation de maîtrise de l'IA s'applique déjà. Une équipe recrutement qui utilise un outil d'IA sans comprendre ses limites est un risque juridique et un risque de qualité de recrutement.
Les profils qui portent la conformité AI Act
La conformité IA ne se décrète pas : elle se staffe. Les entreprises qui déploient de l'IA à l'échelle, RH ou ailleurs, recrutent déjà ces profils, et le vivier est étroit :
- AI Trust Officer / AI Governance Officer : cartographie des systèmes d'IA, registre, documentation de conformité, articulation AI Act, RGPD, NIS2 et DORA. Le chef d'orchestre du dispositif.
- AI Red Teamer : teste la robustesse des modèles (jailbreak, injection de prompt, biais) avant que le régulateur ou un incident ne le fasse.
- DPO orienté IA : l'IA de recrutement traite des données personnelles de candidats et de salariés : l'articulation RGPD et AI Act est son terrain naturel.
- GRC Manager : intègre le risque IA au dispositif global de gouvernance, risques et conformité.
- ML Engineer / MLOps : côté technique, la documentation des données, la traçabilité et le monitoring exigés par le règlement se construisent dans les pipelines.
Selon la taille et la maturité de l'entreprise, le bon format n'est pas toujours un CDI : une mission freelance de mise en conformité (état des lieux, registre, dossier fournisseurs) suivie d'un recrutement pérenne est un schéma qui fonctionne bien, comme sur les mises en conformité DORA du secteur financier.
Et le recrutement par un cabinet humain ?
Précision utile : chez Get in Talent, le brief, la chasse, les entretiens et l'évaluation des candidats sont menés par un recruteur humain, le fondateur, du premier appel à la présentation de la shortlist. Aucun score algorithmique ne décide à la place de l'humain, et chaque candidat présenté a été réellement rencontré et qualifié en entretien. Pour un employeur, c'est une différence de fond avec un pipeline automatisé : la qualification s'explique, se discute et s'assume.
En résumé
L'IA de recrutement est nommément classée à haut risque par l'annexe III de l'AI Act. Le gros des obligations arrive le 2 décembre 2027, mais trois règles s'appliquent avant : l'interdiction d'inférer les émotions au travail (depuis février 2025), la formation des équipes (depuis février 2025) et la transparence de l'article 50 (2 août 2026). Les employeurs ont une fenêtre pour inventorier leurs outils, questionner leurs éditeurs et staffer la conformité. Les profils existent et se recrutent, en CDI comme en freelance.
Questions fréquentes
Mon ATS ou mon outil de matching est-il concerné par l'AI Act ?
S'il utilise l'IA pour publier des offres ciblées, analyser et filtrer les candidatures ou évaluer des candidats, il entre dans l'annexe III (haut risque). L'entreprise qui l'utilise est un déployeur, avec ses propres obligations : usage conforme à la notice, surveillance humaine, information des personnes. Échéance : 2 décembre 2027.
À partir de quand les obligations s'appliquent-elles aux RH ?
Depuis février 2025 : pratiques interdites et formation des équipes. Le 2 août 2026 : transparence de l'article 50 (chatbots, contenus générés). Le 2 décembre 2027 : obligations complètes des systèmes à haut risque de l'annexe III, après le report du règlement omnibus de juillet 2026.
L'analyse des émotions en entretien vidéo est-elle autorisée ?
Non. Depuis le 2 février 2025, l'AI Act interdit les systèmes d'IA qui infèrent les émotions sur le lieu de travail, sauf raisons médicales ou de sécurité. C'est une pratique interdite de l'article 5, passible des sanctions maximales : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial.
Faut-il informer les candidats et les salariés ?
Oui. L'article 26 impose d'informer les travailleurs et leurs représentants avant de mettre en service un système à haut risque sur le lieu de travail. Et dès le 2 août 2026, l'article 50 impose de signaler toute interaction avec une IA lorsque ce n'est pas évident.
Quels profils recruter pour la conformité AI Act ?
AI Trust Officer / AI Governance Officer, AI Red Teamer, DPO orienté IA, GRC Manager, et côté technique ML Engineer / MLOps. En CDI pour installer la fonction, ou en mission freelance pour l'état des lieux et la mise en conformité initiale.
Sources officielles
- Règlement (UE) 2024/1689 (AI Act) : annexe III point 4, articles 4, 5, 26, 50 et 99
- Règlement (UE) 2026/1744 (omnibus numérique sur l'IA), JO de l'UE du 24 juillet 2026
Dates, montants et citations vérifiés sur ces textes le 29 juillet 2026. Cet article est une synthèse d'information destinée aux décideurs RH et IT : il ne remplace pas l'analyse d'un avocat sur votre cas d'usage.